仓酷云

标题: 来讲讲：收费自建Linux体系防火墙 [打印本页]

作者: 分手快乐 时间: 2015-1-16 14:41
标题: 来讲讲：收费自建Linux体系防火墙
经常看到有人问用什么版本的linux好,其实只要你认真学习无论什么版本都挺好的。
防火墙(Firewall)是在一个可托的收集和不成信的收集之间创建平安屏蔽的软件或硬件产物。Linux操纵体系内核具有包过滤才能，体系办理员经由过程办理工具设置一组划定规矩便可创建一个基于Linux的防火墙，用这组划定规矩过滤被主机吸收、发送的包或主机从一个网卡转发到另外一个网卡的包，用一台闲置的PC就能够替换高贵的专门防火墙硬件，关于某些中小企业或部门级用户，很值得参考。
　　1、防火墙的范例和计划战略
　　在机关防火墙时，常接纳两种体例，包过滤和使用代办署理服务。包过滤是指创建包过滤划定规矩，依据这些划定规矩及IP包头的信息，在收集层判断同意或回绝包的经由过程。如同意或克制FTP的利用，但不克不及克制FTP特定的功效（比方Get和Put的利用）。使用代办署理服务是由位于外部网和内部网之间的代办署理服务器完成的，它事情在使用层，代办署理用户进、出网的各类服务哀求，如FTP和Telenet等。
　　今朝，防火墙一样平常接纳双宿主机（Dual-homedFirewall）、屏障主机(ScreenedHostFirewall)和屏障子网(ScreenedSubnetFirewall)等布局。双宿主机布局是指承当代办署理服务义务的盘算机最少有2个收集接口毗连到外部网和内部网之间。屏障主机布局是指承当代办署理服务义务的盘算机仅仅与外部网的主机相连。屏障子网布局是把分外的平安层增加到屏障主机的布局中，即增加了周边收集，进一步把外部网和内部网离隔。
　　防火墙划定规矩用来界说哪些数据包或服务同意/回绝经由过程，次要有2种战略。一种是先同意任何接进，然后指明回绝的项;另外一种是先回绝任何接进，然后指明同意的项。一样平常地，我们会接纳第2种战略。由于从逻辑的概念看，在防火墙中指定一个较小的划定规矩列表同意经由过程防火墙，比指定一个较年夜的列表不同意经由过程防火墙更简单完成。从Internet的开展来看，新的协定和服务不休呈现，在同意这些协定和服务经由过程防火墙之前，偶然间检察平安毛病。
　　2、基于Linux操纵体系防火墙的完成
　　基于Linux操纵体系的防火墙是使用其内核具有的包过滤才能创建的包过滤防火墙和包过滤与代办署理服务构成的复合型防火墙。上面，让我们来看看如何设置一个双宿主机的基于Linux的防火墙。
　　因为Linux的内核各有分歧，供应的包过滤的设购置法也纷歧样。IpFwadm是基于Unix中的ipfw，它只合用于Linux2.0.36之前的内核；关于Linux2.2今后的版本，利用的是Ipchains。IpFwadm和Ipchains的事情体例很类似。用它们设置的4个链中，有3个在Linux内核启动时举行界说，分离是：进进链（InputChains）、外出链（OutputChains）和转发链（ForwardChains），别的另有一个用户自界说的链（UserDefinedChains）。进进链界说了流进包的过滤划定规矩，外出链界说了流出包的过滤划定规矩，转发链界说了转发包的过滤划定规矩。
　　这些链决意如何处置进进和外出的IP包，即当一个包从网卡长进来的时分，内核用进进链的划定规矩决意了这个包的流向;假如同意经由过程，内核决意这个包下一步发往那边，假如是发往另外一台呆板，内核用转发链的划定规矩决意了这个包的流向;当一个包发送进来之前，内核用外出链的划定规矩决意了这个包的流向。某个特定的链中的每条划定规矩都是用来判断IP包的，假如这个包与第一条划定规矩不婚配，则接着反省下一条划定规矩，当找到一条婚配的划定规矩后，划定规矩指定包的方针，方针多是用户界说的链大概是Accept、Deny、Reject、Return、Masq和Redirect等。
　　个中，Accept指同意经由过程;Deny指回绝;Reject指把收到的包抛弃，但给发送者发生一个ICMP复兴；Return指中断划定规矩处置，跳到链尾；Masq指对用户界说链和外出链起感化，使内核假装此包;Redirect只对进进链和用户界说链起感化，使内核把此包改送到当地端口。为了让Masq和Redirect起感化，在编译内核时，我们能够分离选择Config_IP_Masquerading和Config_IP_Transparent_Proxy。
　　假定有一个局域网要毗连到Internet上，大众收集地点为202.101.2.25。外部网的公有地点依据RFC1597中的划定，接纳C类地点192.168.0.0～192.168.255.0。为了申明便利，我们以3台盘算机为例。实践上，最多可扩大到254台盘算机。
　　详细操纵步骤以下：
　　1、在一台Linux主机上安装2块网卡ech0和ech1，给ech0网卡分派一个外部网的公有地点191.168.100.0，用来与Intranet相连;给ech1网卡分派一个大众收集地点202.101.2.25，用来与Internet相连。
　　2、Linux主机上设置进进、转发、外出和用户自界说链。本文彩用先同意一切信息可流进和流出，还同意转发包，但克制一些伤害包，如IP棍骗包、播送包和ICMP服务范例打击包等的设置战略。
　　详细设置以下：
　　(1)革新一切划定规矩
　　(2)设置初始划定规矩
　　(3)设置当地环路划定规矩
　　当地历程之间的包同意经由过程。
　　(4)克制IP棍骗
　　(5)克制播送包
　　(6)设置ech0转发划定规矩
　　(7)设置ech1转发划定规矩
　　将划定规矩保留到/etc/rc.firewallrules文件中，用chmod付与该文件实行权限，在/etc/rc.d.rc.local中到场一行/etc/rc.firewallrules，如许当体系启动时，这些划定规矩就失效了。
　　经由过程以上各步骤的设置，我们能够创建一个基于Linux操纵体系的包过滤防火墙。它具有设置复杂、平安性高和抵抗才能强等长处，出格是可使用闲置的盘算机和收费的Linux操纵体系完成投进最小化、产出最年夜化的防火墙的构建。别的，假如在包过滤的基本上再加上代办署理服务器，如TISFirewallToolkit收费软件包，还可构建加倍平安的复合型防火墙
</p>
买一本命令参考手册是必要的,遇到不知道怎么用的命令可以随时查询,这要比查man文档快.特别适合英语不好。

