查看原文
其他

Linux 防火墙 iptables

计算机与网络安全 计算机与网络安全 2022-06-01

一次性进群,长期免费索取教程,没有付费教程。

教程列表见微信公众号底部菜单

进微信群回复公众号:微信群;QQ群:16004488


微信公众号:计算机与网络安全

ID:Computer-network

一、iptables 概述


iptables 是在Linux 2.4内核之后普遍使用的防火墙。内核由“filter”表中的以下三个规则开始。这些被称为防火墙链或就叫链。这三个链分别是 INPUT、OUTPUT和FORWARD。iptables 中一个数据包的历程如图1 所示。三个圈代表上面说的三个链,当包到达图中的一个圈,那个链就检查并确定包的命运。如果链决定DROP包,数据包就会被丢弃。但是如果链决定让包ACCEPT,包就继续在图中前进。一个链是规则的列表,如果规则和包不匹配,由链中的下一个规则处理。最后,如果再也没有要进行处理的规则了,内核就根据链的原则(policy,有时称为默认规则)来决定应当如何做。在一个注重安全的系统中,原则通常是让内核丢弃这个包

图1  iptables 结构

当一个包进入时(就是由以太网卡),内核首先检查包的目的地。这被称作选路。


如果它就是进入本机的,包会向图中的下方移动,到达INPUT链。如果到了这里,任何等待这个包的进程都会收到它。


否则,如果内核未被允许转发,或者不知道该如何转发这个包,它会被丢弃。如果允许转发,而且包的目的地是另一个网络接口(如果有另一个的话),那么包向图中的右边行进,到达 FORWARD链。如果允许通过(ACCEPT),它就被送了出去。


最后,服务器上运行的程序可以发送网络包。这些包马上通过 OUTPUT链。如果被允许(ACCEPT),那么包继续向可以到达它的目的地的网络接口发送。


下面将详细讨论如何构建自己的规则。我们也会讨论基本的matche及其用法,还有各种各样的target,以及如何建立我们自己的target(比如,一个新的子链)。

1、基础


我们已经解释了什么是规则,在内核看来,规则就是决定如何处理一个包的语句。如果一个包符合所有的条件(就是符合matche语句),我们就运行target或jump指令。书写规则的语法格式是:


iptables  [-t  table] command  [match] [target/jump]


注意target指令必须在最后。为了易读,我们一般用这种语法。


如果不想用标准的表,就要在[table]处指定表名。一般情况下没有必要指定使用的表,因为iptables 默认使用filter表来执行所有的命令。也没有必要非得在这里指定表名,实际上几乎可在规则的任何地方。当然,把表名放在开始处已经是约定俗成的标准。


尽管命令总是放在开头,或者是直接放在表名后面,我们也要考虑到底放在哪儿易读。command告诉程序该做什么,比如:插入一个规则,还是在链的末尾增加一个规则,还是删除一个规则,下面会仔细地介绍。


match 细致地描述了包的某个特点,以使这个包区别于其他所有的包。在这里,我们可以指定包的来源 IP 地址、网络接口、端口、协议类型,或者其他什么。


最后是数据包的目标所在。若数据包符合所有的match,内核就用target来处理它,或者说把包发往 target。比如,我们可以让内核把包发送到当前表中的其他链(可能是我们自己建立的),或者只是丢弃这个包而没有什么处理,或者向发送者返回某个特殊的应答。


选项-t用来指定使用哪个表,它可以是表1中的任何一个,默认的是 filter表。

表1  IPTABLES的表

2、其他参数介绍


除了-t 格式之外,iptables 还有很多其他参数格式,用来指定提交的规则要做什么样的操作。这些操作可能是在某个表里增加或删除一些东西,或做点儿其他什么。表2所列是iptables可用的command(要注意,如不做说明,默认表的是 filter表)。

表2  其他命令行参数

在使用 iptables 时,如果必须的参数没有输入就按了回车,那么它就会给出一些提示信息:告诉用户需要哪些参数等等。iptables的选项-v用来显示iptables的版本,-h给出语法的简短说明。


