filter过滤和转发控制

最新推荐文章于 2023-06-19 10:01:26 发布
最新推荐文章于 2023-06-19 10:01:26 发布
阅读量626 收藏
点赞数
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/qq_43237999/article/details/90318696
版权

filter过滤和转发控制

问题

本案例要求熟悉filter表的过滤和转发控制，练习以下操作：
利用ip_forward机制实现Linux路由/网关功能
针对Linux主机进行出站、入站控制
在Linux网关上实现数据包转发访问控制

方案

采用三台RHEL6虚拟机svr5、gw1、pc120，如图-2所示。其中，虚拟机svr5作为局域网络的测试机，接入NAT网络（virbr0）；虚拟机pc120作为Internet的测试机，接入隔离网络（virbr1）；虚拟机gw1作为网关/路由器，配置eth0、eth1两块网卡，分别接入两个网络virbr0、virbr1。
在这里插入图片描述
对于管理员来说，局域网客户机应该将默认网关指向本公司接入Internet的路由器的地址，即本例中的Linux网关；而Internet中各种客户机的默认网关却是未知的。因此，除了按照上述环境配好接口IP地址以外，内网测试机svr5还需要将默认网关指向Linux网关的内网接口192.168.4.1：

[root@svr5 ~]# route -n | grep UG
0.0.0.0         192.168.4.1     0.0.0.0         UG    0      0        0 eth0

步骤

实现此案例需要按照如下步骤进行。
步骤一：调整路由转发环境
本案例用到了192.168.4.0/24、174.16.16.0/24两个网段，若希望将Linux网关作为路由器使用，使两个网段互通，路由方面首先要解决以下两个问题：
为192.168.4.0/24网段的客户机添加到174.16.16.0/24网段的路由
为174.16.16.0/24网段的客户机添加到192.168.4.0/24网段的路由
其中，内网测试机svr5已经设置好默认网关，因此第一个问题解决；而第二个问题，只要为外网测试机pc120也添加默认网关（或者具体的静态路由）即可：

[root@pc205 ~]# route add default gw 174.16.16.1
[root@pc205 ~]# route -n | grep UG
0.0.0.0         174.16.16.1     0.0.0.0         UG    0      0        0 eth0

步骤二：利用ip_forward机制实现Linux路由/网关功能
1） 开启路由之前，内外网无法互通
在主机svr5上ping主机pc120，丢包率100%：

[root@svr5 ~]# ping -c4 -W2174.16.16.120
ping: bad linger time.
[root@svr5 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.

--- 174.16.16.120 ping statistics ---

4 packets transmitted, 0 received, 100% packet loss, time 5002ms

[root@svr5 ~]#

在主机pc120上ping主机svr5，丢包率100%：

[root@pc205 ~]# ping -c4 -W2 192.168.4.5
PING 192.168.4.5 (192.168.4.5) 56(84) bytes of data.

--- 192.168.4.5 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 5002ms

[root@pc205 ~]#

2）开启Linux网关的路由转发功能
使用sysctl可以直接修改运行中的ip_forward参数：

[root@gw1 ~]# sysctl -a | grep ip_forward 
net.ipv4.ip_forward = 0 									//默认未开启

[root@gw1 ~]# sysctl -w net.ipv4.ip_forward=1  			//开启转发功能
net.ipv4.ip_forward = 1

若希望固定此配置，推荐修改/etc/sysctl.conf配置文件：

[root@svr5 ~]# vim /etc/sysctl.conf
net.ipv4.ip_forward = 1  									//查找更改为此行

[root@svr5 ~]# sysctl -p  									//更新配置
net.ipv4.ip_forward = 1
net.ipv4.conf.default.rp_filter = 1

3） 开启路由之后，内外网可以互通
在主机svr5上ping主机pc120，正常获得响应：

[root@svr5 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.
64 bytes from 174.16.16.120: icmp_seq=1 ttl=63 time=1.60 ms
64 bytes from 174.16.16.120: icmp_seq=2 ttl=63 time=0.608 ms
64 bytes from 174.16.16.120: icmp_seq=3 ttl=63 time=0.587 ms
64 bytes from 174.16.16.120: icmp_seq=4 ttl=63 time=1.10 ms

