cipe+masq.txt

Linux百科宝典 书籍语言： 简体中文 书籍类型： 系统专区 授权方式： 免费软件 书籍大小： 1024 KB

   The Linux Cipe+Masquerading mini-HOWTO
   Anthony Ciaravalo, [e-mail]
   v0.4, 28 October 1998

   1. 简介
   
   这份是Linux Cipe+Masquerading mini-HOWTO. 本文解释如何使用cipe经由
   linux masquerading firewall主机，来建立一个介於您的区域网路(LAN)与其他
   区域网路之间的虚拟私有网路(Virtual Private Network)。
   
   1.1. 版权声明
   
   (C)opyright 1998 Anthony Ciaravalo, [e-mail]
   
   除非特别声明，否则Linux HOWTO文件的版权是归原作者所有。只要保证版权受到
   保护，Linux HOWTO文件能够以任何电子或实体媒介来进行完整或部分的复制、散
   布。商业化的重制是被允许的，甚至加以鼓励；但前提是必须知会原作者。
   
   所有源自於Linux HOWTO的文件（包括翻译、改编、汇整等等）都必须包含这份版
   权声明。也就是说，任何人皆不能在文件的散布上加诸其他限制。除非在某些特
   定情况下，才得以用特例允许；详情请与Linux HOWTO coordinator洽询，联络方
   式见後述。
   
   如果您有任何疑问，欢迎洽询Linux HOWTO coordinator Greg Hankins ，您可以
   查询(finger)这个帐号以取得联络电话或邮件地址。
   
   1.2 责任承担声明
   
   使用此份文件的□例或资讯，必须自行承担风险。在经由Internet连接到网路上
   时，可能会衍生许多安全性的议题。即使是您的讯息已经经过加密，但不正确
   的firewall设定仍然会导致安全上的裂缝。关於cipe connection您必须要特别小
   心谨慎，然而，仍然无法保障100％的安全。作者并不保证在这份文件中所提供的
   资讯同时也提供了一个安全的网路环境。
   
   1.3. 使用回报
   
   如果您有任何问题、建议、更正，或评论，欢迎您写信到 [e-mail].
   
   1.4. 本文件之最新版本
   
   新版的文件将会发表到 cipe mailing list 并且email 给 Linux HOWTO
   coordinator 并且建档成 Linux HOWTO。
   
   1.5 取得档案
   
   这份文件是针对 cipe version 1.0.0 所写成的。您可以从
   [1]http://sites.inka.de/~bigred/sw/cipe-1.0.0.tar.gz 取得文件档案。
   
   2. 机器设定
   
   2.1 Firewall 设定
   
   这份文件假设您的 kernel 已经设定成支援 IP masquerade 并且已经正常执行
   firewall 相关设定。本文中并不解释如何去设定 masquerading firewall，而只
   介绍设定规则的□例，以说明在使用 masquerading firewall 时，如何让cipe能
   够正常运作。您可以在参考文件中找到如何设定 linux IP masquerade
   firewall.
   
   2.2. The Star/Hub 设定
   
   这个设定使用 star/hub 架构，因此如果 machine A 停止运作，那麽machine B
   和 C 将无法连线。您可以考虑在 machine B 和 C 之间增加一个 cipe
   connection 来解决这个问题。而当您将许多网路连结在一起的时候，就会开始变
   得有危机存在。这份文件只介绍了 star/hub 设定的□例。
   

                         Machine A
                         eth0: 10.10.1.1
                         eth1: real ip 1
                      /                   \
                     /                     \
               Machine B                 Machine C
               eth0: 10.10.2.1           eth0:10.10.3.1
               eth1: real ip 2           eth1: real ip 3

   2.3. 名词参考
   
   eth0 是 local network (fake address)
   eth1 是 internet address (real address)
   