二、表和链


当数据包到达防火墙时,如果 MAC 地址符合,就会由内核里相应的驱动程序接收,然后会经过一系列操作,从而决定是发送给本地的程序,还是转发给其他主机,还是其他的什么。我们先来看一个以本地为目的的数据包,它要经过表3所示的步骤才能到达要接收它的程序:表中mangle的意思就是说在这个表中,会对数据包的一些传输特性进行修改,允许的修改可以是 TOS、TTL、MARK。

表3  以本地为目标的包的处理过程

源地址是本地的包要经过的步骤如表4所示。

表4  以本地为源的包的处理过程

在表5所列的例子中,我们假设一个包的目的是另一个网络中的一台主机。让我们来看这个包的旅程。

表5  被转发的包

如上所述,包要经历很多步骤,而且它们可以被阻拦在任何一条链上,或者是任何有问题的地方。我们的主要兴趣是 iptables 的概貌。注意,对不同的接口,是没有什么特殊的链和表的。所有要经防火墙/路由器转发的包都要经过 FORWARD 链。在上面的情况里,不要在 INPUT 链上做过滤。INPUT 是专门用来操作那些以我们的主机为目的地址的包的,它们不会被路由到其他地方的。


在第一个路由判断处,不是发往本地的包,我们会发送它穿过 FORWARD 链。若包的目的地是本地监听的IP地址,我们就会发送这个包穿过INPUT链,最后到达本地。


值得注意的是,在做NAT的过程中,发往本机的包的目的地址可能会在PREROUTING链里被改变。这个操作发生在第一次路由之前,所以在地址被改变之后,才能对包进行路由。注意,所有的包都会经过图1中的某一条路径。如果把一个包DNAT回它原来的网络,这个包会继续走完相应路径上剩下的链,直到它被发送回原来的网络。


1、mangle表


这个表主要用来处理mangle包,可以使用mangle匹配来改变包的TOS等特性。


以下是mangle表中仅有的几种操作:


TOS

TTL

MARK


TOS操作用来设置或改变数据包的服务类型域。这常用来设置网络上的数据包如何被路由等策略。注意这个操作并不完善,有时得不所愿。它在 Internet 上还不能使用,而且很多路由器不会注意到这个域值。换句话说,不要设置发往 Internet 的包,除非你打算依靠 TOS来路由,比如用iproute2。


TTL操作用来改变数据包的生存时间域,我们可以让所有数据包只有一个特殊的TTL。它的存在主要是为了进行连接共享。有些ISP会查找一台单独的计算机是否使用不同的TTL,并且以此作为判断连接是否被共享的标志。


MARK用来给包设置特殊的标记。iproute2能识别这些标记,并根据不同的标记(或没有标记)决定不同的路由。用这些标记可以做带宽限制和基于请求的分类。


2、nat 表


此表仅用于NAT,也就是转换包的源或目标地址。注意,就像我们前面说过的,只有流的第一个包会被这个链匹配,其后的包会自动被做相同的处理。实际的操作分为以下几类:


DNAT

SNAT

MASQUERADE


DNAT操作主要用在这样一种情况,有一个合法的IP地址,要把对防火墙的访问重定向到其他的主机上(比如DMZ)。也就是说,我们改变的是目的地址,以使包能重路由到某台主机。


SNAT改变包的源地址,这在极大程度上可以隐藏本地网络或者DMZ等。一个很好的例子是我们知道防火墙的外部地址,但必须用这个地址替换本地网络地址。有了这个操作,防火墙就能自动地对包做SNAT和De-SNAT(就是反向的SNAT),以使LAN能连接到Internet。如果使用类似192.168.0.0/24这样的地址,是不会从Internet得到任何回应的。因为IANA定义这些网络(还有其他的)为私有的,只能用于LAN内部。


