基于IP地址、端口的访问控制
实验环境
公司的Web服务器、网关服务器均采用RHEL5操作系统，如图所示，为了加强网络访问的安全性，要求管理员熟悉iptables防火墙规则的编写，以便指定有效、可行的主机防护策略。
将局域网中各主机、网站服务器的默认网关设为192.168.1.1，将Inernet测试用机的默认网关设为172.16.16.1，然后在网关服务器中开启路由转发，以实现网络互连
需求描述
为网站服务器编写入站规则。
1） 允许接收响应本机ping测试请求的各种ICMP数据包。
2） 允许访问本机中位于80端口的Web服务，禁止访问其他端口的TCP请求。
3） 允许发往本机以建立连接或与已有连接相关的各种TCP数据包。
4） 禁止其他任何形式的入站访问数据。
为网关服务器编写转发规则
1） 允许局域网中的主机访问Internet中的Web、FTP、DNS、邮件服务。
2） 禁止局域网中的主机访问、w.qq.com、im.qq.com等网站，以防止通过WebQQ的方式进行在线聊天。
实验步骤
1、 保证内网与外网之间的网络畅通
2、 为网站服务器编写入站规则（所有规则均在filter表的INPUT链内添加）
1） 清空防火墙
2） 设置默认策略为DROP
3） 使用“ -p icmp –icmp-type 8 ”的条件匹配非ICMP请求的数据包
4） 使用“ –p tcp –dport 80 ”的条件匹配对TCP80端口的访问
5） 使用“ –p tcp –m state –state ESTABLISHED,RELATED ”匹配TCP响应数据包
3、 为网关服务器编写转发规则（所有规则均在filter表的FORWARD链内添加）
1） 清空防火墙
2） 设置默认策略为DROP
3） 针对TCP协议的80、20、21、25、110、143端口，以及UDP协议的53端口，分别为从局域网访问Internet，从Internet响应局域网请求的过程编写转发规则。
4）执行DNS查询，获知站点、w.qq.com、im.qq.com当 前所用 的IP地址包括：112.90.141.88、112.90.141.163、112.90.141.164、58.251.149.159、58.251.60.202、123.138.238.100、123.138.238.101。然后依次针对这些IP地址编写转发规则，禁止到TCP协议的80、443端口的访问。（使用脚本完成）
4、 测试转发控制效果：从局域网的主机无法访问Internet中的等被封站点，但能够访问其他Web站点，也能够访问DNS、FTP等网络服务。
