《linux操作系统应用项目化教程教学课件作者普星linux操作系统应用第二十五讲》由会员分享，可在线阅读，更多相关《linux操作系统应用项目化教程教学课件作者普星linux操作系统应用第二十五讲（16页珍藏版）》请在金锄头文库上搜索。
1、LINUX操作系统应用,软件与服务外包学院 网络安全技术 主讲：普星 邮箱：postpx,项目5网络服务器架设架设防火墙与代理服务器,【知识目标】 了解防火墙的基本概念、分类与作用； 掌握Squid代理服务器的分类及特点 熟悉Linux防火墙的架构及包过滤的匹配流程 掌握iptables命令的格式和使用 掌握NAT的配置方法； 【能力目标】 会安装iptables软件包； 能使用iptables命令设置包过滤规则 会配置NAT服务 会安装Squid软件包 会架设普通代理、透明代理和反向代理服务器 会在客户端测试iptables和Squid的配置情况,任务14-5 squid服务器的安装,1检查
2、是否安装了squid服务器 rpm -qa | grep squid 2安装squid软件包,rootdyzx # mount /dev/cdrom /mnt rootdyzx # rpm -ivh /mnt/Packages/squid-3.1.10-16.el6.i686.rpm,任务14-6 认识Squid配置参数与初始化,1设置监听的端口和IP地址 http_port 3128 2设置内存缓冲大小 cache_mem 512MB 3设置保存到缓存的最大文件的大小 maximum_object_size 4096 KB 4设置用户下载的最大文件的大小 reply_body_max_siz
3、e 10240000 allow all,5设置硬盘缓存的大小 cache_dir ufs /var/spool/squid 4096 16 256 6设置DNS服务器的地址 dns_nameservers 61.144.56.101 7设置运行Squid主机的名称 visible_hostname 10.10.1.254 8设置访问控制 acl 列表名称 列表类型 -i 列表值1 列表值2,任务14-6 认识Squid配置参数与初始化,9设置日志文件 用户访问因特网的日志cache_access_log /var/log/squid/access.log access.log文件中包含了对S
4、quid发起的每个终端客户请求,每个请求有一行记录。假如因为某些原因,不想让Squid记录终端客户请求日志,则可以设定日志文件的路径为“/dev/null”,或用“cache_access_log none”语句取消。 缓存日志文件cache_log /var/log/squid/cache.log cache.log包含了状态性的和调试性的消息。 缓存中网站传输情况的日志文件cache_store_log /var/log/squid/store.log store.log文件包含了进入和离开缓存的每个目标的记录,平均记录大小典型的为175200字节。,任务14-6 认识Squid配置参数与
5、初始化,Squid最重要的日志文件是“/var/log/squid/access.log”,该日志文件记录了客户使用代理服务器的许多有用信息,共包含10个字段,每个字段的含义如表14-5所示。,任务14-6 认识Squid配置参数与初始化,10初始化Squid缓存目录 成功安装并配置好Squid服务器后,为了能够使Squid在硬盘中缓存用户访问目标服务器的内容,在初次运行Squid之前,或者修改了cache_dir设置后,都必须对Squid初始化。初始化的实质就是按配置项cache_dir ufs /var/spool/squid 4096 16 256的要求,在指定目录下自动建立指定数量的一
6、级和二级子目录。 Squid初始化的命令格式为:squid zX 其中:-X选项的作用是网管员可观察到初始化的过程。 初始化完成后,可以看到在/var/spool/squid/目录下建立了相应的两级子目录。,任务14-6 认识Squid配置参数与初始化,任务14-7 普通代理服务器的配置,【例14-18】代理服务器配置两块网卡,内网卡eth0(10.10.1.254/24)、能访问公网的外网卡eth1(210.42.198.207/24),代理服务器内存2G,SCSI硬盘容量200GB,设置10GB空间为硬盘缓存,要求内网网段(10.10.1.0/24)中所有客户端都可以上网。 配置普通代理服
7、务器的步骤如下:,任务14-7 普通代理服务器的配置,步骤1:按照图14-5所示要求配置各主机的网络参数,其中内网中的Web服务器及测试客户机的网关应设为代理服务器的内网卡eth1的IP地址10.10.1.254。 步骤2:在作为代理服务器的主机上安装Squid软件包。默认Squid未安装,安装RHEL6.4自带的squid便可。 步骤3:修改主配置文件/etc/squid/squid.conf。,rootproxy # vim /etc/squid/squid.conf /在文件尾添加以下各配置行 http_port 10.10.1.254:8080 /在内网卡的8080端口监听来自内网客户
8、机的http请求 cache_mem 256 MB /设置内存缓存为512MB cache_dir ufs /var/spool/squid 10240 16 256 /设置10GB硬盘缓存大小及目录 visible_hostname 10.10.1.254 /设置squid可见的主机名 dns_nameservers 222.246.129.80 58.20.127.170 /设置DNS服务器的IP地址,任务14-7 普通代理服务器的配置,步骤4:初始化Squid缓存目录并启动Squid服务,为方便测试可停止代理服务器防火墙的功能。,rootproxy # squid -z rootprox
