ip-masquerade.txt

Linux百科宝典

                     Linux IP Masquerade mini HOWTO 中译版
                                       
作者: Ambrose Au, [1][e-mail];
David Ranch, [2][e-mail]
译者: [3]黄志伟 [4][e-mail]

   v1.50, 7 February 1999 翻译日期: 17-31 March 1999
     _________________________________________________________________
   
   这份文件描述如何在一台 Linux 主机上起动 IP Masquerade 功能，允许没有注
   册网际网路 IP 位址的连线电脑经由你的 Linux 机器连接网际网路。
     _________________________________________________________________
   
1. 简介

     * 1.1 简介
     * 1.2 前言，回馈 & 参考资讯
     * 1.3 版权 & 宣告
       
2. 背景知识

     * 2.1 什麽是 IP Masquerade?
     * 2.2 现况
     * 2.3 谁可以从 IP Masquerade 中获益?
     * 2.4 谁不需要 IP Masquerade?
     * 2.5 IP Masquerade 是如何运作的?
     * 2.6 在 Linux 2.2.x 上使用 IP Masquerade 的需求
     * 2.7 在 Linux 2.0.x 上使用 IP Masquerade 的需求
       
3. IP Masquerade 的设定

     * 3.1 编译核心加入 IP Masquerade 的支援
     * 3.2 指定私用网路的 IP 位址
     * 3.3 配置其它机器
     * 3.4 配置 IP 转送(Forwarding)的方式
     * 3.5 测试 IP Masquerade
       
4. 其它 IP Masquerade 的问题及软体支援

     * 4.1 IP Masquerade 的问题
     * 4.2 进入系统的服务(incoming services)
     * 4.3 已支援的客户端软体以及其它设定方面的注意事项
     * 4.4 IP 防火墙管理 (ipfwadm) 
     * 4.5 IP 防火墙链 (ipchains)
     * 4.6 IP Masquerade 以及需求式拨接(Demand-Dial-Up)
     * 4.7 IPautofw 封包转送程式
     * 4.8 CU-SeeMe 与 Linux IP-Masquerade 的简短说明
     * 4.9 其它相关工具
       
5. 常见问题解答

     * 5.1 IP Masquerade 能否和动态配置的 IP 共同运作?
     * 5.2 我能使用数据机，DSL, 卫星连线等来连接网际网路并使用 IP
       Masquerade 吗?
     * 5.3 IP Masquerade 支援什麽应用程式?
     * 5.4 我如何在 Redhat, Debian, Slackware 等使用 IP Masquerade 呢?
     * 5.5 我升级到 2.2.x 的核心，为什麽 IP Masquerade 不能用了?
     * 5.6 我已经升级到 2.0.30 後的核心，为什麽 IP Masquerade 还不能用?
     * 5.7 我无法让 IP Masquerade 运作! 有 Windows 平台的选择吗?
     * 5.8 我检查过我所有的设定了，仍无法让 IP Masquerade 工作。我该怎麽
       办?
     * 5.9 我如何加入 IP Masquerade 通信论坛?
     * 5.10 我想协助 IP Masquerade 的发展。我该怎麽做?
     * 5.11 在那里可找到更多 IP Masquerade 的资讯?
     * 5.12 我想翻译本文件成其它语言，我该怎麽做?
     * 5.13 这文件有点过时了，你还有在维护吗?
     * 5.14 我终於让 IP Masquerade 能动了，好棒! 我想谢谢你们，我该怎麽
       做?
       
6. 其它

     * 6.1 有用的资源
     * 6.2 Linux IP Masquerade 资源
     * 6.3 感谢
     * 6.4 参考资料
     _________________________________________________________________
   
1. 简介

1.1 简介

   这份文件描述如何在一台 Linux 主机上起动 IP Masquerade 功能，允许没有注
   册网际网路 IP 位址的连线电脑经由你的 Linux 机器连接网际网路。你的机器可
   能是以乙太网路连接 Linux, 也可能是其它种类，像是拨接的点对点(ppp) 连线
   。这份文件将会强调乙太网路连线的情况，因为这应该是最常见的案例。
   
     这份文件目的是给 2.2.x 及 2.0.x 稳定版核心的使用者参考。旧版的核心如
     1.2.x 并不包含在内。
     
1.2 前言，回馈 & 参考资讯

   我发现新手在较新的核心上，像是 2.x 核心，设定 IP Masquerade 时非常困惑
   。虽然有份常见问答集(FAQ) 与通信论坛(mailing list)，然而没有一份这方面
   的专门文件；而且在通信论坛上有些对於这样一份说明文件(HOWTO) 的请求。所
   以，我决定撰写它给所有新手作为一个起点，并且希望能抛砖引玉，作为那些非
   常了解它的使用者建立文件的基础。如果你认为我做的不好，不要在意告诉我，
   这样我能把它做得更好。
   
   这份文件很多是以原先 Ken Eves 的常见问答集以及 IP Masquerade 通信论坛里
   许多有帮助的讯息作为基础。特别感谢 Mr. Matthew Driver 在通信论坛中的讯
   息引发我设立 IP Masquerade 的灵感以及最後撰写了这份文件。
   
   如果我的任何资讯有误或遗漏任何资讯，请别介意把任何回馈或意见寄到
   [5][e-mail] 及 [6][e-mail] 来。你的无价回馈将影响
   这份说明文件的未来!
   
