《网络操作系统配置与管理实训教程 教学课件 ppt 作者 朱林立 网络操作系统配置与管理实训教程－第4章》由会员分享，可在线阅读，更多相关《网络操作系统配置与管理实训教程 教学课件 ppt 作者 朱林立 网络操作系统配置与管理实训教程－第4章（37页珍藏版）》请在金锄头文库上搜索。
1、第4章 系统安全,4.2 WSUS配置与管理,问题描述 问题分析,问题描述,为了满足南方某电子信息集团有限公司自建WSUS服务器的需求，WSUS服务器需要实现从Microsoft更新服务器下载更新信息，为公司内部所有Microsoft应用程序提供Windows操作系统、SQL Server及Office等更新服务，节省出口带宽，提高公司内部Windows操作系统计算机的安全。,问题分析,无论是Windows 2000/XP/2003还是最新发布的Windows Server 2008，都不可避免地会存在系统漏洞，甚至是非常危险的安全漏洞。因此，Microsoft公司也就不停地发布系统补丁。如果
2、让网络内所有的计算机都从Microsoft的系统更新服务器同时下载补丁，既会浪费大量宝贵的网络带宽，也是由于部分客户端没有及时更新而遭受网络攻击，因此，借且WSUS实现公司内部的系统自动更新就成为保障系统安全的必要手段。,问题分析,任务单,任务一：WSUS服务器的安装,双击下载的WSUS3.0安装文件， “Windows Server Update Services3.0安装向导”。,任务一：WSUS服务器的安装,打开“安装模式选择”对话框，默认选择“包括管理控制台的完整服务器安装”。,任务一：WSUS服务器的安装,打开 “网站选择”对话框，安装程序在网站发布时使用80及8530两个端口发布网
3、站。选择“使用现有IIS默认网站”选项，使用80端口发布。,任务二：配置WSUS服务器,依次单击“开始”“管理工具”“Microsoft Windws Server Update Services 3.0”，启动WSUS3.0配置向导。配置向导显示配置前的准备工作，查看并核实已经完成准备工作。,任务二：配置WSUS服务器,打开“选择上游服务器”对话框，若直接从Microsoft服务器同步，请选择“从Microsoft Update进行同步”选项。,任务二：配置WSUS服务器,完成连接测试后，打开“选择语言”对话框。此案例选择“英语”和“中文（简体）” 。,任务二：配置WSUS服务器,打开“选择
4、产品”对话框。在“所有产品”列表框中显示目前WSUS支持的所有Microsoft应用程序，选择“Office”、“SQL Server”、“Windows” 。,任务二：配置WSUS服务器,打开“选择分类”对话框，勾选“安全更新程序”、“定义更新”及“关键更新程序” 。,任务二：配置WSUS服务器,打开“设置同步计划”，选择“自动同步”选项，并设定同步时间为夜间1时11分，同步频率每天一次。,任务二：配置WSUS服务器,打开“完成”对话框，勾选“启动WSUS管理控制台”和“开始初始同步”选项，将在打开WSUS管理控制台的同时进行更新同步。,任务三：利用组策略实现域WSUS更新,在域组策略中建立
5、WSUS组策略，设置“产品生产部”所有Windows系统计算机更新服务器地址“192.168.10.50”，实现WSUS更新功能。,任务三：利用组策略实现域WSUS更新,在域控制器中依次单击“开始”“管理工具”“Active Directory用户和计算机”右击“产品生产部”选择“属性”命令。,任务三：利用组策略实现域WSUS更新,打开“产品生产部 属性”对话框，单击“新建”按钮，更改组策略名为“WSUS” 。,任务三：利用组策略实现域WSUS更新,单击“编辑”按钮，打开“组策略编辑器”对话框，右击“管理模板”选择“添加/删除模板” 。,任务三：利用组策略实现域WSUS更新,打开 “添加/删除
6、模板”对话框。,任务三：利用组策略实现域WSUS更新,单击“添加”按钮，打开如所示“策略模板”文件选择对话框，选中“wuau.adm”，单击“打开”，完成WSUS管理模块文件的添加。,任务三：利用组策略实现域WSUS更新,在“组策略编辑器”中依次展开“计算机配置”“管理模板”“Windows组件”“Windows Update” 。,任务三：利用组策略实现域WSUS更新,双击“配置自动更新”，打开“配置自动更新 属性”对话框，选择“已启用”单选按钮。,任务三：利用组策略实现域WSUS更新,打开“指定Intranet Microsoft更新服务位置 属性”对话框，选择“已启用”单选按钮，并在“为
7、检测更新设置Intranet更新服务”及“设置Intranet统计服务器”文本框中分别输入WSUS服务器地址。,4.3 Linux环境下的IPtables,南方某电子信息集团有限公司现有网络应用系统平台已基本搭建完成，恰当的防火墙软件来保证系统的安全是必不可少的一部分，在Linux平台下自带的包过滤防火墙可为应用系统的平稳运行提供保障，如何进行管理与配置是需要解决的一个问题。,问题描述,IPTABLES集成到linux内核中，用户通过IPTABLES，可以对计算机的进出数据包进行过滤。通过IPTABLES命令设置规则，来把守计算机网络哪些数据允许通过，哪些不能通过，哪些通过的数据进行记录（lo
8、g）。主要包括配iptables链的基本操作、配置基本的规则匹配、配置扩展的规则匹配等。,问题分析,任务单,任务一：iptables链的基本操作,1.清除规则 （1）清除预设表filter中任何规则链中的规则。 # iptables -F （2）清除预设表filter中使用者自定链中的规则。 #iptables -X #iptables Z,2.配置链的默认策略 （1）首先允许任何包通过，然后再禁止有危险的包通过防火墙。 #iptables -P INPUT ACCEPT #iptables -P OUTPUT ACCEPT #iptables -P FORWARD ACCEPT （2）首先禁
