00000001.htm

一份很好的linux入门资料

5.3.&nbsp;&nbsp;使用Proxy&nbsp;Server&nbsp;<BR>
&nbsp;<BR>
5.3.1.&nbsp;&nbsp;Unix&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;若你的应用程式想要应用Proxy&nbsp;Server,&nbsp;先绝条件是它们必须是&quot;sockified&quot;&nbsp;<BR>
型的,&nbsp;所以你必须有两个TELNET,&nbsp;一个是直接连接的,&nbsp;一个则是透过Proxy&nbsp;Server&nbsp;<BR>
连接。Socks&nbsp;有教你怎麽去sockify&nbsp;一个程式,&nbsp;同时也有一堆己经sockified&nbsp;的程&nbsp;<BR>
式,&nbsp;如果你使用一sockified&nbsp;版本去作直接连接,&nbsp;socks&nbsp;会自动替你转换成直接版&nbsp;<BR>
。所以,&nbsp;我们得把所有保护网内的原有程式改为sockified&nbsp;的版本,&nbsp;先将&quot;finger&quot;&nbsp;<BR>
改为&quot;finger.orig&quot;,&nbsp;&quot;telnet&quot;&nbsp;改成&quot;telnet.orig&quot;等等,&nbsp;你必须在include/socks.h&nbsp;<BR>
档中告诉socks这些资料。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;有些程式会自行routing并sockify自己,&nbsp;Netscape就是一个例子。你可以在&nbsp;<BR>
Netscape中使用Proxy&nbsp;Server,&nbsp;只要在Proxies&nbsp;选项中输入&nbsp;Server的位址就可以了&nbsp;<BR>
(在本例中为192.168.2.1)。每个应用程式都会让你有点手忙脚乱吧!&nbsp;<BR>
&nbsp;<BR>
5.3.2.&nbsp;&nbsp;MS&nbsp;Windows/Trumpet&nbsp;Winsock&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;Trumpet&nbsp;Winsock&nbsp;具有内容Proxy&nbsp;Server的能力,&nbsp;在&quot;setup&quot;&nbsp;menu里输入你的&nbsp;<BR>
server&nbsp;IP位址和其他相关可以直接连通的电脑位址,&nbsp;Trumpet会处理所有外送的封&nbsp;<BR>
包。&nbsp;<BR>
&nbsp;<BR>
5.4.&nbsp;&nbsp;使Proxy&nbsp;Server处理UDP&nbsp;封包&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;有点美中不足的是socks&nbsp;软体只能处理TCP&nbsp;封包,&nbsp;而不包括UDP&nbsp;封包。很多有&nbsp;<BR>
用的程式像talk,&nbsp;Archie都使用UDP。&nbsp;有个软体可以用来当作UDP&nbsp;的Proxy&nbsp;Server,&nbsp;<BR>
叫作UDPrelay,&nbsp;由Tom&nbsp;Fitzgerald所写&lt;<A HREF="mailto:[e-mail]>。不幸的是,">[e-mail]>。不幸的是,</A>&nbsp;到目前为止,&nbsp;<BR>
它还不相容於Linux。&nbsp;<BR>
&nbsp;<BR>
5.5.&nbsp;&nbsp;Proxy&nbsp;Server的缺点&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;Proxy&nbsp;Server是个安全装置,&nbsp;用它在有限的IP位址上增加Internet的Access动&nbsp;<BR>
作会有一些缺点。Proxy&nbsp;Server允许在保护网路到Internet的大量Access,&nbsp;却可以&nbsp;<BR>
让外界不能触及网路内部,&nbsp;亦即外界的server,&nbsp;talk或Archie,&nbsp;mail都无法真接传&nbsp;<BR>
至保护网路内,&nbsp;看起来没什麽大不了的,&nbsp;可是请你仔细想想:&nbsp;<BR>
&nbsp;<BR>
o&nbsp;&nbsp;你可能在保护网路内用电脑打了一篇报告,&nbsp;回家之後,&nbsp;你想把它拿回来看看,&nbsp;<BR>
&nbsp;&nbsp;&nbsp;抱歉,&nbsp;这是不可能的,&nbsp;你根本无法Access你的电脑,&nbsp;因为它在Firewall内部。&nbsp;<BR>
&nbsp;&nbsp;&nbsp;你试著login&nbsp;Firewall,&nbsp;可是因为每个人都有Proxy&nbsp;Server&nbsp;Access,&nbsp;所以没有&nbsp;<BR>
&nbsp;&nbsp;&nbsp;人为你在上面另设帐号。&nbsp;<BR>
&nbsp;<BR>
o&nbsp;&nbsp;你和□的女友用email通信,&nbsp;有些「不可告人」的私事要讲,&nbsp;请她把email直接&nbsp;<BR>
&nbsp;&nbsp;&nbsp;寄到你的电脑上会比较好,&nbsp;但是不行。你信任Firewall的管理者没错,&nbsp;但这毕&nbsp;<BR>
