安全相关(ssh、Tcp wrappers、iptables)

安全相关(ssh、Tcp wrappers、iptables)

实验目的：熟练掌握磁盘相关的操作，能熟练操作格式化、挂载和LVM、RAID。
实验环境：Red Hat Enterprise Linux Server 5.3
实验步骤：
一、ssh 登录
二、Tcp wrappers
三、Iptables
一、ssh 登录
1.ssh-keygen 生成密钥
[root@mail ~]# ssh-keygen
Generating public/private rsa key pair.
Enter file in which to save the key (/root/.ssh/id_rsa):
Created directory '/root/.ssh'.
Enter passphrase (empty for no passphrase):
Enter same passphrase again:
Your identification has been saved in /root/.ssh/id_rsa.
Your public key has been saved in /root/.ssh/id_rsa.pub.
The key fingerprint is:
6c:e1:72:40:25:31:59:77:27:cc:e4:68:3e:0d:69:76 root@mail.boss.com
2.在要登录的主机上建立
Vim authorized_keys 内容为下面的内容
[root@mail .ssh]# cat id_rsa.pub
ssh-rsa
AAAAB3NzaC1yc2EAAAABIwAAAQEA3QplcdhmVcztcb3GaM1r26X0MkPabnvkKH4lYiaCf+/2/sF
LtQc0kqa5Pdg3JVpo1IswFSuqlkK82WwKHvlteTg0RPCy7XxJgt8hiDdR0/GA6gnak2z4aSbIPdAfxi
dmE9bUKy15iug5cU9gyDCS+daH9ALKH7B+J6F4bwmFmkFQdE+cSg9eZ7bc65UNf51uSHMfxa1
yO8yl5vzZU3bVdmzdgMFV2eymhJNj3liDWJ/jLcsSNTdeXZKpVq8zuOlxzzjSu7c1VW4qmT8DMzZ
tlmNot8lu+Tx/HJFKuoIDgwpueicBAzATLVh2OPeHijszNI9CAy75BXt/GfqSwUCkNw==
root@mail.boss.com
3.scp root@192.168.0.1:/etc/fstab /tmp 从远程电脑拷贝文件
scp /etc/fstab root@192.168.0.1:/tmp 把本地文件拷贝到远程电脑
scp root@192.168.0.1:/etc/fstab root@192.168.0.2:/tmp 从一台电脑拷贝到另一个电脑
Sftp root@192.168.0.1
4. vi /etc/ssh/ssh_config 使用远程计算机的图形化界面程序
修改forwardX11 yes
5.ssh -f root@192.168.0.1 -L 8080:192.168.0.1:3128 sleep 500
隧道连接，绕开防火墙。
6. vi /etc/services 确定哪个端口没有被使用
vi /etc/ssh/sshd_config 改服务的端口
二、Tcp wrappers
基于进程的设置
Ldd /usr/bin/sshd
Vi /etc/hosts.allow sshd : 192.168.0.0/255.255.255.0 以allow为准
Vi /etc/hosts.deny sshd : ALL
数据链路层
arp -s, 192.168.0.2 00:B0:C4:01:19:B6 绑定mac 地址
arping 192.168.0.1
网络层
route -n 查看路由
route add default gw 192.168.0.1 设置路由
传输层
netstat -anpu
netstat -anpt
三、Iptables
一些实例
Iptables -t filter -A INPUT -j DROP ( ACCEPT )
Iptables -vnL 查看iptables 的信息
Iptables -t filter -F 删除filter表中的所有内容
Iptables -t filter -A INPUT -s 192.168.0.2 -j DROP
Iptables -t filter -A INPUT -s 192.168.0.0/24 -j DROP
Iptables -t filter -A OUTPUT -d 192.168.0.0/24 -j DROP
Iptables -t filter -A INTPUT -p tcp —dport 80 -j DROP
Iptables -t filter -A OUTPUT -p tcp —sport 80 -j DROP
Iptables -t filter -A INTPUT -p icmp —icmp-type 8 -j DROP
8 号类型是去的0 号类型是回的
1.表选项
表选项选项说明
