⭐ 欢迎来到虫虫下载站！ | 📦 资源下载 📁 资源专辑 ℹ️ 关于我们
⭐ 虫虫下载站
📤 上传资源

📄 00000001.htm

📁 一份很好的linux入门资料
💻 HTM
📖 第 1 页 / 共 3 页
字号:
🔍
123 
<HTML><HEAD>  <TITLE>BBS水木清华站∶精华区</TITLE></HEAD><BODY><CENTER><H1>BBS水木清华站∶精华区</H1></CENTER>{&nbsp;Firewalling&nbsp;及&nbsp;Proxy&nbsp;Server&nbsp;HOWTO&nbsp;中文版&nbsp;v1.0,&nbsp;9&nbsp;Nov&nbsp;1996&nbsp;<BR>&nbsp;&nbsp;译者:&nbsp;李明儒&nbsp;Jeffrey&nbsp;Lee&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<A HREF="mailto:jeffrey@linux.im.ntit.edu.tw">jeffrey@linux.im.ntit.edu.tw</A>&nbsp;OR&nbsp;<A HREF="mailto:m2003@im.ntit.edu.tw">m2003@im.ntit.edu.tw</A>&nbsp;<BR>&nbsp;&nbsp;原文:&nbsp;Firewalling&nbsp;and&nbsp;Proxy&nbsp;Server&nbsp;HOWTO&nbsp;v0.2,&nbsp;17&nbsp;July&nbsp;1995&nbsp;<BR>&nbsp;&nbsp;原文作者:&nbsp;David&nbsp;Rudder,&nbsp;<A HREF="mailto:drig@execpc.com">drig@execpc.com</A>&nbsp;<BR>&nbsp;&nbsp;前言:&nbsp;用Linux&nbsp;有一阵子了,&nbsp;玩Linux&nbsp;久了的人都知道在GNU&nbsp;的世界里,&nbsp;不必花&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;费一毛钱,&nbsp;就有程式可以抓、有文件可以看。抓多看多了,&nbsp;就不得不感佩&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;这群Linux&nbsp;奇迹幕後的无名英雄,&nbsp;不像一些软体帝国主义者,&nbsp;一心只想用&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;软体捞钱,&nbsp;而无私的贡献自己的心血给大家分享。刚好最近在研究Firewall&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;,&nbsp;就「顺手」把它翻成中文,&nbsp;让大家分享我研读的心得,&nbsp;试著追随那些软&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;体乌托邦理想家的脚步。庆幸原文作者的笔法还算浅显易懂,&nbsp;但有些地方&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;写得相当简要,&nbsp;所以译文中不免有部份属个人的揣测推敲,&nbsp;如果你发现任&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;何地方有疑问,&nbsp;欢迎来信指教。&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Please&nbsp;Mail&nbsp;to&nbsp;<A HREF="mailto:jeffrey@linux.im.ntit.edu.tw">jeffrey@linux.im.ntit.edu.tw</A>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;}&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;本文将简单的教你如何在Linux&nbsp;上安装Firewall,&nbsp;同时也会提到Proxy&nbsp;Server&nbsp;<BR>的安装及使用,&nbsp;藉著Proxy&nbsp;Server使在Firewall後方的人对於Internet也能拥有比&nbsp;<BR>较大的Access权限。&nbsp;<BR>&nbsp;<BR>1.&nbsp;&nbsp;介绍&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;这一阵子,&nbsp;Firewall成了Internet保全上的热门话题,&nbsp;但也造成了许多人对它&nbsp;<BR>的误解。这篇HOWTO&nbsp;将会探讨什麽是Firewall？如何安装？何谓Proxy&nbsp;Server？如&nbsp;<BR>何设定Proxy&nbsp;Server？以及这些技术除了安全以外的新应用。