实验三网络服务的安装与配置

第一篇：实验三网络服务的安装与配置

北京理工大学珠海学院实验报告

ZHUHAI CAMPAUS OF BEIJING INSTITUTE OF TECHNOLOGY 班级：网络2班 学号：120205021 姓名： 指导教师：高树风 成绩 实验题目：网络服务的安装与配置

实验时间：2013.11.22

第一部分、实验目的

1．了解并掌握DNS和IIS的安装方法。

2．掌握DNS和IIS的基本配置方法以及验证DNS、IIS的方法。

第二部分、实验环境

1．操作系统：Windows XP

2．所需软件：Windows XP操作系统光盘内容已复制到E盘下“Windows XP”文件夹下，安装DNS和IIS服务所需文件（192.dns、boot、cache.dns、dns.exe、dnsmgr.dll、dnsperf.dll、dnsperf.h、dnsperf.ini、netdns.inf、place.dns）已拷贝到E盘“配置dns和iis所需文件”文件夹下。

3．实验分组：两名同学一组，安装和配置DNS和IIS，在客户端进行验证，然后一起观察验证结果。

第三部分、实验内容

1．安装并配置DNS服务器和IIS。

2．配置www.xiexiebang.components] NetOC;Top level option NetServices FileAndPrint SNMP

DNS 3．打开控制面板----添加或删除程序----添加/删除Windows组件，选择“Internet信息服务（IIS）”，再单击下面的“详细信息”选择文件传输协议（FTP）服务。

4．选择DNS服务：在“Windows组件向导”窗口，选择“网络服务”，再点击下面的“详细信息”，在弹出的“网络服务”窗口中只选择“域名系统”，其他不选。然后点“确定”，返回到“Windows组件向导”窗口。

5．在“Windows组件向导”窗口点“下一步”，出现下面右侧窗口，点击“浏览”，在E盘下 “Windows XP”文件夹下，在安装DNS和IIS服务文件中找到dns.exe。点确定。

6.安装IIS，（所需文件在自建的目录以及Windows XP的I386目录下可以找到）

7.禁用其他的虚拟网，把DNS改成IP。

二.配置DNS

1．在“控制面板----管理工具”中打开“DNS”。

2．右键单击“正向搜索区域”，在出现的菜单中点“新建区域”。3．出现新建区域导向，点下一步。

4．默认选择“标准主要区域”，点下一步，出现对话框，在名称处输入“com”，点下一步，再点下一步，出现完成窗口，点击完成即可。

4．在“com”处单击右键，出现菜单，选择“新建域”，在名称处输入“jsj”，确定后，在“jsj”处点右键，选新建主机，输入“net”和IP地址处输入10.0.149.190“当前使用的计算机的IP地址”。点“添加主机”, 单击完成退出。

5．为该主机添加两个别名（www.xiexiebang.com、ping www.xiexiebang.com和ftp.jsj.com，返回信息如下图，则表示配置正确。至此完成了dns的初步配置。

三、配制www.xiexiebang.com回车后，出现如下图所示。则www.xiexiebang.com”，出现让说：“要想知道内容请在文件中打开！”打开后看见我从windows里复制的文件！ftp服务器安装配置完成。

第五部分、结论

通过这次实验，整理并总结架设www.xiexiebang.com命令，说明DNS的作用。答：把域名转换成为网络可以识别的ip地址。2．如何控制FTP服务器的读写功能？

答：设置用户目录访问的时候有只读/读写等权限选择！

新建完成后如上图所示，接着按照相同的步骤新建另一个别名，完成后如下图所示。7

第五部分、结论

此实验比较简单，几分钟就完成实验。细节是在导线排序的时候要认真，不要搞错了！第六部分、思考

1，两台计算机通过五类双绞线直接连接，双绞线两端应分别使用什么标准？

答：应该用交叉线T568A的标准

2，两台计算机通过交换机直接连接，双绞线两端应分别使用什么标准？

答：应该用平行线T568B的标准

第二篇：实验三 防火墙的配置

实验三 防火墙的配置

 实验目的

1、了解防火墙的含义与作用

2、学习防火墙的基本配置方法

3、理解iptables工作机理

4、熟练掌握iptables包过滤命令及规则

5、学会利用iptables对网络事件进行审计

6、熟练掌握iptables NAT工作原理及实现流程

7、学会利用iptables+squid实现web应用代理

 实验原理

 防火墙的基本原理

一．什么是防火墙

在古代，人们已经想到在寓所之间砌起一道砖墙，一旦火灾发生，它能够防止火势蔓延到别的寓所，于是有了“防火墙”的概念。

进入信息时代后，防火墙又被赋予了一个类似但又全新的含义。防火墙是指设置在不同网络(如可信任的企业内部网和不可信的公共网)或网络安全域之间的一系列部件的组合。它是不同网络或网络安全域之间信息的唯一出入口，能根据企业的安全政策控制(允许、拒绝、监测)出入网络的信息流，且本身具有较强的抗攻击能力。它是提供信息安全服务，实现网络和信息安全的基础设施。在逻辑上，防火墙是一个分离器，一个限制器，也是一个分析器，有效地监控了内部网和Internet之间的任何活动，保证了内部网络的安全。

二．防火墙能做什么 1．防火墙是网络安全的屏障

一个防火墙(作为阻塞点、控制点)能极大地提高一个内部网络的安全性，并通过过滤不安全的服务而降低风险。由于只有经过精心选择的应用协议才能通过防火墙，所以网络环境变得更安全。如防火墙可以禁止诸如众所周知的不安全的NFS协议进出受保护网络，这样外部的攻击者就不可能利用这些脆弱的协议来攻击内部网络。防火墙同时可以保护网络免受基于路由的攻击，如IP选项中的源路由攻击和ICMP重定向中的重定向路径。防火墙应该可以拒绝所有以上类型攻击的报文并通知防火墙管理员。

2．防火墙可以强化网络安全策略

通过以防火墙为中心的安全方案配置，能将所有安全软件(如口令、加密、身份认证、审计等)配置在防火墙上。与将网络安全问题分散到各个主机上相比，防火墙的集中安全管理更经济。例如在网络访问时，一次一密口令系统和其它的身份认证系统完全可以不必分散在各个主机上，而集中在防火墙一身上。

3．对网络存取和访问进行监控审计

如果所有的访问都经过防火墙，那么，防火墙就能记录下这些访问并作出日志记录，同时也能提供网络使用情况的统计数据。当发生可疑动作时，防火墙能进行适当的报警，并提供网络是否受到监测和攻击的详细信息。另外，收集一个网络的使用和误用情况也是非常重要的。首先的理由是可以清楚防火墙是否能够抵挡攻击者的探测和攻击，并且清楚防火墙的控制是否充足。而网络使用统计对网络需求分析和威胁分析等而言也是非常重要的。

4．防止内部信息的外泄

通过利用防火墙对内部网络的划分，可实现内部网重点网段的隔离，从而限制了局部重点或敏感网络安全问题对全局网络造成的影响。再者，隐私是内部网络非常关心的问题，一个内部网络中不引人注意的细节可能包含了有关安全的线索而引起外部攻击者的兴趣，甚至因此而暴漏了内部网络的某些安全漏洞。使用防火墙就可以隐蔽那些透漏内部细节如Finger，DNS等服务。Finger显示了主机的所有用户的注册名、真名，最后登录时间和使用shell类型等。但是Finger显示的信息非常容易被攻击者所获悉。攻击者可以知道一个系统使用的频繁程度，这个系统是否有用户正在连线上网，这个系统是否在被攻击时引起注意等等。防火墙可以同样阻塞有关内部网络中的DNS信息，这样一台主机的域名和IP地址就不会被外界所了解。

除了安全作用，防火墙还支持具有Internet服务特性的企业内部网络技术体系VPN。通过VPN，将企事业单位在地域上分布在全世界各地的LAN或专用子网，有机地联成一个整体。不仅省去了专用通信线路，而且为信息共享提供了技术保障。

三．NAT NAT英文全称是“Network Address Translation”，中文意思是“网络地址转换”，它是一个IETF(Internet Engineering Task Force, Internet工程任务组)标准，允许一个整体机构以一个公用IP（Internet Protocol）地址出现在Internet上。顾名思义，它是一种把内部私有网络地址（IP地址）翻译成合法网络IP地址的技术。

简单的说，NAT就是在局域网内部网络中使用内部地址，而当内部节点要与外部网络进行通讯时，就在网关（可以理解为出口，打个比方就像院子的门一样）处，将内部地址替换成公用地址，从而在外部公网（Internet）上正常使用，NAT可以使多台计算机共享Internet连接，这一功能很好地解决了公共IP地址紧缺的问题。通过这种方法，您可以只申请一个合法IP地址，就把整个局域网中的计算机接入Internet中。这时，NAT屏蔽了内部网络，所有内部网计算机对于公共网络来说是不可见的，而内部网计算机用户通常不会意识到NAT的存在。这里提到的内部地址，是指在内部网络中分配给节点的私有IP地址，这个地址只能在内部网络中使用，不能被路由（一种网络技术，可以实现不同路径转发）。虽然内部地址可以随机挑选，但是通常使用的是下面的地址：10.0.0.0～10.255.255.255，172.16.0.0～172.16.255.255，192.168.0.0～192.168.255.255。NAT将这些无法在互联网上使用的保留IP地址翻译成可以在互联网上使用的合法IP地址。而全局地址，是指合法的IP地址，它是由NIC（网络信息中心）或者ISP(网络服务提供商)分配的地址，对外代表一个或多个内部局部地址，是全球统一的可寻址的地址。