   这份说明文件是想作为让你的 IP Masquerade 能在最短时间内运作的快速指引。
   因为我不是一位专门作家，你可能会发现本文件的资讯并非如你想的那麽一般及
   客观。 最新的消息以及资讯可以在我所维护的 [7]IP Masquerade Resource 网
   页上找到。 如果你有任何关於 IP Masquerade 的技术问题，请加入 IP
   Masquerade 通信论坛而别寄电子邮件给我，因为我的时间有限，而且 IP
   Masquerade 的发展者们更有能力回答你的问题。
   
   这份文件最新的版本可以在 [8]IP Masquerade Resource 上找到，里面也有
   HTML 以及 postscript 的版本:
     * [9]http://ipmasq.cjb.net/
     * [10]http://ipmasq2.cjb.net/
     * 请参考 [11]IP Masquerade Resource 映射站台列表 以找到其它的映射站台
       。
       
1.3 版权 & 宣告

   这份文件版权属於 Ambrose Au 1999, 而且是免费的文件。你可以在 GNU 的通用
   公开授权方式下散播它。
   
   这份文件中的资讯跟其它内容都已经尽了我最大的努力。无论如何，IP
   Masquerade 是实验性的，而且我也可能会犯些错误；所以你应该自己决定是不是
   要照著这份文件中的资讯做。
   
   没有人会为使用这份文件中的资讯所造成的电脑损坏或其它损失负责。也就是说
   ，
   
     作者及维护者不对依照这份文件内容动作所造成的损害负责。
     
   原文
   
   This document is copyright(c) 1996 Ambrose Au, and it's a free
   document. You can redistribute it under the terms of the GNU General
   Public License.
   
   The information and other contents in this document are to the best of
   my knowledge. However, ip_masq is experimental, and there is chance
   that I make mistakes as well; so you should determine if you want to
   follow the information in this document.
   
   Nobody is responsible for any damage on your computers and any other
   losses by using the information on this document. i.e.
   
     THE AUTHOR AND MAINTAINERS ARE NOT RESPONSIBLE FOR ANY DAMAGES
     INCURRED DUE TO ACTIONS TAKEN BASED ON THE INFORMATION IN THIS
     DOCUMENT.
     
2. 背景知识

2.1 什麽是 IP Masquerade?

   IP Masquerade 是 Linux 的一项网路功能。如果一台 Linux 主机使用 IP
   Masquerade 功能连线到网际网路上，那麽接上它的电脑（不论是在同一个区域网
   路上或藉由数据机连线）也可以接触网际网路，即使它们没有获得正式指定的
   IP 位址。
   
   这使得一些电脑可以隐藏在闸道(gateway) 系统後面存取网际网路而不被发现，
   看起来就像只有这个系统在使用网际网路。突破设定良好的伪装(masquerade)系
   统之安全防护应该会比突破良好的封包过滤式防火墙(packet filter firewall)
   来得更加困难（假设两者之中都没有错误）。
   
2.2 现况

   IP Masquerade 已经发展多年而趋於成熟，因此已正式并入 Linux 2.2.x 的核心
   中。 从 1.3.x 版的核心开始已经内建这项支援。许多个人甚至公司正在使用它
   ，而有满意的结果。
   
   浏览网页以及远端签入(telnet)已经有回报表示可以在 IP Masquerade 上运作。
   档案传输(FTP)，网路交谈(IRC) 以及聆听 Real Audio 现在可以载入某些模组配
   合。其它的网路资料流音讯 (streaming audio) 像是 True Speech 以及
   Internet Wave 也能运作。一些通信论坛中的使用夥伴甚至还尝试过视讯会议软
   体。 Ping 现在配合新近可以取得的网际网路控制讯息协定(ICMP)修补档也能运
   作。
   
   更完整的支援软体列表请参考 4.3 节。
   
   IP Masquerade 在数种不同的作业系统及平台上与 '客户端机器' 配合良好。 成
   功的案例有使用 Unix, Windows95, Windows NT, Windows for Workgroup
   (with TCP/IP package), OS/2, Macintosh System's OS with Mac TCP, Mac
   Open Transport, DOS with NCSA Telnet package, VAX, Alpha with Linux, 甚
   至 Amiga with AmiTCP 或 AS225-stack 的系统。 这列表还在不断增加当中。重
   点就是，只要你的系统使用 TCP/IP 协定，它就应该能和 IP Masquerade 一起工
   作。
   
2.3 谁可以从 IP Masquerade 中获益?

