《Linux防火墙及NAT》练习题

(x9Fs!y X8X"l@){tca01)定制策略
z Dl(c/c?(X"PN$Ns.A N01.1)设定INPUT为ACCEPTLUPA开源社区(t5c(t5tKC_4F^2e b"X
1.2)设定OUTPUT为ACCEPTLUPA开源社区-b
M{ Nhubt
1.3)设定FORWARD为ACCEPT

WsnQ)A:b(c
|0参考答案:LUPA开源社区/}5JU\h/n4k
iptables -P INPUT ACCEPT
#Q*~^%Ez5al]0iptables -P OUTPUT ACCEPT
E @
A5PE6NV}0iptables -P FORWARD ACCEPT

'Q@RQy0 LUPA开源社区$w Y
`Z,Is9Y7do

*aM8\ C:I [0
m,b:g,DSoH:O02)定制源地址访问策略
Nd8W!b8D&KjMv!?02.1)接收来自192.168.0.3的IP访问
cY}Yc2R ]w g3T02.2)拒绝来自192.168.0.0/24网段的访问LUPA开源社区 J0u'EK2Pn7@eX

Uf'q#H!q.s`:W0参考答案:
a~&?3Ya,Y3u0iptables -A INPUT -i eth0 -s 192.168.0.3 -j ACCPET
m(n2dHAs6m3h0iptables -A INPUT -i eth0 -s 192.168.0.0/24 -j DROP

??{"kY"k.ac0 LUPA开源社区 [(D#F0FLwpTF

2r&Jo}%e
T*H^C0
6F f'V}s#h
D&XH03)目标地址192.168.0.3的访问给予记录,并查看/var/log/message

参考答案:
(a3L lS9St8R3d,vYcoe0iptables -A INPUT -s 192.168.0.3 -j LOGLUPA开源社区#z+@{+S:t;^8^

R}1H#zH0
:deOf9S-wGE'w04)定制端口访问策略LUPA开源社区,R8V3AC
x0pR `KSw
4.1)拒绝任何地址访问本机的111端口

F#e*Qpl }/exL04.2)拒绝192.168.0.0/24网段的1024-65534的源端口访问SSHLUPA开源社区#oL&c"i#K"E

参考答案:LUPA开源社区9B[gC[LW S J
iptables -A INPUT -i eth0 -p tcp --dport 111 -j DROP
c#L9|9QR%g_ \W0iptables -A INPUT -i eth0 -p tcp -s 192.168.0.0/24 --sport 1024:65534 --dport ssh -j DROPLUPA开源社区bb[/y8}3bV

'a-[}l Jw0 

5)定制CLIENT端的防火墙访问状态
#Q4@!_[?05.1)清除所有已经存在的规则;
![@,S
U8C9}a7C05.2)设定预设策略,除了INPUT设为DROP,其他为ACCEPT;LUPA开源社区l A^8|t4jfG4v
5.3)开放本机的lo可以自由访问;LUPA开源社区nY?} @:G:M
5.4)设定有相关的封包状态可以进入本机;LUPA开源社区MLUq zH)O

1~$y.xD N v`4Lf0参考答案:
\O2k2IE&Jvc0iptables -FLUPA开源社区-P~J%vY
iptables -XLUPA开源社区$|5R[9F9A
iptables -Z
"@&^C-jC
N"m0iptables -P   INPUT DROP
y)LcP}9X
Y0iptables -P  OUTPUT ACCEPTLUPA开源社区9l0xE5T#kQ
iptables -P FORWARD ACCEPT
U4nV\pA*bj0iptables -A INPUT -i lo -j ACCEPTLUPA开源社区#d5]A9l!R$o&UG
iptables -A INPUT -i eth0 -m state --state RELATED,ESTABLISHED -j ACCEPT
;sD3QNWKp6zO0iptables -A INPUT -m state --state INVALID -j DROP

LUPA开源社区Ry|g.k'jv
6)定制防火墙的MAC地址访问策略
+o8k&y7P.B06.1)清除所以已经存的规则;LUPA开源社区M|:A:I`
6.2)将INPUT设为DROPLUPA开源社区e&Ya.A(\ x
6.3)将目标计算机的MAC设为ACCEPTLUPA开源社区4UB.XhC+z,X

参考答案:LUPA开源社区y&}0E6}z4s
iptables -FLUPA开源社区1Ir f%TI
iptables -X
5gt&Yz6N0W0iptables -ZLUPA开源社区(?!R7O*\I"KY#K5g
iptables -P   INPUT DROPLUPA开源社区i#j'Z,n2f-}Tgpt
iptables -A INPUT -m mac --mac-source 00-C0-9F-79-E1-8A -j ACCEPT

