《Linux防火墙及NAT》练习题

1)定制策略LUPA开源社区*QD S?#lR6N
1.1)设定INPUT为ACCEPT
C2O@SZ01.2)设定OUTPUT为ACCEPT
$ig,A$TJ(ztBe01.3)设定FORWARD为ACCEPTLUPA开源社区2`+MZ9BY3E8c%s$us

I bU#t9Thhe9S0参考答案:
1KT$q4TI fez0iptables -P INPUT ACCEPT
q5J"x2vSv }0iptables -P OUTPUT ACCEPT
S0H9Z'q
Sm!q0iptables -P FORWARD ACCEPT

 LUPA开源社区dM
?:O6Gfc

z+H FM"G0
$s%\&o.^`02)定制源地址访问策略
Z0fcex+Zt02.1)接收来自192.168.0.3的IP访问LUPA开源社区;dr.w\ u
2.2)拒绝来自192.168.0.0/24网段的访问LUPA开源社区aUtJ%k8|F m

@7q3Z4x!c@0参考答案:LUPA开源社区O-eH'v-B9kn[
iptables -A INPUT -i eth0 -s 192.168.0.3 -j ACCPET
UD8x c S4l3p0iptables -A INPUT -i eth0 -s 192.168.0.0/24 -j DROPLUPA开源社区/vid8n'\/yc*F/C%k

h8Zw;I3KfVR1P0 

LUPA开源社区gGmW1^*wr
3)目标地址192.168.0.3的访问给予记录,并查看/var/log/message

参考答案:
'JU^~%]X.f,eJ^0iptables -A INPUT -s 192.168.0.3 -j LOGLUPA开源社区(GS.cj~x |

T Tgl3pz)I0 

^:t"|f"`1bS(w0LUPA开源社区2@0f#Qj#UF9x
4)定制端口访问策略LUPA开源社区/RM3UH$c} M:Yl&S
4.1)拒绝任何地址访问本机的111端口LUPA开源社区/YU#u ?&tf
4.2)拒绝192.168.0.0/24网段的1024-65534的源端口访问SSH

参考答案:
(`!_#l.N}"M0iptables -A INPUT -i eth0 -p tcp --dport 111 -j DROP
Q_"R+\.j7iD)}O4S0iptables -A INPUT -i eth0 -p tcp -s 192.168.0.0/24 --sport 1024:65534 --dport ssh -j DROP

Yj%vRJi[0 LUPA开源社区f"MXh,Y

W2|-`.H UTi]05)定制CLIENT端的防火墙访问状态
V
K6m?0a
g05.1)清除所有已经存在的规则;
AM$r6q,R2X&r0y-g05.2)设定预设策略,除了INPUT设为DROP,其他为ACCEPT;
^8K"B{!w |V05.3)开放本机的lo可以自由访问;
1zHq N$m7CZHm05.4)设定有相关的封包状态可以进入本机;

;P,wIo'j_h0参考答案:
P co]k$Z$`.[+|0iptables -F
waxgW!r Y0iptables -XLUPA开源社区a$Y;~#|%dG
iptables -ZLUPA开源社区$f%v7t K0^"IM;b*Q
iptables -P   INPUT DROP
P+wz2v$x{i` @0iptables -P  OUTPUT ACCEPT
n3dnR"s-_d`0iptables -P FORWARD ACCEPT
_qEA R|3B$R0iptables -A INPUT -i lo -j ACCEPTLUPA开源社区+xLLN~7a9G9R ?K
iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPTLUPA开源社区R:H3K)y2LR4R'bP [(uN
iptables -A INPUT -m state --state INVALID -j DROP

'F}-QLm2^'A0LUPA开源社区xnsT!~1{
i
6)定制防火墙的MAC地址访问策略
SQ M&]nf6_A%u06.1)清除所以已经存的规则;LUPA开源社区3m4RtXP!o4N%|
6.2)将INPUT设为DROPLUPA开源社区5q-l"G UZ7^S8V
6.3)将目标计算机的MAC设为ACCEPT