&nbsp;&nbsp;&nbsp;竟还是私人信件。&nbsp;<BR>
&nbsp;<BR>
o&nbsp;&nbsp;无法处理UDP&nbsp;封包是Proxy&nbsp;Servers的致命伤,&nbsp;我想UDP&nbsp;的用途会愈来愈多。&nbsp;<BR>
&nbsp;&nbsp;&nbsp;[例如:&nbsp;CoolTalk...&nbsp;]&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;FTP&nbsp;会造成Proxy&nbsp;Server上的另外一个问题,&nbsp;当你抓档或是作一个ls动作时,&nbsp;<BR>
FTP&nbsp;Server会开一个socket&nbsp;在client机器上,&nbsp;并藉由它来传送资讯。而一个Proxy&nbsp;<BR>
Server不会允许你这麽做,&nbsp;所以FTP&nbsp;就无法顺利完成。另外,&nbsp;Proxy&nbsp;Server跑起来&nbsp;<BR>
挺慢的,&nbsp;因为overhead太大了些,&nbsp;其他的方法相形之下就快多了。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;基本上,&nbsp;如果你有一个IP位址,&nbsp;你也不担心安全的问题,&nbsp;也用不到Firewall或&nbsp;<BR>
是Proxy&nbsp;Server;&nbsp;如果没有,&nbsp;而你也不担心安全问题,&nbsp;你可以找找IP&nbsp;emulator&nbsp;之&nbsp;<BR>
类的工具,&nbsp;如Term、Slirp或TIA。Term可以在<A HREF="ftp://sunsite.unc.edu拿到,">ftp://sunsite.unc.edu拿到,</A>&nbsp;Slirp&nbsp;<BR>
可以在<A HREF="ftp://blitzen.canberra.edu.au/pub/slirp拿到,">ftp://blitzen.canberra.edu.au/pub/slirp拿到,</A>&nbsp;而TIA在marketplace.com&nbsp;<BR>
上有。这些工具跑起来快多了,&nbsp;连线也较有效率,&nbsp;同时由Internet连入内部网路的&nbsp;<BR>
权限也大多了。Proxy&nbsp;Server适合那些有一大堆主机要连上Internet却不太想安装&nbsp;<BR>
和设定太多东西的人。&nbsp;<BR>
&nbsp;<BR>
6.&nbsp;&nbsp;进阶设定&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;在结束之前,&nbsp;我有些设定要交代一下,&nbsp;之前所说的适合大部分的人。但以下我&nbsp;<BR>
会谈到一些进阶的设定来澄清一些问题。如果对之前我所提的你尚有疑问,&nbsp;或是有&nbsp;<BR>
兴趣了解一下Proxy&nbsp;Servers和Firewall的多彩多姿,&nbsp;就再读下去吧!&nbsp;<BR>
&nbsp;<BR>
6.1.&nbsp;&nbsp;强调安全性的大网路&nbsp;<BR>
&nbsp;<BR>
[译注:&nbsp;原文中举了一个Milwaukee&nbsp;23rd&nbsp;Discordian&nbsp;Cobal的例子,&nbsp;术语很多,&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;而且对不熟当地文化的人几乎不知所云,&nbsp;我乾脆把它整个换成宋七力的&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;例子,&nbsp;有点类似,&nbsp;而且有趣多了。:)&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;]&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;如果你是宋七力本尊,&nbsp;你想建个网路,&nbsp;参考一下。假设你有50部电脑和一个有&nbsp;<BR>
32&nbsp;(5&nbsp;bits)IP&nbsp;位址的子网路,&nbsp;有多重的Access等级,&nbsp;你要依据不同的等级交代你&nbsp;<BR>
的手下不同的事情。很明显的,&nbsp;你会想把网路中的一部分保护起来,&nbsp;防止不同等级&nbsp;<BR>
的人去接触。&nbsp;<BR>
[声明:&nbsp;本例纯属虚构,&nbsp;如有雷同,&nbsp;纯属巧合。]&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;这些等级分别为:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;1.凡夫级:&nbsp;泛指可以给所有的人看的,&nbsp;基本上,&nbsp;就是一些□扯蛋,&nbsp;例如对本尊&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;的流言毁谤之类的。&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;2.信徒级:&nbsp;在这里你告诉他们宇宙光明体的真谛,&nbsp;还有本尊是个万能的神的事&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;实。&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;3.核心级:&nbsp;真正的精华所在,&nbsp;在这一级中,&nbsp;有七人小组所从事的地下活动的资&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;讯,&nbsp;准备要使接管世界统治权的计划,&nbsp;包括了用Photoshop合成的发光照片、&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;用Word排版的宇宙光明论及用Delphi写的信徒供养资料库等等。&nbsp;<BR>