NAT功能通常被集成到路由器、防火墙、ISDN路由器或者单独的NAT设备中。比如Cisco路由器中已经加入这一功能，网络管理员只需在路由器的IOS中设置NAT功能，就可以实现对内部网络的屏蔽。再比如防火墙将Web Server的内部地址192.168.1.1映射为外部地址202.96.23.11，外部访问202.96.23.11地址实际上就是访问192.168.1.1。另外对资金有限的小型企业来说，现在通过软件也可以实现这一功能。Windows 98 SE、Windows 2000 都包含了这一功能。

NAT有三种类型：静态NAT(Static NAT)、动态地址NAT(Pooled NAT)、网络地址端口转换NAPT（Port－Level NAT）。

其中静态NAT设置起来最为简单和最容易实现的一种，内部网络中的每个主机都被永久映射成外部网络中的某个合法的地址。而动态地址NAT则是在外部网络中定义了一系列的合法地址，采用动态分配的方法映射到内部网络。NAPT则是把内部地址映射到外部网络的一个IP地址的不同端口上。根据不同的需要，三种NAT方案各有利弊。

动态地址NAT只是转换IP地址，它为每一个内部的IP地址分配一个临时的外部IP地址，主要应用于拨号，对于频繁的远程联接也可以采用动态NAT。当远程用户联接上之后，动态地址NAT就会分配给他一个IP地址，用户断开时，这个IP地址就会被释放而留待以后使用。

网络地址端口转换NAPT（Network Address Port Translation）是人们比较熟悉的一种转换方式。NAPT普遍应用于接入设备中，它可以将中小型的网络隐藏在一个合法的IP地址后面。NAPT与动态地址NAT不同，它将内部连接映射到外部网络中的一个单独的IP地址上，同时在该地址上加上一个由NAT设备选定的TCP端口号。

在Internet中使用NAPT时，所有不同的信息流看起来好像来源于同一个IP地址。这个优点在小型办公室内非常实用，通过从ISP处申请的一个IP地址，将多个连接通过NAPT接入Internet。实际上，许多SOHO远程访问设备支持基于PPP的动态IP地址。这样，ISP甚至不需要支持NAPT，就可以做到多个内部IP地址共用一个外部IP地址访问Internet，虽然这样会导致信道的一定拥塞，但考虑到节省的ISP上网费用和易管理的特点，用NAPT还是很值得的。

 Windows 2003防火墙

Windows 2003提供的防火墙称为Internet连接防火墙，通过允许安全的网络通信通过防火墙进入网络，同时拒绝不安全的通信进入，使网络免受外来威胁。Internet连接防火墙只包含在 Windows Server 2003 Standard Edition和32位版本的 Windows Server 2003 Enterprise Edition 中。

在Windows2003服务器上，对直接连接到Internet的计算机启用防火墙功能，支持网络适配器、DSL适配器或者拨号调制解调器连接到Internet。它可以有效地拦截对Windows 2003服务器的非法入侵，防止非法远程主机对服务器的扫描，从而提高Windows 2003服务器的安全性。同时，它也可以有效拦截利用操作系统漏洞进行端口攻击的病毒，如冲击波等蠕虫病毒。如果在用Windows 2003构造的虚拟路由器上启用此防火墙功能，能够对整个内部网络起到很好的保护作用。

1．启用/关闭防火墙

（1）打开“网络连接”，右击要保护的连接，单击“属性”，出现“本地连接属性”对话框。

（2）选择“高级”选项卡，单击“设置”按钮，出现启动/停止防火墙界面。如果要启用 Internet 连接防火墙，请单击“启用(O)”按钮；如果要禁用Internet 连接防火墙，请单击“关闭(F)”按钮。

2．防火墙服务设置

Windows 2003 Internet连接防火墙能够管理服务端口，例如HTTP的80端口、FTP的21端口等，只要系统提供了这些服务，Internet连接防火墙就可以监视并管理这些端口。

（1）解除阻止设置。

在“例外”选项卡中，可以通过设定让防火墙禁止和允许本机中某些应用程序访问网络，加上“√”表示允许，不加“√”表示禁止。如果允许本机中某项应用程序访问网络，则在对话框中间列表中所列出该项服务前加“√”（如果不存在则可单击“添加程序”按钮进行添加）；如果禁止本机中某项应用程序访问网络，则将该项服务前的“√”清除（如果不存在同样可以添加）。在“Windows防火墙阻止程序时通知我”选项前打“√”则在主机出现列表框中不存在的应用程序欲访问网络时，防火墙会弹出提示框询问用户是否允许该项网络连接。

（2）高级设置。

在“高级”选项卡中，可以指定需要防火墙保护的网络连接，双击网络连接或单击“设置”按钮设置允许其他用户访问运行于本主机的特定网络服务。选择“服务”选项卡，其中列举出了网络标准服务，加上“√”表示允许，不加“√”表示禁止。如果允许外部网络用户访问网络的某一项服务，则在对话框中间列表中所列出该项服务前加“√”（如果不存在则可单击“添加程序”按钮进行添加）；如果禁止外部网络用户访问内部网络的某一项服务，则将该项服务前的“√”清除（如果不存在同样可以添加）。选择“ICMP”选项卡，允许或禁止某些类型的ICMP响应，建议禁止所有的ICMP响应。

3．防火墙安全日志设置

Windows2003防火墙可以记录所有允许和拒绝进入的数据包，以便进行进一步的分析。在“高级”选项卡的“安全日志记录”框中单击“设置”按钮，进入“日志设置”界面。

如果要记录被丢弃的包，则选中“记录被丢弃的数据包”复选按钮；如果要记录成功的连接，则选中“记录成功的连接”复选按钮。

日志文件默认路径为C:WINDOWSpfirewall.log，用记事本可以打开，所生成的安全日志使用的格式为W3C扩展日志文件格式，可以用常用的日志分析工具进行查看分析。你也可以重新指定日志文件，而且还可以通过“大小限制”限定文件的最大使用空间。

「说明」 建立安全日志是非常必要的，在服务器安全受到威胁时，日志可以提供可靠的证据。

 linux防火墙-iptable的应用

一．iptables简介

从1.1内核开始，linux就已经具有包过滤功能了，在2.0的内核中我们采用ipfwadm来操作内核包过滤规则。之后在2.2内核中，采用了大家并不陌生的ipchains来控制内核包过滤规则。在2.4内核中我们不再使用ipchains，而是采用一个全新的内核包过滤管理工具—iptables。这个全新的内核包过滤工具将使用户更易于理解其工作原理，更容易被使用，当然也将具有更为强大的功能。

实际上iptables只是一个内核包过滤的工具，iptables可以加入、插入或删除核心包过滤表格(链)中的规则。实际上真正来执行这些过滤规则的是netfilter(Linux内核中一个通用架构)及其相关模块(如iptables模块和nat模块)。

netfilter提供了一系列的“表(tables)”，每个表由若干“链(chains)”组成，而每条链中有一条或数条规则(rule)组成。我们可以这样来理解，netfilter是表的容器，表是链的容器，链又是规则的容器。

netfilter系统缺省的表为“filter”,该表中包含了INPUT、FORWARD和OUTPUT 3个链。每一条链中可以有一条或数条规则，每一条规则都是这样定义的“如果数据包头符合这样的条件，就这样处理这个数据包”。当一个数据包到达一个链时，系统就会从第一条规则开始检查，看是否符合该规则所定义的条件：如果满足，系统将根据该条规则所定义的方法处理该数据包；如果不满足则继续检查下一条规则。最后，如果该数据包不符合该链中任一条规则的话，系统就会根据预先定义的策略(policy)来处理该数据包。

图3-2-1 网络数据包在filter表中的流程

数据包在filter表中的流程如图3-2-1所示。有数据包进入系统时，系统首先根据路由表决定将数据包发给哪一条链，则可能有三种情况：

（1）如果数据包的目的地址是本机，则系统将数据包送往INPUT链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个包丢掉。

（2）如果数据包的目的地址不是本机，也就是说，这个包将被转发，则系统将数据包送往FORWARD链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个包丢掉。

（3）如果数据包是由本地系统进程产生的，则系统将其送往OUTPUT链，如果通过规则检查，则该包被发给相应的本地进程处理；如果没有通过规则检查，系统就会将这个包丢掉。

当我们在使用iptables NAT功能的时候，我们所使用的表不再是“filter”表，而是“nat”表，所以我们必须使用“-t nat”选项来显式地指明这一点。因为系统缺省的表是“filter”，所以在使用filter功能时，我们没有必要显式的指明“-t filter”。

同“filter”表一样，nat表也有三条缺省的链，这三条链也是规则的容器，它们分别是：

（1）PREROUTING: 可以在这里定义进行目的NAT的规则，因为路由器进行路由时只检查数据包的目的IP地址，为了使数据包得以正确路由，我们必须在路由之前就进行目的NAT。