     * 如果你有台连接网际网路的 Linux 主机，而且
     * 如果你有一些执行 TCP/IP 连接到 Linux 机器的电脑在区域网路上，以及/
       或是
     * 如果你的 Linux 主机有一个以上的数据机并且作为 PPP 或 SLIP 伺服器连
       接其它电脑，它们
     * 这些其它机器没有正式指定的 IP 位址。（这些机器从这里开始以後就称为
       其它机器）
     * 而且当然，如果你希望这些其它机器不必花额外的费用就能连上网际网路
       :)
       
2.4 谁不需要 IP Masquerade?

     * 如果你的机器是单独一台(stand-alone) 连接网际网路的 Linux 主机，那麽
       执行 IP Masquerade 没什麽意义，或者
     * 如果你的其它机器拥有正式指定的 IP 位址，那麽你就不需要 IP
       Masquerade
     * 而且当然，如果你不喜欢免费使用(free ride) 这个主意的话。
       
2.5 IP Masquerade 是如何运作的?

   节自 Ken eves 的 IP Masquerade FAQ:
  这是大部分简单的设定草图:

     SLIP/PPP         +------------+                         +-------------+
     to provider      |  Linux     |       SLIP/PPP          | Anybox      |
    <---------- modem1|            |modem2 ----------- modem |             |
      111.222.333.444 |            |           192.168.1.100 |             |
                      +------------+                         +-------------+

          上面的草图中一台安装并执行 ip_masquerading  的 Linux
      机器使用 modem1 经由 SLIP/or/PPP  连接网际网路。它有一个
      指定的 IP 位址 111.222.333.444。它设定 modem2 允许拨接者
      签入并起始 SLIP/or/PPP  连结。

          第二个系统（不必是执行 Linux  的系统）拨接进入 Linux
      机器并起始 SLIP/or/PPP  连结。它在网际网路上并没有指定的
      IP  位址所以它使用 192.168.1.100。（参阅下述）

          配合 ip_masquerade  及适当递送配置(routing configured)
      Anybox  这台机器可以跟网际网路交流就如同它真的连在上面般
      （除了少数例外）。

  节录 Pauline Middelink:
      别忘记提到 ANYBOX 应该把 Linux  机器当作它的闸道（无论是
      预设递送路径或只是个子网路都没关系）。如果 ANYBOX 不能够
      这样设， Linux  机器应该为所有要递送的位址做代理位址解析
      析协定(proxy arp) 服务，但代理位址解析的设定超过这份文件
      的□围。

  下面节录自 comp.os.linux.networking 的一篇布告并且稍加编辑以
  符合上述□例的用词:

  。我告诉 ANYBOX 这台机器跑 slip 的 linux  机器是它的闸道。
  。当一个封包从 ANYBOX 进入 linux  机器时，它会指定新的来源埠
    号(source port number)，把它自己的 ip 位址塞入封包的标头并
    储存原来的。然後它将会藉由 SLIP/or/PPP  界面把修改过的封包
    送上网际网路。
  。当一个封包从网际网路来到 linux  机器时，如果埠号是上面指定
    的其中一个，它将会取出原来的埠号以及 ip 位址，把它们放回封
    包的标头，并且把封包送往 ANYBOX 。
  。送出封包的主机将永远不知道其中的差别。

   一个 IP Masquerading 的例子:
   
   下面的图示是典型的例子:-

    +----------+
    |          |  Ethernet
    | abox     |::::::
    |          |2    :192.168.1.x
    +----------+     :
                     :   +----------+   PPP
    +----------+     :  1|  Linux   |   link
    |          |     ::::| masq-gate|:::::::::// Internet
    | bbox     |::::::   |          |
    |          |3    :   +----------+
    +----------+     :
                     :
    +----------+     :
    |          |     :
    | cbox     |::::::
    |          |4
    +----------+


    <-Internal Network->

   在这个例子中我们考虑四台电脑系统（想必遥远的右方还有些东西让你到网际网
   路的 IP 连线能够连接，以及一些（远超过这一页）在网际网路上你有兴趣交换
   资讯的东西）。 这个 Linux 系统 masq-gate 是 abox, bbox, cbox 内部网路机
   器连接网际网路的伪装闸道。 内部网路使用指定的私用(private) 网路位址，在
   这个案例中是 class C 网路 192.168.1.0, Linux 机器拥有位址 192.168.1.1
   而其它系统也拥有此网路上的位址。
   
   这三台机器 abox, bbox 以及 cbox (它们可以执行任何作业系统 － 像是
   Windows 95, Macintosh MacTCP 或甚至是另一台 Linux 机器，只要它们能了解