   Port A 是任何您可以选择的有效通讯埠
   Port B 是任何其馀您可以选择的有效通讯埠
   
   Key A 是任何您可以选择的有效 key (详情请阅读 cipe 文件)
   Key B 是任何您可以选择的有效 key
   
   2.4. Machine A 的设定
   
   2.4a. /etc/cipe/ip-up
   

   #a trimmed down version of the sample ip-up that comes with the
   distribution
   #!/bin/sh
   umask 022
   PATH=/sbin:/bin:/usr/sbin:/usr/bin
   echo "UP $*" >> /tmp/cipe
   echo $3 > /var/run/$1.pid
   #笔者倾向於在设定 routing 时分成不同的档案来设，详述如下。

   2.4b. /etc/cipe/options.machineB
   

   #设备名称
   device          cip3b0
   # the peers internal (fake) ip address
   ptpaddr         10.10.2.1
   # my cipe (fake) ip address
   ipaddr          10.10.1.1
   # my real ip address and cipe port
   me              (real ip 1):(port A)
   # the peers ip address and cipe port
   peer            (real ip 2):(port A)
   #128 位元的加密 key，应予以保密
   key             (Key A)

   2.4c. /etc/cipe/options.machineC
   

   #设备名称
   device          cip3b1
   # the peers internal (fake) ip address
   ptpaddr         10.10.3.1
   # my cipe (fake) ip address
   ipaddr          10.10.1.1
   # my real ip address and cipe port
   me              (real ip 1):(port B)
   # the peers ip address and cipe port
   peer            (real ip 3):(port B)
   #128 位元的加密 key，应予以保密
   key             (Key B)

   2.4d. /etc/cipe/setroute
   

   #!/bin/sh
   #设定 routing table 的档案
   #设定 Machine B 的 routing table
   /sbin/route add -host 10.10.2.1 dev cip3b0
   /sbin/route add -net 10.10.2.0 netmask 255.255.255.0 gw 10.10.2.1
   #设定 Machine C 的 routing table
   /sbin/route add -host 10.10.3.1 dev cip3b1
   /sbin/route add -net 10.10.3.0 netmask 255.255.255.0 gw 10.10.3.1

   2.4e. /etc/rc.d/rc.local
   

   echo Configuring VPN network
   /usr/local/sbin/ciped -o /etc/cipe/options.machineB
   /usr/local/sbin/ciped -o /etc/cipe/options.machineC
   /etc/cipe/setroute

   2.4f. Firewall 规则
   

   #去除所有 incoming firewall 的规则，并将预设值设为 deny
   /sbin/ipfwadm -I -f
   /sbin/ipfwadm -I -p deny
   #允许所有新进的封包 (packets) 经由 cipe links 送至您的网路中
   /sbin/ipfwadm -I -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   /sbin/ipfwadm -I -a accept -W cip3b1 -S 10.10.0.0/16 -D 10.10.0.0/16
   #您可以再增加一些额外的封包进入规则

   #去除所有 outgoing firewall 的规则，并将预设值设为 deny
   /sbin/ipfwadm -O -f
   /sbin/ipfwadm -O -p deny
   #允许所有送出的封包 (packets) 经由 cipe links 送至其他网路
   /sbin/ipfwadm -O -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   /sbin/ipfwadm -O -a accept -W cip3b1 -S 10.10.0.0/16 -D 10.10.0.0/16
   #您可以再增加一些额外的封包送出规则

   #去除所有 forwarding firewall 的规则，并将预设值设为 deny
   /sbin/ipfwadm -F -f
   /sbin/ipfwadm -F -p deny
   #允许所有转送的封包 (packets) 经由 cipe links 送至其他网路
   /sbin/ipfwadm -F -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   /sbin/ipfwadm -F -a accept -W cip3b1 -S 10.10.0.0/16 -D 10.10.0.0/16
   #允许从这台机器的真实 ip forward 到其他机器的真实 ip
   /sbin/ipfwadm -F -a accept -W eth1 -S (real ip 1) -D (real ip 2)
   /sbin/ipfwadm -F -a accept -W eth1 -S (real ip 1) -D (real ip 3)
   #允许经由 local interface (fake ip address) 转送到其他网路上
   /sbin/ipfwadm -F -a accept -W eth0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #您可以再增加一些额外的封包转送规则

