00000001.htm

一份很好的linux入门资料

&nbsp;<BR>
3.3.&nbsp;&nbsp;设定网路位址&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;这是很有趣的一部份。因为我们不希望Internet直接Access我们的网路,&nbsp;所以&nbsp;<BR>
不必使用真实位址。一个不错的选择是C&nbsp;Class的192.168.2.xxx,&nbsp;它是设定来做测&nbsp;<BR>
试的dummy&nbsp;domain。所以放心大胆的用它吧!&nbsp;没人会跟你抢的。在我们的设定中,&nbsp;<BR>
只需要一个真实的位址,&nbsp;其他的自设就可以了。指定连上PPP&nbsp;的串列埠一个真实IP&nbsp;<BR>
位址,&nbsp;Firewall上的Ethernet卡设为192.168.2.1,&nbsp;将其他电脑设为192.168.2.xxx。&nbsp;<BR>
&nbsp;<BR>
3.4.&nbsp;&nbsp;测试看看&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;试著从Firewall上ping一个Internet上的Node。我使用nic.ddn.mil做为测试点&nbsp;<BR>
。[&nbsp;译注:&nbsp;在国内可以ping&nbsp;edu.tw&nbsp;看看&nbsp;]如果不行,&nbsp;查查你的PPP&nbsp;有没有设好,&nbsp;<BR>
仔细的读一下Net-2&nbsp;HOWTO,&nbsp;再试一次。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;现在,&nbsp;试著ping保护网路内的电脑,&nbsp;所有网路内的电脑应该可以ping其他任何&nbsp;<BR>
一台电脑,&nbsp;如果不行,&nbsp;老话一句,&nbsp;看看NET-2&nbsp;HOWTO&nbsp;再试一次。接著,&nbsp;所有在保护&nbsp;<BR>
网路内的机器应该都可以ping&nbsp;Firewall。若不行,&nbsp;再重覆以上步骤,&nbsp;记得,&nbsp;你该&nbsp;<BR>
ping&nbsp;192.168.2.1,&nbsp;而非PPP&nbsp;的真实IP位址。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;然後试著从Firewall里的电脑去ping&nbsp;PPP的IP位址,&nbsp;如果可以,&nbsp;表示你IP&nbsp;<BR>
Forwarding的功能未取消,&nbsp;你必须重新compile&nbsp;kernel。虽然我们已经把受保护的&nbsp;<BR>
网路设为192.168.2.1&nbsp;domain,&nbsp;不会收到来自Internet的封包,&nbsp;可是把IP&nbsp;Forwarding&nbsp;<BR>
关掉还是比较保险一点,&nbsp;可以自己主控全局而非仰赖ISP。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;最後,&nbsp;从Firewall上ping一下受保护的网路内的机器,&nbsp;到这个地步,&nbsp;应该不会&nbsp;<BR>
有什麽问题。到这里,&nbsp;我们已经完成了最基础的Firewall安装。&nbsp;<BR>
&nbsp;<BR>
3.5.&nbsp;&nbsp;Firewall的安全性&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;目前的Firewall还不够好,&nbsp;因为它还敞开著大门等待别人来攻击。首先,&nbsp;找到&nbsp;<BR>
/etc/inetd.conf,&nbsp;它又被称为&quot;super&nbsp;server&quot;,&nbsp;因为在上面有超过一打的server&nbsp;<BR>
daemon被执行。例如:&nbsp;<BR>
&nbsp;<BR>
o&nbsp;&nbsp;Telnet&nbsp;<BR>
o&nbsp;&nbsp;Talk&nbsp;<BR>
o&nbsp;&nbsp;FTP&nbsp;<BR>
o&nbsp;&nbsp;Daytime&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;取消所有不需要的功能,&nbsp;例如netstat、systat、tftp、bootp、finger。甚至&nbsp;<BR>
你可以关掉telnet只允许rlogin或vica-versa。你只要在该功能前加上#&nbsp;就可以轻&nbsp;<BR>
易的把它取消掉。利用kill&nbsp;-HUP&nbsp;&lt;pid&gt;&nbsp;送出一个SIG-HUP给inetd,&nbsp;使inetd&nbsp;重新&nbsp;<BR>
去读取我们刚才改的设定(inetd.conf)同时restart。试试telnet&nbsp;Firewall的port&nbsp;<BR>