作者: 飘灵儿 时间: 2015-1-18 14:59
当然你不需搭建所有服务，可以慢慢来。自己多动手，不要非等着别人帮你解决问题。

作者: 只想知道 时间: 2015-1-24 19:13
就这样，我们一边上OS理论课，一边上这个实验，这样挺互补的，老师讲课，一步一步地布置任务

作者: 山那边是海 时间: 2015-2-2 12:43
我们自学，就这个循环的过程中，我们学习了基本操作，用vi，shell，模拟内存的分配过程等一些OS管理。

作者: 飘飘悠悠 时间: 2015-2-7 20:23
其实老师让写心得我也没怎么找资料应付，自己想到什么就写些什么，所以不免有些凌乱；很少提到编程，因为那些在实验报告里已经说了，这里再写就多余了。

作者: 谁可相欹 时间: 2015-2-23 11:09
在学习的过程中，我们用的是VM虚拟机，开始时真的不真的该怎么去做，特别是我的是命令窗口界面，别人的是图形界面，我都不知道怎么调过来。

作者: 深爱那片海 时间: 2015-3-7 08:49
发问的时候一定要注意到某些礼节。因为Linux社区是一个松散的组织、也不承担回复每个帖子的义务。它不是技术支持。

作者: 不帅 时间: 2015-3-14 18:43
编程学习及开发，Linux是免费，开源的操作系统，并且可开发工具相当多，如果您支持自由软件，一定要同广大热爱自由软件人士一同为其不懈努力。

作者: 爱飞 时间: 2015-3-21 14:11
即便是非英语国家的人发布技术文档,Linux也都首先翻译成英语在国际学术杂志和网络上发表。

欢迎光临仓酷云 (http://ckuyun.com/)