9、止任何包通过，然后根据需要的服务允许特定的包通过防火墙。 #iptables -P INPUT DROP #iptables -P OUTPUT DROP #iptables -P FORWARD DROP 3.列出表/链中的任何规则，默认只列出filter表。 #iptables L,4.向链中添加规则，下面的语句用于开放网络接口： #iptables -A INPUT -i lo -j ACCEPT #iptables -A OUTPUT -o lo -j ACCEPT #iptables -A INPUT -i eth0 -j ACEPT #iptables -A OUTPUT -o e
10、th1 -j ACCEPT #iptables -A FORWARD -i eth1 -j ACCEPT #iptables -A FORWARD -o eth1 -j ACCEPT 5.使用者自定义链 #iptables -N custom #iptables -A custom -s 0/0 -d 0/0 -p icmp -j DROP #iptables -A INPUT -s 0/0 -d 0/0 -j DROP,任务二：配置基本的规则匹配,1.指定协议匹配 （1）匹配指定协议 #iptables -A INPUT -p tcp （2）匹配指定协议之外的任何协议 #iptables -
11、A INPUT -p !tcp 2.指定地址匹配 （1）指定匹配的主机 #iptables -A INPUT -s 192.168.0.18 （2）指定匹配的网络 #iptables -A INPUT -s 192.168.2.0/24,（3）匹配指定主机之外的地址 #iptables -A FORWARD -s !192.168.0.19 （4）匹配指定网络之外的网络 #iptables -A FORWARD -s ! 192.168.3.0/24 3.指定网络接口匹配 （1）指定单一的网络接口匹配 #iptables -A INPUT -i eth0 #iptables -A FORWAR
12、D -o eth0 （2）指定同类型的网络接口匹配 #iptables -A FORWARD -o ppp,4.指定端口匹配 （1）指定单一端口匹配 #iptables -A INPUT -p tcp -sport www #iptables -A INPUT -p udp dport 53 （2）匹配指定端口之外的端口 #iptables -A INPUT -p tcp dport !22 （3）匹配端口范围 #iptables -A INPUT -p tcp sport 22:80 （4）匹配ICMP端口和ICMP类型 #iptables -A INOUT -p icmp icimp-ty
13、pe 8,任务三：配置扩展的规则匹配,1.多端口匹配 （1）匹配多个源端口 #iptables -A INPUT -p tcp -m multiport sport 22,53,80,110 （2）匹配多个目的端口 #iptables -A INPUT -p tcp -m multiport dpoort 22,53,80 （3）匹配多端口 #iptables -A INPUT -p tcp -m multiport port 22,53,80,110,2.指定TCP匹配扩展 使用tcp-flags 选项能够根据tcp包的标志位进行过滤 #iptables -A INPUT -p tcp tc
14、p-flags SYN,FIN,ACK SYN #iptables -A FROWARD -p tcp tcp-flags ALL SYN,ACK 上实例中第一个表示SYN、ACK、FIN的标志都检查，但是只有SYN匹配。第二个表示ALL（SYN，ACK，FIN，RST，URG，PSH）的标志都检查，但是只有配置了SYN和ACK的匹配。 #iptables -A FORWARD -p tcp -syn 选项-syn相当于“-tcp-flags SYN,RST,ACK SYN”的简写。,3.limit速率匹配扩展 （1）指定单位时间内允许通过的数据包个数，单位时间能够是/second、/minu
15、te、/hour、/day或使用第一个字母。 #iptables -A INPUT -m limit -limit 300/hour （2）指定触发事件的阀值。 #iptables -A INPUT -m limit limit-burst 10 （3）同时指定速率限制和触发阀值 #iptables -A INPUT -p icmp -m limit -limit 3/m limit-burst 3 表示每分钟允许的最大包数量为限制速率（本例为3）加上当前的触发阀值burst数。任何情况下，都可确保3个数据包通过，触发阀值burst相当于允许额外的包数量。,4.基于状态的匹配扩展 每个网络连接
16、包括以下信息：源地址、目标地址、源端口、目的端口，称为套接字对（socket pairs）；协议类型、连接状态（TCP协议）和超时时间等。防火墙把这些信息称为状态（stateful）。状态包过滤防火墙能在内存中维护一个跟踪状态的表，比简单包过滤防火墙具备更大的安全性，命令格式如下： iptables -m state -state !state ,state,state,state 其中，state是个逗号分割的列表，用来指定连接状态，4种： NEW：该包想要开始一个新的连接。 RELATED：该包是属于已连接的新建连接。,ESTABLISHED：该包属于某个已建立的连接。 INVALID：该包不匹配于任何连接，通常这些包被DROP。 （1）在INPUT链添加一条规则，匹配已建立的连接或由已建立的连接所建立的新连接。即匹配任何的TCP回应包。 #iptables -A INPUT -m state state RELATED,ESTABLISHED （2）在INPUT链添加一
