《网络操作系统配置与管理实训教程-第4章课件》由会员分享，可在线阅读，更多相关《网络操作系统配置与管理实训教程-第4章课件（37页珍藏版）》请在金锄头文库上搜索。
1、第4章 系统安全4.2 WSUS配置与管理n n问题描述n n问题分析问题描述n n为了满足南方某电子信息集团有限公司自建WSUS服务器的需求，WSUS服务器需要实现从Microsoft更新服务器下载更新信息，为公司内部所有Microsoft应用程序提供Windows操作系统、SQL Server及Office等更新服务，节省出口带宽，提高公司内部Windows操作系统计算机的安全。问题分析n n无论是无论是Windows 2000/XP/2003Windows 2000/XP/2003还是最新发布的还是最新发布的Windows Server 2008Windows Server 2008，都
2、不可避免地会存在系统，都不可避免地会存在系统漏洞，甚至是非常危险的安全漏洞。因此，漏洞，甚至是非常危险的安全漏洞。因此，MicrosoftMicrosoft公司也就不停地发布系统补丁。如果让公司也就不停地发布系统补丁。如果让网络内所有的计算机都从网络内所有的计算机都从MicrosoftMicrosoft的系统更新服的系统更新服务器同时下载补丁，既会浪费大量宝贵的网络带务器同时下载补丁，既会浪费大量宝贵的网络带宽，也是由于部分客户端没有及时更新而遭受网宽，也是由于部分客户端没有及时更新而遭受网络攻击，因此，借且络攻击，因此，借且WSUSWSUS实现公司内部的系统自实现公司内部的系统自动更新就成为
3、保障系统安全的必要手段。动更新就成为保障系统安全的必要手段。问题分析任务单1WSUS服务器的安装2配置WSUS服务器3.利用组策略实现域WSUS更新任务一：WSUS服务器的安装 n n双击下载的双击下载的WSUS3.0WSUS3.0安装文件，安装文件， “ “Windows Windows Server Update Server Update Services3.0Services3.0安装向导安装向导” ”。 任务一：WSUS服务器的安装n n打开打开“ “安装模式选择安装模式选择” ”对话框，默认选择对话框，默认选择“ “包括管理控制台的包括管理控制台的完整服务器安装完整服务器安装” ”
4、。 任务一：WSUS服务器的安装n n打开打开 “ “网站选择网站选择” ”对对话框，安装程序在网话框，安装程序在网站发布时使用站发布时使用8080及及85308530两个端口发布网两个端口发布网站。选择站。选择“ “使用现有使用现有IISIIS默认网站默认网站” ”选项，选项，使用使用8080端口发布。端口发布。任务二：配置WSUS服务器n n依次单击依次单击“ “开始开始” ”“ “管理工具管理工具” ”“ “Microsoft Microsoft Windws Server Windws Server Update Services 3.0Update Services 3.0” ”，启
5、动，启动WSUS3.0WSUS3.0配置配置向导。配置向导显示向导。配置向导显示配置前的准备工作，配置前的准备工作，查看并核实已经完成查看并核实已经完成准备工作。准备工作。任务二：配置WSUS服务器n n打开打开“ “选择选择 上游服上游服务器务器” ”对话框，若对话框，若直接从直接从MicrosoftMicrosoft服务服务器同步，请选择器同步，请选择“ “从从Microsoft UpdateMicrosoft Update进行进行同步同步” ”选项。选项。任务二：配置WSUS服务器n n完成连接测试后，打完成连接测试后，打开开“ “选择选择 语言语言” ”对话框。此案例选择对话框。此案例
6、选择“ “英语英语” ”和和“ “中文中文（简体）（简体）” ” 。任务二：配置WSUS服务器n n打开打开“ “选择选择 产品产品” ”对话框。在对话框。在“ “所所有产品有产品” ”列表框中显列表框中显示目前示目前WSUSWSUS支持的所支持的所有有MicrosoftMicrosoft应用程序，应用程序，选择选择“ “OfficeOffice” ”、“ “SQL ServerSQL Server” ”、“ “WindowsWindows” ” 。 任务二：配置WSUS服务器n n打开打开“ “选择选择 分类分类” ”对话框，勾选对话框，勾选“ “安全更新程序安全更新程序” ”、“ “定义更
