linux包過濾防火牆

Ⅰ 急求！！！！LINUX中的防火牆技術中的包過濾技術中的包過濾原則是什麼

丟棄不安全或被排除的數據包，不允許特定的IP訪問特定的IP段

Ⅱ 關於Linux防火牆的包過濾功能設置（filter表）

iptables
你可以查看iptables -help
iptables -L查看當前規則
iptables -F清空。
很多
看你具體是要干什麼了。

Ⅲ LINUX設置包過濾防火牆

iptables -A INPUT -p tcp -s B機的源ip地址 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s B機的ip地址 --dport 25 -j ACCEPT
iptables -A INPUT -p tcp -s B機的ip地址 --dport 110 -j ACCEPT
iptables -A INPUT -p tcp -s C機的ip地址 --dport 80 -j ACCEPT
iptables -A INPUT -p tcp -s C機的ip地址 --dport 23 -j ACCEPT
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 20 -j AACEPT
iptables -A INPUT -p tcp -s 192.168.1.0/24 --dport 21 -j AACEPT
iptables -A INPUT -p udp -s 192.168.1.0/24 --dport 53 -j AACEPT
iptables -P INPUT DROP

保存成文件就可以了

Ⅳ 包過濾防火牆

1.1 包過濾防火牆的一般概念
1.1.1 什麼是包過濾防火牆
包過濾防火牆是用一個軟體查看所流經的數據包的包頭（header），由此決定整個包的命運。它可能會決定丟棄（DROP）這個包，可能會接受（ACCEPT）這個包（讓這個包通過），也可能執行其它更復雜的動作。
在Linux系統下,包過濾功能是內建於核心的（作為一個核心模塊，或者直接內建），同時還有一些可以運用於數據包之上的技巧，不過最常用的依然是查看包頭以決定包的命運。
包過濾防火牆將對每一個接收到的包做出允許或拒絕的決定。具體地講，它針對每一個數據報的報頭，按照包過濾規則進行判定，與規則相匹配的包依據路由信息繼續轉發，否則就丟棄。包過濾是在IP層實現的，包過濾根據數據包的源IP地址、目的IP地址、協議類型（TCP包、UDP包、ICMP包）、源埠、目的埠等報頭信息及數據包傳輸方向等信息來判斷是否允許數據包通過。
包過濾也包括與服務相關的過濾，這是指基於特定的服務進行包過濾，由於絕大多數服務的監聽都駐留在特定TCP/UDP埠，因此，為阻斷所有進入特定服務的鏈接，防火牆只需將所有包含特定TCP/UDP目的埠的包丟棄即可。
1.1.2 包過濾防火牆的工作層次
包過濾是一種內置於Linux內核路由功能之上的防火牆類型，其防火牆工作在網路層。
1.1.3 包過濾防火牆的工作原理
（1）使用過濾器。數據包過濾用在內部主機和外部主機之間， 過濾系統是一台路由器或是一台主機。過濾系統根據過濾規則來決定是否讓數據包通過。用於過濾數據包的路由器被稱為過濾路由器。
數據包過濾是通過對數據包的IP頭和TCP頭或UDP頭的檢查來實現的，主要信息有：
* IP源地址
* IP目標地址
* 協議（TCP包、UDP包和ICMP包）
* TCP或UDP包的源埠
* TCP或UDP包的目標埠
* ICMP消息類型
* TCP包頭中的ACK位
* 數據包到達的埠
* 數據包出去的埠
在TCP/IP中，存在著一些標準的服務埠號，例如，HTTP的埠號為80。通過屏蔽特定的埠可以禁止特定的服務。包過濾系統可以阻塞內部主機和外部主機或另外一個網路之間的連接，例如，可以阻塞一些被視為是有敵意的或不可信的主機或網路連接到內部網路中。
（2）過濾器的實現。數據包過濾一般使用過濾路由器來實現，這種路由器與普通的路由器有所不同。
普通的路由器只檢查數據包的目標地址，並選擇一個達到目的地址的最佳路徑。它處理數據包是以目標地址為基礎的，存在著兩種可能性：若路由器可以找到一個路徑到達目標地址則發送出去；若路由器不知道如何發送數據包則通知數據包的發送者「數據包不可達」。
過濾路由器會更加仔細地檢查數據包，除了決定是否有到達目標地址的路徑外，還要決定是否應該發送數據包。「應該與否」是由路由器的過濾策略決定並強行執行的。
路由器的過濾策略主要有：
* 拒絕來自某主機或某網段的所有連接。
* 允許來自某主機或某網段的所有連接。
* 拒絕來自某主機或某網段的指定埠的連接。
* 允許來自某主機或某網段的指定埠的連接。
* 拒絕本地主機或本地網路與其它主機或其它網路的所有連接。
* 允許本地主機或本地網路與其它主機或其它網路的所有連接。