   2.4g. 通讯闸 (Gateway)
   
   所有在 10.10.1.0 网路上的机器必须以 10.10.1.1 来当作通讯闸，如果您不是
   如此设定，那麽将无法正常运作。
   
   2.5. Machine B 的设定
   
   2.5a. /etc/cipe/ip-up
   

   #a trimmed down version of the sample ip-up that comes with the
   distribution
   #!/bin/sh
   umask 022
   PATH=/sbin:/bin:/usr/sbin:/usr/bin
   echo "UP $*" >> /tmp/cipe
   echo $3 > /var/run/$1.pid
   #笔者倾向於在设定 routing 时分成不同的档案来设，详述如下。

   2.5b. /etc/cipe/options.machineA
   
   #设备名称
   device          cip3b0
   # the peers internal (fake) ip address
   ptpaddr         10.10.1.1
   # my cipe (fake) ip address
   ipaddr          10.10.2.1
   # my real ip address and cipe port
   me              (real ip 1):(port A)
   # the peers ip address and cipe port
   peer            (real ip 2):(port A)
   #128 位元的加密 key，应予以保密
   key             (Key A)

   2.5c. /etc/cipe/setroute
   

   #!/bin/sh
   #设定 routing table 的档案
   #设定 Machine A 的 routing table
   /sbin/route add -host 10.10.1.1 dev cip3b0
   /sbin/route add -net 10.10.1.0 netmask 255.255.255.0 gw 10.10.1.1

   2.5d. /etc/rc.d/rc.local
   

   echo Configuring VPN network
   /usr/local/sbin/ciped -o /etc/cipe/options.machineA
   /etc/cipe/setroute

   2.5e. Firewall 规则
   
   (以下请参照 2.4f 的注解说明)
   
   #flush all incoming firewall rules and set default policy to deny
   /sbin/ipfwadm -I -f
   /sbin/ipfwadm -I -p deny
   #allow incoming packets to your network via the cipe link
   /sbin/ipfwadm -I -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #add rest of your incoming rules here

   #flush all outgoing firewall rules and set default policy to deny
   /sbin/ipfwadm -O -f
   /sbin/ipfwadm -O -p deny
   #allow outgoing packets to your network via the cipe link
   /sbin/ipfwadm -O -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #add rest of your outgoing rules here

   #flush all forwarding firewall rules and set default policy to deny
   /sbin/ipfwadm -F -f
   /sbin/ipfwadm -F -p deny
   #allow packets to be forwarded to the other networks via the cipe
   links
   /sbin/ipfwadm -F -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #allow forwarding from real ip of this machine to the real ip address
   of the other machines
   /sbin/ipfwadm -F -a accept -W eth1 -S (real ip 2) -D (real ip 1)
   #allow packets to be forwarded to the other networks via the local
   interface (fake ip address)
   /sbin/ipfwadm -F -a accept -W eth0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #add rest of your forwarding rules here

   2.5f. 通讯闸
   
   所有在 10.10.2.0 网路上的机器必须以 10.10.2.1 来当作通讯闸，如果您不是
   如此设定，那麽将无法正常运作。
   
   2.6. Machine C 的设定
   
   2.6a. /etc/cipe/ip-up
   

   #a trimmed down version of the sample ip-up that comes with the
   distribution
   #!/bin/sh
   umask 022
   PATH=/sbin:/bin:/usr/sbin:/usr/bin
   echo "UP $*" >> /tmp/cipe
   echo $3 > /var/run/$1.pid
   #笔者倾向於在设定 routing 时分成不同的档案来设，详述如下。

   2.6b. /etc/cipe/options.machineA
   

   #设备名称
   device          cip3b0
   # the peers internal (fake) ip address
   ptpaddr         10.10.1.1
   # my cipe (fake) ip address
   ipaddr          10.10.3.1
   # my real ip address and cipe port
   me              (real ip 3):(port B)
   # the peers ip address and cipe port
   peer            (real ip 1):(port B)
   #128 位元的加密 key，应予以保密
   key             (Key B)

