📄 firewall proxy howto.htm
字号:
<!doctype html public "-//w3c//dtd html 4.0 transitional//en">
<html>
<head>
<meta http-equiv="Content-Type" content="text/html; charset=gb2312">
<meta name="Author" content="Edward Fu">
<meta name="GENERATOR" content="Mozilla/4.05 [zh-CN] (X11; I; Linux 2.1.127 i686) [Netscape]">
<title>Freesoft Linux FAQ -- Linux Firewall Proxy Howto</title>
<body>
发信人: rgb (网上邻居【还在等】),
信区: UNIX_PALACE
<br>标 题: Linux Firewall Proxy Howto(中文版)
<br>发信站: 笑书亭 (Sat Jun 13 14:44:03 1998), 转信
<p>Linux 防火墙-代理 HOWTO
<p>1.导论
<p>这篇文章源于David Rudder(email:<a href="mailto:drig@execpc.com)的Firewall-HOWTO,我是在他的认可">drig@execpc.com</a>)的Firewall-HOWTO,我是在他的认可
<br>下对其改进的,在此我向他表示感谢.
<p>近年来,防火墙在internet安全中得到了极大的青睐.和其他备受青睐的事物一样,随之产
<br>生了许多误解.这篇HOWTO的文章将介绍防火墙,代理服务器的概念及安装.以及防火墙技
<br>术在安全领域以外的应用.
<p>1.1 读者反馈
<br>
<p>欢迎读者各种形式的反馈.请随时指正本文的任何不当之处!!!我非完人,错误难免.但我
<br>会非常乐意修正所有您指出的不当之处.我会尽量回复每一封e-mail,但若因繁忙可能延
<br>迟回复,请见量.
<br>
<p>我的email地址是: <a href="mailto:markg@netplus.net">markg@netplus.net</a>
<br>
<p>[译者注：译文中一定有很多错误是由译者造成，同样欢迎来信指正：
<br>
<a href="mailto:netium@writeme.com]">netium@writeme.com]</a>
<br>
<p>1.2 声明
<br>
<p>本人不对基于本文的任何行为造成的结果负责.这份文档的本意是介绍防火墙和代理服务
<br>器的工作原理.我不是,也无意装作是一个安全专家.我只是一个爱计算机甚于大多数人的
<br>书虫.写这份文档来帮助人们熟悉这个主题,但并不打算让它来支配我的生活.
<br>
<p>[译者声明： 我同样不对基于本文的任何行为造成的结果负责. 我只是一个大四的学生，
<br>在翻译本文之前仅对防火墙有最初步的了解， 翻译这份文档是为了让更多的人了解并有
<br>效的使用linux和防火墙，而不打算承担额外的责任]
<p>1.3 版权声明
<p>除非另外声明,linux HOWTO文件的版权属于他们各自的作者.linux HOWTO文件可以被部
<br>分或整体的以任何媒体传播,前提是必须附加此版权声明.也允许和鼓励商业性的散发和
<br>复制,但必须事先通知作者.
<br>
<p>所有linux HOWTO的翻译,派生文档必须附带此版权声明.即,你不能对任何派生文档附加
<br>任何限制.有些情况可作为例外处理,但必须征得linux HOWTO维护组织
<br>(linux HOWTO coordinator)的认可.
<br>
<p>简言之,我们希望在保留linux HOWTO版权的同时,以尽量多的途径促进它的传播,并乐于
<br>看到任何的关于linux HOWTO的传播计划.
<p>如果有问题,可以联系 Mark Grennan<<a href="mailto:markg@netplus.net>">markg@netplus.net></a>
<br>
<p>[译注:译者不是法律专业人员(连法律专业的辍学生都不是:),无意纠缠字里行间的法律
<br>因素,在此附上原文,有任何出入,请以原文为准!
<p>Unless otherwise stated, Linux HOWTO documents are copyrighted by their
<br>respective authors. Linux HOWTO documents may be reproduced and distributed
<br>in whole or in part, in any medium physical or electronic, as long
as this
<br>copyright notice is retained on all copies. Commercial redistribution
is
<br>allowed and encouraged; however, the author would like to be notified
of
<br>any such distributions.
<p>All translations, derivative works, or aggregate works incorporating
any Linux
<br>HOWTO documents must be covered under this copyright notice. That is,
you may
<br>not produce a derivative work from a HOWTO and impose additional restrictions
<br>on its distribution. Exceptions to these rules may be granted under
certain
<br>conditions; please contact the Linux HOWTO coordinator.
