اختصاصی از کوشا فایل
دانلود با لینک مستقیم و پرسرعت .
چکیده:
تأمین امنیت شبکه، بخش حساسی از وظایف هر مدیر شبکه محسوب میشود. از آنجاییکه ممکن است محافظت های متفاوتی موردنیاز باشد، لذا مکانیزم های گوناگونی هم برای تأمین امنیت در شبکه وجود دارد. یکی از این مکانیزم ها استفاده از دیوار آتش میباشد. مدیر شبکه باید درک بالایی از انواع دیوار آتش، نقاط قوت و ضعف هر نوع، حملات تهدید کنندة هر نوع، معماری های دیوار آتش، تأثیرات آن بر شبکه و کاربران، سیاست امنیتی سازمان و همچنین نیازهای فنی پیاده سازی داشته باشد تا بتواند راه حل مناسب را انتخاب و به درستی پیاده سازی نماید و سپس آنرا مورد آزمایش قرار دهد. در همین راستا، سیستم عامل «Linux» برای پیاده سازی نرم افزاری دیوار آتش فیلتر کنندة بسته، ابزاری را به نام «iptables» در اختیار کاربر قرار میدهد تا با استفاده از دستورات این ابزار بتواند قوانین و فیلترهای موردنیاز را برای کنترل مطلوب دسترسی، خواه از داخل شبکه به خارج و خواه بالعکس، پیکربندی نماید.
فصل دوم: پیاده سازی دیوار آتش با استفاده از iptables
2-1 : مقدمه
انجمن کد منبع باز (open source community)، در ایجاد نرم افزار دیوار آتش که به طور ایده آلی برای شبکه با هر اندازه ای مناسب باشد، حضور برتری داشته است. سیستم عامل لینوکس (Linux) نیز طبیعتاً از قابلیتهای مسیریابی (route) بسته ها و فیلتر کردن آنها پشتیبانی میکند. سیستم زیرمجموعة هستة لینوکس (Linux Kernel Subsystem) که پردازش بسته های شبکه را بر عهده دارد، Netfilter نام دارد و iptables، دستوراتی برای پیکربندی آن است. تا نسخة 2/2 هستة لینوکس،از ipchains و قبل از آن نیز از ipfwadm استفاده میشد اما در نسخه های جدیدتر از 2/2 باید از iptables استفاده کنیم. بستة نرم افزاری iptables از عملیات تغییر شکل (masquerading) و فیلترسازی (filtering) که در هستة 3/2 و بعد از آن وجود دارند، پشتیبانی میکند. بنابراین به منظور استفاده از iptables، باید هسته را کامپایل مجدد (recompile) کنیم تا netfilter نصب شود و نیز باید بستة نرم افزاری iptables را نصب کنیم. بسته به نسخة هستة سیستم، میتوان از این برنامه های کاربردی برای پیکربندی سیستم لینوکس استفاده کرد تا به عنوان یک مسیریاب عمل کند، در این صورت تضمین میشود که بسته ها از یک شبکه به شبکه ای دیگر فرستاده شوند و مسیریاب لینوکسی، هیچ ترافیکی را بررسی یا فیلتر نخواهد کرد.
امکان دیگری که ipchains و iptables فراهم می سازد، پیکربندی مسیریاب لینوکسی برای تغییر شکل دادن ترافیک یا بررسی و مسدود نمودن آن است، مثلاً با بازنویسی سرآیندهای IP، اینگونه به نظر خواهد رسید که یک بسته، از یک میزبان معین ناشی شده است.
2-2 : واژگان علمی مربوط به فیلترسازی بسته (Packet Filtering Terminology)
رابط (interface) : معمولاً منظور، یک کارت رابط شبکه (NIC) است. بیشتر دیوارهای آتش، چندین NIC دارند و باید به درستی آنها را پیکربندی کنیم تا ترافیک را فیلتر کنند. لینوکس، رابط اول را با eth0 ، دومی را با eth1، سومی را با eth2 و … نشان میدهد.