* 拒絕本地主機或本地網路與其它主機或其它網路的指定埠的連接。
* 允許本地主機或本地網路與其它主機或其它網路的指定埠的連接。
1.1.4 包過濾器操作的基本過程
下面做個簡單的敘述：
（1）包過濾規則必須被包過濾設備埠存儲起來。
（2）當包到達埠時，對包報頭進行語法分析。大多數包過濾設備只檢查IP、TCP、或UDP報頭中的欄位。
（3）包過濾規則以特殊的方式存儲。應用於包的規則的順序與包過濾器規則存儲順序必須相同。
（4）若一條規則阻止包傳輸或接收，則此包便不被允許。
（5）若一條規則允許包傳輸或接收，則此包便可以被繼續處理。
（6）若包不滿足任何一條規則，則此包便被阻塞。
1.1.5 包過濾技術的優缺點
（1）優點：
→對於一個小型的、不太復雜的站點，包過濾比較容易實現。
→因為過濾路由器工作在IP層和TCP層，所以處理包的速度比代理伺服器快。
→過濾路由器為用戶提供了一種透明的服務，用戶不需要改變客戶端的任何應用程序，也不需要用戶學習任何新的東西。因為過濾路由器工作在IP層和TCP層，而IP層和TCP層與應用層的問題毫不相關。所以，過濾路由器有時也被稱為「包過濾網關」或「透明網關」，之所被稱為網關，是因為包過濾路由器和傳統路由器不同，它涉及到了傳輸層。
→過濾路由器在價格上一般比代理伺服器便宜。
（2）缺點：
→一些包過濾網關不支持有效的用戶認證。
→規則表很快會變得很大而且復雜，規則很難測試。隨著表的增大和復雜性的增加，規則結構出現漏洞的可能 性也會增加。
→這種防火牆最大的缺陷是它依賴一個單一的部件來保護系統。如果這個部件出現了問題，會使得網路大門敞開，而用戶其至可能還不知道。
→在一般情況下，如果外部用戶被允許訪問內部主機，則它就可以訪問內部網上的任何主機。
→包過濾防火牆只能阻止一種類型的IP欺騙，即外部主機偽裝內部主機的IP，對於外部主機偽裝外部主機的IP欺騙卻不可能阻止，而且它不能防止DNS欺騙。
雖然，包過濾防火牆有如上所述的缺點，但是在管理良好的小規模網路上，它能夠正常的發揮其作用。一般情況下，人們不單獨使用包過濾網關，而是將它和其他設備（如堡壘主機等）聯合使用。
包過濾的工作是通過查看數據包的源地址、目的地址或埠來實現的，一般來說，它不保持前後連接信息，過濾決定是根據 當前數據包的內容來做的。管理員可以做一個可接受機和服務的列表，以及一個不可接受機和服務的列表。在主機和網路一級，利用數據包過濾很容易實現允許或禁止訪問。
由此不難看出這個層次的防火牆的優點和弱點，由於防火牆只是工作在OSI的第三層（網路層）和第四層（傳輸層），因此包過濾的防火牆的一個非常明顯的優勢就是速度，這是因為防火牆只是去檢查數據報的報頭，而對數據報所攜帶的內容沒有任何形勢的檢查，因此速度非常快。與此同時，這種防火牆的缺點也是顯而易見的，比較關鍵的幾點如下所述。
（1）由於無法對數據報的內容進行核查，一次無法過濾或審核數據報的內容
體現這一問題的一個很簡單的例子就是：對某個埠的開放意味著相應埠對應的服務所能夠提供的全部功能都被開放，即使通過防火牆的數據報有攻擊性，也無法進行控制和阻斷。例如在一個簡單的Web伺服器，而包過濾的防火牆無法對數據報內容進行核查。因此，未打相應補丁的提供Web服務的系統，及時在防火牆的屏蔽之後，也會被攻擊著輕易獲取超級用戶的許可權。
（2）由於此種類型的防火牆工作在較低層次，防火牆本身所能接觸道德信息較少，所以它無法提供描述細致事件的日誌系統。
此類防火牆生成的日誌常常只是包括數據報捕獲的時間、網路層的IP地址、傳輸層的埠等非常原始的信息。至於這個數據報內容是什麼，防火牆不會理會，而這對安全管理員而言恰恰是很關鍵的。因為及時一個非常優秀的系統管理員，一旦陷入大量的通過/屏蔽的原始數據包信息中，往往也是難以理清頭緒，這在發生安全事件時給管理員的安全審計帶來很大的困難。
（3）所有可能用到的埠（尤其是大於1024的埠）都必須開放，對外界暴露，從而極大地增加了被攻擊的可能性
通常對於網路上所有服務所需要的數據包進出防火牆的二埠都要仔細考慮，否則會產生意想不到的情況。然而我們知道，當被防火牆保護的設備與外界通信時，絕大多數應用要求發出請求的系統本身提供一個埠，用來接收外界返回的數據包，而且這個埠一般是在1024到65536之間不確定的，如果不開發那個這些埠，通信將無法完成，這樣就需要開發那個1024以上的全部埠，允許這些埠的數據包進出。而這就帶來非常大的安全隱患。例如：用戶網中有一台UNIX伺服器，對內部用戶開放了RPC服務，而這個服務是共做在高埠的，那麼這台伺服器非常容易遭到基於RPC應用的攻擊。
（4）如果網路結構比較復雜，那麼對管理員而言配置訪問控制規則將非常困難
當網路發展到一定規模時，在路由器上配置訪問控制規則將會非常繁瑣，在一個規則甚至一個地址處出現錯誤都有可能導致整個訪問控制列表無法正常使用。