MASQUERADE的作用和SNAT完全一样,只是计算机的负荷稍微多一点。因为对每个匹配的包,MASQUERADE都要查找可用的IP地址,而不像SNAT用的IP地址是配置好的。当然,这也有好处,就是我们可以使用通过PPP、 PPPOE、SLIP等拨号得到的地址,这些地址可是由ISP的DHCP随机分配的。


3、Filter 表


filter 表用来过滤数据包,我们可以在任何时候匹配包并过滤它们。我们就是在这里根据包的内容对包做DROP或ACCEPT的。当然,也可以预先在其他地方做些过滤,但是这个表才是设计用来过滤的。几乎所有的target都可以在这儿使用。


三、状态机制


状态机制是 iptables 中特殊的一部分,其实它不应该叫状态机制,因为它只是一种连接跟踪机制。但是,很多人都认可状态机制这个名字。连接跟踪可以让Netfilter知道某个特定连接的状态。运行连接跟踪的防火墙称作带有状态机制的防火墙,以下简称为状态防火墙。状态防火墙比非状态防火墙要安全,因为它允许我们编写更严密的规则。


在iptables里,包是和被跟踪连接的四种不同状态有关的。它们是NEW、ESTABLISHED、RELATED 和INVALID。后面我们会深入地讨论每一个状态。使用--state 匹配操作,能很容易地控制“谁或什么能发起新的会话”。


所有在内核中由Netfilter的特定框架做的连接跟踪称作conntrack。conntrack可以作为模块安装,也可以作为内核的一部分。大部分情况下,我们想要,也需要更详细的连接跟踪,这是相比于缺省的conntrack而言。也因为此,conntrack中有许多用来处理TCP、UDP或ICMP协议的部件。这些模块从数据包中提取详细的、惟一的信息,因此能保持对每一个数据流的跟踪。这些信息也告知 conntrack流当前的状态。例如,UDP流一般由它们的目的地址、源地址、目的端口和源端口惟一确定。


在以前的内核里,我们可以打开或关闭重组功能。然而,自从iptables和Netfilter,尤其是连接跟踪被引入内核,这个选项就被取消了。因为没有包的重组,连接跟踪就不能正常工作。现在重组已经整合入 conntrack,并且在conntrack启动时自动启动。不要关闭重组功能,除非要关闭连接跟踪。


除了本地产生的包由OUTPUT链处理外,所有连接跟踪都是在PREROUTING链里进行处理的,意思就是,iptables会在PREROUTING链里重新计算所有的状态。如果我们发送一个流的初始化包,状态就会在OUTPUT链里被设置为NEW,当我们收到回应的包时,状态就会在PREROUTING 链里被设置为ESTABLISHED。如果第一个包不是本地产生的,那就会在 PREROUTING 链里被设置为 NEW 状态。综上,所有状态的改变和计算都是在 nat表中的PREROUTING链和OUTPUT链里完成的。


1、conntrack记录


我们先来看看怎样阅读/proc/net/ip_conntrack里的conntrack记录。这些记录表示的是当前被跟踪的连接。如果安装了ip_conntrack模块,cat/proc/net/ip_conntrack的显示类似:


tcp        6  117  SYN_SENT  src=192.168.1.6  dst=192.168.1.9  sport=32775  \

dport=22  [UNREPLIED] src=192.168.1.9  dst=192.168.1.6  sport=22  \

dport=32775  use=2


conntrack模块维护的所有信息都包含在这个例子中了,通过它们就可以知道某个特定的连接处于什么状态。首先显示的是协议,这里是 tcp,接着是十进制的 6(tcp的协议类型代码是6)。之后的117是这条conntrack记录的生存时间,它会有规律地被消耗,直到收到这个连接的更多的包。那时,这个值就会被设为当时那个状态的缺省值。接下来的是这个连接在当前时间点的状态。上面的例子说明这个包处在状态 SYN_SENT,这个值是iptables 显示的,以便我们好理解,而内部用的值稍有不同。SYN_SENT 说明我们正在观察的这个连接只在一个方向发送了一个TCP SYN包。再下面是源地址、目的地址、源端口和目的端口。其中有个特殊的词UNREPLIED,说明这个连接还没有收到任何回应。最后,是希望接收的应答包的信息,它们的地址和端口和前面是相反的。