-t filter filter表（不加-t 指定时的默认表）
-t nat nat 表
-t mangle mangle 表
2.命令选项
命令选项选项说明
-P <链名> 定义默认策略
-L <链名> 查看iptables的规则列表
-A <链名> 在规则列表的最后追加一条规则
-I <链名> 在指定的位置插入一条规则
-D <链名> 从规则列表中删除一条规则
-R <链名> 替换规则别表中的一条规则
-F <链名> 删除表中的所有规则
-Z 将表中的数据包计数器和流量统计归零
3.匹配选项
匹配选项选项说明
-p 指定数据包匹配的协议：如tcp,udp,icmp 等
-s 指定数据包匹配的源地址
--sport 指定数据包匹配的源端口号，可以使用”起始端口号：结束端口号“格式
-d 指定数据包匹配的目标地址
--dport 指定数据包匹配的目的端口号，可以使用”起始端口号：结束端口号“格式
-i 指定数据包从哪个网络接口进入
-o 指定数据包从哪个网络接口输出
4.动作选项
动作选项选项说明
ACCEPT 接受数据包
DROP 丢弃数据包
REDIRECT 将数据包重新向本机或另一台主机的某个端口，通常用来实现通明代理或对
外开放内网某些服务
SNAT 源地址转换，即改变数据包的源地址
DNAT 目标地址转换，即改变数据包的目的地址
MASQUERADE ip 伪装，就是常说的NAT 技术，它只能用于ADSL 等拨号上网的ip 伪装，
也就是主机的ip 是动态分配的，如果是固定的就要使用SNAT 了。
LOG 日志功能，将符合规则的数据包的相关信息记录在日志中，便于分析和排错
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j SNAT —to 192.168.100.254
iptables -t nat -A POSTROUTING -s 192.168.0.0/24 -j MASQUERADE
Service iptables save
1. 定义默认策略
Iptables -P INPUT DROP
Iptables -P FORWARD DROP
Iptables -P OUTPUT
2.查看iptables的规则
Iptables -vnL
3.追加、插入、删除和替换规则
追加
[root@mail ~]# iptables -t filter -A INPUT -s 192.168.0.13 -j DROP
[root@mail ~]# iptables -t filter -A INPUT -s 192.168.0.13 -j ACCEPT
[root@mail ~]# iptables -t filter -nL INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
DROP all -- 192.168.0.13 0.0.0.0/0 （两条规则相矛盾，以前条规则为主）
ACCEPT all -- 192.168.0.13 0.0.0.0/0
插入
[root@mail ~]# iptables -t filter -I INPUT 2 -s 192.168.0.1 -p tcp --dport 80 -j DROP
[root@mail ~]# iptables -t filter -L INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
DROP all -- 192.168.0.13 anywhere
DROP tcp -- 192.168.0.1 anywhere tcp dpt:http
DROP all -- 192.168.0.13 anywhere
ACCEPT all -- 192.168.0.13 anywhere
删除
[root@mail ~]# iptables -t filter -D INPUT 3
[root@mail ~]# iptables -t filter -L INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
DROP all -- 192.168.0.13 anywhere
DROP tcp -- 192.168.0.1 anywhere tcp dpt:http
ACCEPT all -- 192.168.0.13 anywhere
替换
[root@mail ~]# iptables -t filter -R INPUT 2 -s 192.168.0.0/24 -p tcp --dport 80 -j DROP
[root@mail ~]# iptables -t filter -L INPUT
Chain INPUT (policy ACCEPT)
target prot opt source destination
DROP all -- 192.168.0.13 anywhere
DROP tcp -- 192.168.0.0/24 anywhere tcp dpt:http
ACCEPT all -- 192.168.0.13 anywhere
删除
Iptables -F 删除filter表中的所有规则
Iptables -Z 将filter 表中的计数器和流量计数器清零
Iptables -t nat -F 删除nat 表中的所有规则