7、新定义更新” ”及及“ “关键关键更新程序更新程序” ” 。 任务二：配置WSUS服务器n n打开打开“ “设置同步计划设置同步计划” ”，选择，选择“ “自动同步自动同步” ”选项，并设定同步选项，并设定同步时间为夜间时间为夜间1 1时时1111分，分，同步频率每天一次。同步频率每天一次。 任务二：配置WSUS服务器n n打开打开“ “完成完成” ”对话框，对话框，勾选勾选“ “启动启动WSUSWSUS管理管理控制台控制台” ”和和“ “开始初开始初始同步始同步” ”选项，将在选项，将在打开打开WSUSWSUS管理控制台管理控制台的同时进行更新同步。的同时进行更新同步。 任务三：利用组策略实
8、现域WSUS更新 n n在域组策略中建立WSUS组策略，设置“产品生产部”所有Windows系统计算机更新服务器地址“192.168.10.50”，实现WSUS更新功能。任务三：利用组策略实现域WSUS更新n n在在域控制器域控制器中依次单击中依次单击“ “开始开始” ”“ “管理工具管理工具” ”“ “Active Active DirectoryDirectory用户和计算用户和计算机机” ”右击右击“ “产品生产品生产部产部” ”选择选择“ “属性属性” ”命令。命令。 任务三：利用组策略实现域WSUS更新n n打开打开“ “产品生产部产品生产部 属属性性” ”对话框，单击对话框，单击“
9、 “新建新建” ”按钮，更改组按钮，更改组策略名为策略名为“ “WSUSWSUS” ” 。 任务三：利用组策略实现域WSUS更新n n单击单击“ “编辑编辑” ”按钮，按钮，打开打开“ “组策略编辑器组策略编辑器” ”对话框，右击对话框，右击“ “管管理模板理模板” ”选择选择“ “添添加加/ /删除模板删除模板” ” 。 任务三：利用组策略实现域WSUS更新n n打开打开 “ “添加添加/ /删除模板删除模板” ”对话框。对话框。 任务三：利用组策略实现域WSUS更新n n单击单击“ “添加添加” ”按钮，按钮，打开如所示打开如所示“ “策略模策略模板板” ”文件选择对话框，文件选择对话框，
10、选中选中“ “wuau.admwuau.adm” ”，单击单击“ “打开打开” ”，完成，完成WSUSWSUS管理模块文件的管理模块文件的添加。添加。 任务三：利用组策略实现域WSUS更新n n在在“ “组策略编辑器组策略编辑器” ”中依次展开中依次展开“ “计算机计算机配置配置” ”“ “管理模板管理模板” ”“ “WindowsWindows组件组件” ”“ “Windows Windows UpdateUpdate” ” 。 任务三：利用组策略实现域WSUS更新n n双击双击“ “配置自动更新配置自动更新” ”，打开，打开“ “配置自动配置自动更新更新 属性属性” ”对话框，对话框，选择
11、选择“ “已启用已启用” ”单选单选按钮。按钮。 任务三：利用组策略实现域WSUS更新n n打开打开“ “指定指定Intranet Intranet MicrosoftMicrosoft更新服务位更新服务位置置 属性属性” ”对话框，选对话框，选择择“ “已启用已启用” ”单选按单选按钮，并在钮，并在“ “为检测更为检测更新设置新设置IntranetIntranet更新服更新服务务” ”及及“ “设置设置IntranetIntranet统计服务器统计服务器” ”文本框文本框中分别输入中分别输入WSUSWSUS服务服务器地址。器地址。4.3 Linux环境下的IPtablesn n 南方某电子信
12、息集团有限公司现有网络应用系南方某电子信息集团有限公司现有网络应用系统平台已基本搭建完成，恰当的防火墙软件来保统平台已基本搭建完成，恰当的防火墙软件来保证系统的安全是必不可少的一部分，在证系统的安全是必不可少的一部分，在LinuxLinux平台平台下自带的包过滤防火墙可为应用系统的平稳运行下自带的包过滤防火墙可为应用系统的平稳运行提供保障，如何进行管理与配置是需要解决的一提供保障，如何进行管理与配置是需要解决的一个问题。个问题。问题描述n n IPTABLES IPTABLES集成到集成到linuxlinux内核中，用户通过内核中，用户通过IPTABLESIPTABLES，可，可以对计算机的进
13、出数据包进行过滤。通过以对计算机的进出数据包进行过滤。通过IPTABLESIPTABLES命令设命令设置规则，来把守计算机网络置规则，来把守计算机网络哪些数据允许通过，哪些不哪些数据允许通过，哪些不能通过，哪些通过的数据进行记录（能通过，哪些通过的数据进行记录（loglog）。主要包括配）。主要包括配iptablesiptables链的基本操作、配置基本的规则匹配、配置扩展的链的基本操作、配置基本的规则匹配、配置扩展的规则匹配等。规则匹配等。问题分析任务单任务单序号 任务1主DNS服务器配置2反向DNS服务器的配置3辅助DNS服务器的配置4多域DNS服务器的配置5子域DNS服务器的配置 任务一