连接跟踪记录的信息依据IP所包含的协议不同而不同,所有相应的值都是在头文件linux/include/netfilter-ipv4/ip_conntrack*.h中定义的。IP、TCP、UDP、ICMP协议的缺省值是在 linux/include/netfilter-ipv4/ip_conntrack.h 里定义的。具体的值可以查看相应的协议,但我们这里用不到它们,因为它们大都只在conntrack内部使用。随着状态的改变,生存时间也会改变。


当一个连接在两个方向上都有传输时,conntrack记录就删除[UNREPLIED]标志,然后重置。在末尾有[ASSURED]的记录说明两个方向已没有流量。这样的记录是确定的,在连接跟踪表满时,是不会被删除的,没有[ASSURED]的记录就要被删除。连接跟踪表能容纳多少记录是被一个变量控制的,它可由内核中的ip- sysctl函数设置。默认值取决于内存大小,128MB可以包含8192条目录,256MB是16376条。也可以在 /proc/sys/net/ipv4/ip_conntrack_max里查看、设置。


2、数据包在用户空间的状态


就像前面说的,包的状态依据IP所包含的协议不同而不同,但在内核外部,也就是用户空间里,只有4种状态:NEW、ESTABLISHED、RELATED和INVALID。它们主要是和状态匹配一起使用。表6中简要地介绍了这几种状态。

表6  数据包在用户空间的状态

这些状态可以一起使用,以便匹配数据包。这可以使防火墙非常强壮和有效。以前,经常需要打开1024以上的所有端口来放行应答的数据。现在,有了状态机制,就不需再这样了。因为可以只开放那些有应答数据的端口,其他的都可以关闭。这样就安全多了。


3、TCP连接


现在我们来详细讨论这些状态,以及在TCP、UDP和ICMP这三种基本的协议里怎样操作它们。当然,也会讨论其他协议的情况。我们还是从TCP入手,因为它本身就是一个带状态的协议,并且具有很多关于iptables状态机制的详细信息。


一个TCP连接是经过三次握手协商连接信息才建立起来的。整个会话由一个SYN包开始,然后是一个SYN/ACK包,最后是一个ACK包,此时,会话才建立成功,能够发送数据。最大的问题在于连接跟踪怎样控制这个过程,其实非常简单。


默认情况下,连接跟踪基本上对所有的连接类型做同样的操作。如图2所示,我们就能明白在连接的不同阶段,流是处于什么状态的。就如你看到的,连接跟踪的代码不是从用户的观点来看待TCP连接建立的流程的。连接跟踪一看到SYN包,就认为这个连接是NEW状态,一看到返回的SYN/ACK包,就认为连接是ESTABLISHED状态。如果仔细想想第二步,应该能理解为什么。有了这个特殊处理,NEW和ESTABLISHED包就可以发送出本地网络,且只有ESTABLISHED的连接才能有回应信息。如果把整个建立连接的过程中传输的数据包都看作NEW,那么三次握手所用的包都是NEW状态的,这样就不能阻塞从外部到本地网络的连接了。因为即使连接是从外向内的,但它使用的包也是 NEW 状态的,而且为了其他连接能正常传输,不得不允许NEW状态的包返回并进入防火墙。更复杂的是,针对TCP连接内核使用了很多内部状态,它们的定义在 RFC 793中。但好在用户空间用不到。