（2）POSTROUTING: 可以在这里定义进行源NAT的规则，在路由器进行路由之后才进行源NAT。（3）OUTPUT: 定义对本地产生的数据包的目的NAT规则。二．NAT工作原理

NAT的基本思想是为每个企业分配一个IP地址(或者是很少几个)来进行Internet传输。在企业内部，每个电脑取得一唯一的IP地址来为内部传输做路由。然而，当封包离开企业，进入ISP之后，就需要进行地址转换了。为了使这个方案可行，IP地址的范围被声明为私有的，企业可以随意在内部使用他们。仅有的规则是，没有包含这些地址的封包出现在Internet上。

「说明」 IP私有地址范围是：10.0.0.0～10.255.255.255/

8、172.16.0.0 ～172.31.255.255/

12、192.168.0.0～192.168.255.255/16。

如图3-2-2所示。在企业内部，每个机器都有一个唯一的172.16.x.y形式的地址。然而，当封包离开企业时，它要经过NAT转盒，NAT盒将内部IP源地址，即图中的172.16.0.50转换成企业的真实地址(这个地址对于Internet来说是可见的)，此例中为202.198.168.150。NAT盒通常和防火墙一起绑定在一个设备上，这里的防火墙通过小心地控制进出企业的封包提供了安全保障。

图3-2-2 NAT地址转换

三．iptables常用操作语法

对于任何协议及协议的扩展，通用匹配都可以直接使用。（1）匹配指定协议。

匹配-p,--protocol／使用 iptables-A INPUT-p tcp-j ACCEPT／说明匹配指定的协议，指定协议的形式有以下几种：①名字不分大小写，但必须是在/etc/protocols中定义的；②可以使用协议相应的整数值。例如，ICMP的值是1,TCP是6,UDP是17；③缺少设置ALL，相应数值是0,要注意这只代表匹配TCP、UDP、ICMP，而不是/etc/protocols中定义的所有协议；④可以是协议列表，以英文逗号为分隔符，如：udp,tcp；⑤可以在协议前加英文的感叹号表示取反，注意有空格,如：--protocol!tcp表示非TCP协议，也就是UDP和ICMP。可以看出这个取反的范围只是TCP、UDP和ICMP。

（2）以IP源地址匹配包。

匹配-s,--src,--source／使用 iptables-A INPUT-s 192.168.0.1-j ACCEPT／说明以IP源地址匹配包。地址的形式如下：①单个地址，如192.168.0.1，也可写成192.168.0.1/255.255.255.255或192.168.0.1/32；②网络，如192.168.0.0/24,或192.168.0.0/255.255.255.0；③在地址前加英文感叹号表示取反，注意空格，如—source!192.168.0.0/24表示除此地址外的所有地址；④缺省是所有地址。

（3）以IP目的地址匹配包。

匹配-d,--dst,--destination／使用 iptables-A INPUT-d 192.168.0.1-j ACCEPT／说明以IP目的地址匹配包。地址的形式和—source完全一样。

（4）以包进入本地使用的网络接口匹配包。

匹配-i／使用 iptables-A INPUT-i eth0-j ACCEPT／说明以包进入本地所使用的网络接口来匹配包。要注意这个匹配操作只能用于INPUT,FORWARD和PREROUTING这三个链，用在其他任何地方会提示错误信息。指定接口有以下方法：①指定接口名称，如：eth0、ppp0等；②使用通配符，即英文加号，它代表字符数字串。若直接用一个加号，即iptables-A INPUT-i +表示匹配所有的包，而不考虑使用哪个接口。通配符还可以放在某一类接口的后面，如：eth+表示匹配所有从Ethernet接口进入的包；③在接口前加英文感叹号表示取反，如：-i!eth0意思是匹配来自除eth0外的所有包。

（5）以包离开本地所使用的网络接口来匹配包。

匹配-o／使用 iptables-A OUTPUT-o eth1-j ACCEPT／说明以包离开本地所使用的网络接口来匹配包。要注意这个匹配操作只能用于OUTPUT,FORWARD和POSTROUTING这三个链，用在其他任何地方会提示错误信息。

（6）匹配通信源端口。

匹配--source-port,--sport／使用 iptables-A INPUT-p tcp--sport 1111／说明当通信协议为TCP或UDP时，可以指定匹配的源端口，但必须与匹配协议相结合使用。

（7）匹配通信源端口。

匹配--destination-port,--dport／使用 iptables-A INPUT-p tcp--dport 80／说明当通信协议为TCP或UDP时，可以指定匹配的目的端口，但必须与匹配协议相结合使用。

五．iptables功能扩展 1．TCP扩展

iptables可以扩展，扩展分为两种：一种是标准的；另一种是用户派生的。如果指定了“-p tcp”，那么TCP扩展将自动加载，通过--tcp-flags扩展，我们指定TCP报文的哪些Flags位被设置，在其后跟随两个参数：第一个参数代表Mask,指定想要测验的标志位；第二个参数指定哪些位被设置。

例：设置iptables防火墙禁止来自外部的任何tcp主动请求，并对此请求行为进行事件记录。

其中ULOG指定对匹配的数据包进行记录,由日志生成工具ULOG生成iptables防火日志，--log-prefix选项为记录前缀。

2．ICMP扩展

例：设置iptables防火墙允许来自外部的某种类型/代码的ICMP数据包。

其中--icmp-type为扩展命令选项，其后参数可以是三种模式：（1）ICMP类型名称（例如，host-unreachable）。（2）ICMP类型值(例如3)。（3）ICMP类型及代码值（8/0）。六．状态检测

“状态”的意思是指如果一个数据包是对先前从防火墙发出去的包的回复，则防火墙自动不用检查任何规则就立即允许该数据包进入并返回给请求者，这样就不用设置许多规则定义就可实现应用的功能。

我们可以把请求端与应答端之间建立的网络通信连接称为网络会话，每个网络会话都包括以下信息——源IP地址、目标IP地址、源端口、目的端口，称为套接字对；协议类型、连接状态（TCP协议）和超时时间等。防火墙把这些信息称为状态(stateful)。状态包过滤防火墙能在内存中维护一个跟踪状态的表，比简单的包过滤防火墙具有更大的安全性，而iptables就是一种基于状态的防火墙。命令格式如下：

iptables-m state--state [!] state [,state,state,state] 其中，state表是一个由逗号分割的列表，用来指定连接状态，状态分为4种：（1）NEW: 该包想要建立一个新的连接（重新连接或连接重定向）

（2）RELATED:该包是属于某个已经建立的连接所建立的新连接。举例：FTP的数据传输连接和控制连接之间就是RELATED关系。

（3）ESTABLISHED：该包属于某个已经建立的连接。（4）INVALID:该包不匹配于任何连接，通常这些包被DROP。七．NAT操作

前面提到在iptables防火墙中提供了3种策略规则表：Filter、Mangle和NAT，这3种表功能各不相同，而最为常用的就是filter和nat表。

nat表仅用于NAT,也就是网络地址转换。做过NAT操作的数据包的地址就被改变了，当然这种改变是根据我们的规则进行的。属于流的包只会经过这个表一次，经一个包被允许做NAT,那么余下的包都会自动地做相同的操作。也就是说，余下的包不会再通过这个表一个一个的被NAT，而是自动完成的。常用操作分为以下几类。

（1）SNAT(source network address translation，源网络地址目标转换)。

SNAT是POSTROUTING链表的作用，在封包就要离开防火墙之前改变其源地址，这在极大程度上可以隐藏本地网络或者DMZ等。比如，多个PC机使用路由器共享上网，每个PC机都配置了内网IP(私有IP)，PC机访问外部网络的时候，路由器将数据包的报头中的源地址替换成路由器的IP，当外部网络的服务器比如网站Web服务器接到访问请求的时候，它的日志记录下来的路由器的IP，而不是PC机的内网IP，这是因为，这个服务器收到的数据包的报头里边的“源地址”已经被替换了。所以叫做SNAT，基于源地址的地址转换。

例如更改所有来自192.168.0.1/24的数据包的源IP地址为10.0.0.1，其iptables实现为：

（2）DNAT(destination network address translation，目标网络地址转换)。

DNAT是PREROUTING链表的作用，在封包刚刚到达防火墙时改变其目的地址，以使包能重路由到某台主机。典型的应用是，有个Web服务器放在企业网络DMZ区，其配置了内网IP地址，企业防火墙的的外网接口配置了企业唯一的公网IP，互联网上的访问者使用公网IP来访问这个网站，当访问的时候，客户端发出一个数据包，这个数据包的报头里边，目标地址写的是防火墙的公网IP，然后再把这个数据包发送到DMZ区的Web服务器上，这样，数据包就穿透了防火墙，并从公网IP变成了一个对DMZ区的访问了。所以叫做DNAT，基于目标的网络地址转换。

例如更改所有来自202.98.0.1/24的数据包的目的IP地址为192.168.0.1，其iptables实现为：

（3）REDIRECT(重定向)。

REDIRECT是DNAT的特殊情况是重定向，也就是所谓的Redirection，这时候就相当于将符合条件的数据包的目的IP地址改为数据包进入系统时的网络接口的IP地址。通常是在与squid配置形成透明代理时使用，假设squid的监听端口是3128,我们可以通过以下语句来将来自192.168.0.1/24，目的端口为80的数据包重定向到squid监听：