   2.6c. /etc/cipe/setroute
   

   #!/bin/sh
   #设定 routing table 的档案
   #设定 Machine A 的 routing table
   /sbin/route add -host 10.10.1.1 dev cip3b0
   /sbin/route add -net 10.10.1.0 netmask 255.255.255.0 gw 10.10.1.1

   2.6d. /etc/rc.d/rc.local
   

   echo Configuring VPN network
   /usr/local/sbin/ciped -o /etc/cipe/options.machineA
   /etc/cipe/setroute

   2.6e. Firewall Rules
   
   (以下请参照 2.4f 的注解说明)
   

   #flush all incoming firewall rules and set default policy to deny
   /sbin/ipfwadm -I -f
   /sbin/ipfwadm -I -p deny
   #allow incoming packets to your network via the cipe link
   /sbin/ipfwadm -I -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #add rest of your incoming rules here

   #flush all outgoing firewall rules and set default policy to deny
   /sbin/ipfwadm -O -f
   /sbin/ipfwadm -O -p deny
   #allow outgoing packets to your network via the cipe link
   /sbin/ipfwadm -O -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #add rest of your outgoing rules here

   #flush all forwarding firewall rules and set default policy to deny
   /sbin/ipfwadm -F -f
   /sbin/ipfwadm -F -p deny
   #allow packets to be forwarded to the other networks via the cipe
   links
   #this machine to the real ip address of the other machines
   /sbin/ipfwadm -F -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #allow forwarding from real ip of this machine to the real ip address
   of the other machine
   /sbin/ipfwadm -F -a accept -W eth1 -S (real ip 3) -D (real ip 1)
   #allow packets to be forwarded to the other networks via the local
   interface (fake ip address)
   /sbin/ipfwadm -F -a accept -W eth0 -S 10.10.0.0/16 -D 10.10.0.0/16
   #add rest of your forwarding rules here

   2.6f. 通讯闸
   
   所有在 10.10.3.0 网路上的机器必须以 10.10.3.1 来当作通讯闸，如果您不是
   如此设定，那麽将无法正常运作。
   
   3. 启动
   
   在每台机器上手动地执行被增加到 rc.local 的指令
   
   4. 连接到 WAN.
   
   设定到此为止，您的 WAN应该能够顺利连接。您可以试著去 ping其他网路上的机
   器。而下一个步骤，即是让您的网路能够以 SAMBA 来彼此互相存取。有一些小提
   示： lmhosts 或 wins server是必须的，特别是在 NT 底下。笔者已经实地设定
   成功过，但不打算在本篇文章中介绍这个部分。
   
   5. 参考文件：
   
   5.1. Web 网址
   

   Cipe HomePage     [2]http://sites.inka.de/~bigred/devel/cipe.html
   Masq Home Page    [3]http://ipmasq.home.ml.org
   Samba Home Page   [4]http://samba.anu.edu.au
   Linux HQ          [5]http://www.linuxhq.com --- 一个关於Linux资讯的不错网站

   5.2. 文件
   
   cipe.info: 包含有关cipe软体套件资讯的档案 Firewall HOWTO,由Mark
   Grennan 所著 IP Masquerade mini-HOWTO, 由Ambrose Au 所著
   
   参考：
   1. http://sites.inka.de/~bigred/sw/cipe-1.0.0.tar.gz
   2. http://sites.inka.de/~bigred/devel/cipe.html
   3. http://ipmasq.home.ml.org/
   4. http://samba.anu.edu.au/
   5. http://www.linuxhq.com/

References

   1. http://sites.inka.de/~bigred/sw/cipe-1.0.0.tar.gz
   2. http://sites.inka.de/~bigred/devel/cipe.html
   3. http://ipmasq.home.ml.org/
   4. http://samba.anu.edu.au/
   5. http://www.linuxhq.com/