<p>In short, we wish to promote dissemination of this information through
as many
<br>channels as possible. However, we do wish to retain copyright on the
HOWTO
<br>documents, and would like to be notified of any plans to redistribute
the
<br>HOWTOs.
<p>If you have any questions, please contact Mark Grennan at <<a href="mailto:markg@netplus.net>.">markg@netplus.net>.</a>
<p>]
<br>
<p>1.4 写作动机
<br>
<p>虽然近年来在comp.os.linux.*新闻组中对防火墙有了相当多的讨论,我仍然发现很难找到
<br>关于建立防火墙的足够资料. 这份文章早先版本是非常有帮助的,但还不够充分,本文通过
<br>对David Rudder的 Fire WallHOWTO的改进,为使人们能在短时间内掌握建立防火墙所需的
<br>信息.
<p>1.5 未完成部分
<p>*关于设置客户端的说明.
<p>*为linux找一个支持UDP的代理服务器(译注:现以解决)
<br>
<p>1.6 深入阅读
<p>The NET-2 HOWTO
<p>The Ethernet HOWTO
<p>The Multiple Ethernet Mini HOWTO
<p>Networking with Linux
<p>The PPP HOWTO
<p>TCP/IP Network Administrator's Guide by O'Reilly and Associates
<p>The Documentation for the TIS Firewall Toolkit
<p>
<p>Trusted Information System's (TIS) 的WEB节点收集了大量的有关防火墙的资料:
<p><a href="http://www.tis.com/">http://www.tis.com/</a>
<br>
<p>我正致力于一个名为"Secure Linux"的计划,在我的站点收集任何关于建立一个安全的
<br>linux系统的资料.如果你对此有兴趣,可以用e-mail跟我联系.
<br>
<p>2.防火墙初探
<p>防火墙来自汽车工业上的一个术语,原指汽车上的隔离引擎和乘客的装置，用以在引擎起
<br>火时保护乘客，但并不妨碍驾驶员对引擎的控制。
<p>计算机领域中的防火墙指得是用来保护内部网络不受外部网络(整个Internet)非法侵入
<br>的设备。
<br>
<p>从现在开始，我们把“防火墙计算机”简称为“防火墙”，指的是可同时访问内部网
<br>Internet的计算机.内部网络是不允许直接访问internet，反之亦然。
<br>
<p>内部网的使用者要想访问internet，必须先登录到防火墙，才能进行访问。
<br>
<p>最简单的防火墙形式是一个连结两个网络的系统。如果你能 *完全信任你的所有用户*，
<br>可以简单地安装一个linux（编译内核时 *关掉* IP forwarding/gatewaying选项开关）
<br>并分配给每个用户帐号，他们便可以登录进来并进行telnet,ftp,读取信件,或进行其它
<br>你所允许的internet访问.根据这种配置,在你的内部网中唯一具有完全Internet连接能
<br>力的是防火墙.而内部网中的其余部分甚至可以不必设置缺省路由.
<br>
<p>但在此必须强调的是:你能够 *完完全全信任你的所有用户* ----我不推荐这种方案.
<br>
<p>2.1 防火墙的缺点
<br>
<p>"过滤型"防火墙很大程度上限制了外界对内部网的访问,因为只有那些没被过滤掉的服才
<br>能接受访问.而对于代理防火墙,外部用户可先登录到代理服务器,再对内部网进行他们所
<br>允许的各种访问.
<br>
<p>同时,随着各种新网络客户和服务器类型的不断涌现,在使用它们之前,你必须找到控制访
<br>问的新方法.
<br>
<p>2.2 防火墙的类型
<p>有两种类型:
<p>1.IP包过滤防火墙---只允许指定的网络传输.
<p>2.代理服务器----为你代理网络连接.
<p>2.2.1 IP包过滤防火墙
<p>IP包过滤防火墙运作在网络传输包这一层。它通过对每个包所带的源，目的地址，端口号及
<br>包的类型这些信息来控制对其的传输。
<br>
<p>这种类型的防火墙相当安全，但缺少跟踪记录手段。它可以有效阻止外部用户的非法访
<br>问,但却不能给你任何信息关于谁在访问你内部网络的公共系统及谁通过内部网络访问
<br>Internet.
<p>过滤防火墙是纯粹意义上的过滤器。使用过滤防火墙，你无法做到只让特定的人来访问
<br>你的内部服务器----除非你一下子给所有人(来自同一IP的人:译注)同样的访问权.
<p>Linux从核心1.3.x起提供了对包过滤的支持.