（4）MASQUERADE(地址伪装)。

在iptables中有着和SNAT相近的效果，但也有一些区别。在使用SNAT的时候，出口IP的地址范围可以是一个，也可以是多个，例如把所有

192.168.0.0/2

4网段数据包

SNAT

成202.98.0.150/202.98.0.151/202.98.0.152等几个IP然后发出去,其iptables实现为：

SNAT即可以NAT成一个地址，也可以NAT成多个地址。但是，对于SNAT来说不管是几个地址，必须明确指定转换的目标地址IP。假如当前系统用的是ADSL动态拨号方式，那么每次拨号，出口IP都会改变，而且改变的幅度很大，不一定是202.98.0.150到202.98.0.152范围内的地址，这个时候如果使用SNAT的方式来配置iptables就会出现麻烦了，因为每次拨号后出口IP都会变化，而iptables规则内的IP是不会随着自动变化的，每次地址变化后都必须手工修改一次iptables，把规则里边的固定的IP改成新的IP，这样是非常不好用的。

MASQUERADE就是针对这种场景而设计的，它的作用是从防火墙外网接口上自动获取当前IP地址来做NAT，比如下边的命令：

八．防火墙应用代理 1．代理服务器概述

在TCP/IP网络中，传统的通信过程是这样的：客户端向服务器请求数据，服务器响应该请求，将数据传送给客户端，如图3-2-3所示。

图3-2-3 直接访问Internet 在引入了代理服务器以后，这一过程变成了这样：客户端向服务器发起请求，该请求被送到代理服务器；代理服务器分析该请求，先查看自己缓存中是否有请求数据，如果有就直接传递给客户端，如果没有就代替客户端向该服务器发出请求。服务器响应以后，代理服务将响应的数据传递给客户端，同时在自己的缓存中保留一份该数据的拷贝。这样，再有客户端请求相同的数据时，代理服务器就可以直接将数据传送给客户端，而不需要再向该服务器发起请求，如图3-2-4所示。

图3-2-4 通过代理服务器访问Internet

2．代理服务器功能

一般说来，代理服务器具有以下的功能：（1）通过缓存增加访问速度。

随着Internet的迅猛发展，网络带宽变得越来越珍贵。所以为了提高访问速度，好多ISP都提供代理服务器，通过代理服务器的缓存功能来加快网络的访问速度。一般说来，大多数的代理服务器都支持HTTP缓存，但是，有的代理服务器也支持FTP缓存。在选择代理服务器时，对于大多数的组织，只需要HTTP缓存功能就足够了。

通常，缓存有主动缓存被动缓存之分。所谓被动缓存，指的是代理服务器只在客户端请求数据时才将服务器返回的数据进行缓存，如果数据过期了，又有客户端请求相同的数据时，代理服务器又必须重新发起新的数据请求，在将响应数据传送给客户端时又进行新的缓存。所谓主动缓存，就是代理服务器不断地检查缓存中的数据，一旦有数据过期，则代理服务器主动发起新的数据请求来更新数据。这样，当有客户端请求该数据时就会大大缩短响应时间。对于数据中的认证信息，大多数的代理服务器都不会进行缓存的。

（2）提供用私有IP访问Internet的方法。

IP地址是不可再生的宝贵资源，假如你只有有限的IP地址，但是需要提供整个组织的Internet访问能力，那么，你可以通过使用代理服务器来实现这一点。

（3）提高网络的安全性。

如果内部用户访问Internet都是通过代理服务器，那么代理服务器就成为进入Internet的唯一通道；反过来说，代理服务器也是Internet访问内部网络的唯一通道，如果你没有做反向代理，则对于Internet上的主机来说，你的整个内部网只有代理服务器是可见的，从而大大增强了网络的安全性。

3．传统、透明和反向代理服务器（1）传统代理服务器。

传统代理常被用于缓存静态网页(例如：html文件和图片文件等)到本地网络上的一台主机上(即代理服务器)。不缓存的页面被第二次访问的时候，浏览器将直接从本地代理服务器那里获取请求数据而不再向原Web站点请求数据。这样就节省了宝贵的网络带宽，而且提高了访问速度。但是，要想实现这种方式，必须在每一个内部主机的浏览器上明确指明代理服务器的IP地址和端口号。客户端上网时，每次都把请求给代理服务器处理，代理服务器根据请求确定是否连接到远程Web服务器获取数据。如果在本地缓冲区有目标文件，则直接将文件传给用户即可。如果没有的话则先取回文件，并在本地保存一份缓冲，然后将文件发给客户端浏览器。

（2）透明代理服务器。

透明代理与传统代理的功能完全相同。但是，代理操作对客户端浏览器是透明的(即不需指明代理服务器的IP和端口)。透明代理服务器阻断网络通信，并且过滤出访问外部的HTTP(80端口)流量。如果客户端的请求在本地有缓冲则将缓冲的数据直接发给用户，如果在本地没有缓冲则向远程Web服务器发出请求，其余操作和传统代理服务器完全相同。对于Linux操作系统来说，透明代理使用iptables实现。因为不需要对浏览器作任何设置，所以，透明代理对于ISP来说特别有用。

（3）反向代理服务器。

反向代理是和前两种代理完全不同的一种代理服务。使用它可以降低原始Web服务器的负载。反向代理服务器承担了对原始Web服务器的静态页面的请求，防止原始服务器过载。如图3-2-5所示，它位于本地Web服务器和Internet之间，处理所有对Web服务器的请求。如果互联网用户请求的页面在代理器上有缓冲的话，代理服务器直接将缓冲内容发送给用户。如果没有缓冲则先向Web服务器发出请求，取回数据，本地缓存后再发送给用户。这种方式通过降低了向Web服务器的请求数从而降低了Web服务器的负载。

图3-2-5 反向代理服务器位于Internet与组织服务器之间

4．代理服务器squid简介

Squid是一个缓存Internet数据的一个开源软件，它会接收用户的下载申请，并自动处理所下载的数据。也就是说，当一个用户要下载一个主页时，他向squid发出一个申请，要求squid替它下载，squid连接申请网站并请求该主页，然后把该主页传给用户同时保留一个备份，当别的用户申请同样的页面时，squid把保存的备份立即传给用户，使用户觉得速度相当快。目前squid可以代理HTTP、FTP、GOPHER、SSL和WAIS协议，暂不能代理POP、NNTP等协议。但是已经有人开始改进squid，相信不久的将来，squid将能够代理这些协议。

Squid不是对任何数据都进行缓存。像信用卡账号、可以远方执行的Script、经常变换的主页等是不适合缓存的。Squid可以根据用户的需要进行设置，过滤掉不想要的东西。

Squid可用在很多操作系统中，如Digital Unix, FreeBSD, HP-UX, Linux, Solaris，OS/2等，也有不少人在其他操作系统中重新编译过Squid。

Squid对内存有一定的要求，一般不应小于128M，硬盘最好使用服务器专用SCSI硬盘。

Squid是一个高性能的代理缓存服务器，和一般的代理缓存软件不同，Squid用一个单独的、非模块化的、I/O驱动的进程来处理所有的客户端请求。

Squid将数据元缓存在内存中，同时也缓存DNS查询的结果。此外，它还支持非模块化的DNS查询，对失败的请求进行消极缓存。Squid支持SSL，支持访问控制。由于使用了ICP（轻量Internet缓存协议），Squid能够实现层叠的代理阵列，从而最大限度地节约带宽。

Squid由一个主要的服务程序Squid,一个DNS查询程序dnsserver，几个重写请求和执行认证的程序，以及几个管理工具组成。当Squid启动以后，它可以派生出预先指定数目的dnsserver进程，而每一个dnsserver进程都可以执行单独的DNS查询，这样就减少了服务器等待DNS查询的时间。

5．Squid常用配置选项

因为缺省的配置文件不能使Squid正常启动服务，所以我们必须首先修改该配置文件的有关内容,才能让Squid运行起来。

下面是squid.conf文件的结构。squid.conf配置文件的可以分为13个部分，这13个部分如下有所示。

虽然Squid的配置文件很庞大，但是如果你只是为一个中小型网络提供代理服务，并且只准备使用一台服务器，则只需要修改配置文件中的几个选项。

6．Squid常用命令选项（1）端口号。

http_port指令告诉squid在哪个端口侦听HTTP请求。默认端口是3128：http_port 3128，如果要squid作为加速器运行则应将它设为80。

你能使用附加http_port行来指squid侦听在多个端口上。例如，来自某个部门的浏览器发送请求3128，然而另一个部门使8080端口。可以将两个端口号列举出来：

http_port 3128 http_port 8080 Squid也可以使http_port指令侦听在指定的接口地址上。squid作为防火墙运行时，它有两个网络接口：一个内部的和一个外部的。你可能不想接受来自外部的http请求。为了使squid仅仅侦听在内部接口上，简单的将IP地址放在端口号前面：

http_port 192.168.1.1:3128（2）日志文件路径。

默认的日志目录是squid安装位置下的logs目录，其路径是/usr/local/squid/var/logs。

你必须确认日志文件所存放的磁盘位置空间足够。squid想确认你不会丢失任何重要的日志信息，特别是你的系统被滥用或者被攻击时。

Squid有三个主要的日志文件：cache.log、access.log和store.log。cache.log文件包含状态性的和调试性的消息。access.log文件包含了对squid发起的每个客户请求的单一行。每行平均约150个字节。假如因为某些理由，你不想squid记录客户端请求日志，你能指定日志文件的路径为/dev/null。store.log文件对大多数cache管理员来说并非很有用。它包含了进入和离开缓存的每个目标的记录。平均记录大小典型的是175-200字节。