图2  TCP连接状态图

以用户的观点来看,这是很简单的。但是,从内核的角度看这一块还有点困难的。下面来看一个例子。认真考虑一下在/proc/net/ip_conntrack里,连接的状态是如何改变的。


tcp        6  117  SYN_SENT  src=192.168.1.5  dst=192.168.1.35  sport=1031  \

dport=23  [UNREPLIED] src=192.168.1.35  dst=192.168.1.5  sport=23  \

dport=1031  use=1


从上面的记录可以看出,SYN_SENT状态被设置了,这说明连接已经发出一个SYN包,但应答还没发送过来,这可从[UNREPLIED]标志看出。


tcp        6  57  SYN_RECV  src=192.168.1.5  dst=192.168.1.35  sport=1031  \

dport=23  src=192.168.1.35  dst=192.168.1.5  sport=23  dport=1031  \

use=1


现在我们已经收到了相应的SYN/ACK包,状态也变为SYN_RECV,这说明最初发出的SYN包已被正确传输,并且SYN/ACK包也到达了防火墙。这就意味着在连接的两方都有数据传输,因此可以认为两个方向都有相应的回应。当然,这是假设的。


tcp        6  431999  ESTABLISHED  src=192.168.1.5  dst=192.168.1.35  \

sport=1031  dport=23  src=192.168.1.35  dst=192.168.1.5  \

sport=23  dport=1031  use=1


现在我们发出了三步握手的最后一个包,即ACK包,连接也就进入ESTABLISHED状态了。再传输几个数据包,连接就是[ASSURED]的了。


下面介绍TCP连接在关闭过程中的状态。在发出最后一个ACK包之前,连接(指两个方向)是不会关闭的。注意,这只是针对一般的情况。连接也可以通过发送关闭,这用在拒绝一个连接的时候。在RST包发送之后,要经过预先设定的一段时间,连接才能断掉。


连接关闭后,进入TIME_WAIT状态,缺省时间是2分钟。之所以留这个时间,是为了让数据包能完全通过各种规则的检查,也是为了数据包能通过拥挤的路由器,从而到达目的地。


如果连接是被RST包重置的,就直接变为CLOSE了。这意味着在关闭之前只有10秒的默认时间。RST包是不需要确认的,它会直接关闭连接。针对TCP连接,还有其他一些状态我们没有谈到。表7给出一个完整的状态列表和超时值。

表7  内部状态

这些值不是绝对的,可以随着内核的修订而变化,也可以通过/proc/sys/net/ipv4/netfilter/ip_ct_tcp_*的变量更改。这些默认值都是经过实践检验的。它们的单位是jiffies(百分之一秒),所以3000就代表30s。


注意状态机制在用户空间里的部分不会查看 TCP包的标志位(也就是说 TCP标志对它而言是透明的)。如果我们想让NEW状态的包通过防火墙,就要指定NEW状态,我们理解的NEW状态的意思就是指SYN包,可是iptables又不查看这些标志位。这就是问题所在。有些没有设置SYN或ACK的包,也会被看作NEW状态的。这样的包可能会被冗余防火墙用到,但对只有一个防火墙的网络是很不利的(可能会被攻击)。为了避免这样的包的影响,可以使用未设置SYN的NEW状态包里的命令。还有一个办法,就是安装patch-o-matic里的tcp-window-tracking扩展功能,它可以使防火墙能根据TCP的一些标志位来进行状态跟踪。


4、UDP连接


UDP连接是无状态的,因为它没有任何的连接建立和关闭过程,而且大部分是无序列号的。以某个顺序收到的两个数据包是无法确定它们的发出顺序的。但内核仍然可以对 UDP连接设置状态。我们来看看是如何跟踪UDP连接的,以及conntrack的相关记录。


以用户的角度考虑,UDP连接的建立几乎与TCP的一样。虽然conntrack信息看起来有点儿不同,但本质上是一样的。下面我们先来看看第一个UDP包发出后的conntrack记录。


udp        17  20  src=192.168.1.2  dst=192.168.1.5  sport=137  dport=1025  \

[UNREPLIED] src=192.168.1.5  dst=192.168.1.2  sport=1025  \

dport=137  use=1


从前两个值可知,这是一个UDP包。第一个是协议名称,第二个是协议号,第三个是此状态的生存时间,默认是30秒。接下来是包的源、目地址和端口,还有期待之中回应包的源、目地址和端口。[UNREPLIED]标记说明还未收到回应。


