917620-计算机系统与网络安全技术-标准实验报告(6)-防火墙、入侵检测系统的安装、配置和使用

示例：
$ iቤተ መጻሕፍቲ ባይዱtables -D INPUT --dport 80 -j DROP
五、实验目的：
目的：掌握一种防火墙和入侵检测系统的安装、配置和使用
六、实验内容：
选择一种开源防火墙和入侵检测系统，设计其网络拓扑结构，并进行安装、配置、验证。
a)3~5人一组
b)安装和配置防火墙（或其他防火墙系统）；
c)安装配置Snort入侵检测系统。
d)修改防火墙或入侵检测系统的部分源代码，实现防火墙和入侵检测系统的联动（增强实验，可选）
用户：至少对Linux OS有中等水平的了解，以及具备配置Linux内核的经验。
安装前的准备
在开始安装iptables用户空间工具之前，需要对系统做某些修改。首先，需要使用make config命令来配置内核的选项。在配置期间，必须通过将CONFIG_NETFILTER和CONFIG_IP_NF_IPTABLES选项设置为Y来打开它们，因为这是使netfilter/iptables工作所必需的。下面是可能要打开的其它选项：
安装netfilter/iptables系统
因为netfilter/iptables的netfilter组件是与内核2.4.x集成在一起的，所以只需要下载并安装iptables用户空间工具。
下面是安装netfilter/iptables系统的需求：
硬件：要使用netfilter/iptables，需要有一个运行Linux OS并连接到因特网、LAN或WAN的系统。
另一个背后的原因是，通过阻塞来自类似广告站点之类的源的多余流量，可以节省带宽。
因而，可以定制防火墙配置来满足任何特定需求和任何安全性级别需求。这就是netfilter/iptables系统的用武之处。
netfilter/iptables系统是如何工作的？
netfilter/iptables IP信息包过滤系统是一种功能强大的工具，可用于添加、编辑和除去规则，这些规则是在做信息包过滤决定时，防火墙所遵循和组成的规则。这些规则存储在专用的信息包过滤表中，而这些表集成在Linux内核中。在信息包过滤表中，规则被分组放在我们所谓的链（chain）中。我马上会详细讨论这些规则以及如何建立这些规则并将它们分组在链中。
CONFIG_PACKET：如果要使应用程序和程序直接使用某些网络设备，那么这个选项是有用的。
CONFIG_IP_NF_MATCH_STATE：如果要配置有状态的防火墙，那么这个选项非常重要而且很有用。这类防火墙会记得先前关于信息包过滤所做的决定，并根据它们做出新的决定。我将在netfilter/iptables系统的优点一节中进一步讨论这方面的问题。
Linux因其健壮性、可靠性、灵活性以及好象无限范围的可定制性而在IT业界变得非常受欢迎。Linux具有许多内置的能力，使开发人员可以根据自己的需要定制其工具、行为和外观，而无需昂贵的第三方工具。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，所要用到的一种内置能力就是针对网络上Linux系统的防火墙配置。可以在netfilter/iptables IP信息包过滤系统（它集成在2.4.x版本的Linux内核中）的帮助下运用这种能力。
建立规则并将链放在适当的位置之后，就可以开始进行真正的信息包过滤工作了。这时内核空间从用户空间接管工作。当信息包到达防火墙时，内核先检查信息包的头信息，尤其是信息包的目的地。我们将这个过程称为路由。
如果信息包源自外界并前往系统，而且防火墙是打开的，那么内核将它传递到内核空间信息包过滤表的INPUT链。如果信息包源自系统内部或系统所连接的内部网上的其它源，并且此信息包要前往另一个外部系统，那么信息包被传递到OUTPUT链。类似的，源自外部系统并前往外部系统的信息包被传递到FORWARD链。接下来，将信息包的头信息与它所传递到的链中的每条规则进行比较，看它是否与某条规则完全匹配。如果信息包与某条规则匹配，那么内核就对该信息包执行由该规则的目标指定的操作。但是，如果信息包与这条规则不匹配，那么它将与链中的下一条规则进行比较。最后，如果信息包与链中的任何规则都不匹配，那么内核将参考该链的策略来决定如何处理该信息包。理想的策略应该告诉内核DROP该信息包。
$ iptables [-t table] command [match] [target]
表(table)
[-t table]选项允许使用标准表之外的任何表。表是包含仅处理特定类型信息包的规则和链的信息包过滤表。有三种可用的表选项：filter、nat和mangle。该选项不是必需的，如果未指定，则filter用作缺省表。
理解防火墙配置和信息包过滤
