实战：使用TCP/IP筛选保护服务器安全
使用TCP/IP筛选保护服务器安全
对于部署在Internet的服务器，安全是必须要考虑的事情。为了降低服务器受***的危险，停止不必要的服务或在本地连接的TCP/IP属性中只打开必要的端口。
如图2-127所示，实验环境为Server的IP地址192.168.1.200，运行着Web服务，SMTP服务、POP3服务、FTP服务和DNS服务。Client的IP地址为192.168.1.121。只允许Client计算机访问Server计算机的Web服务、FTP服务和DNS服务。以下演示配置Server计算机的TCP/IP筛选只允许TCP目标端口为80和21的数据包进入，以及只允许UDP目标端口为53的数据包进入。
▲图2-127 TCP/IP筛选示意图
（1）如图2-128所示，在Client计算机上安装ScanPort软件，输入起始地址和结束地址都为Server计算机的IP地址192.168.1.200，并输入端口号的范围，单击“扫描”按钮。
（2）如图2-128所示，可以看到扫描结果。通过扫描结果，可以断定该服务器运行着FTP服务、SMTP服务，DNS服务、Web服务和POP3服务等。
（3）如图2-129所示，在Server上，打开“本地连接 属性”对话框，选中“Internet协议（TCP/IP）”复选框，单击“属性”按钮。
▲图 2-128 端口扫描 ▲图2-129 “本地连接 属性”对话框
（4）如图2-130所示，在打开的“Internet协议（TCP/IP）属性”对话框中，单击“高级”按钮。
（5）如图2-131所示，在出现的“高级TCP/IP设置”对话框的“选项”选项卡中，选中“TCP/IP筛选”选项，单击“属性”按钮。
▲图2-130 “Internet协议（TCP/IP）属性”对话框 ▲图2-131 “高级TCP/IP设置”对话框
（6）如图2-132所示，在出现的“TCP/IP筛选”对话框中，选中“启用TCP/IP筛选”复选框，TCP端口选中“只允许”单选按钮，单击“添加”按钮。
（7）如图2-132所示，在出现的“添加筛选器”对话框中，输入80，单击“确定”按钮。
（8）如图2-133所示，同样添加TCP的21端口。
（9）如图2-133所示，UDP端口选中“只允许”单选按钮，添加端口53，单击“确定”按钮。
▲图2-132 添加允许的TCP端口 ▲图2-133 添加允许的UDP端口
（10）如图2-134所示，提示需要重启计算机，单击“是”按钮，重启计算机。
（11）如图2-135所示，在Client上，发现只能扫描到21和80端口，端口扫描只是扫描TCP的端口，不扫描UDP端口。这样Client计算机只能访问Server FTP服务和Web服务。
▲图2-134 需要重启计算机 ▲图2-135 扫描端口
（12）如图2-136所示，在Server上，在命令提示符下输入netstat –an查看侦听的端口。可以看到该服务器在TCP的25、110端口侦听。这说明TCP/IP筛选并不控制服务器侦听的端口。
（13）如图2-137所示，在Client上，运行ping www.ess.com，可以看到Client计算机可以通过Server进行域名解析。
（14）如图2-137所示，telnet Server的25端口和110端口失败。说明TCP/IP筛选没有允许这些端口。
▲图2-136 查看侦听的端口 ▲图2-137 测试域名解析
（15）如图2-138所示，在Client上可以访问Server的Web服务，也能够访问FTP服务。
（16）如图2-139所示，在Server上访问Client计算机的共享文件夹，输入Client计算机的用户名和密码，能够访问成功。
▲图2-138 能够访问Web和FTP站点 ▲图2-139 TCP/IP筛选不影响出去的流量
（17）如图2-140所示，在命令提示符下输入netstat –n，可以看到建立的会话，说明TCP/IP筛选并不控制出去的流量。
（18）如图2-141所示，在Server上ping www.sohu.com，发现不能域名解析，输入nslookup后，输入www.sohu.com，可以看到解析失败。为什么Server不能将域名解析呢？
▲图2-140 查看建立的会话 ▲图2-141 域名解析
Server为什么不能解析Internet DNS服务器的域名？举例说明：Server向Internet DNS发送域名解析的请求，协议是UDP，目标端口为53，源端口为1027，当数据包发出去后，由于UDP不建立会话，发出去的数据包或请求就忘记了，在域名解析结果返回来的时候，由于TCP/IP筛选UDP只打开了53端口，而没有打开1027端口，因此被TCP/IP筛选拦截。因此域名解析失败。
为什么Server的TCP/IP筛选访问Client的共享文件夹？举例说明：如图2-142所示，Server访问Client的共享文件夹，Server向Client发送访问共享文件夹的请求数据包，使用TCP协议，目标端口为445，源端口为1045，因为TCP是建立会话的，所以Server会临时打开端口1045，这样Client返回的数据包，能够进入Server。
▲图2-142 UDP不建立会话
广告
相关文章：
python中的协程（二）
协程 1、协程： 单线程实现并发 在应用程序里控制多个任务的切换保存状态 优点： 应用程序级别速度要远远高于操作系统的切换 缺点： 多个任务一旦有一个阻塞没有切，整个线程都阻塞在原地，该线程内的其他的任务都不能执行…
C语言网络编程：bind函数详解
文章目录函数功能函数头文件函数使用函数参数函数举例为什么需要bind函数服务器如何知道客户端的ip和端口号htons函数htons兄弟函数htonl,ntohs,ntohl为什么要进行端口的大小端序的转换inet_addr函数函数功能 bind API能够将套接字文件描述符、端口号和ip绑定到一起 注意&…
