基于Linux下防火墻的設(shè)計(jì)與實(shí)現(xiàn)

1、基于Linux下防火墻的設(shè)計(jì)與實(shí)現(xiàn)nux；netfilter/iptablesDesign and Realize The Firewall Based on Linux ZHOU Feng，WANG Yan，WANG Liang-liangAbstract: With the constant development of the application of computer network , the network security is more and more important. This paper discusses the key techniques of networ

2、k security and shows how to design a firewall based on Linux. Besides , it gives prospects for the development of future firewall.Keyword: network security；firewall；Linux隨著Internet、Intranet的發(fā)展,網(wǎng)絡(luò)安全已經(jīng)成為網(wǎng)絡(luò)系統(tǒng)最重要的一個(gè)方面,防火墻技術(shù)是網(wǎng)絡(luò)安全領(lǐng)域應(yīng)用較普遍的一種技術(shù),已經(jīng)越來(lái)越受到人們的廣泛關(guān)注.防火墻是一種非常有效的安全模型,是位于兩個(gè)網(wǎng)絡(luò)之間的屏障。Linux 是一種類UNIX的網(wǎng)絡(luò)操作

3、系n傳送的獨(dú)立數(shù)據(jù)包組成的。實(shí)質(zhì)上，它們"同意"相互之間的"連接"，并各自向發(fā)送者發(fā)出"應(yīng)答包"，讓發(fā)送者知道數(shù)據(jù)被接受。為了到達(dá)目的地，不論兩臺(tái)電腦在什么地方，每個(gè)數(shù)據(jù)包都必須包含一個(gè)目標(biāo)地址和端口號(hào)以及源主機(jī)的IP地址、端口號(hào)，以便接受者知道是誰(shuí)發(fā)出了這個(gè)包。一個(gè)IP地址總是指向Internet上的一臺(tái)單獨(dú)機(jī)器，而端口號(hào)則和機(jī)器上的某種服務(wù)或會(huì)話相關(guān)聯(lián)。也就是說(shuō)防火墻檢查每個(gè)到達(dá)你的電腦的數(shù)據(jù)包，那么，在這個(gè)包被你機(jī)器上運(yùn)行的任何軟件看到之前，防火墻有完全的否決權(quán)，可以禁止你的電腦接Internet上的任何東西。當(dāng)?shù)谝粋€(gè)請(qǐng)求建立連接的包被你的電腦回應(yīng)后，一個(gè)TCP/IP端口被打開(kāi)。如果不被受理，這個(gè)端口就不會(huì)連。防火墻的真正力量在于你選擇哪些包該攔截，哪些包該放行。每個(gè)到達(dá)的包都有正確IP發(fā)送地址，那么，基于源主機(jī)IP地址及端口號(hào)和目標(biāo)主機(jī)IP地址及端口號(hào)的一些組合，就可以"過(guò)濾"掉一些到n性能。需要說(shuō)明的是，防火墻僅是網(wǎng)絡(luò)安全整體方案的組成部分之一，還應(yīng)結(jié)合入侵檢測(cè)技術(shù)及其它網(wǎng)絡(luò)安全技術(shù)，一起構(gòu)成完整可靠的網(wǎng)絡(luò)安全解決方案。參考文獻(xiàn)：3 王震. 基于LINUX防火墻技術(shù)應(yīng)用. 丹東紡專學(xué)報(bào), 2004,(04)./*