&nbsp;<BR>&nbsp;<BR>1.1.&nbsp;&nbsp;读者回响&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;欢迎给我任何意见,&nbsp;我尤其想知道Macintosh&nbsp;使用者的意见,&nbsp;我在这方面的资&nbsp;<BR>讯不多,&nbsp;「如果发现这篇文章中有任何错误,&nbsp;请务必通知我」。人非圣贤,&nbsp;孰能无&nbsp;<BR>过嘛!&nbsp;如果你有发现任何错误,&nbsp;请通知我,&nbsp;我会很乐意去更正它的。我会试著去回&nbsp;<BR>覆所有的来信,&nbsp;不过我挺忙的,&nbsp;不要对我太苛求。我的EMAIL地址是<A HREF="mailto:drig@execpc.com.">drig@execpc.com.</A>&nbsp;<BR>[译注:&nbsp;我也绝对欢迎任何意见,&nbsp;请寄到<A HREF="mailto:jeffrey@linux.im.ntit.edu.tw]">jeffrey@linux.im.ntit.edu.tw]</A>&nbsp;<BR>&nbsp;<BR>1.2.&nbsp;&nbsp;严正声明&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;这份文件将介绍Firewall及Proxy&nbsp;Server的原理,&nbsp;我无意装作是个网路安全专&nbsp;<BR>家,&nbsp;我只是个读得多而且爱电脑胜过爱人类的家伙。在此声明,&nbsp;我不对任何依本文&nbsp;<BR>所做行为所造成的损害负任何责任(&nbsp;I&nbsp;AM&nbsp;NOT&nbsp;RESPONSIBLE&nbsp;FOR&nbsp;ANY&nbsp;DAMAGES&nbsp;<BR>INCURRED&nbsp;DUE&nbsp;TO&nbsp;ACTIONS&nbsp;TAKEN&nbsp;BASED&nbsp;ON&nbsp;THIS&nbsp;DOCUMENT.&nbsp;)&nbsp;我只是想藉这篇文&nbsp;<BR>章去帮助你熟悉这个主题,&nbsp;而非要穷毕生之力来研究它。&nbsp;<BR>&nbsp;<BR>1.3.&nbsp;&nbsp;版权宣告&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;除非另有声明,&nbsp;Linux&nbsp;HOWTO文件的版权归原作者所有。Linux&nbsp;HOWTO文件可以&nbsp;<BR>重制及散布其全部或部份在任何媒体上,&nbsp;只要完整保留此一版权宣告。允许也欢迎&nbsp;<BR>商业性的散布行为,&nbsp;但应先知会作者。&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;所有对Linux&nbsp;HOWTO&nbsp;文件的翻译、修正、整理必须包含此版权宣告。亦即,&nbsp;你&nbsp;<BR>不能修改本文件却在转手散布时加诸额外的条件限制。如有异议请连络Linux&nbsp;HOWTO&nbsp;<BR>coordinator,&nbsp;&nbsp;地址在下面。我们希望此一资讯能从愈多管道散愈好,&nbsp;不过我们仍&nbsp;<BR>希望能保留HOWTO文件的版权,&nbsp;如有任何散布计划,&nbsp;请通知我们。&nbsp;<BR>如有任何问题,&nbsp;请连络David&nbsp;Rudder&lt;<A HREF="mailto:drig@execpc.com>,">drig@execpc.com>,</A>&nbsp;译文作者是Jeffrey&nbsp;Lee&nbsp;<BR>&lt;<A HREF="mailto:jeffrey@linux.im.ntit.edu.tw或m2003@im.ntit.edu.tw>">jeffrey@linux.im.ntit.edu.tw或m2003@im.ntit.edu.tw></A>&nbsp;<BR>&nbsp;<BR>[译注:&nbsp;我觉得这一段比技术性的本文还难翻,&nbsp;而且有其法律上的重要性,&nbsp;所以原&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;文附上,&nbsp;若中文语意和原文有所出入,&nbsp;以原文为准。&nbsp;<BR>&nbsp;<BR>Unless&nbsp;otherwise&nbsp;stated,&nbsp;Linux&nbsp;HOWTO&nbsp;documents&nbsp;are&nbsp;copyrighted&nbsp;by&nbsp;<BR>their&nbsp;respective&nbsp;authors.&nbsp;Linux&nbsp;HOWTO&nbsp;documents&nbsp;may&nbsp;be&nbsp;reproduced&nbsp;and&nbsp;<BR>distributed&nbsp;in&nbsp;whole&nbsp;or&nbsp;in&nbsp;part,&nbsp;in&nbsp;any&nbsp;medium&nbsp;physical&nbsp;or&nbsp;electronic,&nbsp;<BR>as&nbsp;long&nbsp;as&nbsp;this&nbsp;copyright&nbsp;notice&nbsp;is&nbsp;retained&nbsp;on&nbsp;all&nbsp;copies.