udp        17  170  src=192.168.1.2  dst=192.168.1.5  sport=137  \

dport=1025  src=192.168.1.5  dst=192.168.1.2  sport=1025  \

dport=137  use=1


一旦收到第一个包的回应,[UNREPLIED]标记就会被删除,连接就被认为是ESTABLISHED的,但在记录里并不显示ESTABLISHED标记。相应地,状态的超时时间也变为180秒了。在本例中,只剩170秒了,10秒后,就会减少为160秒。有个东西是不可少的,虽然它可能会有些变化,就是前面提过的[ASSURED]。要想变为 [ASSURED]状态,连接上必须要再有些流量。


udp        17  175  src=192.168.1.5  dst=195.22.79.2  sport=1025  \

dport=53  src=195.22.79.2  dst=192.168.1.5  sport=53  \

dport=1025  [ASSURED] use=1


可以看出来,[ASSURED]状态的记录和前面的没有多大差别,除了标记由[UNREPLIED]变成[ASSURED]。如果这个连接持续不了180秒,那就要被中断。180秒是短了点儿,但对大部分应用足够了。只要遇到这个连接的包穿过防火墙,超时值就会被重置为默认值,所有的状态都是这样的。


5、ICMP连接


ICMP也是一种无状态协议,它只是用来控制而不是建立连接。ICMP包有很多类型,但只有四种类型有应答包,它们是回显请求和应答(Echo request and reply)、时间戳请求和应答(Timestamp request and reply)、信息请求和应答(Information request and reply),还有地址掩码请求和应答(Address mask request and reply),这些包有两种状态,NEW和 ESTABLISHED。时间戳请求和信息请求已经废除不用了,回显请求还是常用的,比如ping命令就用的到,地址掩码请求不太常用,但是可能有时很有用并且值得使用。如图3所示,就可以大致了解ICMP连接的NEW和ESTABLISHED状态了。

图3  ICMP状态图

如图所示,主机向目标发送一个回显请求,防火墙就认为这个包处于 NEW 状态。目标回应一个回显应答,防火墙就认为包处于 ESTABLISHED 了。当回显请求被发送时,ip_conntrack里就有这样的记录了:


icmp       1  25  src=192.168.1.6  dst=192.168.1.10  type=8  code=0  \

id=33029  [UNREPLIED] src=192.168.1.10  dst=192.168.1.6  \

type=0  code=0  id=33029  use=1


可以看到,ICMP的记录和TCP、UDP的有点区别,协议名称、超时时间和源、目的地址都一样,不同之处在于没有了端口,而新增了三个新的字段:type、code和id。字段type说明ICMP的类型。code说明ICMP的代码,这些代码在附录ICMP类型里有说明。id是ICMP包的ID。每个ICMP包被发送时都被分配一个ID,接收方把同样的ID 分配给应答包,这样发送方能认出是哪个请求的应答。


[UNREPLIED]的含义和前面一样,说明数据的传输只发生在一个方向上,也就是说未收到应答。再往后,是应答包的源、目的地址,还有相应的三个新字段,要注意的是type和code是随着应答包的不同而变化的,id和请求包的一样。


和前面一样,应答包被认为是ESTABLISHED的。然而,在应答包之后,这个ICMP 连接就不再有数据传输了。所以,一旦应答包穿过防火墙,ICMP的连接跟踪记录就被销毁了。


以上各种情况,请求被认为是NEW,应答是ESTABLISHED。换句话说,就是当防火墙看到一个请求包时,就认为连接处于NEW状态,当有应答时,就是ESTABLISHED状态。


ICMP的缺省超时是30秒,可以在/proc/sys/net/ipv4/netfilter/ip_ct_icmp_timeout中修改。这个值是比较合适的,适合于大多数情况。


ICMP的另一个非常重要的作用是,告诉UDP、TCP连接或正在努力建立的连接发生了什么,这时ICMP应答被认为是RELATED的。主机不可达和网络不可达就是这样的例子。当试图连接某台主机不成功时(可能那台主机被关上了),数据包所到达的最后一台路由器就会返回以上的ICMP信息,它们就是RELATED的。