--- 174.16.16.120 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3005ms
rtt min/avg/max/mdev = 0.587/0.975/1.606/0.419 ms
[root@svr5 ~]#

在主机pc120上ping主机svr5，正常获得响应：

[root@pc205 ~]# ping -c4 -W2 192.168.4.5
PING 192.168.4.5 (192.168.4.5) 56(84) bytes of data.
64 bytes from 192.168.4.5: icmp_seq=1 ttl=63 time=0.802 ms
64 bytes from 192.168.4.5: icmp_seq=2 ttl=63 time=0.867 ms
64 bytes from 192.168.4.5: icmp_seq=3 ttl=63 time=1.13 ms
64 bytes from 192.168.4.5: icmp_seq=4 ttl=63 time=2.10 ms

--- 192.168.4.5 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3008ms
rtt min/avg/max/mdev = 0.802/1.226/2.107/0.524 ms

步骤三：防火墙filter表的出站、入站访问控制
1）在网关gw1上限制ping测试（允许ping别人，禁止别人ping自己）
丢弃进来的ping请求包、允许进来的各种ping应答包（非请求包）

[root@gw1 ~]# iptables -A INPUT -p icmp --icmp-type echo-request -j DROP
[root@gw1 ~]# iptables -A INPUT -p icmp ! --icmp-type echo-request -j ACCEPT

或者，允许出去的ping请求包、丢弃出去的各种ping应答包（非请求包）

[root@gw1 ~]# iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
[root@gw1 ~]# iptables -A OUTPUT -p icmp ! --icmp-type echo-request -j DROP

2）验证ping限制效果
在网关gw1上ping主机pc120，可以ping通：

[root@gw1 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.
64 bytes from 174.16.16.120: icmp_seq=1 ttl=64 time=2.32 ms
64 bytes from 174.16.16.120: icmp_seq=2 ttl=64 time=0.226 ms
64 bytes from 174.16.16.120: icmp_seq=3 ttl=64 time=0.583 ms
64 bytes from 174.16.16.120: icmp_seq=4 ttl=64 time=0.239 ms

--- 174.16.16.120 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3002ms
rtt min/avg/max/mdev = 0.226/0.844/2.328/0.868 ms

在主机pc205上ping网关gw1，丢包率为100%，实际上被防火墙封堵了：

[root@pc205 ~]# ping -c4 -W2 174.16.16.1
PING 174.16.16.1 (174.16.16.1) 56(84) bytes of data.

--- 174.16.16.1 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 5001ms

[root@pc205 ~]#

3）针对网关gw1上的FTP服务做访问控制
快速安装、启用vsftpd服务：

[root@gw1 ~]# yum -y install vsftpd
.. ..
[root@gw1 ~]# service vsftpd restart
.. ..

禁止从主机pc120访问本机的FTP服务：

[root@gw1 ~]# iptables -A INPUT -s 174.16.16.120 -p tcp --dport 20:21 -j DROP
[root@gw1 ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 8 
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp !type 8 
DROP       tcp  --  174.16.16.120        0.0.0.0/0           tcp dpts:20:21

4）测试FTP访问控制效果
在被封堵的主机pc120上，访问gw1的FTP服务将会失败：

[root@pc205 ~]# ftp 174.16.16.1   
ftp: connect: 连接超时
ftp> quit
[root@pc205 ~]#

在其他主机（比如svr5）上，可以正常访问gw1的FTP服务：

[root@svr5 ~]# ftp 174.16.16.1
Connected to 174.16.16.1 (174.16.16.1).
220 (vsFTPd 2.2.2)
Name (174.16.16.1:root): ftp
331 Please specify the password.
Password:
230 Login successful.
Remote system type is UNIX.
Using binary mode to transfer files.
ftp> quit
221 Goodbye.
[root@svr5 ~]#

步骤四：防火墙filter表的转发访问控制
1）INPUT、OUTPUT链对转发数据包不起作用
根据步骤三在gw1上设置的防火墙规则：

[root@gw1 ~]# iptables -nL INPUT
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 8 
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp !type 8 
DROP       tcp  --  174.16.16.120        0.0.0.0/0           tcp dpts:20:21

其他主机ping网关gw1会被拒绝，但是经过防火墙ping其他主机不受影响。比如从主机pc120上ping主机svr5是可以的：

[root@pc205 ~]# ping -c4 -W2 174.16.16.1   				//入站ping测试被拒
PING 174.16.16.1 (174.16.16.1) 56(84) bytes of data.