&nbsp;Commercial&nbsp;<BR>redistribution&nbsp;is&nbsp;allowed&nbsp;and&nbsp;encouraged;&nbsp;however,&nbsp;the&nbsp;author&nbsp;would&nbsp;<BR>like&nbsp;to&nbsp;be&nbsp;notified&nbsp;of&nbsp;any&nbsp;such&nbsp;distributions.&nbsp;<BR>&nbsp;<BR>All&nbsp;translations,&nbsp;derivative&nbsp;works,&nbsp;or&nbsp;aggregate&nbsp;works&nbsp;incorporating&nbsp;<BR>any&nbsp;Linux&nbsp;HOWTO&nbsp;documents&nbsp;must&nbsp;be&nbsp;covered&nbsp;under&nbsp;this&nbsp;copyright&nbsp;notice.&nbsp;<BR>That&nbsp;is,&nbsp;you&nbsp;may&nbsp;not&nbsp;produce&nbsp;a&nbsp;derivative&nbsp;work&nbsp;from&nbsp;a&nbsp;HOWTO&nbsp;and&nbsp;impose&nbsp;<BR>additional&nbsp;restrictions&nbsp;on&nbsp;its&nbsp;distribution.&nbsp;Exceptions&nbsp;to&nbsp;these&nbsp;rules&nbsp;<BR>may&nbsp;be&nbsp;granted&nbsp;under&nbsp;certain&nbsp;conditions;&nbsp;please&nbsp;contact&nbsp;the&nbsp;Linux&nbsp;<BR>HOWTO&nbsp;coordinator&nbsp;at&nbsp;the&nbsp;address&nbsp;given&nbsp;below.&nbsp;<BR>&nbsp;<BR>In&nbsp;short,&nbsp;we&nbsp;wish&nbsp;to&nbsp;promote&nbsp;dissemination&nbsp;of&nbsp;this&nbsp;information&nbsp;through&nbsp;<BR>as&nbsp;many&nbsp;channels&nbsp;as&nbsp;possible.&nbsp;However,&nbsp;we&nbsp;do&nbsp;wish&nbsp;to&nbsp;retain&nbsp;copyright&nbsp;<BR>on&nbsp;the&nbsp;HOWTO&nbsp;documents,&nbsp;and&nbsp;would&nbsp;like&nbsp;to&nbsp;be&nbsp;notified&nbsp;of&nbsp;any&nbsp;plans&nbsp;to&nbsp;<BR>redistribute&nbsp;the&nbsp;HOWTOs.&nbsp;<BR>&nbsp;<BR>If&nbsp;you&nbsp;have&nbsp;any&nbsp;questions,&nbsp;please&nbsp;contact&nbsp;David&nbsp;Rudder&nbsp;<BR>&lt;<A HREF="mailto:drig@execpc.com>.">drig@execpc.com>.</A>&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;]&nbsp;<BR>&nbsp;<BR>1.4.&nbsp;&nbsp;写这篇文章的动机&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;过去一年来在comp.os.linux&nbsp;论坛上有一大堆人在求救,&nbsp;寻求Firewall方面的&nbsp;<BR>协助,&nbsp;似乎也没有什麽人要回答。我猜是没人知道要怎麽回答吧!&nbsp;所以我花了一点&nbsp;<BR>时间玩了玩Firewall,&nbsp;写这篇文章来回应那些需求。&nbsp;<BR>&nbsp;<BR>1.5.&nbsp;&nbsp;尚待努力方向&nbsp;<BR>&nbsp;<BR>o&nbsp;&nbsp;学习Macintosh的做法&nbsp;<BR>o&nbsp;&nbsp;学习不同的Windows&nbsp;TCP/IP套装软体&nbsp;<BR>o&nbsp;&nbsp;找个好用的UDP&nbsp;Proxy&nbsp;Server和Linux搭配&nbsp;<BR>&nbsp;<BR>1.6.