Ⅳ 如何使用 linux hook技術編寫包過濾防火牆

第二節來 DMI指標的一般研判標源准 DMI指標是威爾德大師認為比較有成就和實用的一套技術分析工具。雖然其計算 過程比較煩瑣，但技術分析軟體的運用可以使投資者省去復雜的計算過程，專心 於掌握指標所揭示的真正含義、領悟其研判行情的獨到的功能。 ...

Ⅵ Linux系統包過濾防火牆的應用於實現 畢業論文 急！！！

100分太少了吧。。
淘寶上有專門做畢業論文的 你上去搜搜

Ⅶ 本科畢業論文寫基於linux的包過濾防火牆的設計與實現能行嗎

如果這個要基於編程應該比較難，至少你要熟悉網路協議包結構

Ⅷ linux的防火牆有什麼作用

linux防火牆作用一：

一、防火牆的基本模型

基於TCP/IP協議簇的Internet網際互聯完全依賴於網路層以上的協議棧(網路層的IP協議、傳輸控制協議TCP/UDP協議和應用層協議)。考慮到網路防火牆是為了保持網路連通性而設立的安全機制，因此防火牆技術就是通過分析、控制網路以上層協議特徵，實現被保護網路所需安全策略的技術。構建防火牆有三類基本模型：即應用代理網關、電路級網關(Circuit Level Gateway)和網路層防火牆。

