پروژه آزمایشگاه مدار منطقی

پروژه آزمایشگاه مدار منطقی

ناخت كاربردي Iptable پروژه آزمايشگاه مدار منطقي »استاد راهنما:مهندس مجيد اسدي شهميرزادي تهيه كنندگان: مريم فلسفي ، ليلا ساروخاني، مهناز علي نژاد

حق چاپ ، توزيع و تغيير اين سند تحت شرايط و مفاد و جواز مستند سازي GNU FREE ، نسخه يك عملي است .پروژه آزمایشگاه مدار منطقی و اين جا بخش هاي غير متغير مقدمه هستند و بخش هاي زيرين با متون Front – Cover مىتوانند اطلاعات محقق Oskar Andreasson را بيان كنند و متون Back – Cover استفاده نشده اند نسخه اي از اين جواز در بخش جواز مستند سازي GNU FREE آمده است .

تمام دست نوشته ها در اين آيين نامه با جواز عمومي GNU طراحي شده اند اين دست نوشته ها منبع آزاد دارند .پروژه آزمایشگاه مدار منطقی شما مىتوانيد مجدد آنها را توزيع كنيد و تحت شرايط جواز كلي GNU تغيير دهيد همان طور در نهاد نرم افزاري FREE نسخه 2 جواز ديده شد. اين دست نوشته ها با اين اميد توزيع مىشوند كه مفيد واقع شوند ولي شماتتي در اين جا وجود ندارد . بدون مجوز توانايي تجاري و يا تناسب اهداف خاص به اين هدف دست مىيابيد . جهت جزئيات بيشتر به جواز عمومي GNU مراجعه كنيد .

فهرست مطالب:

در مورد مولف          چگونگي خواندن

شرط لازم          نهادهاي مورد استفاده در سند

1- مقدمه     1-1 : چرا اين سند نوشته شد       2-1 : چگونگي نوشتن آن

3-1 : اصطلاحات مورد استفاده                    2-آماده سازي

1-2 : درك جا iptables را بدست آوريم         2-2 : نصب kernel

3-2 : نصب در محل كاربر

1-3-2 : كامپايل برنامه هاي كاربر          2-3-2 : نصب بر RED HOT 7/1

3- جستجوي جداول و زنجيره ها    1-3 : كليات       2-3 : جدول Mangle

3-3 : جدول فيلتر                              4- ماشين حالت

1-4 : مقدمه                                 2-4 : ورودي Conntrack

3-4 : حالات محل كاربر                    4-4 : اتصالات TCP

5-4 : اتصالات UDP                         6-4 : اتصالات ICMP

7-4 : اتصالات پيش فرض                  8-4 : رديابي اتصال و پروتكل پيچيده

پروژه آزمایشگاه مدار منطقی

در مورد محقق  من داراي كامپيوترهاي فراوان هستم . من يك كامپيوتر LAN دارم و تمام ماشين ها بر اينترنت وصل هستند ولي بايد LAN ايمن حفظ شود . iptables جديد يك نسخه ارتقا يافته از ipchain مىتوانيد يك شبكه ايمن بسازيد و اين امر با حذف بسته هاي آتي عملي است . با اين وجود FTP انفعالي و يا DGE در TRC مسائلي به دنبال دارند . پروژه آزمایشگاه مدار منطقی مسائل دندانه اي كردن در كد iptables در سطح آغازين حل نشده اند . امروزه هر كس را كه از آنها استفاده مىكند به سوي نسخه توليد كامل راهنمايي مىكنم و ipfwadm را ارتقا دارم . اين كه فعلي مىتواند در صورت نياز استفاده شود .

چگونگي خواندن :

اين سند به درستي نوشته شده است . بنابراين مىتوانيد به نكات جالب iptables پي ببريد . اين به معناي اطلاعات خاصي در مورد اشكالات ايمني خاص در iptables يا Netfilter نيست اگر اشكالات خاص و رفتارهايي را در iptables و هر زير مولف يافتيد با ليت پست Netfilter تماس بگيريد و سپس خواهيد توانست اشكالات واقعي را بشناسيد و حل كنيد اشكالات ايمني واقعي در iptable و Netfilter فراوان هستند و يك يا دو اشكال در آن واحد گزارش شده است . آنها در صفوف اصلي Netfilter آمده اند بايد اطلاعات را در مورد موضوع ارائه كنند .

پروژه آزمایشگاه مدار منطقی

مىتوان گفت مجموعه قوانين موجود در اين سند پيرامون اشكالات واخل Netfilter نمىباشند . هدف اصلي توصيف چگونگي نصب قوانين در يك حالت ساده است به طوري كه بتوان مسائل داخل كرد به عنوان مثال اين سند نشان نمىدهد كه چگونه HTTP PORT به دلايل مفاد بسته مي‌شود آنطور كه Apache در نسخه 12-2-1 گزارش كرد. پروژه آزمایشگاه مدار منطقی اين سند براي هر كس قابل استفاده است و مىتواند نشان دهد كه چگونه با iptable مىتوان كار را آغاز كرد ولي در آن واحد يك روند تكامل را نيز پيچيده است . اين جا اهداف و هماهنگي ها در patch – matic بيان نمىشوند . ارتقا نياز است . اگر اطلاعات بيشتر در مورد اين ارتقا لازم داريد بايد patch – matic و ديگر اسناد را در صفوف اصلي Netfilter مطالعه كنيد .

