项目3 配置与管理防火墙.pptxVIP

项目3配置与管理防火墙

能力要求CAPACITY了解防火墙的分类及工作原理。0103掌握SNAT。02掌握DNAT。

思政导入IDEOLOGY明确职业技术岗位所需的职业规范和精神，树立社会主义核心价值观！

思政目标IDEOLOGY“大学之道，在明明德，在亲民，在止于至善。”“‘高山仰止，景行行止。’虽不能至，然心乡往之”。了解计算机的主奠基人——华罗庚教授，知悉读大学的真正含义，以德化人，激发学生的科学精神和爱国情怀。

思政内容IDEOLOGY在我国计算机发展的历史长河中，有一位做出突出贡献的科学家，他也是中国计算机的主奠基者，你知道他是谁吗？他就是华罗庚教授—我国计算技术的奠基人和主要的开拓者之一。华罗庚教授在数学上的造诣和成就深受世界科学家的赞赏。在美国任访问研究员时，华罗庚教授的心里就已经开始勾画我国电子计算机事业的蓝图了！

项目知识准备项目设计与准备项目实施项目实录：配置与管理firewalld防火墙内容导航CONTENTS

一、项目知识准备防火墙概述通常所说的网络防火墙是套用了古代防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火墙可以使内部网络与互联网之间或者与其他外部网络间互相隔离、限制网络互访，以此来保护内部网络。防火墙的分类方法多种多样，不过从传统意义上讲，防火墙大致可以分为三大类，分别是“包过滤”“应用代理”“状态检测”。

一、项目知识准备iptables与firewalld通常所说的网络防火墙是套用了古代的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火墙可以使内部网络与互联网之间或者与其他外部网络间互相隔离、限制网络互访，以此来保护内部网络。早期的Linux系统采用ipfwadm作为防火墙，但在2.2.0版本中其被ipchains取代。Linux2.4发布后，netfilter/iptables数据包过滤系统正式使用。它引入了很多重要的改进，比如基于状态的功能、基于任何传输控制协议（TransmissionControlProtocol，TCP）标记和MAC地址的包过滤功能、更灵活的配置和记录功能、强大且简单的NAT功能和透明代理功能等，然而，最重要的变化是引入了模块化的架构方式。这使得iptables的运用和功能扩展更加方便、灵活。

一、项目知识准备iptables与firewalld通常所说的网络防火墙是套用了古代的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火墙可以使内部网络与互联网之间或者与其他外部网络间互相隔离、限制网络互访，以此来保护内部网络。在KylinOS中，firewalld防火墙取代了iptables防火墙。实际上，iptables与firewalld都不是真正的防火墙，它们都只是用来定义防火墙策略的防火墙管理工具，或者说，它们只是一种服务。iptables服务会把配置好的防火墙策略交由内核层面的netfilter网络过滤器来处理，而firewalld服务则把配置好的防火墙策略交由内核层面的iptables包过滤框架来处理。换句话说，当前在Linux系统中其实存在多个防火墙管理工具，旨在方便运维人员管理Linux系统中的防火墙策略，我们只需要配置妥当其中的一个就足够了。虽然这些工具各有优劣，但它们在防火墙策略的配置思路上是保持一致的。

一、项目知识准备NAT基础知识通常所说的网络防火墙是套用了古代的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火墙可以使内部网络与互联网之间或者与其他外部网络间互相隔离、限制网络互访，以此来保护内部网络。1. NAT的主要功能NAT主要具有以下功能。（1）从Intranet传出的数据包由NAT将它们的专用地址转换为公用地址。（2）从Internet传入的数据包由NAT将它们的公用地址转换为专用地址。（3）支持多重服务器和负载均衡。（4）实现透明代理。这样在内网中，计算机使用未注册的专用IP地址，而在与外网通信时，计算机使用注册的公用IP地址，大大降低了连接成本。同时NAT也起到将内网隐藏起来、保护内网的作用，因为对外部用户来说，只有使用公用IP地址的NAT是可见的，这类似于防火墙的安全措施。

一、项目知识准备NAT基础知识通常所说的网络防火墙是套用了古代的防火墙的喻义，它指的是隔离在本地网络与外界网络之间的一道防御系统。防火墙可以使内部网络与互联网之间或者与其他外部网络间互相隔离、限制网络互访，以此来保护内部