二、不應該過濾的包

在開始過濾某些不想要的包之前要注意以下內容：

ICMP包

ICMP

包可用於檢測TCP/IP失敗的情形。如果阻擋這些包將導致不能得「Host unreachable」或「No route to host」等信息。ICMP包還用於MTU發現，某些TCP實現使用了MTU發現來決定是否進行分段。MTU發現通過發送設置了不進行分段的位的包探測，

當得到的ICMP應答表示需要分段時，再發送較小的包。如果得不到ICMP包(「destination unreachable」類型的包)，則本地主機不減少MTU大小，這將導致測試無法停止或網路性能下降。 到DNS的TCP連接

如果要攔阻出去的TCP連接，那麼要記住DNS不總是使用UDP。如果從DNS伺服器過來的回答超過512位元組，客戶端將使用TCP連接，並仍使用埠53接收數據。若禁止了TCP連接，DNS大多數情況下會正常工作，但可能會有奇怪的延時故障出現。

如果內部網路的DNS查詢總是指向某個固定的外部DNS伺服器，可以允許本地域埠到該伺服器的域埠連接。

主動式FTP的TCP連接

FTP有兩種運作方式，即傳統的主動式(active)方式和目前流行的被動式(passive)方式。在主動式FTP模式下，FTP 伺服器發送文件或應答LS命令時，主動和客戶端建立TCP連接。如果這些TCP連接被過濾，則主動方式的FTP將被中斷。如果使用被動方式，則過濾遠地的TCP連接沒有問題。因為數據連接是從客戶端到伺服器進行的(包括雙向的數據)。

三、針對可能的網路攻擊

防火牆的性能是否優良關鍵在於其配置能否防護來自外界的各種網路攻擊。這要求網路管理者能針對可能的網路攻擊特點設定完善的安全策略。以網路常見的「ping of death」攻擊為例，「ping of death」攻擊通過發送一個非法的大ICMP包使接收者的TCP堆棧溢出從而引起混亂。針對這種攻擊可將防火牆配置為阻擋ICMP分段。因為普通的

ICMP包大都不需要到分段的程度，阻擋ICMP分段只攔阻大的「ping」包。 這種防護策略也可用於針對其他協議安全缺陷的網路攻擊。

linux防火牆作用二：

它可通過監測、限制、更改跨越防火牆的數據流，盡可能地對外部屏蔽網路內部的信息、結構和運行狀況， 以此來實現網路的安全保護。

在邏輯上，防火牆是一個分離器，一個限制器，也是一個分析器，有效地監控了內部網和Internet之間的任何活動， 保證了內部網路的安全。

2.使用Firewall的益處

保護脆弱的服務

通過過濾不安全的服務，Firewall可以極大地提高網路安全和減少子網中主機的風險。例如， Firewall可以禁止NIS、NFS服務通過，Firewall同時可以拒絕源路由和ICMP重定向封包。

控制對系統的訪問

Firewall可以提供對系統的訪問控制。如允許從外部訪問某些主機，同時禁止訪問另外的主機。例如， Firewall允許外部訪問特定的Mail Server和Web Server。

集中的安全管理

Firewall對企業內部網實現集中的安全管理，在Firewall定義的安全規則可以運行於整個內部網路系統， 而無須在內部網每台機器上分別設立安全策略。Firewall可以定義不同的認證方法， 而不需要在每台機器上分別安裝特定的認證軟體。外部用戶也只需要經過一次認證即可訪問內部網。