我们发送了一个SYN包到某一地址,防火墙认为它的状态是NEW。但是目标网络有问题不可达,路由器就会返回网络不可达的信息,这是RELATED的。连接跟踪会认出这个错误信息是哪个连接的,连接会中断,同时相应的记录删除会被删除。当UDP连接遇到问题时,同样会有相应的ICMP信息返回,当然它们的状态也是RELATED。


我们发送一个UDP包,当然它是NEW的。但是,目标网络被一些防火墙或路由器所禁止。我们的防火墙就会收到网络被禁止的信息。防火墙知道它是和哪个已打开的UDP连接相关的,并且把这个信息(状态是 RELATED)发给它,同时,把相应的记录删除。客户机收到网络被禁止的信息,连接将被中断。


6、缺省的连接操作


有时conntrack机制并不知道如何处理某个特殊的协议,尤其是在它不了解这个协议或不知道协议如何工作时,比如NETBLT、MUX还有EGP。这种情况下,conntrack使用缺省的操作。这种操作很像对UDP连接的操作,就是第一个包被认作NEW,其后的应答包等等数据都是 ESTABLISHED。


使用缺省操作的包的超时值都是一样的,为600秒,也就是10分钟。当然,这个值可以通过/proc/sys/net/ipv4/netfilter/ip_ct_generic_timeout更改,以便适应通信量,尤其是在耗时较多、流量巨大的情况下,可使用卫星等。


7、复杂协议和连接跟踪


有些协议比其他协议更复杂,这里复杂的意思是指连接跟踪机制很难正确地跟踪它们,比如ICQ、IRC 和FTP,它们都在数据包的数据域里携带某些信息,这些信息用于建立其他的连接。因此,需要一些特殊的 helper来完成工作。


下面以FTP作为例子。FTP协议先建立一个单独的连接——FTP控制会话。通过这个连接发布命令,其他的端口就会打开以便传输和这个命令相关的数据。这些连接的建立方法有两种:主动模式和被动模式。先看主动模式,FTP客户端发送端口和IP地址信息给服务器端,然后,客户端打开这个端口,服务器端从它自己的 20 端口(FTP-Data端口号)建立与这个端口的连接,接着就可以使用这个连接发送数据了。


问题在于防火墙不知道这些额外的连接(相对于控制会话而言),因为这些连接在建立时的磋商信息都在协议数据包的数据域内,而不是在可分析的协议中。因此,防火墙就不知道是不是该放这些从服务器到客户机的连接过关。


解决的办法是为连接跟踪模块增加一个特殊的 helper,以便能检测到那些信息。这样,那些从FTP服务器到客户机的连接就可以被跟踪了,状态是RELATED。被动FTP工作方式下,data连接的建立过程和主动FTP的相反。客户机告诉服务器需要某些数据,服务器就把地址和端口发回给客户机,客户机据此建立连接接收数据。如果FTP服务器在防火墙后面,或对用户限制得比较严格,只允许他们访问HTTP和FTP,而封闭了其他所有端口,为了让在Internet上的客户机能访问到FTP,也需要增加上面提到的helper。Conntrack helper既可以被静态地编译进内核,也可以作为模块,但要用下面的命令装载:


modprobe ip_conntrack_*


注意连接跟踪并不处理 NAT,因此要对连接做 NAT 就需要增加相应的模块。比如,用户想NAT并跟踪FTP连接,除了FTP的相应模块,还要有NAT模块。所有的 NAT helper名字都是以ip_nat_开头的,这是一个命名习惯:FTP NAT helper叫做ip_nat_ftp,IRC的相应模块就是ip_nat_irc。conntrack helper 的命名也遵循一样的习惯:针对IRC的conntrack helper叫ip_conntrack_irc,FTP的叫作ip_conntrack_ftp。

微信公众号:计算机与网络安全

ID:Computer-network

【推荐书籍】

您可能也对以下帖子感兴趣

文章有问题?点此查看未经处理的缓存