14、：iptables链的基本操作n n1.1.清除规则清除规则n n（1 1）清除预设表）清除预设表filterfilter中任何规则链中的规则。中任何规则链中的规则。 n n# # iptablesiptables -F -F n n（2 2）清除预设表）清除预设表filterfilter中使用者自定链中的规则。中使用者自定链中的规则。n n#iptablesiptables -X -X n n#iptablesiptables Z Zn n2.2.配置链的默认策略配置链的默认策略n n（1 1）首先允许任何包通过，然后再禁止有危险）首先允许任何包通过，然后再禁止有危险的包通过防火墙。的包通过
15、防火墙。n n#iptablesiptables -P INPUT ACCEPT -P INPUT ACCEPTn n#iptablesiptables -P OUTPUT ACCEPT -P OUTPUT ACCEPTn n#iptablesiptables -P FORWARD ACCEPT -P FORWARD ACCEPT n n（2 2）首先禁止任何包通过，然后根据需要的服）首先禁止任何包通过，然后根据需要的服务允许特定的包通过防火墙。务允许特定的包通过防火墙。n n#iptablesiptables -P INPUT DROP -P INPUT DROP n n#iptablesi
16、ptables -P OUTPUT DROP -P OUTPUT DROP n n#iptablesiptables -P FORWARD DROP -P FORWARD DROPn n3.3.列出表列出表/ /链中的任何规则，默认只列出链中的任何规则，默认只列出filterfilter表。表。n n#iptablesiptables L Ln n4.4.向链中添加规则，下面的语句用于开放网络接口：向链中添加规则，下面的语句用于开放网络接口：n n#iptablesiptables -A INPUT -i lo -j ACCEPT -A INPUT -i lo -j ACCEPTn n#ipt
17、ables -A OUTPUT -o lo -j ACCEPT#iptables -A OUTPUT -o lo -j ACCEPTn n#iptablesiptables -A INPUT -i eth0 -j ACEPT -A INPUT -i eth0 -j ACEPTn n#iptablesiptables -A OUTPUT -o eth1 -j ACCEPT -A OUTPUT -o eth1 -j ACCEPTn n#iptablesiptables -A FORWARD -i eth1 -j ACCEPT -A FORWARD -i eth1 -j ACCEPTn n#ipta
18、blesiptables -A FORWARD -o eth1 -j ACCEPT -A FORWARD -o eth1 -j ACCEPTn n5.5.使用者自定义链使用者自定义链n n#iptablesiptables -N custom -N customn n#iptablesiptables -A custom -s 0/0 -d 0/0 -p -A custom -s 0/0 -d 0/0 -p icmpicmp -j DROP -j DROPn n#iptablesiptables -A INPUT -s 0/0 -d 0/0 -j DROP -A INPUT -s 0/0 -d
19、 0/0 -j DROP任务二：配置基本的规则匹配n n1.1.指定协议匹配指定协议匹配n n（1 1）匹配指定协议）匹配指定协议n n#iptablesiptables -A INPUT -p -A INPUT -p tcptcpn n（2 2）匹配指定协议之外的任何协议）匹配指定协议之外的任何协议n n#iptablesiptables -A INPUT -p ! -A INPUT -p !tcptcpn n2.2.指定地址匹配指定地址匹配n n（1 1）指定匹配的主机）指定匹配的主机n n#iptablesiptables -A INPUT -s 192.168.0.18 -A INPU