如果squid的日志文件增加没有限制。某些操作系统对单个文件强制执行2G的大小限制，即使你有充足的磁盘空间。超过该限制会导致写错误，squid就会退出。（3）访问控制。

squid默认的配置文件拒绝每一个客户请求。在任何人能使用代理之前，你必须在squid.conf文件里加入附加的访问控制规则。最简单的方法就是定义一个针对客户IP地址的ACL和一个访问规则，告诉squid允许来自这些地址的HTTP请求。squid有许多不同的ACL类型。src类型匹配客户IP地址，squid会针对客户HTTP请求检查http_access规则。

acl MyNetwork src 192.168.0.0/16 http_access allow MyNetwork 请将这些行放在正确的位置。http_access的顺序非常重要。在第一次编辑squid.conf文件时，请看如下注释：

在该注释之后，以及“http_access deny all”之前插入新规则。（4）命令选项。

这里的很多选项在实际应用中从不会使用，另外有些仅仅在调试问题时有用。

 实验步骤

 Windows 2003防火墙

一．防火墙基础操作

操作概述：启用windows2003系统防火墙，设置规则阻断ICMP回显请求数据包，并验证针对UDP连接工具的例外操作。

（1）在启用防火墙之前，同组主机通过ping指令互相测试网络连通性，确保互相是连通的，若测试未通过请排除故障。

（2）本机启用防火墙，并设置防火墙仅对“本地连接”进行保护。

（3）同组主机再次通过ping指令互相测试网络连通性，确认是否相互连通_______。（4）设置本机防火墙允许其传入ICMP回显请求。（5）第三次测试网络连通性。二．防火墙例外操作

操作概述：启用windows2003系统防火墙，在“例外”选项卡中添加程序“UDPtools” 允许UDPtools间通信，并弹出网络连接提示信息。

（1）关闭防火墙，同组主机间利用UDPtools进行数据通信，确保通信成功。

「说明」 UDPtools通信双方应分别为客户端和服务端，其默认通过2513/UDP端口进行通信，可以自定义通信端口，运行如图3-1-1所示。

图3-1-1 UDP连接工具

（2）本机启用防火墙(仅对本地连接)，将本机作为UDPtools服务器端，同组主机以UDPtools客户端身份进行通信，确定客户端通信请求是否被防火墙阻塞_______。

（3）断开UDPtools通信，单击“例外”选项卡，在“程序和服务”列表框添加程序“UDPtools.exe”（C:JLCSSTOOLSAnalysertoolsUdpTools.exe）并将其选中。再次启动UDPtools并以服务器身份运行，同组主机仍以客户端身份与其通信，确定客户端通信请求是否被防火墙阻塞_______。

三．NAT操作

操作概述：Windows Server 2003“路由和远程访问”服务包括NAT路由协议。如果将NAT路由协议安装和配置在运行“路由和远程访问”的服务器上，则使用专用IP地址的内部网络客户端可以通过NAT服务器的外部接口访问Internet。

图3-1-2 实验网络连接示意

参看图3-1-2，当内部网络主机PC1发送要连接Internet主机PC2的请求时，NAT协议驱动程序会截取该请求，并将其转发到目标Internet主机。所有请求看上去都像是来自NAT器的外部连接IP地址，这样就隐藏了内部网络主机。

在这里我们将windows Server 2003主机配置成为“路由和远程访问”NAT服务器，并模拟搭建Internet网络环境对NAT服务器进行测试。

（1）实验网络拓扑规划。

按图3-1-2所示，本实验需3台主机共同完成，其中一台主机扮演实验角色“内网主机PC1”,一台主机扮演实验角色“外网主机PC2”,最后一台主机扮演“NAT服务器”。

默认外部网络地址202.98.0.0／24；内部网络地址172.16.0.0／24，也可根据实际情况指定内网与外网地址。

默认主机“本地连接”为内部网络接口；“外部连接“为外部网络接口，也可指定“本地连接”为外部网络接口。

（2）按步骤(1)中规划分别为本机的“本地连接”、“外部连接”配置IP地址。

（3）配置NAT路由服务。依次单击“开始”|“程序”|“管理工具”|“路由和远程访问”，在“路由和远程访问”MMC中，选择要安装NAT路由协议的服务器(这里为本地主机)，右键单击在弹出菜单中选择“配置并启用路由和远程访问”。

「注」 操作期间若弹出“为主机名启用了Windows防火墙/Internet连接共享服务……”警告信息，请先禁用“Windows防火墙/Internet连接共享”服务，后重试操作。具体做法：“开始”|“程序”| “管理工具”|“计算机管理”|“服务和应用程序”|“服务”，在右侧服务列表中选择“Windows Firewall/Internet Connection Sharing(ICS)”服务，先将其停止，然后在启动类型中将其禁用。

（4）在“路由和远程访问服务器安装向导”中选择“网络地址转换(NAT)”服务。

（5）在“NAT Internet连接”界面中指定连接到Internet的网络接口，该网络接口对于Internet来说是可见的。若在步骤(1)中已将“外部连接”指定为公共接口，则此处应选择“外部连接”。

（6）本实验中没有应用到DHCP、DNS服务，所以在“名称和地址转换服务”界面中选择“我将稍后设置名称和地址服务”。至最后完成路由和远程访问配置。

（7）接下来的工作是对各NAT服务器进行测试。下面以主机ABC为例进行测试说明：参照图3-1-2，设定主机A为内网主机PC1，将其内部网络接口(默认为“本地连接”)的默认网关指向主机B的内部网络接口(默认为“本地连接”)；设定主机C为外网主机PC2。内网主机A通过ping指令对外网主机C做连通性测试。

（8）ICMP会话分析。在主机A做连通性测试的同时，主机B打开“协议分析器”并定义过滤器，操作如下：依次单击菜单项“设置”|“过滤器”，在“协议过滤”选项卡“协议树”中选中“ICMP”协议。依次单击按钮“新建捕获窗口”|“开始捕获数据包”，在弹出的“适配器选择”界面中选择“外部连接”，开始捕获。观察状态栏“捕获帧数”窗格，当捕获到数据时单击“停止捕获数据包”按钮，依次展开“会话分析树”|“ICMP会话”，如图3-1-3所示。

图3-1-3 在NAT服务器外部接口上监听到的ICMP会话

（9）结合ICMP会话分析结果说出ICMP数据包的传输（路由）过程_________。

 linux防火墙-iptable的应用

一．包过滤实验

操作概述：为了应用iptables的包过滤功能，首先我们将filter链表的所有链规则清空，并设置链表默认策略为DROP(禁止)。通过向INPUT规则链插入新规则，依次允许同组主机icmp回显请求、Web请求，最后开放信任接口eth0。iptables操作期间需同组主机进行操作验证。

（1）清空filter链表所有规则链规则。iptables命令________。

（2）确定同组主机已清空filter链表后，利用nmap（/opt/portscan/目录下）对同组主机进行端口扫描。

nmap端口扫描命令________。

「说明」 nmap具体使用方法可查看实验6｜练习1｜TCP端口扫描。查看端口扫描结果，并填写下表。

（3）查看INPUT、FORWARD和OUTPUT链默认策略。iptables命令_________。

 （4）将INPUT、FORWARD和OUTPUT链默认策略均设置为DROP。iptables命令_________。

确定同组主机已将默认策略设置为DROP后，本机再次利用nmap其进行端口扫描，查看扫描结果，并利用ping命令进行连通性测试。

（5）利用功能扩展命令选项(ICMP)设置防火墙仅允许ICMP回显请求及回显应答。ICMP回显请求类型__________；代码__________。ICMP回显应答类型__________；代码__________。iptables命令__________ 利用ping指令测试本机与同组主机的连通性。（6）对外开放Web服务(默认端口80/tcp)。iptables命令__________ 利用nmap对同组主机进行端口扫描，查看扫描结果。

（7）设置防火墙允许来自eth0(假设eth0为内部网络接口)的任何数据通过。iptables命令_______ 利用nmap对同组主机进行端口扫描，查看扫描结果。二．事件审计实验

操作概述：利用iptables的日志功能检测、记录网络端口扫描事件，日志路径 /var/log/iptables.log。（1）根据实验原理(TCP扩展)设计iptables包过滤规则，并应用日志生成工具ULOG对iptables捕获的网络事件进行响应。

iptables命令__________（2）同组主机应用端口扫描工具对当前主机进行端口扫描，并观察扫描结果。（3）在同组主机端口扫描完成后，当前主机查看iptables日志，对端口扫描事件进行审计，日志内容如图3-2-1所示。

图3-2-1 iptables日志内容

三．状态检测实验

操作概述：分别对新建和已建的网络会话进行状态检测。1．对新建的网络会话进行状态检测（1）清空filter规则链全部内容。iptables命令__________（2）设置全部链表默认规则为允许。iptables命令__________（3）设置规则禁止任何新建连接通过。iptables命令__________（4）同组主机对当前主机防火墙规则进行测试，验证规则正确性。2．对已建的网络会话进行状态检测