--- 174.16.16.1 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 5002ms

[root@pc205 ~]# ping -c4 -W2 192.168.4.5  				//转发ping测试允许
PING 192.168.4.5 (192.168.4.5) 56(84) bytes of data.
64 bytes from 192.168.4.5: icmp_seq=1 ttl=63 time=0.520 ms
64 bytes from 192.168.4.5: icmp_seq=2 ttl=63 time=0.919 ms
64 bytes from 192.168.4.5: icmp_seq=3 ttl=63 time=0.650 ms
64 bytes from 192.168.4.5: icmp_seq=4 ttl=63 time=1.97 ms

--- 192.168.4.5 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3007ms
rtt min/avg/max/mdev = 0.520/1.014/1.970/0.571 ms
[root@pc205 ~]#

2）在网关gw1上设置转发限制
禁止转发来自或发往网段174.16.16.0/24的ping测试包：

[root@gw1 ~]# iptables -A FORWARD -p icmp -s 174.16.16.0/24 -j DROP
[root@gw1 ~]# iptables -A FORWARD -p icmp -d 174.16.16.0/24 -j DROP

确认当前防火墙规则：

[root@gw1 ~]# iptables -nL
Chain INPUT (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  0.0.0.0/0            0.0.0.0/0           icmp type 8 
ACCEPT     icmp --  0.0.0.0/0            0.0.0.0/0           icmp !type 8 
DROP       tcp  --  174.16.16.120        0.0.0.0/0           tcp dpts:20:21 

Chain FORWARD (policy ACCEPT)
target     prot opt source               destination         
DROP       icmp --  174.16.16.0/24       0.0.0.0/0           
DROP       icmp --  0.0.0.0/0            174.16.16.0/24      

Chain OUTPUT (policy ACCEPT)
target     prot opt source               destination

3）测试ping转发限制效果
在主机svr5上ping主机pc120，对gw1来说属于转发（FORWARD），因此被拒绝：

[root@svr5 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.

--- 174.16.16.120 ping statistics ---
4 packets transmitted, 0 received, 100% packet loss, time 5001ms

[root@svr5 ~]#

在主机gw1上ping主机svr5，这个对gw1来说属于出站（OUTPUT），不受限制：

[root@gw1 ~]# ping -c4 -W2 174.16.16.120
PING 174.16.16.120 (174.16.16.120) 56(84) bytes of data.
64 bytes from 174.16.16.120: icmp_seq=1 ttl=64 time=0.602 ms
64 bytes from 174.16.16.120: icmp_seq=2 ttl=64 time=0.426 ms
64 bytes from 174.16.16.120: icmp_seq=3 ttl=64 time=0.517 ms
64 bytes from 174.16.16.120: icmp_seq=4 ttl=64 time=0.507 ms

