计算机网络编程

Size: px

Start display at page:

Download "计算机网络编程"

雨峨邴
5 years ago
Views:

1 计算机网络编程第 16 章包过滤防火墙程序设计信息工程学院方徽星

2 大纲设计目的相关知识例题分析

3 1. 设计目的防火墙是网络安全技术中的重要组成部分通过包过滤防火墙程序设计了解防火墙的基本概念与主要功能掌握网络层包过滤技术的设计思路与编程方法

4 2. 相关知识 : 网络安全的重要性海莲花 (OceanLotus) 是高度组织化的专业化的境外国家级黑客组织自 2012 年 4 月起针对中国政府的海事机构海域建设部门科研院所和航运企业, 展开了精密组织的网络攻击是有国外政府支持的 APT( 高级持续性威胁 ) 行动

5 2. 相关知识 : 网络安全的重要性 2013 年 3 月, 中国解放军报报道, 美国曾利用震网蠕虫病毒攻击伊朗的铀浓缩设备, 已经造成伊朗核电站推迟发电近 500 万网民及多个行业的领军企业遭此病毒攻击

6 2. 相关知识 : 网络安全的重要性杜天禹通过植入木马等方式, 非法侵入山东省 2016 年普通高等学校招生考试信息平台网站, 窃取 2016 年山东省高考考生个人信息 64 万余条, 并对外出售牟利陈文辉等人使用所购的上述信息实施电信诈骗, 拨打诈骗电话 1 万余次, 骗取他人钱款 20 余万元, 造成山东省临沂市罗庄区高考考生徐玉玉死亡

7 2. 相关知识 : 网络安全的重要性 2017 年 5 月 12 日, 一种名为 Wannacry 的勒索病毒袭击全球 150 多个国家和地区, 影响领域包括政府部门医疗服务公共交通邮政通信和汽车制造业

8 2. 相关知识 : 网络安全的重要性网络安全概念既包括用于解决网络应用中的安全威胁的各种技术或管理手段也包括这些安全威胁本身以及相关活动

9 2. 相关知识 : 防火墙的基本概念防火墙是在计算机网络之间执行控制策略的系统, 包括专用的硬件设备与软件系统内部网络外部网络防火墙服务器服务器可信赖的网络不可信赖的网络

10 2. 相关知识 : 防火墙的基本概念防火墙的目的是保护内部网络资源不被外部非授权用户使用, 防止内部网络受到外部非法用户的攻击内部网络外部网络防火墙服务器服务器可信赖的网络不可信赖的网络

11 2. 相关知识 : 防火墙的基本概念防火墙的控制策略主要包括服务控制 : 确定访问的网络服务,FTP 等方向控制 : 确定访问网络服务的方向, 内部 <-> 外部用户控制 : 确定访问网络服务的 ( 内部 ) 用户行为控制 : 确定访问网络的形式, 如访问部分信息

12 2. 相关知识 : 防火墙的分类方法根据结构与实现技术的不同, 主要分为包过滤路由器 : 在网络层实现的防火墙系统, 建立在路由技术基础上应用级网关 : 在应用层实现的防火墙, 建立在代理技术的基础上

13 2. 相关知识 : 防火墙的分类方法包过滤路由器 : 检查 IP 分组, 根据包过滤规则执行相应操作包过滤路由器包过滤规则内部网络网络层数据链路层物理层网络层数据链路层物理层服务器防火墙 Internet 外部网络

14 2. 相关知识 : 防火墙的分类方法包过滤路由器过滤的内容主要包括 : 网络层的头部信息, 例如 IP 地址优先级与协议类型等传输层的头部信息, 例如端口号与 TCP 控制标记 (SYN ACK FIN RST) 等

15 2. 相关知识 : 防火墙的分类方法实现包过滤的关键是指定相应的包过滤规则规则源地址目的地址传输层协议端口号操作 1 任意 TCP 80 允许 2 任意 TCP 25 允许 3 任意 UDP 53 允许 4 任意任意其他地址任意任意丢弃

16 2. 相关知识 : 防火墙的分类方法包过滤路由器主要优点结构简单便于管理造价低廉包过滤针对的是网络层与传输层的数据不需要客户机和服务器程序做任何修改

17 2. 相关知识 : 防火墙的分类方法包过滤路由器的主要缺点规则配置比较困难, 需熟悉各种协议及相关特征包过滤建立在 IP 地址或端口号基础上, 只能控制到主机级而不能达到用户级不能阻止某些类型的网络攻击 DDoS: 常通过向服务器提交大量请求, 使服务器超负荷, 从而拒绝服务 IP 欺骗攻击 : 伪造源 IP 地址, 以便冒充其他系统或发件人的身份

18 2. 相关知识 : 防火墙的分类方法应用级网关 : 在应用层实现的防火墙, 通常是一台具有应用程序访问控制功能的主机处理的数据包是应用层数据核心技术是应用访问控制规则如果应用级网关允许某个数据包通过, 则将数据包转发给相应主机如果拒绝某个数据包通过, 则丢弃数据包并通知相应的发送方

19 2. 相关知识 : 防火墙系统结构防火墙通常由包过滤路由器与应用级网关作为基本单元, 采用多级结构与多种组合方式包过滤路由器通常用字符 S 来表示堡垒主机是指一台运行应用级网关软件的主机, 通常用 B 来表示单接口堡垒主机 : 有一个网络接口, 可连接一个子网, 通常用 B1 来表示双接口堡垒主机 : 有两个网络接口, 可连接两个子网, 通常用