（1）清空filter规则链全部内容，并设置默认规则为允许。

（2）同组主机首先telnet远程登录当前主机，当出现“login:”界面时，暂停登录操作。telnet登录命令_________（3）iptables添加新规则(状态检测)——仅禁止新建网络会话请求。iptables命令___________ 或___________________ 同组主机续(1)步骤继续执行远程登录操作，尝试输入登录用户名“guest”及口令“guestpass”，登录是否成功__________。

同组主机启动Web浏览器访问当前主机Web服务，访问是否成功__________。解释上述现象______________________。

（4）删除步骤（3）中添加的规则，并插入新规则(状态检测)——仅禁止已建网络会话请求。iptables命令______________________________ 或________________________________________ iptables命令______________________________ 或________________________________________ 重新操作实验步骤(1)(2)(4)。同组主机续(1)步骤继续执行远程登录操作，尝试输入登录用户名“guest”及口令 “guestpass”，登录是否成功__________。

同组主机启动Web浏览器访问当前主机Web服务，访问是否成功__________。解释上述现象_______________。

（5）当前主机再次清空filter链表规则，并设置默认策略为DROP,添加规则开放FTP服务，并允许远程用户上传文件至FTP服务器。

iptables命令______________________________________ 四．NAT转换实验

实验概述：图3-2-2描述了NAT转换实验所应用的网络拓扑结构。内网主机与NAT服务器eth0接口位于同一网段(内网)；外网主机与NAT服务器eth1接口位于同一网络(外网)；NAT服务器提供NAT转换。通过设置nat服务器的iptables NAT规则，实现内、外网主机间的通信数据包的地址转换，达到屏蔽内部网络拓扑结构与转发外网主机请求端口的目的。

图3-2-2 实验网络拓扑结

「说明」 本实验是在Linux系统下完成，Linux系统默认安装了2块以太网卡，网络接口分别为eth0和eth1，在设置NAT服务前请激活eth1网络接口，命令ifconfig eth1 up。

1．确定各接口IP地址

本实验由ABC、DEF主机各为一实验小组。默认实验角色：主机A为内网主机、B为NAT服务器、C为外网主机。也可以自定义实验角色。

默认内网IP地址192.168.0.0/

24、外网IP地址202.98.0.0/24。配置完成内网主机eth0接口IP地址及默认网关(指向NAT服务器内网接口)，NAT服务器eth0和eth1接口IP地址，外网主机eth0接口IP地址，并完成下列问题的填写：

内网主机IP____________________，其默认网关____________________； 外网主机IP____________________；

NAT服务器内网接口IP____________________、外网接口IP____________________。

内网主机对NAT服务器内网接口进行连通性测试（ping）；外网主机对NAT服务器外网接口进行连通性测试（ping）。

2．设置防火墙规则允许内部网络访问外部网络

操作流程：首先开启NAT服务器的路由功能(开启网络接口间数据的转发)，清空filter链表全部规则，并设置其默认策略为DROP；继续设置规则允许来自内网的数据流进入外网，并允许任何返回流量回到内网；最后规则实现内网、外网接口间的数据转发。

（1）NAT服务器开启路由功能。

基于安全的考虑，默认情况下Linux路由数据包的功能是关闭的，通过下述命令开启系统路由功能：

（2）设置filter表规则链，默认策略为禁止。iptables命令_______________________（3）添加filter表新规则，允许来自防火墙的流量进入Internet；允许任何相关的返回流量回到防火墙。

iptables命令_______________________（4）添加filter表新规则，实现NAT服务器内部网络接口eth0与外部网络接口eth1间的数据转发。iptables命令_______________________（5）主机C启动Snort（/opt/ids/snort）以网络嗅探方式运行(设置过滤器仅监听icmp数据包)，主机A ping探测主机C，是否ping通______？

将主机C的默认网关指向NAT服务器的外网接口，主机A再次ping探测主机C，是否ping通__________？结合snort捕获数据，对比实验现象，说明原因：___________________。

3．设置防火墙规则通过NAT屏蔽内部网络拓扑结构

操作流程：在实现步骤2的操作基础上，添加nat表新规则实现数据从内网到外网的地址翻译。（1）NAT服务器重新启动iptables服务。service iptables restart（2）重新操作步骤2(⑵～⑶)。

（3）添加nat表新规则，通过网络地址翻译实现内部网络地址转换。iptables命令_______________________（4）添加filter表新规则，实现NAT内部网络接口eth0与外部网络接口eth1之间的数据转发。iptables命令_______________________（5）主机C重新将默认网关指为空，重新启动Snort捕获ICMP数据。主机A对主机C进行ping探测，是否ping通__________？主机C停止Snort监听，查看已捕获到ICMP数据，其源IP地址是__________？解释实验象_____________________________________。

4．设置防火墙规则通过NAT实现外网请求端口转发

操作流程：在实现步骤3的操作基础，添加nat表新规则实现数据从外网到内网的地址翻译(端口转发)。（1）NAT服务器重新启动iptables服务。service iptables restart（2）重新操作步骤3(⑵～⑷)。

（3）添加nat表新规则，实现数据从外网到内网的地址翻译（80/tcp端口转发）。iptables命令__________________(4)完成NAT外部接口eth1到内部接口eth0之间的数据转发 iptables命令__________________（5）确定主机C默认网关指为空，主机A和主机C启动Snort捕获80/tcp数据，主机C启动Web浏览器，在地址栏中输入：http://202.98.0.150，观察访问结果，回答下列问题：

主机C访问是否成功__________？若成功，其访问的是哪台主机的Web主页__________（主机A/主机B）？

主机C停止Snort捕获，观察80/tcp会话的源、目的IP地址对__________________。主机A停止Snort捕获，观察80/tcp会话的源、目的IP地址对__________________。解释上述实验现象______________________________________________________。五．应用代理实验

实验概述：使用iptables+squid方式来实现传统代理、透明代理和反向代理。

实验角色说明如下：

内网客户端仅需启用“本地连接”，其IP地址形式如下：172.16.X.Y，子网掩码255.255.255.0,其中X为所属实验组编号（1-32）,Y为主机编号（1-6）,例如第4组主机A的IP地址为172.16.4.4。

代理服务器需要启动内部网络接口eth0和外部网络接口eth1。内部IP地址形式同内网客户端，外部IP地址形式如下：202.98.X.Y，子网掩码255.255.255.0，其中X为所属实验组号（1-32）,Y为主机编号，例如第4组主机B的内部IP地址为172.16.4.2，外部IP地址为202.98.4.2。

外网Web服务器仅需启用“本地连接”，其IP地址形式如下：202.98.X.Y，子网掩码255.255.255.0，其中X为所属实验组号（1-32），Y为主机编号（1-6），例如第4组主机C的IP地址为202.98.4.3。

在进行实验操作前，首先清空防火墙规则。1．传统代理

（1）外网Web服务器手动分配IP地址，并确认本地Web服务已启动。

（2）代理服务器激活网络接口eth1，并手动分配IP地址，可通过以下两种方式激活eth1： 通过“桌面”｜“管理”｜“网络”激活eth1，并手动分配IP地址； 在控制台中输入命令ifconfig eth1 up激活eth1,输入命令ifconfig eth1 202.98.X.Y/24为eth1分配IP地址。（3）代理服务器配置squid。

代理服务器进入目录/usr/local/squid/etc/，使用vim编辑器打开配置文件squid.conf。在squid.conf中配置如下选项：

第936行，使用默认的端口http_port 3128；

第574行，添加行acl mynet src 主机A地址域。例如acl mynet src 172.16.1.0/24； 第610行，添加行http_access allow mynet。（4）运行代理服务器

代理服务器进入目录/usr/local/squid/sbin/，输入命令：./squid –NCd1启动代理服务。（5）通过代理访问Web服务器

内网客户端打开IE浏览器，通过“工具”｜“Internet选项”｜“连接”｜“局域网设置”选中“为LAN使用代理服务器”，在“地址”中输入代理服务器的内网IP，在“端口”中输入代理服务器的监听端口号，单击“确定”按钮，完成浏览器设置。

内网客户端在IE浏览器地址栏中输入“http://外网Web服务器IP地址”，即可访问到Web页面。（6）验证代理服务器的作用

内网客户访问外网Web服务，是否可以访问到页面__________。

外网Web服务器关闭Web服务，代理服务器访问外网Web服务，是否可以访问到页面__________。内网客户端再次访问外网Web服务，是否可以访问到页面__________，为什么？____________。2．透明代理

（1）外网Web服务器开启Web服务。（2）代理服务器配置squid。

代理服务器进入目录/usr/local/squid/etc/，使用vim编辑器打开配置文件squid.conf，配置如下选项： 第936行，修改为：http_port 主机B内网IP:3128 transparent（3）代理服务器添加iptables规则。

对从代理服务器内网接口进入的、基于tcp协议的、目的端口是80的数据包，做“端口重定向”。将数据包重定向到3128端口，规则如下：

iptables-t nat-A PREROUTING-i eth0-p tcp-m tcp--dport 80-j REDIRECT--to-ports 3128（4）运行代理服务器。