15(netstat&nbsp;port),&nbsp;如果你还读得到netstat的资料,&nbsp;表示你没有正确的restart&nbsp;<BR>
inetd。[译注:&nbsp;如果还搞不定,&nbsp;考虑reboot吧!]&nbsp;<BR>
&nbsp;<BR>
4.&nbsp;&nbsp;Firewall软体&nbsp;<BR>
&nbsp;<BR>
4.1.&nbsp;&nbsp;可用的套装软体&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;单纯的Firewall除了Linux核心及基本网路套装软体(inetd,&nbsp;telnetd和telnet,&nbsp;<BR>
ftpd和ftp)外不需外加任何软体,&nbsp;但这种情况下,&nbsp;限制极多而且不太好用。所以有&nbsp;<BR>
些软体可以使你的Firewall更有用,&nbsp;我最主要要探讨的是一个叫&quot;socks&quot;的Proxy&nbsp;<BR>
Server。另外,&nbsp;有两个软体你可以记在心中,&nbsp;我等一下会简单介绍。&nbsp;<BR>
&nbsp;<BR>
4.2.&nbsp;&nbsp;TIS&nbsp;Firewall&nbsp;Toolkit&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;TIS&nbsp;中有一套程式用来进行Firewalling,&nbsp;这些程式和socks基本上相同,&nbsp;但采&nbsp;<BR>
用了不同的设计策略。socks是用一个程式来搞定所有的Internet动作,&nbsp;TIS&nbsp;则利&nbsp;<BR>
为不同的功能发展不同的程式。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;为了明白说明起见,&nbsp;就以World&nbsp;Wide&nbsp;Web和telnet作例子吧!&nbsp;在socks中,&nbsp;你要&nbsp;<BR>
设定一个config档和一个daemon,&nbsp;透过这个档案及daemon,&nbsp;telnet及www可以正常使&nbsp;<BR>
用,&nbsp;就宛如你没把它们关掉前一样。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;而在TIS&nbsp;toolkit中,&nbsp;你要为WWW&nbsp;and&nbsp;Telnet各设一个daemon及config档。完成&nbsp;<BR>
之後,&nbsp;其他的Internet&nbsp;Access仍被禁止,&nbsp;直到你完成其设定为止。如果某一特定功&nbsp;<BR>
能没有daemon(如talk),&nbsp;你可以使用&quot;plug-in&quot;的daemon,&nbsp;只是不像其他的工具那样&nbsp;<BR>
有弹性且不易使用罢了。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;这里似乎有一点小小的不同,&nbsp;不过会造成很大的不同——socks&nbsp;允许你随便设&nbsp;<BR>
设就上路,&nbsp;不过一个设定不良的Socks&nbsp;server,&nbsp;网路内部的人可以试著得到超出预&nbsp;<BR>
期的Internet&nbsp;Access权。而TIS&nbsp;toolkit中,&nbsp;人们只能使用系统管理者所赋与的权&nbsp;<BR>
限。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;Socks易於安装、易於complie且具有较大的弹性。如果你想严格控制网路内的&nbsp;<BR>
使用者,&nbsp;则TIS&nbsp;toolkit的安全性较佳。但二者都提供了对外的绝对保护。&nbsp;<BR>
&nbsp;<BR>
4.3.&nbsp;&nbsp;TCP&nbsp;Wrapper&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;TCP&nbsp;wrapper不是一个Firewalling工具,&nbsp;但它提供了许多相同的效果。透过&nbsp;<BR>
TCP&nbsp;wrapper,&nbsp;&nbsp;你可以控制谁有权Access你的机器和Access那些服务,&nbsp;同时可以追&nbsp;<BR>
踪连线的记录,&nbsp;而且它还提供了一个基本的侦测伪装功能。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;TCP&nbsp;wrapper基於一些理由,&nbsp;并未广泛的运用:&nbsp;<BR>
&nbsp;<BR>
o&nbsp;它不算是一个真的Firewall&nbsp;<BR>
o&nbsp;要使用它,&nbsp;你必须要连上Internet,&nbsp;因此你得有一个IP&nbsp;位址&nbsp;<BR>
o&nbsp;它只控制安装它的「机器」,&nbsp;对「网路」不能提供很好的服务。Firewall则可以&nbsp;<BR>