--- 174.16.16.120 ping statistics ---
4 packets transmitted, 4 received, 0% packet loss, time 3003ms
rtt min/avg/max/mdev = 0.426/0.513/0.602/0.062 ms
[root@gw1 ~]#
秦庚辰
关注
过滤器对转发与包含的作用
weixin_51508971的博客
05-17 450
在完成第17个包时其中涉及到了转发与包含，同时在这里回答一下相关问题， 在一个servlet当中，过滤器只会对请求的servlet或jsp进行拦截操作，但是不会对业务操作里的转发和包含的页面进行过滤 以下是举例： 源码： 先放上源码 myForward.jsp <%@ page language="java" contentType="text/html; charset=UTF-8" pageEncoding="UTF-8"%> <!DOCTYPE html PUBLIC "-/
Filter来控制权限
whatIsJava
04-03 342
文章出自：http://neil-jh.javaeye.com/blog/191341 目前很多项目对权限的控制一般普遍使用Acgi来控制权限。这里对老技术做一个回顾，曾经使用过Filter来控制权限，如果对Filter不是很熟悉的朋友，可以简单看下，也许多少会有些帮助。 public class PopedomFilter implements Filter {     pu
Filter 实现图片转发
向着太阳奔跑
08-15 450
 在一些比较特殊的情况,不允许把内网端口映射到外网,可以是用此方法。通过流的方式把数据通过ServletResponse响应给客户端 import java.io.File; import java.io.FileInputStream; import java.io.IOException; import java.io.OutputStream; import javax.servlet...
gateway通过filter路由转发或过滤到不同的网关
最新发布
weixin_60748184的博客
06-19 1205
实现了gateway对于websocket的支持，内部通过websocketClient实现将一个http请求协议换转成websocket，实现调用方无感知的请求websocket的服务，只需要将schme设置成ws或者wss这么简单。条件过滤器，只有当请求的header scheme为forward的时候才会发生，否则会忽略没有任何作用，当有转发需求的时候会将request的请求path修改，从而修改了请求的目的地址。将网关上的请求转为对应业务应用的真实ip的请求。接口网关转发到另一个接口网关。
javaweb学习总结(四十二)——Filter(过滤器)学习
weixin_34008784的博客
10-20 514
一、Filter简介 　　Filter也称之为过滤器，它是Servlet技术中最激动人心的技术，WEB开发人员通过Filter技术，对web服务器管理的所有web资源：例如Jsp, Servlet, 静态图片文件或静态 html 文件等进行拦截，从而实现一些特殊的功能。例如实现URL级别的权限访问控制、过滤敏感词汇、压缩响应信息等一些高级功能。　　Servlet API中提供了一个Filter接...
LINUX filter过滤和转发控制
LYJ_man的博客
05-28 574
问题 本案例要求熟悉filter表的过滤和转发控制，练习以下操作： 利用ip_forward机制实现Linux路由/网关功能 针对Linux主机进行出站、入站控制 在Linux网关上实现数据包转发访问控制 方案 采用三台RHEL6虚拟机svr5、gw1、pc120，如图-2所示。其中，虚拟机svr5作为局域网络的测试机，接入NAT网络（virbr0）；虚拟机pc120作为Internet的测试机，...
《云计算》-安全策略-iptables基本管理、filter过滤和转发控制、防火墙扩展规则、配置SNAT实现共享上网
解启超
03-06 293
案例1：iptables基本管理 案例2：filter过滤和转发控制 案例3：防火墙扩展规则 案例4：配置SNAT实现共享上网 1 案例1：iptables基本管理 1.1 问题 本案例要求练习iptables命令的使用，按照要求完成以下任务： 关闭firewalld，开启iptables服务 查看防火墙规则 追加、插入防火墙规则 删除、清空防火墙规则 1.2 步骤 实现此案例需要按照如下步骤...
实现接口转发Filter
qq_45858058的博客
12-15 591
实现接口转发Filter
JavaWeb Filter 过滤器的机制 与使用 请求重定向与请求转发的区别 跳转过滤，过滤器dispatcher REQUEST与FORWARD区别
贺爷演示技术流
07-20 2万+
首先要清楚，过滤的是url 那么所有页面跳转url都会变吗?不会，比如请求转发，前前后后都是一个url 首先要弄清请求重定向与请求转发的区别； 举例来说有两个网页index.jsp 然后分别通过两种方式跳转到main.jsp请求转发 服务器端行为，可以理解为“内部处理”内容变，url不变 相当于index.jsp说交给我，然后偷偷外包给main.jsp去处理 最常见，是用户业务流程的延