&nbsp;<BR>
6.1.1.&nbsp;&nbsp;网路设计&nbsp;<BR>
&nbsp;<BR>
IP位址安排如下:&nbsp;<BR>
&nbsp;<BR>
o&nbsp;&nbsp;192.168.2.255,&nbsp;用作广播之用。&nbsp;<BR>
o&nbsp;&nbsp;32个IP位址挪出23个,&nbsp;设给供Internet&nbsp;Access的机器。&nbsp;<BR>
o&nbsp;&nbsp;一个IP给Linux&nbsp;box。&nbsp;<BR>
o&nbsp;&nbsp;一个给网路上另一部Linux&nbsp;box。&nbsp;<BR>
o&nbsp;&nbsp;两个IP号码给Router。&nbsp;<BR>
o&nbsp;&nbsp;剩下四个Domain&nbsp;Names设为paul,&nbsp;ringo,&nbsp;john,&nbsp;和george,&nbsp;用来掩人耳目。&nbsp;<BR>
o&nbsp;&nbsp;保护网路位址为192.168.2.xxx&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;建立出两个分离的网路,&nbsp;放在显相纪念馆不同的房间中,&nbsp;使用红外线Ethernet&nbsp;<BR>
来做Route&nbsp;,&nbsp;对外界而言完全隐形。幸运的,&nbsp;红外线Ethernet用起来和一般的&nbsp;<BR>
Ethernet完全相同(我猜想是吧!),&nbsp;所以可以视为一般的网路。两个网路各接上一台&nbsp;<BR>
Linux&nbsp;box。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;有一个File&nbsp;Server&nbsp;连上两个保护网路,&nbsp;真是因为接管世界的计划包含了一部&nbsp;<BR>
份忠诚的信徒参与。File&nbsp;Server&nbsp;对信徒级用192.168.2.17,&nbsp;对核心级用192.168.2.23。&nbsp;<BR>
之所以用不同的位址是因为它们用不同的Ethernet卡,&nbsp;IP&nbsp;forwarding己经关了。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;两台Linux&nbsp;box上的IP&nbsp;Forwarding都关了,&nbsp;Router不会把寄给192.168.2.xxx的&nbsp;<BR>
封包向前传,&nbsp;除非另有设定,&nbsp;因此已算安全,&nbsp;之所以要关掉IP&nbsp;forwarding是要防止&nbsp;<BR>
信徒网路接触到核心网路。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;NFS&nbsp;server也可以设计来提供不同的档案存取权限,&nbsp;这可以用手动来控制,&nbsp;但&nbsp;<BR>
要用到一点符号链结的技巧,&nbsp;使得一些共用档可供所有人使用。利用这个设定再加&nbsp;<BR>
上一块Ethernet卡可以使三个网路都可以分享这些档案。&nbsp;<BR>
&nbsp;<BR>
6.1.2.&nbsp;&nbsp;Proxy的架设&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;现在来制定三个网路的Net&nbsp;Access权。凡夫网直接连上Internet,&nbsp;省得跟Proxy&nbsp;<BR>
Server搅混,&nbsp;信徒网及核心网已被包在在Firewall内,&nbsp;所以凡夫网中不用架设Proxy&nbsp;<BR>
Server。信徒网和核心网路的架设十分相似,&nbsp;几乎设定相同,&nbsp;因此我加入一些限制&nbsp;<BR>
条件,&nbsp;使它有些变化而且有趣一点。&nbsp;<BR>
&nbsp;<BR>
1.不许任何人用File&nbsp;Server&nbsp;作Internet&nbsp;Access&nbsp;以防止病毒及其他的恶作剧等。&nbsp;<BR>
&nbsp;&nbsp;这点十分重要。&nbsp;<BR>
2.不允许信徒使用World&nbsp;Wide&nbsp;Web,&nbsp;外界的流言会影响他们的忠贞。&nbsp;<BR>
&nbsp;<BR>
所以信徒网Linux&nbsp;box上的sockd.conf档设定如下:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;deny&nbsp;192.168.2.17&nbsp;255.255.255.255&nbsp;<BR>
&nbsp;<BR>