&nbsp;&nbsp;保护每一个架构上的每一个机器。TCP&nbsp;wrapper在Mac及MS&nbsp;Windows机器无法使用&nbsp;<BR>
&nbsp;<BR>
4.4.&nbsp;&nbsp;IPfw&nbsp;和&nbsp;IPfw&nbsp;Admin&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
5.&nbsp;&nbsp;Proxy&nbsp;Server&nbsp;<BR>
&nbsp;<BR>
5.1.&nbsp;安装Proxy&nbsp;Server&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;Proxy&nbsp;Server需要额外的软体,&nbsp;你可以从<A HREF="ftp://sunsite.unc.edu/pub/Linux/">ftp://sunsite.unc.edu/pub/Linux/</A>&nbsp;<BR>
system/Network/misc/socks-linux-src.tgz得到你要的宝贝。在sock-conf下同时&nbsp;<BR>
有一个config档□例。解压之後,&nbsp;跟著指示把它make起来,&nbsp;我在make时遇到了一箩&nbsp;<BR>
筐的问题,&nbsp;确定你的Makefile正确无误。一件要注意的是记得把Proxy&nbsp;Server加到&nbsp;<BR>
/etc/inetd.conf里,&nbsp;你可以加入下行:&nbsp;<BR>
&nbsp;<BR>
socks&nbsp;&nbsp;&nbsp;stream&nbsp;&nbsp;tcp&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;nowait&nbsp;&nbsp;nobody&nbsp;&nbsp;/usr/local/etc/sockd&nbsp;&nbsp;&nbsp;&nbsp;sockd&nbsp;<BR>
&nbsp;<BR>
5.2.&nbsp;&nbsp;设定Proxy&nbsp;Server&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;socks的程式需要两个configuration档。一个说明那些Access是被允许的,&nbsp;另&nbsp;<BR>
一个则是把请求route到适当的Proxy&nbsp;Server。Access档必须设在server上。而&nbsp;<BR>
routing档则要装在每部Un*x机器上。DOS&nbsp;和mac的机器会进行它们自己的routing。&nbsp;<BR>
&nbsp;<BR>
5.2.1.&nbsp;&nbsp;Access档&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;在socks4.2&nbsp;Beta中,&nbsp;Access档称为&quot;sockd.conf&quot;,&nbsp;应该包括两行,&nbsp;一行允许&nbsp;<BR>
的(permit),&nbsp;一行是禁止的(deny),&nbsp;每行有三个项目:&nbsp;<BR>
&nbsp;<BR>
o&nbsp;&nbsp;识别字(permit/deny)&nbsp;<BR>
o&nbsp;&nbsp;IP位址&nbsp;<BR>
o&nbsp;&nbsp;位址修正值(位址&nbsp;modifier)&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;识别字不是permit就是deny,&nbsp;应该要有一行permit、一行deny。IP位址采用&nbsp;<BR>
Internet上的标准记法,&nbsp;例如192.168.2.0。&nbsp;位址修正值也是采IP位址的格式,&nbsp;而&nbsp;<BR>
有netmask&nbsp;的效果。把它想像成一个三十二位元的二进位数,&nbsp;若该位元为１,&nbsp;表示&nbsp;<BR>
在做位址比较时,&nbsp;此一位元必须和之前IP位址那一项的该位元相符。例如:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;permit&nbsp;192.168.2.23&nbsp;255.255.255.255&nbsp;<BR>
&nbsp;<BR>
意思是只有192.168.2.23算是相符,&nbsp;而&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;permit&nbsp;192.168.2.0&nbsp;255.255.255.0&nbsp;<BR>
&nbsp;<BR>
会允许192.168.2.0到192.168.2.255间的IP&nbsp;位址,&nbsp;即整个C&nbsp;Class&nbsp;domain。如果&nbsp;<BR>
你加入下行:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;permit&nbsp;192.168.2.0&nbsp;0.0.0.0&nbsp;<BR>
&nbsp;<BR>