（5）通过代理访问Web服务器。

内网客户端将本地连接的“默认网关”设置为代理服务器的内网IP，即代理服务器的eth0网络接口的IP。内网客户端打开IE浏览器，通过“工具”｜“Internet选项”｜“连接”｜“局域网设置”，取消“为LAN使用代理服务器”。

内网客户端在IE浏览器地址栏输入“http://外网Web服务器的IP”，即可访问到外网Web服务器的Web页面。

3．反向代理

（1）内网客户端开启Web服务。（2）代理服务器配置squid。

代理服务器进入目录/usr/local/squid/etc/，使用vim编辑器打开配置文件squid.conf，配置如下选项： 第936行，修改为：http_port 主机B外网地址:80 vhost。

第1499行，添加行：cache_peer 主机A的IP parent 80 0 no-query originserver。第574行，修改为：acl outside src 主机C地址域。例如acl outside src 202.98.1.0/24。第610行，修改为：http_access allow outside。（3）停止代理服务器的Web服务。

在代理服务器的终端输入命令：service httpd stop。（4）删除缓存文件。

删除目录/usr/local/squid/var/cache/00/00下所有文件。（5）运行代理服务器。

（6）外网通过代理访问内网客户端Web服务

外网Web服务器在IE浏览器地址栏中输入“http://代理服务器外网IP”即可访问到内网客户端的Web页面。

第三篇：机房设备配置安装标准

机房设备配置安装标准草案

一、基本要求

1、在机房装修进场前，必须组织装修单位、水电施工单位、土建单位会审，确定机房所需水、电需求以及结合设备尺寸确定门高度、宽度，符合后期设备进出机房的要求；

2、核算UPS电池组、精密空调、服务器等设备重量，计算机房楼板单位面积有效载荷是否符合要求，如达不到要求，协调土建单位对相应区域进行加固；

3、设备安装前，机房必须符合如下几个标准：

(1)机房内所有装修工序已全部完成，并符合设计的要求；(2)所有线缆已敷设进入机房，并完成编号与线缆校接；(3)精密空调所需进出水已连接到指定位置；(4)所需机房配电已送至设计位置并达到功率要求；(5)机房安全卫生环境已达到设计要求；

二、机柜及控制台安装规程

1、安装前必须检查机柜排风设备是否完好，设备托板数量是否齐全以及滑轮、支撑柱是否完好等；

2、机柜安装标准：

(1)机柜型号、规格,安装位置,应符合设计要求。机柜安装垂直偏差度应不大于3mm,水平误差每平方米不应大于2mm。几个机柜并排在一起，面板应在同一平面上并与基准线平行，前后偏差不得大于3mm；两个机柜中间缝隙不得大于3mm。对于相互有一定间隔而排成一列的设备，其面板前后偏差不得大于5mm；

(2)机柜的各种零件不得脱落或碰坏，漆面如有脱落应预以补漆，各种标志应完整、清晰；

(3)机柜安装应牢固，有抗震要求时，按施工图的抗震设计进行加固；(4)机柜不宜直接安装在活动地板上，宜按设备的底平面尺寸制作底座，底座直接与地面固定，机柜固定在底座上，然后铺设活动地板；(5)安装机柜面板，架前应预留有800mm空间，机柜背面离墙距离应大于600mm，以便于安装和施工；(6)壁挂式机柜距地面宜为1200mm；

(7)机柜内的设备、部件的安装，应在机柜定位完毕并固定后进行，安装在机柜内的设备应牢固、端正；

(8)机柜上的固定螺丝、垫片和弹簧垫圈均应按要求紧固不得遗漏；(9)卡入跳线架连接块内的单根线缆色标应和跳线架的色标相一致，大对数线缆按标准色谱的组合规定进行排序；

(10)端接于RJ45口的配线架的线序及排列方式按有关国际标准规定的两种端接标准之一（T568A或T568B）进行端接，但必须与信息插座模块的线序排列一致；

(11)接线端子各种标志应齐全，数据配线架及交换机设备安装完成后，标贴机打标签：注明对应房间号以及端口号。

3、控制台安装标准：

(1)控制台位置应符合设计要求；(2)控制台应安放竖直，台面水平；

(3)完整，无损伤，螺丝紧固，台面整洁无划痕；

(4)台内接插件和设备接触应可靠，安装应牢固；内部接线应符合设计要求，无扭曲脱落现象；

(5)控制台后面板距墙不应小于0.8m，两侧距墙不应小于0.8m，正面操作距离不应小于1.5m；

(6)控制台的主电源引入线宜直接与电源连接，应尽量避免用电源插头；

三、设备安装规程

1、控制室设备在上架安装前逐个通电进行检测，在设备处于正常工作状态后，方可安装；

2、监视器（显示器/DLP大屏）的安装标准：

(1)监视器可装设在固定的机柜和屏幕墙上，也可装设在控制台操作柜上。但必须采取通风散热措施；(2)监视器的安装位置应使屏幕不受外来光直射，当有不可避免的光时，应采取遮光措施；

(3)监视器的外部可调节或控制部分，必须暴露在便于操作的位置。

3、不间断电源施工标准

(1)不间断电源的整流装置、逆变装置和静态开关装置的规格、型号必须符合设计要求。内部接线连接正确，紧固件齐全，可靠不松动，焊接连接无脱落、虚焊现象；

(2)不间断电源的输入、输出各级保护系统和输出的电压稳定性、波形畸变系数、频率、相位、静态开关的动作等各项技术性能指标试验调整必须符合产品技术文件要求，且符合设计文件要求；

(3)不间断电源装置间连线的线间、线对地间绝缘电阻值应大于0.5MΩ；

(4)不间断电源输出端的中性线（N级），必须与由接地装置直接引来的接地干线相连接，做重复接地；

(5)安放不间断电源的机柜组装应横平竖直，水平度、垂直度允许偏差不应大于1.5‰，紧固件齐全；

(6)引入或引出不间断电源装置的主回路电线、线缆和控制电线、线缆必须分别穿保护管敷设，在线缆支架上平行敷设应保持150mm的距离；电线、线缆的屏蔽护套接地连接可靠，与接地干线就近连接，紧固件齐全；

(7)不间断电源装置的可接近裸露导体应接地(PE)或接零(PEN)可靠，且标识清楚；

(8)不间断电源正常运行时产生的A声级噪声，不应大于45dB；输出额定电流为5A及以下的小型不间断电源噪声，不应大于30dB。

4、接地与安全防护施工标准

(1)施工前对接地体设计位置的地下水位、土壤成分结构、土壤导电率等状况进行检查，各项检查值是否符合技术规范要求；

(2)接地安装应配合土建施工同时进行，做好隐蔽工程，室外接地极必须在场地平整前进行开挖预埋；(3)机房内接地母线的路由、规格应符合设计规定。施工时必须满足下列要求：

1)接地母线表面应完整，并应无明显锤痕以及残余焊剂渣；铜带母线应光滑无毛刺。绝缘线的绝缘层不得有老化龟裂现象；

2)接地母线应铺放在地槽和线缆走道中央，或固定在架槽的外侧。母线应平整，不歪斜、不弯曲。母线与机柜或机顶的连接应牢固端正；

3)铜带母线在线缆走道上应采用螺丝固定。铜绞线的母线在线缆走道上 应绑扎在梯铁上；

4)施工完成后所有接地极的接地电阻必须进行测量；经测量达不到设计要求时，应在接地极回填土中加入无腐蚀性长效降阻剂；当仍达不到要求时，应经过设计单位的同意，采取更换接地装置的措施。系统采用专用接地装置时，其接地电阻不得大于4Ω；采用综合接地网时，其接地电阻不得大于1Ω；

四、设备安装质量验收

1、设备安装质量验收表式项目：

项目名称、设备名称、安装要求、检验方法、验收结果、双方签字。

2、验收项目及标准

(1)所有安装设备必须全部进行验收。

(2)现场观察安装质量（工艺）是否牢固、整洁、美观、规范。(3)检查线缆连接，线缆到位，接插件可靠，电源线与信号线、控制线分开，走向顺直，无扭绞等是否符合要求。

(4)检查开关、按钮等是否灵活、安全。

(5)检查机柜、设备接地是否符合GB 50057等电位接地要求。(6)检查机柜电线缆扎及标识是否整齐，是否有明显编号、标识。(7)检查电源引入线缆是否有明显标识，引入线端标识是否明显、牢靠。

(8)对设备进行通电测试，检查设备是否运行正常。

(9)双方分别对检查情况进行详细记录，验收完毕后无异议，双方签字验收。

第四篇：实验三 数字证书的申请及安装

实验二 数字证书的申请及安装

【实验目的】

1.了解认证体系的体制结构、功能、作用、业务范围及运行机制。2.掌握网上申请个人数字证书的方法。3．掌握数字证书的导入、导出和安装。4.掌握数字证书的配置内容及配置方法 5.了解数字证书的作用及使用方法

6.掌握使用数字证书访问安全站点的方法 7．利用数字证书发送签名邮件和加密邮件 【实验内容】

1.登录http://www.xiexiebang.com，为自己申请试用版网证通数字证书。2．数字证书的导入和导出。3.发送数字签名电子邮件 4.发送PKI加密邮件 【实验要求】