9、y # service squid start rootproxy # chkconfig squid on /开启2、3、4、5运行级别下的自动启动 rootproxy # service iptables stop,步骤5:设置内网中客户机网卡及IE代理。,步骤6:测试内网中的客户机访问公网中的Web服务器。,任务14-8 透明代理服务器的配置,步骤1:清空filter表和nat表中的配置策略添加iptables的重定向规则,使得内网用户访问外网的Web服务器的80端口转换为代理服务器设置的端口8080设置Linux作为网关服务器,使得内网所有IP地址如果访问外网都映射为代理服务区的外网卡
10、的IP地址与外网联络。,rootproxy # iptables -F rootproxy # iptables -t nat -F rootproxy # iptables -t nat -A PREROUTING -i eth0 -s 10.10.1.0/24 -p tcp -dport 80 -j REDIRECT -to-ports 8080 rootproxy # iptables -t nat -A POSTROUTING -s 10.10.1.0/24 -j SNAT -to-source 210.42.198.207 rootproxy # service iptables s
11、ave /保存iptables设置,任务14-8 透明代理服务器的配置,步骤2:在代理服务器上开启内核路由功能,rootproxy # echo “1“ /proc/sys/net/ipv4/ip_forward,步骤3:修改squid.conf配置文件,添加对透明代理的支持(其他配置项与普通代理相同)。,rootproxy # vim /etc/squid/squid.conf http_port 10.10.1.254:8080 transparent,步骤4:检查squid.conf配置文件(当更改过配置文件后最好验证一下配置文件的语法正确性)Squid服务初始化(若前面在普通代理服务中
12、已初始化,在此可省略)重新加载修改后的配置文件。,rootproxy # squid -k parse rootproxy # squid -zX rootproxy # squid -k reconfigure,步骤5:测试。客户端只要设置IP地址、子网掩码、默认网关(设置成squid的内部网卡的IP)及DNS的IP地址就可以直接上网了(浏览器中不要设置代理)。,任务14-9 反向代理服务器的配置,【例14-19】学校搭建了Web服务器(10.10.1.1/24),希望让互联网上的客户能通过反向代理服务器访问校园网内的Web服务器。 步骤1:在内网使用RHEL6搭建好Web服务器(10.10
13、.1.1/24),并开放其80端口。,步骤2:在代理服务器上修改squid.conf配置文件,添加对反向代理的支持,并指定反向代理后台真实的Web服务器的位置参数等(其他配置项与透明代理相同)。,rootwebserver # service httpd start /RHEL6已默认安装httpd,在此只需启动服务 rootwebserver # iptables -I INPUT -p tcp -dport 80 -j ACCEPT,rootproxy # vim /etc/squid/squid.conf http_port 210.42.198.207:80 vhost vport /
14、支持主机映射 cache_peer 10.10.1.1 parent 80 0 originserver weight=5 max-conn=30 visible_hostname 210.42.198.207 /注意与普通代理的IP区别,此处是外网卡的IP来代表主机可见,任务14-9 反向代理服务器的配置,步骤3:重新加载修改后的配置文件。,步骤4:在代理服务器上开启内核路由功能。,rootproxy # squid -k reconfigure,rootproxy # echo “1“ /proc/sys/net/ipv4/ip_forward,步骤5:清空filter表和nat表中的配置
15、策略将内网Web服务器的IP地址映射到代理服务器外网卡的IP地址上,使得外网用户可以通过80端口访问代理服务器的外网卡的IP地址,并能够将目的IP地址转换为内网Web服务器的IP地址放行转发访问内网Web服务器的数据包,使得外网用户可以通过80端口访问代理服务器外网卡的IP地址,并且能够将外网IP地址映射为内网Web服务器的IP地址,进而访问内部Web服务器。,rootproxy # iptables -F rootproxy # iptables -t nat -F rootproxy # iptables -t nat -A PREROUTING -p tcp -d 210.42.198.207 -dport 80 -j DNAT -to-destination 10.10.1.1 rootproxy # iptables -A FORWARD -p tcp -d 10.10.1.1 -dport 80 -j ACCEPT rootproxy # service iptables save,步骤6:测试。在Internet中的客户端上,使用浏览器访问反向代理服务器连接外部网络接口的地址(如:http:/210.42.198.207)。,小结,Squid服务器的安装 Squid配置参数与初始化,