شرط لازم :

اين سند به معلومات در مورد linux linux ، دست نوشته لايه اي ، و چگونگي كامپايل كردن kernel و بخش دروني آن نياز دارد .

من سعي كرده ام تا تمام شرايط را قبل از توصيف اين سند بررسي كنم ولي نمىتوان تمام اطلاعات قبلي را مطرح كرد .

نهادهاي مورد استفاده در اين سند : اين نهادهاي در سند زمان دستورات ، فايل و ديگر اطلاعات خاص استفاده مىشوند .

• گلچين كد و خروجي دستور اين چنين است و تمام خروجي ها در فونت پهناي ثابت و دستور مكتوب كاربر به صورت bold هستند:
• تمام دستورات و نام هاي برنامه در اين سند در حالت bold هستند:
• تمام item سيستم مانند سخت افزار و مولف دروني kernel و item سيستم انژاي مانند روابط حلقه اي كه در حالت italic آمده اند
• خروجي كامپيوتر به شكل this way در متن ظاهر مىشوند .
• نام فايل و مسير در سيستم فايل به شكل ….

فصل 1 : مقدمه

1-1 : چرا اين سند نوشته شد :

من فضاي خالي بزرگي را در HOW TOS  يافتم و در آنجا اطلاعات در مورد iptable و نقش Netfilter در linux 1/4x kernel جديد كافي نبود . در بين آنها مىخواهم به سوالاتي پاسخ دهم كه در مورد احتمال جديد مانند مطابق حالت بوده اند . بخش اعظم آن به صورت فايل rc…. است كه در دست نوشته etc…. آمده است . اين فايل اصولاً بر اساس ارتقاي idowt. است .

يك دست نوشته كوچك در مورد اجراي برنامه و راه اندازي سيستم به صورت rc…. در دسترس است .

2-1 : چگونگي نوشتن :

من با مارك باكر و ديگران در سيستم Netfilter مشورت كردم . بسياري از آنها در اين اثر مستند به من كمك نموده اند و در اين جا سعي كرده ام از سايت Fr.zentux.Net خود استفاده كنم .پروژه آزمایشگاه مدار منطقی اين سند فرآيند نصب را مرحله به مرحله نشان مىدهد و در مورد طرح iptables است . من مثالهاي فايل re.Firewall و مثالهاي يادگيري استفاده از iptables را نيز ارائه كرده ام در اين جا بايد تابع زنجيره هاي اصولي باشيد و آنها را در كنار هم قرار دهيد . به اين ترتيب سند مىتواند آماده شود و روش منطقي تر را نشان دهد . هر زمان كه اين درك مشكل باشد به اين سند مراجعه كنيد .

3-1 : اصطلاحات مورد استفاده در سند :

اين سند داراي اصطلاحاتي است كه به تشريح نياز دارند قبل از اينكه آنرا مطالعه كنيد . در اين بخش توصيف آنها و چگونگي انتخاب آنها در سند آمده است .

ترجمه آدرس شبكه مقصد – DNAT – روش ترجمه آدرس IP مقصد در بسته اشتاره دارد و يا تغيير آنرا نشان مىدهد . اين با SNAT استفاده شد و به كاربرها در به اشتراك گذاري آدرس IP اينترنت كمك مىكند و خدمات سرويس دهنده را ارائه مىنمايد. اين روند با تعيين port متفاوت با آدرس IP عملي است و مسير linux را براي ارسال ترافيك نشان مىدهد .

جريان- اين اصطلاح به روابط ارسال و دريافت بسته ها در رابطه با روش جديد اشاره دارد .پروژه آزمایشگاه مدار منطقی اصولاً اين اصطلاح براي يك نوع ارتباط به كار مىرود كه دو يا چند بسته را در دو جهت ارسال مىكند . در TCP اين به معناي ارتباطي است كه يك SYN را ارسال مىكند و سپس با SYN/ACK جواب مىدهد ولي ارتباط ارسالي SYN و جواب ميزبان ICMP نيز مهم است . به عبارت ديگر از اين اصطلاح به خوبي استفاده نمي‌كنم .

SNAT – ترجمه آدرس شبكه منبع اين اصطلاح به روش ترجمه آدرس منبع به ديگري اشاره دارد . اين براي چندين ميزبان وجه اشتراك گذاري آدرس IP اينترنت به كار ميرود زيرا نقص آدرس IP در IP 74 مطرح است ( IP 74 اين را حل مىكند )

حالت – اين اصطلاح بحالت بسته طبق پروتكل كنترل انتقال RFC 793 اشاره دارد و در Netfilter/iptable به كار مىرود . توجه كنيد كه حالات دروني و خارجي تابع ويژگي RFC 793 است . دليل اصلي آن است كه Netfilter بايد چندمين فرضيه در مورد ارتباط و بسته ها ارائه كند . فضاي كاربر  اين اصطلاح به هر چيز كه در خارج kernel روي دهد اشاره دارد به عنوان مثال تحريك iptable-h در خارج kernel است ولي iptable – A Forward p – tcp jAce Ept در kernel است زيرا قانون جديد به مجموعه قوانين اضافه مي‌شود .