核心网机器上则是:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;deny&nbsp;192.168.2.23&nbsp;255.255.255.255&nbsp;<BR>
&nbsp;<BR>
信徒网还要加上这一行:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;deny&nbsp;0.0.0.0&nbsp;0.0.0.0&nbsp;eq&nbsp;80&nbsp;<BR>
&nbsp;<BR>
这样可以防止任何机器使用Port&nbsp;80,&nbsp;HTTP&nbsp;Port,&nbsp;但其他的服务仍然是开放的,&nbsp;除&nbsp;<BR>
了浏览WEB&nbsp;之外。然後两边的档中还要加上:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;permit&nbsp;192.168.2.0&nbsp;255.255.255.0&nbsp;<BR>
&nbsp;<BR>
使得192.168.2.xxx的电脑可以使用这个Proxy&nbsp;Server,&nbsp;除了己经被拒绝者之外。&nbsp;<BR>
(ie.&nbsp;File&nbsp;Server&nbsp;和信徒网上的web&nbsp;Access)&nbsp;信徒网的sockd.conf看起来如下:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;deny&nbsp;192.168.2.17&nbsp;255.255.255.255&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;deny&nbsp;0.0.0.0&nbsp;0.0.0.0&nbsp;eq&nbsp;80&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;permit&nbsp;192.168.2.0&nbsp;255.255.255.0&nbsp;<BR>
&nbsp;<BR>
核心网的档案应该如下:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;deny&nbsp;192.168.2.23&nbsp;255.255.255.255&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;permit&nbsp;192.168.2.0&nbsp;255.255.255.0&nbsp;<BR>
&nbsp;<BR>
这样应该就行了,&nbsp;每个网路都是独立的,&nbsp;只允许有限度的接触,&nbsp;大家都如愿了。&nbsp;<BR>
&nbsp;<BR>
[译注:&nbsp;为了第六章,&nbsp;我推敲了一下午,&nbsp;总算搞懂作者的意思(&nbsp;或者是完全误会&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;了作者的意思,&nbsp;画一张图让大家能更快进入状况。&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;┌————┐&nbsp;&nbsp;&nbsp;&nbsp;Router┌———┐Linux&nbsp;┌————┐&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;│Internet├———□—┤凡夫网├—□—┤&nbsp;核心网&nbsp;│&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;└————┘&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;└—┬—┘&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;└——┬—┘&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;Linux□&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;│&nbsp;192.168.2.23&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;│&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;□&nbsp;File&nbsp;Server&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;┌┴————┐&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;│&nbsp;192.168.2.17&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;│&nbsp;&nbsp;信徒网&nbsp;&nbsp;├———┘&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;└—————┘&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;]&nbsp;<BR>
&nbsp;<BR>
--------------626930E135DD--&nbsp;<BR>
&nbsp;<BR>


<CENTER><H1>BBS水木清华站∶精华区</H1></CENTER>



</BODY>

</HTML>