20、T -s 192.168.0.18 n n（2 2）指定匹配的网络）指定匹配的网络n n#iptablesiptables -A INPUT -s 192.168.2.0/24 -A INPUT -s 192.168.2.0/24n n（3 3）匹配指定主机之外的地址）匹配指定主机之外的地址n n#iptablesiptables -A FORWARD -s !192.168.0.19 -A FORWARD -s !192.168.0.19 n n（4 4）匹配指定网络之外的网络）匹配指定网络之外的网络n n#iptablesiptables -A FORWARD -s ! 192.168.3
21、.0/24 -A FORWARD -s ! 192.168.3.0/24 n n3.3.指定网络接口匹配指定网络接口匹配n n（1 1）指定单一的网络接口匹配）指定单一的网络接口匹配n n#iptablesiptables -A INPUT -i eth0 -A INPUT -i eth0n n#iptablesiptables -A FORWARD -o eth0 -A FORWARD -o eth0n n（2 2）指定同类型的网络接口匹配）指定同类型的网络接口匹配n n#iptablesiptables -A FORWARD -o -A FORWARD -o pppppp n n4.4.指
22、定端口匹配指定端口匹配n n（1 1）指定单一端口匹配）指定单一端口匹配n n#iptablesiptables -A INPUT -p -A INPUT -p tcptcp -sport www -sport www n n#iptablesiptables -A INPUT -p -A INPUT -p udpudp dportdport 53 53 n n（2 2）匹配指定端口之外的端口）匹配指定端口之外的端口n n#iptablesiptables -A INPUT -p -A INPUT -p tcptcp dportdport !22 !22 n n（3 3）匹配端口范围）匹配端口
23、范围n n#iptablesiptables -A INPUT -p -A INPUT -p tcptcp sport 22:80 sport 22:80n n（4 4）匹配）匹配ICMPICMP端口和端口和ICMPICMP类型类型n n#iptables -A INOUT -p icmp icimp-type 8#iptables -A INOUT -p icmp icimp-type 8任务三：配置扩展的规则匹配n n1.1.多端口匹配多端口匹配n n（1 1）匹配多个源端口）匹配多个源端口n n#iptablesiptables -A INPUT -p -A INPUT -p tcptc
24、p -m multiport sport -m multiport sport 22,53,80,11022,53,80,110n n（2 2）匹配多个目的端口）匹配多个目的端口n n#iptablesiptables -A INPUT -p -A INPUT -p tcptcp -m multiport -m multiport dpoortdpoort 22,53,8022,53,80n n（3 3）匹配多端口）匹配多端口n n#iptablesiptables -A INPUT -p -A INPUT -p tcptcp -m multiport port -m multiport po
25、rt 22,53,80,110 22,53,80,110 n n2.2.指定指定TCPTCP匹配扩展匹配扩展n n使用使用 tcptcp-flags -flags 选项能够根据选项能够根据tcptcp包的标志位进行过滤包的标志位进行过滤n n#iptables -A INPUT -p tcp tcp-flags SYN,FIN,ACK #iptables -A INPUT -p tcp tcp-flags SYN,FIN,ACK SYN SYN n n#iptables -A FROWARD -p tcp tcp-flags ALL #iptables -A FROWARD -p tcp tc
26、p-flags ALL SYN,ACK SYN,ACK n n上实例中第一个表示上实例中第一个表示SYNSYN、ACKACK、FINFIN的标志都检查，但是只的标志都检查，但是只有有SYNSYN匹配。第二个表示匹配。第二个表示ALLALL（SYNSYN，ACKACK，FINFIN，RSTRST，URGURG，PSHPSH）的标志都检查，但是只有配置了）的标志都检查，但是只有配置了SYNSYN和和ACKACK的匹配。的匹配。n n#iptablesiptables -A FORWARD -p -A FORWARD -p tcptcp - -synsyn n n选项选项- -synsyn相当于相当
