IPTABLES在局域网建设中的应用

学界Ｉ　科技应用　研究与交流　Ｉ　ＰＴＡ　Ｂ　Ｌ　Ｅ　Ｓ在局域网建设中的应用　口翁健勇　一、引言　随着局域网／ｉｎｔｒａｎｅｔ规模的扩大，不少网络管理员发现服务资源如ＷＥＢ、ＥＭＡＩＬ、ＦＴＰ等面临越来越多的安全威胁，网络资　源如ＩＰ地址、带宽等也逐渐匮乏，加上计算机病毒的流行与ＢＴ下载等Ｐ２Ｐ软件的使用，网络变得不稳定且难以控制。这时候，　除了购买先进的硬件防火墙和流量控制设备、增加网络带宽外，还可以充分利用开源软件先锋ＬＩＮＵＸ操作系统中的ｉｐｔａｂｌｅｓ模　块与程序，为ｉｎｔｒａｎｅｔ增加软件防火墙、网络地址转换（ＮＡＴ）以及负载均衡等功能。实际使用表明，这是一种非常经济和有效的　解决办法。　二、实现　１、网络结构　网络结构示意图如下　图中，ＬＩＮＵＸ网关安装在一台具有两块网卡的ＰＣ机上，内网（ｉｎｔｒａｎｅｔ端）网卡地址为１９２．１６８．１．１，外网（ｉｎｔｅｒｎｅｔ端）网　卡地址为２１Ｏ．７５．５０．５，ＷＷＷ、ＥＭＡＩＬ等服务器连接在内网，但允许被互联网上开放授权的用户访问。由于分配给ｉｎｔｒａｎｅｔ的正　式ＩＰ地址只有一个，内网计算机必须通过地址转换来进行对外访问；同时必须在ＬＩＮＵＸ网关上配置防火墙，过滤由互联网进入　的非法数据包和入侵行为。　２、ＮＡＴ网络地址转换　正式ＩＰ地址是有限的资源，无法为内网每部主机都配置正式地址，这里需要通过ＬＩＮＵＸ网关中ｉｐｔａｂｌｅｓ的ＮＡＴ功能，使得　内网主机在访问互联网时，将其保留地址１９２．１６８．１．　转换为网关的正式ＩＰ　２１Ｏ．７５．５０．５，这个过程称为地址转换或地址伪装。　运用ｉｐｔａｂｌｅｓ实现ＮＡＴ的命令格式为：　・　ｉｐｔａｂｌｅｓ—Ａ　ＰＯＳＴＲ０ＵＴＩＮＧ－ｔ　ｎａｔ—ｓ　１９２．１６８．１．Ｏ／２５５．２５５．２５５．０－ｉ　ＳＮＡＴ一０　ｅｔｈ０一一ｔｏ—ｓｏｕｒｃｅ　２１０．７５．５０．５　其中，１９２．１６８．１．０／２５５　２５５．２５５．０代表内网主机所在地址段，２１Ｏ．７５．５０．５代表转换后的ＩＰ地址。实际应用中编写脚本如　！／ｂｉｎ／ｓｈ　＃启动内核的转发功能　ｅｃｈｏ　１＞／ｐｒｏｄｓｙｓ／ｎｅｔ／ｉｐｖ４／ｉｐ＿ｆｏｒｗａｒｄ　＃清空原有默认规则　广东科技２００６１０总第１６０期　维普资讯 http://www.cqvip.com

研究与交流　科技应用　Ｉ学界　ｉｐｔａｂｌｅｓ——Ｆ　＃复位数据包计数器　ｉｐｔａｂｌｅｓ－Ｚ　＃不允许未指定的数据转发　ｉｐｔａｂｌｅｓ—Ｐ　ＦＯＲＷＡＲＤ　ＤＲＯＰ　＃允许到内网主机的转发　ｉｐｔａｂｌｅｓ—Ａ　ＦＯＲＷＡＲＤ—ｉ　ｅｔｈ０一一ｄｓｔ　１９２．１　６８．１．０／２４－ｊ　ＡＣＣＥＰＴ　＃将内网地址１　９２．１　６８．１．０／２４转换为２１　Ｏ．７５．５Ｏ．５　ｉｐｔａｂｌｅｓ—Ａ　ＰＯＳＴＲＯＵＴＩＮＧ—ｔ　ｎａｔ—Ｓ　１　９２．１　６８．１．０／２４－ｊ　ＳＮＡＴ—Ｏ　ｅｔｈ０一一ｔｏ—ｓｏｕｒｃｅ　２１　Ｏ．７５．５Ｏ．５　执行该脚本后，所有内网主机都将以地址２１０．７５．５０．５对外访问，共用了同一个ＩＰ，但目前只实现了内网对互联网的访问，互　联网上的用户仍无法访问到内网中的服务器。为此，可在脚本中增加以下命令（假设内网主机’１９２．１６８．１．