چند خانه ای (چند محلی) (Multihomed): منظور، میزبانی است که حداقل دو رابط داشته باشد. معمولاً یک رابط در معرض یک شبکة عمومی قرار می‌‌گیرد و یک رابط نیز فقط برای شبکة مطمئن، باز (open) است. به این ترتیب، مسیریاب یا دیوار آتش قادر خواهند بود تا بسته ها را به سمت اینترنت حرکت دهند.
ورودی (Ingress) : ترافیک ورودی به یک میزبان شبکه یا رابط را گویند.
خروجی (Egress) : ترافیک خروجی از یک میزبان شبکه یا رابط را گویند.
قانون (Rule) : یک مدخل (entry) در پایگاه دادة دیوار آتش که تعیین میکند چگونه با بستة IP برخورد خواهد شد. اگر یک بستة IP، مطابق با شرایط یک قانون ویژه باشد، آنگاه به عنوان مثال، بسته دور انداخته میشود (drop) ؛ اگرچه یک دیوار آتش همچنین میتواند یک بسته را به طرف میزبان یا پورت دیگری حرکت دهد یا میتواند یک بسته را به منظور پردازش، به سمت قانون دیگری روانه کند.
Source IP address (مبدأ) : آدرس IP جاییکه بسته در آنجا ایجاد شده است. یک دیوار آتش، این آدرس را از درون یک بسته می خواند تا معین کند که کدام قوانین خود را اعمال نماید.
Source Port : پورتی که بسته در آنجا ایجاد شده است. تقریباً همیشه، پورت مبدأ به آدرس IP مبدأ مرتبط است.
Destination IP address (مقصد): آدرس IP میزبانی که یک بسته به آن فرستاده میشود. یک دیوار آتش، این آدرس را از درون یک بسته می خواند تا تعیین کند که چگونه یک قانون را اعمال نماید.
Destination Port : پورتی که بستة IP به آن تحویل داده میشود. تقریباً همیشه، پورت مقصد به آدرس IP مقصد مرتبط است.
Private IP addresses (اختصاصی): نیروی کار مهندسی اینترنت یا IETF
(Internet Engineering Task Force) برای نگهداری آدرسهای IP، آدرسهای IP شبکه ای زیر را به عنوان “اختصاصی” معرفی نموده است. این بدان معناست که شبکه های زیر باید پشت دیوارهای آتش و مسیریاب ها به کار گرفته شوند:
- 10.0.0.0/8
- 172.16.0.0/12
- 192.168.0.0/16
هر چند ممکن است بتوان این پروتکل ها را با استفاده از یک مسیریاب لینوکسی، مسیردهی نمود، اما مسیریاب های اینترنت، بسته های علامت گذاری شده با این آدرس های IP را به جلو حرکت نخواهند داد. اگر بخواهیم ترافیک را از شبکه های اختصاصی به سمت اینترنت حرکت دهیم، باید این ارتباط ها را تغییر شکل (masquerade) دهیم یا اینکه از ترجمة آدرس شبکه/ پورت (NAT/PAT) استفاده کنیم.
تغییر شکل (Masquerading): قابلیت تغییر آدرس IP مبدأ یا مقصد یک بسته برای آنکه این بسته را بتوان به سمت اینترنت، مسیردهی نمود.
تغییر ساختار بسته (Packet mangling) : تغییر دادن در فیلدهای سرآیند بسته (از قبیل آدرسهای شبکه و آدرسهای پورت) یا فیلد بارکاری (payload) را گویند.
ترجمة آدرس شبکه (NAT) : ترجمة آدرس شبکه، نوعی تغییر ساختار بسته است که شامل رونویسی (overwrite) آدرسهای مبدأ و یا مقصد و یا آدرسهای پورت میباشد. واژة “NAT مبدأ” یا (Source NAT) SNAT اشاره به NATای دارد که شامل تغییرات در آدرس و یا پورت مبدأ باشد و “NAT مقصد” یا (Destination NAT) DNAT نیز اشاره به NATای دارد که دربرگیرندة تغییرات در آدرس یا پورت مقصد باشد. Masquerading، نوع خاصی از SNAT است که در آن یک کامپیوتر، بسته ها را بازنویسی (rewrite) میکند تا به نظر برسد که آنها از خودش ناشی شده اند.