java flex 图片上传_flex上传图片到java服务器
今天弄flex上传图片到java，现在弄成功，中间也经常一点小波折，现记录一下。重点在java侧的实现。flex侧：文件上载到在url参数中传递的URL。该URL必须是配置为接受上载的服务器脚本。Flash Player使用HTTP POST方法上载文件。处理上…
开发者怎么样做到盈利
开发者如何赚钱? 不可回避的一点就是，开发者的产品要有足够好的用户体验。假设你会做手机游戏，那么把手游做好了之后用户的粘性很大，如果你做应用，那么你的应用下载会对用户产生有价值的东西。 其实如果你的产品真的有价值&#…
如何在Windows Azure VM上的SQL Server和Windows Azure SQL Database两者中做出选择
作者信息：本篇文章是由SQL Server Cloud Infrastructure Team的 Madhan Arumugam 和 Guy Bowerman共同著作。 简介 把SQL 数据托管在哪里，Windows Azure 为您提供了两个选择，VM上的SQL Server（以下简称 SQL/VM）和 Wind…
C语言网络编程：socket函数
函数描述 头文件 <sys/types.h> <sys/socket.h> 函数使用int socket(int domain, int type, int protocol); 函数功能：创建一个通信的终点，并返回一个文件描述符来代表通信的终点 函数参数： a. domain 代编当前创建的socket文…
python excel web_使用python在WEB页面上生成EXCEL文件
近日写的一个程序需要在WEB服务器上生成EXCEL文件供用户下载，研究了一下找到了以下比较可行的实现方案，下面以web.py为例，把相关代码贴出来供大家参考：首先需要下载生成EXCEL的模块，推荐使用xlwtimport xlwtimport Str…
dateTimePicker编辑状态下，取值不正确的问题
当对dateTimePicker进行编辑，回车，调用函数处理dateTimePicker的value值时，其取值结果是你编辑之前的值，而不是你编辑后的值，虽然dateTimePicker.text的值是编辑后的值，但使用起来不方便，因此暂…
RMAN Backups
oracle 主要的备份工具 RMAN 其中，open database backup, 不需要把数据库设置成backup状态, RMAN reads a block until a consistent read is obtained. 看来备份比较重要的三种文件分别是, data file, control file, archivelog file. Types of Recovery Manager B…
异步使用委托delegate --- BeginInvoke和EndInvoke方法
当我们定义一个委托的时候，一般语言运行时会自动帮委托定义BeginInvoke 和 EndInvoke两个方法，这两个方法的作用是可以异步调用委托。 方法BeginInvoke有两个参数： AsyncCallBack：回调函数，是一个委托，没有…
C语言网络编程：TCP编程模型
编程模型 TCP编程模型如下 TCP服务器的工作过程如下： 服务器创建一个专门的“文件描述符”来监听来自客户端的“三次握手”，然后建立链接链接建立成功后，服务器会分配一个专门的“通信文件描述符”，用于实现与该客户端的通信 …
九度 1553：时钟(模拟题)
题目描述：如图，给定任意时刻，求时针和分针的夹角(劣弧所对应的角)。 输入：输入包含多组测试数据，每组测试数据由一个按hh:mm表示的时刻组成。 输出：对于每组测试数据，输出一个浮点数，…
python3.7.4安装教程桌面_Python 3.7.4 for Windows的安装
一、Python简介Python是一款通用型的计算机程序设计语言，Python对编程人员来讲是一款很是有利的工具，可让您快速编写代码，并且代码运行速度很是快。Python具备很是简捷而清晰的语法特色，适合完成各类高层任务，几乎能够…
CSS 合法颜色值
2019独角兽企业重金招聘Python工程师标准>>> 连接地址：http://www.w3school.com.cn/css/css_colors_legal.asp 转载于:https://my.oschina.net/syc2013/blog/109970
SQL 关于apply的两种形式cross apply 和 outer apply
SQL 关于apply的两种形式cross apply 和 outer apply阅读目录 SQL 关于apply的两种形式cross apply 和 outer applySql学习第四天——SQL 关于with cube ，with rollup 和 grouping回到目录SQL 关于apply的两种形式cross apply 和 outer apply SQL 关于apply的两种形…
C语言网络编程：TCP客户端实现
文章目录客户端通信步骤为什么客户端没有bind和listen客户端connect函数介绍局域网内客户端和服务器通信代码实例客户端通信步骤 根据基本TCP网络通信编程模型 我们可以知道客户端的实现主要有几个步骤 socket创建客户端通信的套接字文件，并指定通信的协议族和数…
java不能对什么类型进行转换_关于java：“不兼容类型：void无法转换为…”是什么意思？...