فضاي kernel – اين نكاتش برخلاف فضاي كاربر است اين اقدامات را در kernel نشان مىدهد و همه در خارج آن .

قلمرو كاربر – به فضاي كاربر مراجعه كنيد .

فصل 2 : آماده سازي : اين فصل توصيف درك نقش Netfilter و iptable در linux است . در اين جا بايد كار با آزمايش آغاز شود و نصب عملي شود . با زمان كافي مىتوانيد آنرا دقيقاً اجرا كنيد .

1-2 : كجا به iptable دست يابيم :

بسته فضاي كاربر iptables  مىتواند از آدرس زير down load شود :

اين بسته iptable تسهيلات خاص فضاي kernel را نشان مىدهد كه در طي توليد سيستم طراحي شده اند مراحل لازم به تفصيل بررسي خواهند شد .

2-2 :نصب kernel

براي اجراي اساس iptable بايد گزينه ها در kernel راه اندازي شوند و سيستم با دستورات مربوط آماده شود .

CONFIG- PAKET- اين گزينه توليد برنامه را براي ارتباط كاري سيستم با ابزار شبكه نشان مىدهد . نمونه ها به صورت tcpdump و snort  است .

CONFIG- PAKET- يك نياز براي عملكرد iptable نيست بلكه داراي موارد استعمال فراوان است . در اين جا بايد طرح در نظر گرفته شود . اگر آنرا نخواهيد حذف مىكنيد .

CONFIG – NETFILER – اين گزينه در صورتي نياز است كه بخواهيد از كامپيوتر به عنوان ورود به اينترنت استفاده كنيد . پروژه آزمایشگاه مدار منطقی به عبارت ديگر اين روند براي هر چيز در سند نياز است زيرا طرح اصولي هستند . البته بايد ابزار درست براي رابط اضافه شوند مانند آداپتور اينترنت ، ppp و رابط SLIP . اين موارد اصول iptable هستند . شما نمىتوانيد چهارچوب را به kernel  اضافه كنيد . اگر از گزينه ها در iptable استفاده كنيد بايد نصب سيستم را در kernel انجام دهيد . در اين جا گزينه ها در kernel 9-4-2 آمده اند.

CONFIG -NF – FTP – اين مدل در صورتي نياز است كه بخواهيد ارتباط را بر FTP برقرار كنيد . جون ارتباطات FTP به راحتي در موارد طبيعي اجرا نمي‌شوند بايد از helper استفاده كنيد . اگر اين مدل را اضافه نكنيد . نمىتوانيد FTP را به درستي اجرا كنيد .

پروژه آزمایشگاه مدار منطقی

CONFIG- IP – NF – FPTAHLE – اين گزينه در صورتي نياز است كه يك نوع Filter يا NAT  نياز باشد . در اين جا چهارچوب شناخت iptable به kernel  اضافه مي‌شود . بدون اين امر نمىتوانيد با iptable كاري كنيد .

CONFIG -IP- NF – MATCH – LIMIT – اين مدل دقيقاً نياز نيست ولي در مثالهاي rcopir…. آمده است اين گزينه هماهنگي LIMIT را نشان مىدهد . بايد احتمال كنترل بسته ها در نظر گرفته شود و قانون توسعه يابد . به عنوان مثال m.limit- lin 3 / lin.ld  يك هماهنگي 3 بسته را در هر دقيقه نشان مي‌دهد .پروژه آزمایشگاه مدار منطقی اين مدل مىتواند براي جلوگيري از علامت انكار خدماتي استفاده شود.

CONFIG – IP – NF – MATCH- MAC – اين گزينه هماهنگي بسته را بر اساس آدرس MAC نشان مىدهد . هر آداپتور اينترنت داراي آدرس MAC خاص خود است . ما بسته هاي بلوكي در آدرس MAC داريم و از بلوك خاص براي آدرس MAC استفاده مىكنيم . ما از اين گزينه در نمونه dc.fire…. استفاده نمىكنيم .

CONFIG – IP – NF….. – اين گزينه در استفاده از تطابق MARK مفيد است . به عنوان مثال اگر از MARK هدف براي بسته ها استفاده شود بسته به اين كه آيا بسته ها در جدول هستند يا خير مىتوانيم هماهنگي را برقرار كنيم . اين گزينه هماهنگي واقعي MARK است و مىتواند توصيف هدف واقعي MARK باشد .

CONFIG – IP – NF – MATCH – MULTIPORT – اين روش به ما در تطابق بسته ها با يك سري port مقصد و منبع كمك مىكند . اين ويژگي غيرممكن است ولي هماهنگي برقرار خواهد شد .