一、简介

二、术语

三、TCP/IP 回顾

参考已撰写的文章

四、什么是IP过滤

IPtables是一个IP过滤器，主要作用在TCP/IP协议栈的第二层(IP层），当然它也在第3层起作用。如果IP过滤器严格按照定义来设计，那它就只能过滤带有IP报文头的数据包(Source and Destination address, TOS/DSCP/ECN, TTL, Protocol, etc. IP报文头的内容)。然后IPtables并没有完全按照这一协议来设计，所以它也可以过滤其下一层(TCP\UDP)和上一层(MAC)数据包。

IPtables不跟随数据流或将数据混合，因为这样太耗处理器和内存性能。它通过追踪数据包判断他们是不是同一个数据流，这被称为连接跟踪，正因为如此，我们可以做诸如目的和源网络地址转换(通常称为DNAT和SNAT)，以及数据包的状态匹配等事情。另外一个原因是网络上有代理，代理一般会负责审核数据流的内容、文件和页面等

网络代理：代理的开发是为了处理更高层次的流量，因此可以更好地满足这些需求。最初开发代理是为了处理下载和经常使用的页面，并帮助您充分利用缓慢的互联网连接。例如，Squid是一个webproxy。想要下载页面的人发送请求，代理要么抓取请求，要么接收请求并打开到web浏览器的连接，然后连接到web服务器并下载文件，当它下载了文件或页面后，它将其发送给客户端。现在，如果第二个浏览器想再次读取相同的页面，文件或页面已经下载到代理，可以直接发送，为我们节省带宽。
1

对于上面的固有问题，其实也有相关补丁可用http://l7-filter.sourceforge.net/。它可以用于匹配很多七层协议，但主要是与QoS和流量统计一起使用，尽管它也可以用于纯过滤。l7-filter仍然是实验性的，并在内核和netfilter核心团队之外开发，因此我们在这儿不做深入探讨。

4.1 IP过滤相关术语

4.2 如何规划一个IP过滤器

IP过滤设计，首先肯定要考虑的当然是防火墙的位置，防火墙的位置需要慎重考虑，因为我们的网络需要被分割的恰当好处。防火墙的位置首选位置应该是局域网和因特网之间的网关，这个地方的安全措施要相当严密，同时，对于大型网络，通过防火墙将不同的部门分成彼此分开的网络会得到更好的效果(比如开发团队、人力资源团队、财务团队)。所以，IP过滤的第一条规则就是要各个子网络之间彼此隔离

另外一个好办法，在网络中创建一个非军事化区(De-Militarized Zone)，防止我们的服务器可以通过因特网连接到它。DMZ是一个带有物理服务器的小型网络，处于深度关闭的状态，这样就减少了任何人进入DMZ中的计算机的风险，也减少了任何人实际进入并从外部下载任何木马等的风险。为什么叫“非军事化区域”因为内外都可以到达，是一种灰色地带(DMZ)

有两种方法可以在防火墙中设置策略和默认行为，本节将讨论在实际开始实施防火墙之前应该考虑的实际理论，并帮助我们最大限度的全面考虑。

我们通常使用两种基本策略。要么我们放弃除我们指定的以外的一切，要么我们接受除我们特别指定的以外的一切。大多数时候，我们最感兴趣的是删除策略，然后接受我们想要特定允许的一切。这意味着防火墙在默认情况下更安全，但也可能意味着您需要做更多的工作才能使防火墙正常运行。

我们要做的第一个决定是简单地确定应该使用哪种类型的防火墙。安全问题有多大?什么样的应用程序必须能够通过防火墙?某些应用程序对防火墙来说是可怕的，原因很简单，它们协商在控制会话中用于数据流的端口。这使得防火墙很难知道开放哪些端口。iptables可以支持很多常用的应用程序，但还是有少数应用程序不支持。也有一些应用程序是部分工作的，比如ICQ。正常的ICQ使用很好，但聊天或文件发送功能不行，因为它们需要特定的代码来处理协议。由于ICQ协议不是标准化的(它们是专有的，随时都可以更改)，大多数IP过滤器要么选择将ICQ协议处理程序排除在外，要么选择作为可以应用于防火墙的补丁。Iptables选择将它们作为单独的补丁。

除了防火墙措施，应用分层安全措施也可以是一个好多网络安全举措，即应该同时使用尽可能多的安全措施，不要依赖于任何单一的安全概念。将此作为您的安全的基本概念将使安全性至少提高十倍。举个例子，我们来看看这个。

上图示例中，选择在所有三个网络连接的外围放置Cisco PIX防火墙。它可以对内部局域网进行NAT，也可以对DMZ进行NAT(如果需要的话)。它还可以阻止除http返回流量以及ftp和ssh流量之外的所有传出流量。它可以允许来自局域网和Internet的http流量，以及来自局域网的ftp和ssh流量。在此基础上，我们注意到每个web服务器都基于Linux，因此可以在每台机器上抛出iptables和netfilter，并在这些机器上添加相同的基本策略。这样，如果有人设法破坏了Cisco PIX，我们仍然可以依赖每台机器上本地的netfilter防火墙，反之亦然，这就是所谓的分层安全。

在此基础上，我们可以在每台机器上添加Snort。Snort是一个优秀的开源网络入侵检测系统(NIDS)，它在看到的信息包中寻找签名，如果发现某种攻击或入侵的签名，它可以通过电子邮件通知管理员，甚至对攻击做出积极响应，比如阻止发起攻击的IP。需要注意的是，不应该轻易使用主动响应，因为snort有报告大量误报的不良行为(例如，报告的攻击并不是真正的攻击)。

在网络服务器前设置代理也是个好办法，代理可以捕捉一些坏的数据包，这样就提前阻止坏的数据包连接到整个网络。通过一个网络代理，我们可以减少员工使用的网络流量，以及在某种程度上限制他们的网络流量。至于一个webproxy到你自己的网络服务器，你可以用它来阻止一些最明显的连接。市面上好用的网络代理有：Squid。

另一个预防措施是安装Tripwire。这是一种优秀的最后一道防线类型的应用，它通常被认为是一个主机入侵检测系统。它所做的是对配置文件中指定的所有文件进行校验和，然后偶尔从cron运行它，以查看所有指定的文件与以前相同，或者没有以非法的方式更改。换句话说，这个程序将能够发现是否有人真的能够通过并篡改系统。建议在所有的网络服务器上运行这个。

最后要注意的一点是，正如我们所知，遵循标准总是一件好事。正如您在ICQ示例中已经看到的，如果您不使用标准化的系统，事情可能会变得非常糟糕。对于您自己的环境，在某种程度上可以忽略这一点，但是如果您运行的是宽带服务或调制解调器池，那么这一点就变得更加重要了。通过您连接的用户必须始终能够依赖于您的标准化，并且您不能期望每个人都运行您选择的特定操作系统。有些人想要运行Windows，有些人想要运行Linux，甚至是VMS等等。如果您将安全性建立在专有系统上，就会遇到一些麻烦。

参考

1.iptalbes官方教程