&nbsp;&nbsp;深入研究时的参考资料&nbsp;<BR>&nbsp;<BR>o&nbsp;&nbsp;TIS&nbsp;Firewall&nbsp;Toolkit文件&nbsp;<BR>o&nbsp;&nbsp;NET-2&nbsp;HOWTO&nbsp;<BR>o&nbsp;&nbsp;PPP&nbsp;HOWTO&nbsp;<BR>o&nbsp;&nbsp;Ethernet&nbsp;HOWTO&nbsp;<BR>o&nbsp;&nbsp;MultIPle&nbsp;Ethernet&nbsp;Mini&nbsp;HOWTO&nbsp;<BR>o&nbsp;&nbsp;Networking&nbsp;with&nbsp;Linux&nbsp;<BR>o&nbsp;&nbsp;TCP/IP&nbsp;Network&nbsp;Administrator's&nbsp;Guide&nbsp;by&nbsp;O'Reilly&nbsp;and&nbsp;Associates&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;Firewall&nbsp;Toolkit&nbsp;by&nbsp;TIS&nbsp;有一套很棒的文件,&nbsp;其中有谈到Firewall及相关的&nbsp;<BR>资料,&nbsp;至於Firewall&nbsp;Toolkit的进一步说明,&nbsp;请看Firewall软体那一节。&nbsp;<BR>&nbsp;<BR>2.&nbsp;&nbsp;了解Firewalls&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;Firewall原来是汽车上的一个术语,&nbsp;它用来隔离引擎和乘客,&nbsp;在引擎爆炸时可&nbsp;<BR>以发挥保护乘客的功能。电脑上的Firewall是一个逻辑装置,&nbsp;用来保护私人的区域&nbsp;<BR>不受公用部份的侵害,&nbsp;做法是:&nbsp;<BR>&nbsp;<BR>1.&nbsp;找一部有Routing能力的电脑(例如Linux)&nbsp;<BR>2.&nbsp;加入两个界面(例如:&nbsp;序列埠、Ethernet、Token&nbsp;Ring等等)&nbsp;<BR>3.&nbsp;关掉IP&nbsp;forwarding的功能&nbsp;<BR>4.&nbsp;把其中一个界面接上Internet&nbsp;<BR>5.&nbsp;把受保护的网路接在另一个界面上&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;现在你使电脑接到两个不同的网路上。这部Firewall电脑,&nbsp;现在就称为Firewall&nbsp;<BR>了,&nbsp;可以接到Internet上,&nbsp;也可以接到保护网路(Protected&nbsp;Network)&nbsp;上。但保护网&nbsp;<BR>路无法连上&nbsp;Internet,&nbsp;Internet也连不上保护网路。&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;如果要从保护网路内连上Internet,&nbsp;必须要先telnet到Firewall,&nbsp;从那里使用&nbsp;<BR>Internet。同样的,&nbsp;Internet上的人要进入保护网路,&nbsp;也必须先透过Firewall。&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;这种作法对於Internet上的攻击有很优秀的免疫作用。如果有人企图对受保护的&nbsp;<BR>网路进行攻击,&nbsp;则必须先穿过Firewall,&nbsp;攻击必须分成两步骤,&nbsp;难度也增加了。如果&nbsp;<BR>有人想藉著使用一般的手法,&nbsp;如邮件炸弹(MAIL&nbsp;BOMB)或&quot;Internet&nbsp;Worm&quot;,&nbsp;来攻击受&nbsp;<BR>保护的网路,&nbsp;他们可能是无法如愿的。&nbsp;<BR>&nbsp;<BR>2.1.&nbsp;&nbsp;Firewall的缺点&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;Firewall最大的问题在於由内部Access&nbsp;Internet的困难。基本上,&nbsp;Firewall&nbsp;<BR>利用Dial-Up&nbsp;Shell&nbsp;的帐号来减少对於Internet的使用,&nbsp;必须先login&nbsp;Firewall&nbsp;<BR>才能做其他对Internet的Access动作。因此一些需要直接连接Internet的程式(如&nbsp;<BR>Netscape)&nbsp;便无法在Firewall後方顺利动作,&nbsp;解决的办法——Proxy&nbsp;Server。&nbsp;<BR>&nbsp;<BR>2.2.