00000014.htm

一份很好的linux入门资料

&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;入。例如，我希望虚拟&nbsp;IP&nbsp;可以对外用&nbsp;ftp&nbsp;传档，则我就必须载入&nbsp;ftp&nbsp;的&nbsp;module:&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;modprobe&nbsp;ip_masq_ftp&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;如此，使用虚拟网路的机器就拥有&nbsp;telnet,&nbsp;ftp,&nbsp;www,&nbsp;ping&nbsp;....&nbsp;等这几项基本能力&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;了。除此之外，&nbsp;kernel&nbsp;还提供其他的&nbsp;module&nbsp;以支援如&nbsp;IRC,&nbsp;Raudio&nbsp;等网路功能，&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;可以选择性地载入。这些可以写在开机启动档中在系统开机时一并完成。接下来是第&nbsp;<BR>
&nbsp;3&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;步，设定&nbsp;IP-Firewall&nbsp;rule。在&nbsp;Linux&nbsp;是用&nbsp;ipfwadm&nbsp;这指令，这指令的用法相当多&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;样，详细用法请见&nbsp;man&nbsp;ipfwadm,&nbsp;在这里只简述简单用法。&nbsp;ipfwadm&nbsp;在设定封包流通&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;的规则主要有三个:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ipfwadm&nbsp;-I&nbsp;....&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(设定流入&nbsp;server&nbsp;的封包)&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ipfwadm&nbsp;-O&nbsp;....&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(设定流出&nbsp;server&nbsp;的封包)&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ipfwadm&nbsp;-F&nbsp;....&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(设定由某网域经由本&nbsp;server&nbsp;流向另一网域的封&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;包)&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;如在之後加上&nbsp;-l&nbsp;的叁数，则会列出目前已设定的&nbsp;rule&nbsp;。例如在&nbsp;linux.phys&nbsp;中，&nbsp;<BR>
已&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;设定的&nbsp;rule&nbsp;为:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;$&nbsp;/sbin/ipfwadm&nbsp;-I&nbsp;-l&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;IP&nbsp;firewall&nbsp;input&nbsp;rules,&nbsp;default&nbsp;policy:&nbsp;accept&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;type&nbsp;&nbsp;prot&nbsp;source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;destination&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ports&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;deny&nbsp;&nbsp;all&nbsp;&nbsp;127.0.0.0/8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;n/a&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;deny&nbsp;&nbsp;all&nbsp;&nbsp;127.0.0.0/8&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;n/a&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;$&nbsp;/sbin/ipfwadm&nbsp;-O&nbsp;-l&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;IP&nbsp;firewall&nbsp;output&nbsp;rules,&nbsp;default&nbsp;policy:&nbsp;accept&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;$&nbsp;/sbin/ipfwadm&nbsp;-F&nbsp;-l&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;IP&nbsp;firewall&nbsp;forward&nbsp;rules,&nbsp;default&nbsp;policy:&nbsp;deny&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;type&nbsp;&nbsp;prot&nbsp;source&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;destination&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ports&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;acc/m&nbsp;all&nbsp;&nbsp;192.168.1.0/24&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;anywhere&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;n/a&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&quot;default&nbsp;policy&quot;&nbsp;意思是，如果封包没有受限与其他的&nbsp;rule,&nbsp;则&nbsp;kernel&nbsp;就以此预&nbsp;<BR>
设&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;值处理它。以&nbsp;&quot;Input&nbsp;rules&quot;&nbsp;为例，凡是来自&nbsp;127.x.x.x&nbsp;网域的封包完全被档在&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;server&nbsp;之外&nbsp;(deny),&nbsp;而其他的封包则可以被&nbsp;server&nbsp;接受。原因是&nbsp;127.x.x.x&nbsp;是属&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;於&nbsp;loop&nbsp;back&nbsp;设定用的，按规定任何公开的电脑都不能将&nbsp;IP&nbsp;设成这个，而在此设这&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;个&nbsp;rule&nbsp;主要是预防某些粗心大意的系统管理者误设了这样的&nbsp;IP,&nbsp;而该电脑又试图与&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;我们的&nbsp;server&nbsp;连线。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;由於&nbsp;linux.phys&nbsp;使用的是&nbsp;Debian-2.0&nbsp;系统，在&nbsp;kernel&nbsp;起动&nbsp;IP-Firrewall&nbsp;功能&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;时，系统在每次重开机後都会自动设好以上的&nbsp;&quot;Input,&nbsp;Output&nbsp;rules&quot;,&nbsp;使其&nbsp;defau&nbsp;<BR>
lt&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;policy&nbsp;为&nbsp;accept,&nbsp;如此该&nbsp;server&nbsp;才能自由自在地对外连线、或接受外来的连线。&nbsp;<BR>
同&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;时&nbsp;&quot;Forward&nbsp;rules&quot;&nbsp;的&nbsp;default&nbsp;policy&nbsp;亦为&nbsp;accept,&nbsp;即外头的网路可以自由地经&nbsp;<BR>