则代表你是来者不拒了。所以先允许你要开放权限的位址,&nbsp;再拒绝其他的位址。例如:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;permit&nbsp;192.168.2.0&nbsp;255.255.255.0&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;deny&nbsp;0.0.0.0&nbsp;0.0.0.0&nbsp;<BR>
&nbsp;<BR>
会允许所有的192.169.2.xxx,&nbsp;注意deny行里的&quot;0.0.0.0&quot;&nbsp;使用了0.0.0.0做修正,&nbsp;<BR>
&quot;0.0.0.0&quot;并没什麽特殊用意,&nbsp;修正值就拒绝了所有的位址,&nbsp;用0只是因为打字方便&nbsp;<BR>
罢了,&nbsp;你要用255.255.255.255&nbsp;也没人拦著你。除这两行外,&nbsp;你还可以加上额外的&nbsp;<BR>
限制。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;你也可以permit或deny某一特定的user,&nbsp;但这需要&quot;ident&nbsp;authenticaiont&quot;,&nbsp;<BR>
并非所有的系统都有此一功能,&nbsp;像Trumpet&nbsp;Winsock&nbsp;就没有,&nbsp;所以我就不再深入研&nbsp;<BR>
究,&nbsp;以上所做的讨论应该已经足够了。&nbsp;<BR>
&nbsp;<BR>
5.2.2.&nbsp;&nbsp;Routing档&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;Routing档称作&quot;socks.conf&quot;,&nbsp;很容易跟Access档搞混。Routing档用来告诉&nbsp;<BR>
socks&nbsp;clients何时用socks&nbsp;,&nbsp;何时不用。例如,&nbsp;在我们的网路上,&nbsp;192.168.2.3&nbsp;<BR>
和192.168.2.1&nbsp;(Firewall)&nbsp;talk时就用不到socks&nbsp;,&nbsp;它们直接用Ethernet相连。&nbsp;<BR>
因为系统自动定义127.0.0.1作为回路之用,&nbsp;你和自已talk时当然也不需socks。&nbsp;<BR>
档案中有三个项目:&nbsp;<BR>
&nbsp;<BR>
o&nbsp;&nbsp;deny&nbsp;<BR>
o&nbsp;&nbsp;direct&nbsp;<BR>
o&nbsp;&nbsp;sockd&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;Deny指示何时要拒绝请求,&nbsp;它的语法和sockd.conf同。一般来说,&nbsp;把修正值&nbsp;<BR>
设为0.0.0.0&nbsp;就可以轻易挡掉所有的外来者。direct项指出那些位址不必用到&nbsp;<BR>
socks&nbsp;,&nbsp;即不必透过Proxy&nbsp;Server就可连到的地方。同样有三栏,&nbsp;识别字、IP位&nbsp;<BR>
址和位址修正值,&nbsp;例如:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;direct&nbsp;192.168.2.0&nbsp;255.255.255.0&nbsp;<BR>
&nbsp;<BR>
这使我们可以在保护网路内直接通行。sockd&nbsp;项说明那些电脑上有socks&nbsp;server&nbsp;<BR>
daemon在执行,&nbsp;语法是:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;sockd&nbsp;@=&lt;serverlist&gt;&nbsp;&lt;IP&nbsp;address&gt;&nbsp;&lt;modifier&gt;&nbsp;<BR>
&nbsp;<BR>
注意&quot;@=&quot;那一栏,&nbsp;它让你列出一堆Proxy&nbsp;Server的IP位址。在我们的例子里,&nbsp;我们&nbsp;<BR>
只用一台Proxy&nbsp;Server,&nbsp;但你可以多设几个好容纳高负载,&nbsp;同时减少故障停摆的风&nbsp;<BR>
险,&nbsp;IP位址和修正值用法同前。&nbsp;<BR>
&nbsp;<BR>
5.2.3.&nbsp;&nbsp;Firewall内的DNS&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;相较之下,&nbsp;在Firewall内安装DNS&nbsp;是很简单的事,&nbsp;只要在Firewall的机器上装&nbsp;<BR>
个DNS&nbsp;,&nbsp;并且将Firewall内的机器DNS&nbsp;设定改成它就行了。&nbsp;<BR>
&nbsp;<BR>