2-3 : انتخاب یک ماشین برای دیوار آتش مبتنی بر لینوکس
برخلاف آنچه تصور می شود، لزومی ندارد که یک دیوار آتش، قدرتمندترین سیستم شبکه باشد. یک شبکة کوچک را توسط یک سیستم پنتیوم 3 یا پنتیوم 4 (Pentium) با 128 مگابایت RAM و یک پردازندة 500 مگاهرتزی به خوبی میتوان سرویس دهی نمود. شبکه های بزرگتر، ممکن است به یک سیستم قوی تر نیاز داشته باشند. ملاحظات برای سیستمهای قوی تر، ممکن است شامل موارد زیر باشد:
- یک پردازندة یک گیگاهرتزی (GHZ)
- حداقل 256 مگابایت RAM
- کارت های I/O و کارتهای رابط شبکة با کیفیت بالا و شاید RAID 0 برای پردازش های سریعتر داده ها
- درایوهای دیسک سخت از نوع SCSI به خاطر سریع تر بودن و بادوام تر بودن نسبت به درایوهای نوع IDE
فهرست مطالب
فهرست مطالب3
فهرست شکل ها9
فهرست جدول ها11
چکیده (فارسی)12
فصل اول: دیوارهای آتش شبکه13
1-1 : مقدمه14
1-2 : یک دیوار آتش چیست؟15
1-3 : دیوارهای آتش چه کاری انجام می دهند؟16
1-3-1 : اثرات مثبت16
1-3-2 : اثرات منفی17
1-4 : دیوارهای آتش، چه کارهایی را نمی توانند انجام دهند؟18
1-5 : چگونه دیوارهای آتش عمل میکنند؟20
1-6 : انواع دیوارهای آتش21
1-6-1 : فیلتر کردن بسته22
1-6-1-1 : نقاط قوت24
1-6-1-2 : نقاط ضعف25
1-6-2 : بازرسی هوشمند بسته28
1-6-2-1 : نقاط قوت31
1-6-2-2 : نقاط ضعف32
1-6-3 : دروازة برنامه های کاربردی و پراکسیها32
1-6-3-1 : نقاط قوت35
1-6-3-2 : نقاط ضعف36
1-6-4 : پراکسیهای قابل تطبیق38
1-6-5 : دروازة سطح مداری39
1-6-6 : وانمود کننده ها40
1-6-6-1 : ترجمة آدرس شبکه40
1-6-6-2 : دیوارهای آتش شخصی42
1-7 : جنبه های مهم دیوارهای آتش کارآمد42
1-8 : معماری دیوار آتش43
1-8-1 : مسیریاب فیلترکنندة بسته43
1-8-2 : میزبان غربال شده یا میزبان سنگر44
1-8-3 : دروازة دو خانه ای45
1-8-4 : زیر شبکة غربال شده یا منطقة غیرنظامی46
1-8-5 : دستگاه دیوار آتش46
1-9 : انتخاب و پیاده سازی یک راه حل دیوار آتش48
1-9-1 : آیا شما نیاز به یک دیوار آتش دارید؟48
1-9-2 : دیوار آتش، چه چیزی را باید کنترل یا محافظت کند؟49
1-9-3 : یک دیوار آتش، چه تأثیری روی سازمان، شبکه و کاربران
خواهد گذاشت؟50
1-10 : سیاست امنیتی 51
1-10-1 : موضوعات اجرایی52
1-10-2 : موضوعات فنی53
1-11 : نیازهای پیاده سازی54
1-11-1 : نیازهای فنی54
1-11-2 : معماری54
1-12 : تصمیم گیری55
1-13 : پیاده سازی و آزمایش56
1-13-1 : آزمایش، آزمایش، آزمایش!57
1-14 : خلاصه 58
فصل دوم: پیاده سازی دیوار آتش با استفاده از iptables60
2-1 : مقدمه61
2-2 : واژگان علمی مربوط به فیلترسازی بسته62
2-3 : انتخاب یک ماشین برای دیوار آتش مبتنی بر لینوکس65