20 2. 相关知识 : 防火墙系统结构根据主机面向的服务对象方面的差异, 内部网络主机可分为普通主机, 如内部用户的工作主机对内服务器, 如文件服务器数据库服务器对外服务器, 如 Web 服务器 FTP 服务器

21 内防火墙内部网络非军事区外部用户外防火墙非军事区 : 将对外服务器放置在该区域

22 3. 例题分析 : 设计要求编写包过滤程序, 捕获与分析网络中的 IP 包, 并且将符合条件的 IP 包信息显示在控制台上只设置两条简单的包过滤规则, 并且不丢弃符合条件的 IP 包两条包过滤规则目的地址为 , 协议类型为 UDP: 允许通过源地址为 , 协议类型为 UDP: 拒绝通过

23 3. 例题分析 : 设计要求具体要求命令行程序 PackFilter packet_sum 将部分字段内容显示在控制台上源 IP 地址 :xx.xx.xx.xx 目的 IP 地址 :xx.xx.xx.xx 协议类型 :UDP 操作类型 : 允许或拒绝

24 3. 例题分析 : 关键问题初始化 Socket 结构为了通过网卡截获网络中传输的 IP 包, 需创建原始套接字调用 setsockopt, 设置套接字选项, 允许处理 IP 头部套接字句柄参数层次 :IP 协议参数值占用的字节数 setsockopt(sock, IPPROTO_IP, IP_HDRINCL, (char *) &flag, sizeof(flag)); 需要设置的参数参数值 :true 表示用户自己处理 IPv4 头部

25 3. 例题分析 : 关键问题 // 创建原始套接字 SOCKET sock = socket(af_inet, SOCK_RAW, IPPROTO_IP); BOOL flag = true; setsockopt(sock, IPPROTO_IP, IP_HDRINCL, (char *)&flag, sizeof(flag)); // 填充套接字地址 sockaddr_in host_addr; host_addr.sin_family = AF_INET; host_addr.sin_port = htons(6000); host_addr.sin_addr = *(in_addr *) phostip->h_addr_list[0]; bind(sock, (PSOCKADDR)&host_addr, sizeof(host_addr));

26 3. 例题分析 : 关键问题接收所有 IP 包想要截获经过网卡的所有 IP 包, 需要调用 WSAIoctl() 函数将网卡设置为混杂模式当接收 IP 包中的协议类型与原始套接字匹配,IP 包内容被复制到套接字缓冲区

27 DWORD dwbufferlen[10]; DWORD dwbufferinlen = 1; DWORD dwbytesreturned = 0; WSAIoctl(sock, IO_RCVALL, &dwbufferinlen, sizeof(dwbufferinlen), &dwbufferlen, sizeof(dwbufferlen), &dwbytesreturned, NULL, NULL); // 接收所有 IP 包 while (i < packsum) { recv(sock, buffer, 65535, 0); }

28 3. 例题分析 : 关键问题检查包过滤规则接收到 IP 包后, 需根据过滤规则分析 IP 头部字段可利用结构体来定义包过滤规则, 并填充根据每条规则检查 IP 头部字段, 执行相应操作

29 // 包过滤规则结构体 typedef struct { char SourceAddr[16];// 源 IP 地址 char DestinAddr[16];// 目的 IP 地址 unsigned short SourcePort; // 源端口号 unsigned short DestinPort; // 目的端口号 unsigned char Protocol; // 协议类型 bool Operation; // 操作类型 }filter_table;

30 // 填写包过滤规则 (2 项 ) filter_table filter[2]; // 第一条 memset(filter[0].sourceaddr, 0, 16); // 设置 IP 地址 memcpy(filter[0].sourceaddr, " ", strlen(" ")); // 设置协议类型 filter[0].protocol = IPPROTO_UDP; filter[0].operation = REJECT_OPT;

31 // 第二条 memset(filter[1].destinaddr, 0, 16); // 设置 IP 地址 memcpy(filter[1].destinaddr, " ", strlen(" ")); // 设置协议类型 filter[1].protocol = IPPROTO_UDP; filter[1].operation = PERMIT_OPT;

32 // 检验包过滤规则 1 // 比较 IP 包中的源 IP 地址与规则中的源 IP 地址 if (strcmp(source_ip, filter[0].sourceaddr) == 0) {// 源 IP 地址相同 if (ip.protocol == filter[0].protocol) {// 协议相同 } }

33 3. 例题分析 : 关键问题程序流程图开始 Y 命令行参数是否正确? N 输出错误信息 1 结束

34 3. 例题分析 : 关键问题程序流程图 1 网卡绑定套接字初始化 Winsock 设置网卡混杂模式创建原始套接字设置包过滤规则 2

35 3. 例题分析 : 关键问题程序流程图 2 Y 是否捕获 IP 包? N 3 分析 IP 包头部字段 N 是否符合包过滤规则? Y 显示 IP 包相关信息

36 3. 例题分析 : 关键问题程序流程图 3 关闭原始套接字释放 Winsock 资源结束

37 程序演示

38 本章小结设计目的了解防火墙基本概念与主要功能掌握网络层包过滤技术的设计思路与编程方法相关知识网络安全的重要性防火墙基本概念防火墙分类防火墙系统结构例题分析初始化 Socket 结构检查包过滤规则流程图

计算机网络编程

计算机网络编程第 11 章 TCP 数据包的封装与发送信息工程学院方徽星 fanghuixing@hotmail.com 大纲设计目的相关知识例题分析 1. 设计目的熟悉 TCP 包结构对于理解网络层次结构, 以及 TCP 协议与 IP 协议的关系有着重要意义通过封装与发送一个标准的 TCP 数据包, 了解 TCP 包结构中各字段的含义与用途深入理解传输层与下面各层的关系 2. 相关知识