对于连接到网络上的Linux系统来说，防火墙是必不可少的防御机制，它只允许合法的网络流量进出系统，而禁止其它任何网络流量。为了确定网络流量是否合法，防火墙依靠它所包含的由网络或系统管理员预定义的一组规则。这些规则告诉防火墙某个流量是否合法以及对于来自某个源、至某个目的地或具有某种协议类型的网络流量要做些什么。术语“配置防火墙”是指添加、修改和除去这些规则。稍后，我将详细讨论这些规则
根据规则所处理的信息包的类型，可以将规则分组在链中。处理入站信息包的规则被添加到INPUT链中。处理出站信息包的规则被添加到OUTPUT链中。处理正在转发的信息包的规则被添加到FORWARD链中。这三个链是基本信息包过滤表中内置的缺省主链。另外，还有其它许多可用的链的类型（如PREROUTING和POSTROUTING），以及提供用户定义的链。每个链都可以有一个策略，它定义“缺省目标”，也就是要执行的缺省操作，当信息包与链中的任何规则都不匹配时，执行此操作。
现在，可以准备安装这个用户空间工具了。
安装用户空间工具
在下载iptables用户空间工具的源代码（它类似于iptables-1.2.6a.tar.bz2）之后，可以开始安装。您需要以root身份登录来执行安装注：如果您有RedHat Linux版本7.1或更高版本，就不需要执行这里说明的前两个步骤。正如我们所知道的，该Linux分发版（distribution）的标准安装中包含了iptables用户空间工具。
建立规则和链
通过向防火墙提供有关对来自某个源、到某个目的地或具有特定协议类型的信息包要做些什么的指令，规则控制信息包的过滤。通过使用netfilter/iptables系统提供的特殊命令iptables，建立这些规则，并将其添加到内核空间的特定信息包过滤表内的链中。关于添加／除去／编辑规则的命令的一般语法如下：
虽然netfilter/iptables IP信息包过滤系统被称为单个实体，但它实际上由两个组件netfilter和iptables组成。
netfilter组件也称为内核空间（kernelspace），是内核的一部分，由一些信息包过滤表组成，这些表包含内核用来控制信息包过滤处理的规则集。
iptables组件是一种工具，也称为用户空间（userspace），它使插入、修改和除去信息包过滤表中的规则变得容易。除非您正在使用Red Hat Linux 7.1或更高版本，否则需要从下载该工具并安装使用它。
软件：带有内核2.4或更高版本的任何版本的Linux OS。可以从下载最新版本的内核。还需要从下载iptables这个用户空间工具，因为这个工具不是内核的一部分。但对于RedHat Linux版本7.1或更高版本，不需要下载此工具，因为在版本7.1或更高版本中，标准安装中已经包含了此工具。
七、实验器材（设备、元器件）：
PC微机三台
八、实验步骤：
1 netfilter防火墙配置
netfilter/iptables是与最新的2.4.x版本Linux内核集成的IP信息包过滤系统。如果Linux系统连接到因特网或LAN、服务器或连接LAN和因特网的代理服务器，则该系统有利于在Linux系统上更好地控制IP信息包过滤和防火墙配置。Mugdha Vairagade将介绍netfilter/iptables系统、它是如何工作的、它的优点、安装和配置以及如何使用它来配置Linux系统上的防火墙以过滤IP信息包。
通过使用用户空间，可以构建自己的定制规则，这些规则存储在内核空间的信息包过滤表中。这些规则具有目标，它们告诉内核对来自某些源、前往某些目的地或具有某些协议类型的信息包做些什么。如果某个信息包与规则匹配，那么使用目标ACCEPT允许该信息包通过。还可以使用目标DROP或REJECT来阻塞并杀死信息包。对于可对信息包执行的其它操作，还有许多其它目标。
电子科技大学计算机科学与工程学院
标准实验报告
（实验）课程名称计算机系统与网络安全技术
电子科技大学教务处制表
电子科技大学
实验报告
学生姓名：学号：指导教师：
实验地点：实验时间：
一、实验室名称：计算机学院计算中心
二、实验项目名称：防火墙、入侵检测系统的安装、配置和使用
三、实验学时：4学时
四、实验原理：
防火墙、入侵检测系统的工作原理
注：PREROUTING链由指定信息包一到达防火墙就改变它们的规则所组成，而POSTROUTING链由指定正当信息包打算离开防火墙时改变它们的规则所组成。命令(command)
上面这条命令中具有强制性的command部分是iptables命令的最重要部分。它告诉iptables命令要做什么，例如，插入规则、将规则添加到链的末尾或删除规则。以下是最常用的一些命令：-A或--append：该命令将一条规则附加到链的末尾。
CONFIG_IP_NF_FILTER：这个选项提供一个基本的信息包过滤框架。如果打开这个选项，则会将一个基本过滤表（带有内置的INPUT、FORWARD和OUTPUT链）添加到内核空间。
CONFIG_IP_NF_TARGET_REJECT：这个选项允许指定：应该发送ICMP错误消息来响应已被DROP掉的入站信息包，而不是简单地杀死它们。
出于各种因素和原因，需要根据特定需求来配置防火墙。或许，最重要的原因是安全性。