2-4 : به کار بردن IP Forwarding و Masquerading65
2-5 : حسابداری بسته70
2-6 : جداول و زنجیرها در یک دیوار آتش مبتنی بر لینوکس70
2-7 : قوانین74
2-8 : تطبیق ها75
2-9 : اهداف75
2-10 : پیکربندی iptables76
2-11 : استفاده از iptables77
2-11-1 : مشخصات فیلترسازی78
2-11-1-1 : تعیین نمودن آدرس IP مبدأ و مقصد78
2-11-1-2 : تعیین نمودن معکوس79
2-11-1-3 : تعیین نمودن پروتکل79
2-11-1-4 : تعیین نمودن یک رابط79
2-11-1-5 : تعیین نمودن قطعه ها80
2-11-2 : تعمیم هایی برای iptables (تطبیق های جدید)82
2-11-2-1 : تعمیم های TCP82
2-11-2-2 : تعمیم های UDP86
2-11-2-3 : تعمیم های ICMP86
2-11-2-4 : تعمیم های تطبیق دیگر87
2-11-3 : مشخصات هدف92
2-11-3-1 : زنجیرهای تعریف شده توسط کاربر92
2-11-3-2 : هدف های تعمیمی 92
2-11-4 : عملیات روی یک زنجیر کامل94
2-11-4-1 : ایجاد یک زنجیر جدید94
2-11-4-2 : حذف یک زنجیر 94
2-11-4-3 : خالی کردن یک زنجیر 95
2-11-4-4 : فهرست گیری از یک زنجیر 95
2-11-4-5 : صفر کردن شمارنده ها95
2-11-4-6 : تنظیم نمودن سیاست95
2-11-4-7 : تغییر دادن نام یک زنجیر96
2-12 : ترکیب NAT با فیلترسازی بسته96
2-12-1 : ترجمة آدرس شبکه96
2-12-2 : NAT مبدأ و Masquerading98
2-12-3 : NAT مقصد99
2-13 : ذخیره نمودن و برگرداندن قوانین101
2-14 : خلاصه102
نتیجه گیری105
پیشنهادات105
فهرست شکل ها
فصل اول
شکل 1-1 : نمایش دیوار آتش شبکه15
شکل 1-2 : مدل OSI22
شکل 1-3 : دیوار آتش از نوع فیلترکنندة بسته23
شکل 1-4 : لایه های OSI در فیلتر کردن بسته23
شکل 1-5 : لایه های OSI در بازرسی هوشمند بسته28
شکل 1-6 : دیوار آتش از نوع بازرسی هوشمند بسته30
شکل 1-7 : لایة مدل OSI در دروازة برنامة کاربردی33
شکل 1-8 : دیوار آتش از نوع دروازة برنامة کاربردی34
شکل 1-9 : مسیریاب فیلتر کنندة بسته44
شکل 1-10 : دیوار آتش میزبان غربال شده یا میزبان سنگر45
شکل 1-11 : دروازة دو خانه ای46
شکل 1-12 : زیر شبکة غربال شده یا منطقة غیرنظامی46
شکل 1-13 : دستگاه دیوار آتش47
فصل دوم
شکل 2-1 : یک سیستم مبتنی بر لینوکس که به عنوان یک مسیریاب به
جلو برنده پیکربندی شده است.67
شکل 2-2 : تغییر شکل شبکة 10.1.2.0 به عنوان آدرس 66.1.5.1 IP69
شکل 2-3 : مسیر حرکت بستة شبکه برای filtering72
شکل 2-4 : مسیر حرکت بستة شبکه برای Nat73
شکل 2-5 : مسیر حرکت بستة شبکه برای mangling73
فهرست جدول ها
فصل اول
فصل دوم
جدول 2-1 : جداول و زنجیرهای پیش فرض71
جدول 2-2 : توصیف زنجیرهای پیش فرض71
جدول 2-3 : هدف های پیش فرض76
جدول 2-4 : حالت های ردیابی ارتباط91
جدول 2-5 : سطوح ثبت وقایع93
جدول 2-6 : ماجول های کمکی NAT97