一．申请试用型数字证书。

1.为申请数字证书匹配环境，把安全设置调整为“中”

2.登录http://www.xiexiebang.com。3.访问证书试用申请页面，由于该申请页面是安全连接，故如将出现安全警报，单击确定进入页面。

4.选择邮件证书试用。

5.填写并提交申请表格。在该页中，你需要按照系统的提示填写你的信息。填写完后，按“继续”，系统开始签发你的数字证书。

6.在Internet选项——>内容中选择查看证书，确定证书已下载安装。

二．证书的导入、导出 当你需要在不同的计算机中使用同一张数字证书，或者重新安装计算机准备备份证书时，就需要按照以下步骤首先将你的根证书和数字证书先后导出，在你需要使用该证书时，再依次导入你的根证书和数字证书。

1． 数字证书的导出

（1）在IE中，选择工具→Internet选项→ 内容→证书，选择个人标签栏,选择你的数字证书，单击“导出”按钮，系统提示“欢迎使用证书导出向导”，进入证书管理器导出向导程序。

（2）系统询问是否将私钥跟证书一起导出，选择“是”，导出私钥（如果你在申请数字证书时选择的存储介质为非本地计算机，此时系统导出私钥项为虚）。

（3）下一步系统让你选择导出证书的格式，如果导出了私钥的数字证书文件，则格式为PFX。

（4）在导出私钥时，系统会提示要求输入私钥保护密码，为了防止第三方非法使用你的数字证书，请输入你的私钥保护密码；然后根据系统提示进行下一步；在出现的对话框中，你还需要选择导出文件的路径和文件名。至此，证书管理器导出向导完成导出任务。

2． 数字证书的导入

（1）启动IE，选择 工具→Internet选项→内容→证书→个人 标签栏，单击“导入”按钮，系统提示“欢迎使用证书导入向导”，进入导入向导；下一步系统让你选择证书导入的文件。

（2）下一步，证书管理器导入向导让你选择证书存贮区，一般选择系统默认值。当显示“完成证书管理器导入向导”时，单击“完成”按钮。这时系统提示输入一个新的私人密钥，设定私人密钥后按确定，系统提示证书导入成功。

三．发送具有数字签名的电子邮件 在发送签名邮件之前，你首先要下载你的数字证书，即将你申请的数字证书导入到你的系统中；之后还必须将数字证书跟电子邮件绑定，也就是还必须完成“在Outlook Express中设置你的数字证书”使电子邮件帐号对应相应的数字证书；这些事做完之后才能发送数字签名电子邮件。

1． 在 Outlook Express 中设置数字证书。

1)在 Outlook Express 中，添加账号，具体步骤参考教材117页9.2 Outlook Express的使用。单击“工具”菜单中的“帐号”。

2)选取“邮件”选项卡中用于发送安全邮件的邮件帐号，单击属性。3)选取安全选项卡中的“从以下地点发送安全邮件时使用数字标识”复选框，然后单击数字证书按健。

注意：对于EXPRESS比较新的版本按默认设置就可以了，你可以在工具，选项，安全，数字标识中看到证书信息。

4)选择与该帐号有关的数字证书(只显示与该帐号相对应的电子邮箱的数字证书)。

5)如果想查看证书，请单击查看证书，你将会看到详细的证书信息。点击确定，设置完毕。

2． 发送签名电子邮件 用你自己的安全电子邮件证书，发一封签名邮件，内容将你的安全电子邮件证书的信息（包括你的公钥），主题为你的学号和姓名。

1)打开Outlook Express，单击新邮件按钮，撰写新邮件；

2)选取 工具 菜单中的 数字签名。在信的右上角将会出现一个签名的标记。

3)点击“发送”。发送数字签名邮件即告完成。

4)当收件人打开信件时，可以看到有数字签名的邮件被 所标示，打开数字签名的邮件时，将看到“数字签名邮件”的提示信息。

5)按“继续”按钮后可阅读到该邮件的内容。若邮件在传输过程中被他人篡改或发信人的数字证书有问题，页面将出现“安全警告”提示。

四．发送加密邮件

要将电子邮件加密，首先你需要有收件人的数字证书。1． 获得对方的数字证书

方法：从带有数字签名的电子邮件中添加 1）让对方给你发送有其数字签名的邮件。

2）将该邮件打开，然后请单击“文件”菜单中的“属性”。

3）选取“安全”选项卡并单击“将数字标识添加到通讯簿中”按钮，这样对方数字证书就被添加到你的“通讯簿”之中了。

4）你可以在Internet Explorer的“工具→Internet选项→内容→证书→其他人”中查看到对方的数字证书。

2． 发送加密邮件

1）撰写好信件后，选取“工具”菜单中的“加密”。2）这时，信的右上角将会出现一个加密的标记。3）点击“发送”。发送加密邮件即告完成。

4）当收件人收到并打开已加密过的邮件时，将看到“加密邮件”的提示信息。

5）按“继续”按钮后，可阅读到该邮件的内容。

当收到加密邮件时，完全有理由确认邮件没有被其他任何人阅读或篡改过，因为只有在收件人自己的计算机上安装了正确的数字证书，Outlook Express才能自动解密电子邮件；否则，邮件内容将无法显示。也就是说：只有收件人的数字证书中收藏了打开密锁的“钥匙”。

第五篇：Oracle 的安装与配置实验报告

Oracle 的安装与配置实验报告

班 级：10网工三班

学生姓名：谢昊天

学号：1215134046

实验目的和要求：

掌握Oracle的基本安装方法。掌握Oracle 10g的网络配置。能够使用DBCA创建数据库。

实验内容：

1、Oracle 10g的安装。

2、Oracle 10g的网络配置。

3、使用DBCA创建数据库。

实验步骤与调试过程：

安装oracle：

1、执行Oracle10g中的安装文件，点击setup开始Oracle 10g的安装

2、出现“选择要使用的安装方法”窗口选择高级安装，点击下一步。

3、所需安装的路径，点击下一步；

4、在此可以选择企业版，点击下一步

5、选择“创建启动数据库”

6、选择“创建象样本方案的数据库”选项），点击下一步。

7、选择默认设置，即“使用Database Console管理数据库”，以便在本地对数据库进行管理。单击“下一步”按钮。

8、指定数据库文件存储选项选择默认设置，单击“下一步”按钮。

9、即选中“不启用自动备份”单选按钮，单击“下一步”按钮

10、选择“所有用户都使用同一个口令”选项，口令输入oracle

11、“概要”窗口按照全局设置、产品语言、空间要求、新安装组件分类显示安装设置。可以先在概要窗口中检查一下这些设置是否满意，如不满意可以单击“上一步”按钮，返回到前一个步骤修改。

12、单击“口令管理”按钮，弹出“口令管理”窗口。

13、口令管理窗口。可以分别为SYS、SYSTEM、SCOTT用户设置口令。

14、安装完成，点击退出按钮，退出Oracle universal installer。可以记下该页面上面的文本内容，将来通过web访问控制oracle。

15、配置Oracle 10g网络环境

网络配置

1、安装目录中点击Net Manager，进入如下界面。

2、选择协议，这里选择TCP/IP

3、输入主机的IP地址或名称，然后输入端口号。

4、选择服务器。

5、通过网页打开登陆界面进行验证。

创建DBCA数据库。

1、开始菜单中的Database Configuration Assistant(DBCA)，单击下一步。

2、选择创建数据库，单击下一步，“数据库模板”窗口，单击常规用途模板，然后单击下一步。

3、输入全局数据库名和SID，保持configure the Database with Enterprise Manager被选中，“数据库连接选项”窗口，选择在缺省情况下您需要您的数据库工作的模式。单击未用模式或分享服务器模式并单击下一步。

4、“初始化参数”窗口的字符集选项卡上，单击使用 Unicode(AL32UTF8)。

5、当数据库创建过程完成时，单击完成。

实验结果：

1、oracle安装完成，可以通过web访问控制oracle。

2、oracle安装成功后可以通查看服务，也可以通过sqlplus+用户名/密码来进行验证。

3、网络配置好后可以通过http://PC-201301151832:1158/em来验证，还可以查看oracle的各项作用。

4、可以通过网页来查看发现DBCA数据库创建成功。

疑难小结：

通过本次试验，我对Oracle 的安装与配置思想有了进一步的了解，通过动手实现Oracle 的安装与配置，更加深刻的理解了Oracle 安装的特点。在实验的过程中同时，发现如果在Oracle安装时候同时创建一个数据库实例会比先安装Oracle程序，再创建数据库慢。如果一开始不创建一个数据库实例，那么Oracle不会往系统服务里安装服务项。并且在实验过程中，回顾书本上的理论知识，巩固了我的知识。

主要算法和清单程序：

1、只需要安装包然后点击 setup、按照提醒 就可以进行安装；

2、创建数据库的语句 和一些命令；

3、Oracle 10g网络环境配置；

4、操作系统（XP），安装oracle10g；

5、验证安装是否正确；

6、看相关服务是否正常启动；

7、登录sql *plus客户端和OEM验证；

8、把oracle相关服务设置成手动启动（不让自动启动，这样可以减轻系统负担）；

9、建立一个批处理文件，通过它实现oracle服务的启动和停止；

10、配置本地服务命名，本地服务器有问题时连接远程服务器操作（net manager）。