<br>
<p>2.2.2 代理服务器(防火墙)
<br>
<p>代理服务器允许通过防火墙间接访问INTERNET.一个很形象的比方,你可以先telnet到一
<br>台机器上,再从那里telnet别的机器.唯一区别是代理服务器自动的.当你的客户程序访问
<br>防火墙时,代理服务器启动自己的客户程序,替你传输数据.
<br>
<p>正因为通过代理服务器复制了所有的通讯信息,它能够记录下所做的一切.
<p>对于这种类型的防火墙,最了不起的是,只要配置正确,它们是绝对安全的.它们不会让有些
<br>人通过。 因为这种防火墙没有直接的IP路由.
<br>
<p>3.防火墙的安装
<br>
<p>3.1 硬件要求
<br>
<p>一台16M内存的486-6/DX,并具有500M的Linux分区的计算机.装有两块网卡,分别接到我们
<br>的专有局域网和一个我们称之为"非军事化区(DMZ)"的局域网.同时DMZ可通过一个路由器
<br>连到Internet.
<br>
<p>这是很典型的防火墙计算机配置.也可以用一块网卡加一个PPP拨号接入Internet的MODEM.
<br>关键在于,防火墙必须具有两个IP地址.
<br>
<p>现在已经有很多家庭小型局域网,通常有两三台机器组成.这时你就可以考虑把所有的
<br>MODEM装到一台Linux机器(可能是个老式的386),同时连接Internet。这样,在一个人使用
<br>时，如果你有两个modem,可能使连接速率加一倍!
<br>∶<i>-)</i>
<br>
<p>4.防火墙应用软件
<p>4.1 可供选择的软件包
<br>
<p>如果你仅需要一个包过滤防火墙,则Linux加上基本的网络包就足够了.
<br>
<p>你所用的Linux发行包中有可能没有随带一个IP Firewall Administration 的软件包.
<br>
<p>IPFWADM在 :
<p><a href="http://www.xos.nl/linux/ipfwadm/">http://www.xos.nl/linux/ipfwadm/</a>
<br>
<p>如果你要的是一个代理防火墙,可能得选下面者之一:
<br>1.SOCKS
<br>2.TIS 防火墙工具包(FWTK)
<br>
<p>4.2 TIS 防火墙工具包与SOCKS的比较
<br>Trusted Information
<br>System(<a href="http://www.tis.com">http://www.tis.com</a>)出品了一系列实现防火墙的软件.其功能与SOCKS基本类似,
<br>但设计策略不同.SOCKS一个程序就完成所有的INTERNET传输功能.而TIS为每个功能提供
<br>了单独的程序.
<p>为进一步区别,我们以www和telnet为例来说明.对于SOCKS,我们只需设置一个配置文件
<br>和守护进程,就可以通过防火墙进行www和telnet-----以及其他任何一些你没有被设置
<br>成禁止的访问.但若使用TIS，你得为www和telnet设置各自的配置文件和守护进程.
<br>
<br>而其他的INTERNET访问仍是被拒绝,直到你专门地为其作了设置.如果你没对某种特定的
<br>功能(比如talk)设置守护进程,可以使用一个"plug-in(插件)"守护进程,但它既不灵活,
<br>也不象其他工具配置起来那么简单。
<br>
<p>SOCKS容易编译和设置,而且非常灵活;但如果你想规范内部用户的管理,TIS提供了更好的
<br>安全性.两者都能绝对禁止外部的非法访问.
<p>
<br>5.准备Linux
<p>5.1 编译内核
<br>
<p>先对Linux系统来一次'干净'的安装(我使用的版本是Redhat3.0.3,所有实例都基于该版本.)
<br>所装的组件越少,系统的后门,安全漏洞就越少.所以只装一个最小的系统就够了.
<br>选择一个稳定的内核.我使用Linux 2.0.14 kernel,本文档的描述也基于其上.
<br>下一步是用适当的选项编译内核.这时你可能需要参考Kernel HOWTO,Ethernet
<br>HOWTO,及NET-2 HOWTO.
<br>这里是'make config'过程中涉及到的跟网络部分有关的选项
<p>1.在'Gernal setup'中
<p> 1.Networking Support-->On
<p>2.在'Networking Options'中
<p> 1.Networkfirewalls--> On
<p> 2.TCP/IP Networking--> On
⌨️ 快捷键说明
复制代码
Ctrl + C
搜索代码
Ctrl + F
全屏模式
F11
切换主题
Ctrl + Shift + D
显示快捷键
?
增大字号
Ctrl + =
减小字号
Ctrl + -