增強的保密性

使用Firewall可以阻止攻擊者獲取攻擊網路系統的有用信息，如Figer和DNS。

記錄和統計網路利用數據以及非法使用數據

Firewall可以記錄和統計通過Firewall的網路通訊，提供關於網路使用的統計數據，並且，Firewall可以提供統計數據， 來判斷可能的攻擊和探測。

策略執行Firewall提供了制定和執行網路安全策略的手段。未設置Firewall時，網路安全取決於每台主機的用戶。

3.防火牆的種類

防火牆總體上分為包過濾、應用級網關和代理伺服器等幾大類型。

數 據 包 過 濾

數據包過濾(Packet Filtering)技術是在網路層對數據包進行選擇，選擇的依據是系統內設置的過濾邏輯， 被稱為訪問控製表(Access Control Table)。通過檢查數據流中每個數據包的源地址、目的地址、所用的埠號、 協議狀態等因素，或它們的組合來確定是否允許該數據包通過。 數據包過濾防火牆邏輯簡單，價格便宜，易於安裝和使用， 網路性能和透明性好，它通常安裝在路由器上。路由器是內部網路與Internet連接必不可少的設備， 因此在原有網路上增加這樣的防火牆幾乎不需要任何額外的費用。

數據包過濾防火牆的缺點有二：一是非法訪問一旦突破防火牆，即可對主機上的軟體和配置漏洞進行攻擊; 二是數據包的源地址、目的地址以及IP的埠號都在數據包的頭部，很有可能被竊聽或假冒。

應 用 級 網 關

應用級網關(Application Level Gateways)是在網路應用層上建立協議過濾和轉發功能。 它針對特定的網路應用服務協議使用指定的數據過濾邏輯，並在過濾的同時，對數據包進行必要的分析、 登記和統計，形成報告。實際中的應用網關通常安裝在專用工作站系統上。

數據包過濾和應用網關防火牆有一個共同的特點，就是它們僅僅依靠特定的邏輯判定是否允許數據包通過。 一旦滿足邏輯，則防火牆內外的計算機系統建立直接聯系， 防火牆外部的用戶便有可能直接了解防火牆內部的網路結構和運行狀態，這有利於實施非法訪問和攻擊。

代理服務(Proxy Service)也稱鏈路級網關或TCP通道(Circuit Level Gateways or TCP Tunnels)， 也有人將它歸於應用級網關一類。它是針對數據包過濾和應用網關技術存在的缺點而引入的防火牆技術， 其特點是將所有跨越防火牆的網路通信鏈路分為兩段。防火牆內外計算機系統間應用層的 鏈接， 由兩個終止代理伺服器上的 鏈接來實現，外部計算機的網路鏈路只能到達代理伺服器， 從而起到了隔離防火牆內外計算機系統的作用。

linux防火牆作用三：

windows防火牆是一項協助確保信息安全的設備，會依照特定的規則，允許或是限制傳輸的數據通過。

具體作用如下：

1、防止來自網路上的惡意攻擊;

2、阻止外來程序連接計算機埠;

3、對電腦進行防護，防止木馬入侵或其它黑客軟體、程序運行『

4、阻止本地程序通過計算機埠，向外並發信息;

Ⅸ linux防火牆設置 mac 過濾

我想樓主的理抄解有誤，IP 包中只包襲含了一個源 MAC (source MAC) 和一個目的地 MAC (dest MAC)，不存在操作系統 MAC 這個說法。至於要過濾 MAC，linux 下的 netfilter 模塊搭配用戶模式下的 iptables 應用可以達到這個效果。比如：
iptables -A FORWARD -m mac --mac-source 00:17:31:BB:C5:DE -j ACCEPT
就是在轉發鏈當中允許對匹配該源 MAC 的 IP 包進行轉發。
具體的可以在終端界面中輸入：man 8 iptables 查詢用戶手冊。

Ⅹ 急!請教:Linux狀態包過濾防火牆與Linux包過濾防火牆有何主要區別

你在規則中加入-m state 就是狀態防火牆了,沒有就不是啦
區別在於是否可以區分連接狀態