27、于“-“-tcptcp-flags SYN,RST,ACK SYN”-flags SYN,RST,ACK SYN”的简写。的简写。n n3.limit3.limit速率匹配扩展速率匹配扩展n n（1 1）指定单位时间内允许通过的数据包个数，单位时间能够）指定单位时间内允许通过的数据包个数，单位时间能够是是/second/second、/minute/minute、/hour/hour、/day/day或使用第一个字母。或使用第一个字母。n n#iptablesiptables -A INPUT -m limit -limit 300/hour -A INPUT -m limit -limit
28、300/hourn n（2 2）指定触发事件的阀值。）指定触发事件的阀值。 n n#iptablesiptables -A INPUT -m limit limit-burst 10 -A INPUT -m limit limit-burst 10n n（3 3）同时指定速率限制和触发阀值）同时指定速率限制和触发阀值n n#iptablesiptables -A INPUT -p -A INPUT -p icmpicmp -m limit -limit 3/m -m limit -limit 3/m limit-burst 3limit-burst 3n n表示每分钟允许的最大包数量为限制速率
29、（本例为表示每分钟允许的最大包数量为限制速率（本例为3 3）加上当）加上当前的触发阀值前的触发阀值burstburst数。任何情况下，都可确保数。任何情况下，都可确保3 3个数据包通个数据包通过，触发阀值过，触发阀值burstburst相当于允许额外的包数量。相当于允许额外的包数量。n n4.4.基于状态的匹配扩展基于状态的匹配扩展n n每个网络连接包括以下信息：源地址、目标地址、源端口、每个网络连接包括以下信息：源地址、目标地址、源端口、目的端口，称为套接字对（目的端口，称为套接字对（socket pairssocket pairs）；协议类型、连接）；协议类型、连接状态（状态（TCPTCP
30、协议）和超时时间等。防火墙把这些信息称为状协议）和超时时间等。防火墙把这些信息称为状态（态（statefulstateful）。状态包过滤防火墙能在内存中维护一个跟踪）。状态包过滤防火墙能在内存中维护一个跟踪状态的表，比简单包过滤防火墙具备更大的安全性，命令格状态的表，比简单包过滤防火墙具备更大的安全性，命令格式如下：式如下：n niptablesiptables -m state -state !state , -m state -state !state ,state,state,statestate,state,state n n其中，其中，statestate是个逗号分割的列表，用来指
31、定连接状态，是个逗号分割的列表，用来指定连接状态，4 4种：种：n nNEWNEW：该包想要开始一个新的连接。：该包想要开始一个新的连接。n nRELATEDRELATED：该包是属于已连接的新建连接。：该包是属于已连接的新建连接。n nESTABLISHEDESTABLISHED：该包属于某个已建立的连接。：该包属于某个已建立的连接。n nINVALIDINVALID：该包不匹配于任何连接，通常这些包被：该包不匹配于任何连接，通常这些包被DROPDROP。n n（1 1）在）在INPUTINPUT链添加一条规则，匹配已建立的连接或由已建链添加一条规则，匹配已建立的连接或由已建立的连接所建立的
32、新连接。即匹配任何的立的连接所建立的新连接。即匹配任何的TCPTCP回应包。回应包。n n#iptablesiptables -A INPUT -m state state -A INPUT -m state state RELATED,ESTABLISHEDRELATED,ESTABLISHEDn n（2 2）在）在INPUTINPUT链添加一条规则，匹配任何从非链添加一条规则，匹配任何从非eth0eth0接口来的接口来的连接请求包。连接请求包。n n#iptablesiptables -A INPUT -m state -state NEW -i !eth0 -A INPUT -m state -state NEW -i !eth0