由&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;本&nbsp;server&nbsp;连线到内部网路、反之亦然。现在要使用&nbsp;IP-Masq&nbsp;以连接内部的虚拟&nbsp;IP&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;与外部的真实&nbsp;IP,&nbsp;我们必须改变此设定:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ipfwadm&nbsp;-F&nbsp;-p&nbsp;deny&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(将其&nbsp;default&nbsp;policy&nbsp;设成&nbsp;deny,&nbsp;从此以後内外网路无法自由连线)&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;ipfwadm&nbsp;-F&nbsp;-a&nbsp;m&nbsp;-S&nbsp;192.168.1.0/24&nbsp;-D&nbsp;0.0.0.0/0&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;(将来自&nbsp;192.168.1.x&nbsp;(内部、虚拟)&nbsp;网域的封包，经由&nbsp;IP-Masq&nbsp;(m)&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;传送到外部网路的任何地方&nbsp;(0.0.0.0/0),&nbsp;当然，在此之前我们必须&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;先设好第一步，让&nbsp;PPP&nbsp;介面接管&nbsp;192.168.1.x&nbsp;这个网域)&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;如此一来，虚拟&nbsp;IP&nbsp;与外头的世界就正确地建立连线了。这两行可以直接写入开机&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;启动档中以自动执行。&nbsp;<BR>
&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;FreeBSD&nbsp;natd&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;同样的，我们先来看看第二步。重新&nbsp;compile&nbsp;kernel&nbsp;时，请将以下选项写入设定档&nbsp;<BR>
中&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;(节录自&nbsp;man&nbsp;natd):&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;options&nbsp;IPFIREWALL&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;options&nbsp;IPDIVERT&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;并在&nbsp;/etc/rc.conf&nbsp;中写入这一行&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;gateway_enable=YES&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;以便在重开机时开启&nbsp;gateway&nbsp;的功能。与&nbsp;Linux&nbsp;最大的部同是，&nbsp;Linux&nbsp;的&nbsp;IP-Mas&nbsp;<BR>
q的&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;运作完全是在&nbsp;kernel&nbsp;中进行，而&nbsp;FreeBSD&nbsp;的&nbsp;NAT&nbsp;还需要跑一只&nbsp;natd&nbsp;的程式来运&nbsp;<BR>
作。&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;请在&nbsp;/etc/services&nbsp;加入一行:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;natd&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;6668/divert&nbsp;&nbsp;#&nbsp;Network&nbsp;Address&nbsp;Translation&nbsp;socket&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;然後在开机时执行这个程式:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;natd&nbsp;-interface&nbsp;ed0&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;其意义为:&nbsp;所有来自虚拟&nbsp;(内部)&nbsp;网路的封包，经转换後经由&nbsp;ed0&nbsp;(ethernet)&nbsp;介面&nbsp;<BR>
对外&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;传送。&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;第二步我们要设定&nbsp;IP-Firewall&nbsp;rule&nbsp;。在&nbsp;FreeBSD&nbsp;要用&nbsp;ipfw&nbsp;指令。使用&nbsp;ipfw&nbsp;-&nbsp;<BR>
a&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;show&nbsp;会列出目前所有的&nbsp;rule:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;#&nbsp;/sbin/ipfw&nbsp;-a&nbsp;show&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;01000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;318&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;30934&nbsp;allow&nbsp;ip&nbsp;from&nbsp;any&nbsp;to&nbsp;any&nbsp;via&nbsp;lo0&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;01010&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;deny&nbsp;ip&nbsp;from&nbsp;127.0.0.0/8&nbsp;to&nbsp;127.0.0.0/8&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;06000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;177084&nbsp;&nbsp;&nbsp;47865019&nbsp;divert&nbsp;6668&nbsp;ip&nbsp;from&nbsp;any&nbsp;to&nbsp;any&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;65000&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;241446&nbsp;&nbsp;&nbsp;67969713&nbsp;allow&nbsp;ip&nbsp;from&nbsp;any&nbsp;to&nbsp;any&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;65535&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;&nbsp;0&nbsp;deny&nbsp;ip&nbsp;from&nbsp;any&nbsp;to&nbsp;any&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;与&nbsp;Linux&nbsp;的&nbsp;ipfwadm&nbsp;不一样，在&nbsp;FreeBSD&nbsp;中不特别区分&nbsp;Input,&nbsp;Output,&nbsp;Forewar&nbsp;<BR>
d这&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;三项，也没有&nbsp;default&nbsp;policy,&nbsp;但它每一个&nbsp;rule&nbsp;都有一个号码，代表&nbsp;rule&nbsp;的比对&nbsp;<BR>
顺&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;序。进来的封包会按此顺序一个个地比对，一旦比对符合就按此&nbsp;rule&nbsp;来处理。以上&nbsp;<BR>
的&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;rule&nbsp;其意义是:&nbsp;<BR>
&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;01000:&nbsp;&nbsp;允许封包经由&nbsp;lo0&nbsp;(loop&nbsp;back)&nbsp;互传&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;01010:&nbsp;&nbsp;拒绝&nbsp;127.0.0.0/8&nbsp;到&nbsp;127.0.0.0/8&nbsp;的封包&nbsp;(作用与上述&nbsp;Linux&nbsp;的&nbsp;rule&nbsp;类&nbsp;<BR>
似)&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;06000:&nbsp;&nbsp;使用&nbsp;IP-Divert&nbsp;建立虚拟与真实&nbsp;IP&nbsp;的连线&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;65000:&nbsp;&nbsp;允许所有的封包自由流通&nbsp;(如此&nbsp;server&nbsp;本身便能自由对外连线、接受连线&nbsp;<BR>
)&nbsp;<BR>
&nbsp;&nbsp;&nbsp;<BR>
&nbsp;&nbsp;65535:&nbsp;&nbsp;拒绝所有的封包&nbsp;<BR>
&nbsp;<BR>