 LUPA开源社区"P9N*ntV ?,_

Sy `F"wD0
$d3P\v&I07)设定ICMP包，拒绝除192.168.6.0网段的所有ICMP数据包进入服务器LUPA开源社区hT
E9N,v3T5N

G S|3~`#L9|O0参考答案:
!F/\-Em8z0iptables -A INPUT -s ! 192.168.6.0 -p icmp -j DROPLUPA开源社区xh+Z
`S@0pP

;|y5V9^.T*o0 LUPA开源社区 qhnq,?-hF3` a5O ~

QO9w9\1Dp08)定制防火墙的NAT访问策略LUPA开源社区 n7S]"b0myMvb*A
8.1)清除所有策略
$G0O6g:U^?7_Q!o08.2)重置ip_forward为1LUPA开源社区ll#d o R
8.3)通过MASQUERADE设定来源于192.168.6.0网段的IP通过192.168.6.217转发出去LUPA开源社区TA}'j0WdX|+T
8.4)通过iptables观察转发的数据包LUPA开源社区*L)@n+U a,d4E:q

BV C p#A1n3Z@z0参考答案:LUPA开源社区
s1U/R2a2P]!G1I)r
iptables -FLUPA开源社区y@
fl.d[4Y[ ]}
iptables -XLUPA开源社区"Wo5w
V)\*n;C
iptables -Z
} iBX8X%C0g}0echo "1" > /proc/sys/net/ipv4/ip_forward
(s3v@c*O)p[i4K6W0iptables -t nat -A POSTROUTING -s 192.168.6.0 -o 192.168.6.217 -j MASQUERADE
r8M^:U[zl+Z:|(B$u0iptables -L -nv

^fE ^j0 

@o$jSxu9P"r-@0
6L PH*R*tS09)定制防火墙的NAT访问策略LUPA开源社区vhQ)eN#P
|pW
9.1)清除所有NAT策略LUPA开源社区'N8S HeZ:LJ\
9.2)重置ip_forward为1
0`#Z7T$F~No*A09.3)通过SNAT设定来源于192.168.6.0网段通过eth1转发出去LUPA开源社区'[2i3DK6u5Jq
9.4)用iptables观察转发的数据包

参考答案:LUPA开源社区Szr{HtK
iptables -F -t nat
|UT!s*j'N0iptables -X -t nat
:|\'ks8CeK6jR4l0iptables -Z -t nat
8UR.H {C.?.V,pd1@0echo "1" > /proc/sys/net/ipv4/ip_forward
I"Xs xU1GJ0iptables -t nat -A POSTROUTING -o eth1 -j SNAT --to 192.168.6.217
(_\E.T/q6oG%JZ0iptables -L -nv

 LUPA开源社区.d9xP$N0GY}@W k:y'B

Doj_2`b([X\pO,O0LUPA开源社区.R1y|*q1Yt*xh
10)端口转发访问策略LUPA开源社区
XElI\*V a
10.1)清除所有NAT策略
dn;A+WEJJd010.2)重置ip_forward为1LUPA开源社区Fw Q5G8CZ-x Kc
10.3)通过DNAT设定为所有访问192.168.6.217的22端口，都访问到192.168.6.191的22端口LUPA开源社区%oy
y-fx"RwS2_
10.4)设定所有到192.168.6.191的22端口的数据包都通过FORWARD转发LUPA开源社区1t B1JGn%aA m
I
10.5)设定回应数据包,即通过NAT的POSTROUTING设定,使通讯正常

;pr"b/{B5}%PKO0参考答案:LUPA开源社区!z^cZ3I0VC~SLp6W
iptables -F -t nat
A6w1Z!lH/z0iptables -X -t natLUPA开源社区a2i5n)Z_g
iptables -Z -t natLUPA开源社区 E3A9\`vdAv8@
echo "1" > /proc/sys/net/ipv4/ip_forwardLUPA开源社区W#s O+N(@U
iptables -t nat -A PREROUTING -d 192.168.6.217 -p tcp --dport 22 -j DNAT --to-destination 192.168.6.191:22
DK.h2N'y%vDY0iptables -A FORWARD -p tcp -d 192.168.6.191 --dport 22 -j ACCEPT
0t$l8{?^XT,Q0iptables -t nat -I POSTROUTING -p tcp --dport 22 -j MASQUERADE