Java编译消息是什么："Incompatible types: void cannot be converted to ..."的意思，以及我该如何解决。 一些编译器使用不同的措词； 例如"Type mismatch: cannot convert from void to ..."要么"Incompatible type…
屏蔽Drupal中的“Notice: Undefined index”警告
原因：drupal默认使用E_ALL，即输出所有错误和警告。我们只需要修改错误显示级别即可。 方法： 1. 打开\sites\default\settings.php 追加一行 ini_set(error_reporting, E_ALL ^ E_NOTICE); 这句话的意思是输出除了所有警告的所有错误。 注意该…
【AJAX】DWR入门教程
DWR(Direct Web Remoting)是一个WEB远程调用框架.利用这个框架可以让AJAX开发变得很简单.利用DWR可以在客户端利用JavaScript直接调用服务端的Java方法并返回值给JavaScript就好像直接本地客户端调用一样(DWR根据Java类来动态生成JavaScrip代码).它的最新版本DWR0.6添加许多特性…
$.ajax居然触发popstate事件?
我使用$.ajax用来实现一个搜索效果 近段时间因为苹果上微信浏览器的不知明原因需要处理返回事件，因此加多了popstate事件监听用来分别处理苹果跟安卓的返回。 可是居然影响到了我前面的ajax搜索功能，异常情况是：点击搜索按钮-调用ajax请求-直…
C语言网络编程：UDP通信实现
文章目录UDP的特点：UDP的用途UDP编程模型UDP通信代码实现UDP的特点： udp 协议是一种无链接的不可靠传输协议，且UDP每次发送到分组数据大小都是固定的，它的主要特点如下： 不建立连接没有应答机制不会根据网络状况的好坏…
智能跳过节假日算法java_java计算两个日期之前的天数实例(排除节假日和周末)...
java计算两个日期之前的天数实例(排除节假日和周末)发布时间：2020-09-02 23:07:01来源：脚本之家阅读：108作者：jingxian如题所说，计算两个日期之前的天数，排除节假日和周末。这里天数的类型为double…
一步步学习SPD2010--第十四章节--在Web页面使用控件（3）--验证用户数据输入
通过使用验证控件，你可以验证用户输入到控件的数据。插入的控件可以是HTML标签或者标准ASP.NET控件。 在本次练习中，你创建数据输入表单，并使用RequiredFieldValidation控件来强制输入。 转载于:https://www.cnblogs.com/crazygolf/p…
【C#】Gif文件生成
使用codeplex的GifCreator http://gifcreator.codeplex.com 来处理Gif文件 引用库文件Gif.Components.dll 1、把Gif文件转成Png文件 /// <summary>/// 把Gif文件转成Png文件，放在directory目录下/// </summary>/// <param name"file">&…
深度学习各种环境问题积累
1. Pytorch 首先要安装anaconda： 推荐清华镜像 https://mirrors.tuna.tsinghua.edu.cn/anaconda/archive/ 拖到最后，下载最新版即可。 安装完毕要安装pytorch运行环境： # If your main Python version is not 3.5 or 3.6 conda create -n te…
C语言网络编程：TCP实现多线程实现多客户端
TCP通信的编程模型如下： TCP通信是必须要有一个服务器，通过accept函数与客户端socket进行三次握手连接创建的通信描述符与客户端进行数据传输。 此时可以将accept函数的连接设置为多线程形式，轮训监听，每获取到一个客户端的连接&…
Linux C连接Mysql
首先确定系统上安装了GCC和MYSQL了没有, 如果没有先安装.CentOS用 yum -y install gcc yum -y install mysql-server 此外还必须安装mysql-devel 安装成功检测: [rootliu mysql]# rpm -qa | grep gcc libgcc-4.4.7-4.el6.x86_64 gcc-4.4.7-4.el6.x86_64 [rootliu mysql]# rpm…
java servlet 多线程_Servlet的多线程和线程安全
线程安全首先说明一下对线程安全的讨论，哪种情况我们可以称作线程安全？网上对线程安全有很多描述，我比较喜欢《Java并发编程实战》给出的定义，“当多个线程访问某个类时，不管运行时环境采用何种调度方式，或…
JMeter 聚合报告之 90% Line 参数说明
其实要说明这个参数的含义非常简单，可能你早就知道他的含义，但我对这个参数一直有误解，而且还一直以为是“真理”，原于一次面试，被问到了这个问题，所以引起我这个参数的重新认识。 先说说我错误的认识&…
CCF-碰撞的小球
问题描述数轴上有一条长度为L（L为偶数)的线段，左端点在原点，右端点在坐标L处。有n个不计体积的小球在线段上，开始时所有的小球都处在偶数坐标上，速度方向向右，速度大小为1单位长度每秒。当小球到达线段的端…