参考答案:
&Q%b#Qz(^-U&J RD)tu0iptables -FLUPA开源社区(TcAx/W6`
iptables -X
Xz Vb XU0iptables -Z
l!c8e E/Qs0iptables -P   INPUT DROP
pW%B6z:Ht(oL a0iptables -A INPUT -m mac --mac-source 00-C0-9F-79-E1-8A -j ACCEPTLUPA开源社区C*h2i_]T

te"b
Eo{0 

LUPA开源社区-L(fH/}+i'R.E
7)设定ICMP包，拒绝除192.168.6.0网段的所有ICMP数据包进入服务器LUPA开源社区S;{p a8qN

/W t4v4f]"z0参考答案:
XB2B pc7W.~0iptables -A INPUT -s ! 192.168.6.0 -p icmp -j DROP

w D M]U2{9X0 LUPA开源社区q8T]c7Ee#QziG k+F

LUPA开源社区SA6g9^Lc:Q
8)定制防火墙的NAT访问策略LUPA开源社区,F;HV)RVxY1N
8.1)清除所有策略
)wjyGy08.2)重置ip_forward为1LUPA开源社区8U]%ti?
E
8.3)通过MASQUERADE设定来源于192.168.6.0网段的IP通过192.168.6.217转发出去LUPA开源社区
T8pJi4vC4MO3L(j
8.4)通过iptables观察转发的数据包

参考答案:LUPA开源社区YdkO]
iptables -FLUPA开源社区hs1y({wF1X;\,r-^-Q
iptables -X
HZY&@WE0iptables -ZLUPA开源社区M8Q
U;] YQ%q(C G
echo "1" > /proc/sys/net/ipv4/ip_forward
D x~|Df\i0iptables -t nat -A POSTROUTING -s 192.168.6.0 -o 192.168.6.217 -j MASQUERADE
Pm:u)R_U2QL\P-V0iptables -L -nvLUPA开源社区7U P&H Lchp6s#s]R

L-}*o;c
M/Q{ `%c0 LUPA开源社区&ZF/il+u2A3S

2hliAyW4VReP0LUPA开源社区B%pC;?J+d3U
9)定制防火墙的NAT访问策略
} g9BWm8e:]/?09.1)清除所有NAT策略LUPA开源社区vD2|(?D
9.2)重置ip_forward为1
[sjC]9f6uy\09.3)通过SNAT设定来源于192.168.6.0网段通过eth1转发出去
G{4|Y L&Z09.4)用iptables观察转发的数据包LUPA开源社区
snu4_i,g

y,Qg^3HP.E x0参考答案:LUPA开源社区/S;f]Dv)Q.y-\
iptables -F -t natLUPA开源社区tJl'c"W ~A
iptables -X -t nat
YBR e"apc0iptables -Z -t nat
1A&W]2K7sF0echo "1" > /proc/sys/net/ipv4/ip_forward
K#t;v3o$_ ]'O0iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.6.217
+zu:T9IZ&l#@6V\L0iptables -L -nvLUPA开源社区S^yE
N"}*o d

%s&h%@K
@#f0 

q7l_&E q @)y0LUPA开源社区4B'V/lT+K%G8`OAsJ
10)端口转发访问策略LUPA开源社区?;i)| dUJ WkT!I
10.1)清除所有NAT策略
"ra:dZim-O010.2)重置ip_forward为1LUPA开源社区P?j"Tk!o[C
10.3)通过DNAT设定为所有访问192.168.6.217的22端口，都访问到192.168.6.191的22端口
;k\w9S dB010.4)设定所有到192.168.6.191的22端口的数据包都通过FORWARD转发LUPA开源社区HO5LEX1s/bf
10.5)设定回应数据包,即通过NAT的POSTROUTING设定,使通讯正常

参考答案:LUPA开源社区9wS1vpG[G
iptables -F -t natLUPA开源社区H;E(`r R"z
iptables -X -t natLUPA开源社区)I#a6{B]{
iptables -Z -t natLUPA开源社区R3Z@
B/nc)y&J\ T
echo "1" > /proc/sys/net/ipv4/ip_forward
~w,k1n:Vd9v0iptables -t nat -A PREROUTING -d 192.168.6.217 -p tcp --dport 22 -j DNAT --to-destination 192.168.6.191:22LUPA开源社区6N_/e~_8LXM
X
iptables -A FORWARD -p tcp -d 192.168.6.191 --dport 22 -j ACCEPTLUPA开源社区&V%i kC-[vu
iptables -t nat -I POSTROUTING -p tcp --dport 22 -j MASQUERADE