&nbsp;&nbsp;Proxy&nbsp;Server&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;Proxy&nbsp;Server可用来协助由Firewall後方直接Access到Internet。它们的工作是&nbsp;<BR>在Server上开启一个Socket,&nbsp;作为和Internet沟通的管道。举例来说,&nbsp;我的电脑drig&nbsp;<BR>是在保护网路内,&nbsp;当我要使用Netscape去浏览Web&nbsp;时,&nbsp;我得在Firewall上建个Proxy&nbsp;<BR>Server,&nbsp;这个Proxy&nbsp;Server设定好可以接受我的电脑的请求,&nbsp;把要连上Port&nbsp;80请求&nbsp;<BR>转接到它的Port&nbsp;1080上。&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;任何用过TIA&nbsp;或TERM的人应该对这个观念不会太陌生,&nbsp;在这两个程式里,&nbsp;你可以&nbsp;<BR>对一个Port做转向的动作。我的一个朋友用TIA&nbsp;设定允许大家用192.251.139.21&nbsp;port&nbsp;<BR>4024去连上他的web&nbsp;server。这里提到的Proxy&nbsp;Server原理也差不多,&nbsp;只是恰好相反,&nbsp;<BR>让你使用port&nbsp;1080(或某特定值)去连接其他人的port&nbsp;80。Proxy&nbsp;Server最了不起的&nbsp;<BR>地方在於它的安全性,&nbsp;如果你设定正确的话,&nbsp;它不会允许任何人逾越它。&nbsp;<BR>&nbsp;<BR>3.&nbsp;&nbsp;动手吧!&nbsp;<BR>&nbsp;<BR>3.1.&nbsp;&nbsp;硬体需求&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;本例中,&nbsp;电脑采用486-DX66,&nbsp;8M&nbsp;RAM,&nbsp;500M&nbsp;Linux&nbsp;分割,&nbsp;以一台1.44&nbsp;bps&nbsp;<BR>MODEM连到ISP上。这就是原本Linux&nbsp;box的基本配备,&nbsp;要架成Firewall,&nbsp;我们还得加&nbsp;<BR>上一块NE2000&nbsp;Ethernet网路卡。接著连上三部PC(Win&nbsp;3.1+Trumpet&nbsp;Winsock)和两&nbsp;<BR>台Suns(SunOS&nbsp;4.1)。我选择这样的架构是著眼於它很普通常见,&nbsp;而且我对这两种平&nbsp;<BR>台都蛮熟悉的。本来有考虑要加上Mac,&nbsp;可是我不太常用也不熟,&nbsp;就算了。&nbsp;<BR>&nbsp;<BR>3.2.&nbsp;&nbsp;设定软体&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;现在,&nbsp;Linux&nbsp;box&nbsp;透过14.4&nbsp;PPP&nbsp;line连上Internet,&nbsp;再用Ethernet连上其他&nbsp;<BR>的电脑。首先,&nbsp;先recomplie&nbsp;linux&nbsp;kernel,&nbsp;make&nbsp;config时得做适当的调整。&nbsp;<BR>我参考了Kernel&nbsp;HOWTO,&nbsp;Ethernet&nbsp;HOWTO,&nbsp;NET-2&nbsp;HOWTO然後进行&quot;make&nbsp;config&quot;:&nbsp;<BR>&nbsp;<BR>1.&nbsp;使用Networking&nbsp;Support&nbsp;<BR>2.&nbsp;使用TCP/IP&nbsp;Networking&nbsp;<BR>3.&nbsp;取消IP&nbsp;Forwarding&nbsp;(CONFIG_IP_FORWARD).&nbsp;<BR>4.&nbsp;使用IP&nbsp;Firewalling&nbsp;<BR>5.&nbsp;可以使用IP&nbsp;accounting,&nbsp;这样比较审慎一点。&nbsp;<BR>6.&nbsp;使用Networking&nbsp;Device&nbsp;Support&nbsp;<BR>7.&nbsp;使用PPP&nbsp;及Ethernet&nbsp;support,&nbsp;视你的界面而定&nbsp;<BR>&nbsp;<BR>&nbsp;&nbsp;&nbsp;&nbsp;接著,&nbsp;我们recompile,&nbsp;reinstall&nbsp;kernel&nbsp;後重开机。应该可以在开机过程中&nbsp;<BR>看到我们所加入的界面的资料,&nbsp;如果没有,&nbsp;参考其他的HOWTO,&nbsp;看看是那里做错了。&nbsp;<BR>
123

⌨️ 快捷键说明

复制代码 Ctrl + C
搜索代码 Ctrl + F
全屏模式 F11
切换主题 Ctrl + Shift + D
显示快捷键 ?
增大字号 Ctrl + =
减小字号 Ctrl + -