springCloud-11 gateWay网关：动态路由配置
阿涩的博客
02-20 4344
目录 一，动态路由 1.1添加注册中心依赖 1.2 配置动态路由 二，重写转发路径 2.1 修改application.yml 文件 2.2添加RewritePath重写转发路径 Spring Cloud Gateway 的功能很强大，前面我们只是使用了 predicates 进行了简单的条件匹配，其实 Spring Cloud Gataway 帮我们内置了很多 Predicates 功能。在 Spr...
Spring Cloud 系列之 Spring cloud gateway 实现网关路由转发和过滤功能
Crazy_SQ的博客
10-30 3万+
       在Spring boot2.0版本发布之后，spring cloud又集成和开发了很多新的模块和功能；spring boot2.0和spring boot1.5的差别可以说是很大了。今天介绍一些spring cloud gateway，spring cloud自己的网关，在1.x版本中，大家使用的较多的是Zuul网关，但Zuul只是Spring cloud整合Netflix的，并不是...
linux 断开连接 脚本,linux下ssh -D 转发脚本/ssh断线后自动重连
weixin_42420393的博客
05-09 685
ssh转发ssh -D的作用就不说了，相信看到这篇文章的童鞋们应该都……[此处略去N个字]。有不少ssh服务器会定期踢除不活动的连接，尤其像我这样使用 “ssh -D ” + autoproxy，通常访问的网站都是没有被有被墙的，于是ssh长时间不活动，于是被服务器踢了。写一个简单脚本，解决这一问题。前提:有ssh服务器账号密码，并设置好免密码登录ssh.思路:写脚定期查看ssh进程是否已经退出，...
linux trace学习(一)——trace配置及描述
枫潇潇
04-01 6992
备注：1. Kernel版本：4.19.1232. 使用工具：Source Insight 4.0。
ip拦截linux脚本,Shell脚本实现防止国外ip访问服务器
weixin_34805048的博客
04-30 391
客户的要求，不想让外国的ip来访问服务器，本来要让机房在上端路由解决，但是那些人不鸟你！！！~~~~这样的话，只能自己用iptables解决了~~~~~~~~~关于 ip库 大家可以去 http://www.ipdeny.com/ipblocks/ 下载， 这里有各个国家的~~~#下载ip库#wget http://rfyiamcool.googlecode.com/files/allip....
使用iptables配置linux服务器请求转发
JavaLuSir
09-04 735
防火墙转发规则： 1首先把/etc/sysctl.conf配置文件中的net.ipv4.ip_forward=0改为net.ipv4.ip_forward=1 然后执行sysctl -p /etc/sysctl.conf使命令生效。 2配置防火墙的 IP 伪装 iptables -t nat -A POSTROUTING -o eth0 -j MASQUERADE 3如果你想让内...
【最详细】数据结构（C语言版 第2版）第六章课后习题答案 严蔚敏 等 编著
热门推荐
weixin_43899069的博客
11-02 5万+
1．选择题 （ 1）在一个图中，所有顶点的度数之和等于图的边数的（）倍。 A． 1/2 B． 1 C． 2 D． 4 答案： C （ 2）在一个有向图中，所有顶点的入度之和等于所有顶点的出度之和的（）倍。 A． 1/2 B． 1 C． 2 D． 4 答案： B 解释：有向图所有顶点入度之和等于所有顶点出度之和。 （ 3）具有 n 个顶点的有向图最多有（）条边。 A． n B ． n(n-1) C． n(n+1) D ． n2 答案： B 解释：有向图的边有方向之分， 即为从 n 个顶点中选取 2 个顶点有序
SpringBoot下使用过滤器
zengjyxxz的博客
06-01 296
SpringBoot下过滤器的使用有两种形式： 注解形式： 创建一个Filter，并使用WebFilter注解进行修饰（以便于启动类进行扫描的时候确认），表示该类是一个Filter。 @Order(1) @WebFilter(urlPatterns = "/*",filterName = "filter2") public class FilterAnnotationTest implements Filter { @Override public void init(FilterConf
掌握策略路由与路由控制：过滤与转发的艺术
路由策略与策略路由是网络管理员在设计和管理网络时常用的技术，它们旨在精细控制网络中的流量流动，确保数据包按照预设的方式转发。路由策略主要关注如何通过调整路由表中的条目来控制流量的可达性和路径选择，而...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值