２为ＶＷＷＶ服务器）：　ｐｔａｂｌｅｓ—Ａ　ＰＯＳＴＲＯＵＴＩＮＧ－ｔ　ｎａｔ—ｓ　１９２．１６８．１．２／３２一Ｐ　ｔｃｐ一一ｓｐｏｒｔ　８０一ｊ　ＳＮＡＴ—Ｏ　ｅｔｈ０一一ｔｏ　－ｓｏｕｒｃｅ　２１０．７５．５０．５：８０　ｐｔａｂｌｅｓ—ｔ　ｎａｔ—Ａ　ＰＲＥＲＯＵＴＩＮＧ－ｉ　ｅｔｈ０－ｄ　２１　０．７５．５０．５／３２一Ｐ　ｔｃｐ一一ｄｐｏｒｔ　８０－－ｊ　ＤＮＡＴ一一ｔｏ　１　９２．１　６８．１．２：８０　以上命令通知网关的ＬＩＮＵＸ内核，将对ｌＰ地址２１Ｏ．７５．５Ｏ．５端１３　８０的访问映射为对内网地址１９２．１６８．１－２端１３　８０的访　问。此时，互联网上的用户也可以访问到内网里的ＷＷＷ服务器了，实现了互联网与内网两个方向的互访。　３、设定ｉｐｔａｂｌｅｓ软件防火墙　由于企业的业务数据均放置在ｉｎｔｒａｎｅｔ内，安全问题是关注的重点。网关不仅应过滤互联网对内网主机的非法访问与攻击，　还要对内网主机对网络的不恰当使用（如过多的ＢＴ下载）进行限制，同时网关要保护自身不受攻击。Ｉｐｔａｂｌｅｓ内置了ＩＮＰＵＴ、　ＯＵＴＰＵＴ、ＦＯＲＷＡＲＤ三条“链”，分管这三个方面的安全控制：ＩＮＰＵＴ链管理进入网关的数据包，ＯＵＴＰＵＴ链管理从网关发出　的数据包，ＦＯＲＷＡＲＤ链管理转发的数据包。以下为控制脚本中的部分命令：　＃配置ＩＮＰＵＴ链默认策略，未经允许的数据包不能进入网关　ｉｐｔａｂｌｅｓ－ｐ　ＩＮＰＵＴ　ＤＲＯＰ　＃配置ＦＯＲＷＡＲＤ链默认策略，未经允许的数据不能经网关转发　ｉｐｔａｂｌｅｓ－ｐ　ＦＯＲＷＡＲＤ　ＤＲＯＰ　＃允许ＩＰ为１９２．１６８．１．８的管理员对网关进行操作：　ｉｐｔａｂｌｅｓ—Ａ　ＩＮＰＵＴ一一ｓｒｃ　１９２．１６８．１．８－ｊ　ＡＣＣＥＰＴ　释允许内网地址段为１９２．１６８．１．　的主机经网关访问互联网　ｉｐｔａｂｌｅｓ—Ａ　ＦＯＲＷＡＲＤ—ｉ　ｅｔｈｌ一一ＳＦＣ　１　９２．１　６８．１．Ｑ／２４一ｉ　ＡＣＣＥＦ叮　ｉｐｔａｂｌｅｓ—Ａ　ＦＯＲＷＡＲＤ一一ｄｓｔ　１９２．１６８．１．０／２４－ｊ　ＡＣＣＥＰＴ　＃内网每部主机对外访问的连接数不能超过３Ｏ　ｉｐｔａｂｌｅｓ—Ａ　ＦＯＲＷＡＲＤ—Ｐ　ｔｃｐ…ｓｙｎ　ｍ　ｃｏｎｎｌｉｍｉｔ一一ｃｏｎｎｌｉｍｉｔ—ａｂｏｖｅ　３０－ｊ　ＲＥＪＥＣＴ　Ｉｐｔａｂｌｅｓ除了根据地址及端１３对数据包进行过滤外，还能加载很多实用模块实现复杂的功能。如ＰＳＤ模块可侦测并过滤端　３１扫描行为，ＬＩＭＩＴ模块可控制单位时间内的数据包数量，ＴＯＳ模块可设置或改变流经网关的数据包的服务类型，等等。应用　ｉｐｔａｂｌｅｓ还可以构建出支持连接状态的防火墙，其功能相比专业的硬件设备毫不逊色。实际应用中的ｉｐｔａｂｌｅｓ脚本可能比较简　单，但也可以配置得非常复杂，完全根据ｉｎｔｒａｎｅｔ的实际需要而定。　三、总结　ＬＩＮＵＸ操作系统从２Ｉ４版内核起集成了ｉｐｔａｂｌｅｓ功能，由于ＬＩＮＵＸ的所有源代码均可免费获取，且世界上无数开发高手每　天都在完善和添加新的功能，ｉｐｔａｂｌｅｓ具有良好的应用前景。ＬＩＮＵＸ运行在最常见和廉价的Ｘ８６计算机上，使ｉｐｔａｂｌｅｓ的应用成　本十分低廉，因而深受ｉｎｔｒａｎｅｔ管理者的欢迎。本文介绍的ｉｐｔａｂｌｅｓ功能模块已配置在于广东金科网的多个局域网环境内，运行　稳定高效，取得了理想的效果。■　４７　广东科技２００６．１０总嘉１６０期