发信人: clx (楚留香), 信区: Unix
标 题: Firewalling 及 Proxy Server HOWTO 中文版
发信站: 紫 丁 香 (Sat Jun 27 12:50:54 1998), 转信
--------------626930E135DD
Content-Type: text/plain; charset=us-ascii; name="firewall.txt"
Content-Transfer-Encoding: 7bit
Content-Disposition: inline; filename="firewall.txt"
{ Firewalling 及 Proxy Server HOWTO 中文版 v1.0, 9 Nov 1996
译者: 李明儒 Jeffrey Lee
jeffrey@linux.im.ntit.edu.tw OR m2003@im.ntit.edu.tw
原文: Firewalling and Proxy Server HOWTO v0.2, 17 July 1995
原文作者: David Rudder, drig@execpc.com
前言: 用Linux 有一阵子了, 玩Linux 久了的人都知道在GNU 的世界里, 不必花
费一毛钱, 就有程式可以抓、有文件可以看。抓多看多了, 就不得不感佩
这群Linux 奇迹幕後的无名英雄, 不像一些软体帝国主义者, 一心只想用
软体捞钱, 而无私的贡献自己的心血给大家分享。刚好最近在研究Firewall
, 就「顺手」把它翻成中文, 让大家分享我研读的心得, 试著追随那些软
体乌托邦理想家的脚步。庆幸原文作者的笔法还算浅显易懂, 但有些地方
写得相当简要, 所以译文中不免有部份属个人的揣测推敲, 如果你发现任
何地方有疑问, 欢迎来信指教。
Please Mail to jeffrey@linux.im.ntit.edu.tw }
本文将简单的教你如何在Linux 上安装Firewall, 同时也会提到Proxy Server
的安装及使用, 藉著Proxy Server使在Firewall後方的人对於Internet也能拥有比
较大的Access权限。
1. 介绍
这一阵子, Firewall成了Internet保全上的热门话题, 但也造成了许多人对它
的误解。这篇HOWTO 将会探讨什麽是Firewall？如何安装？何谓Proxy Server？如
何设定Proxy Server？以及这些技术除了安全以外的新应用。
1.1. 读者回响
欢迎给我任何意见, 我尤其想知道Macintosh 使用者的意见, 我在这方面的资
讯不多, 「如果发现这篇文章中有任何错误, 请务必通知我」。人非圣贤, 孰能无
过嘛! 如果你有发现任何错误, 请通知我, 我会很乐意去更正它的。我会试著去回
覆所有的来信, 不过我挺忙的, 不要对我太苛求。我的EMAIL地址是drig@execpc.com.
[译注: 我也绝对欢迎任何意见, 请寄到jeffrey@linux.im.ntit.edu.tw]
1.2. 严正声明
这份文件将介绍Firewall及Proxy Server的原理, 我无意装作是个网路安全专
家, 我只是个读得多而且爱电脑胜过爱人类的家伙。在此声明, 我不对任何依本文
所做行为所造成的损害负任何责任( I AM NOT RESPONSIBLE FOR ANY DAMAGES
INCURRED DUE TO ACTIONS TAKEN BASED ON THIS DOCUMENT. ) 我只是想藉这篇文
章去帮助你熟悉这个主题, 而非要穷毕生之力来研究它。
1.3. 版权宣告
除非另有声明, Linux HOWTO文件的版权归原作者所有。Linux HOWTO文件可以
重制及散布其全部或部份在任何媒体上, 只要完整保留此一版权宣告。允许也欢迎
商业性的散布行为, 但应先知会作者。
所有对Linux HOWTO 文件的翻译、修正、整理必须包含此版权宣告。亦即, 你
不能修改本文件却在转手散布时加诸额外的条件限制。如有异议请连络Linux HOWTO
coordinator, 地址在下面。我们希望此一资讯能从愈多管道散愈好, 不过我们仍
希望能保留HOWTO文件的版权, 如有任何散布计划, 请通知我们。
如有任何问题, 请连络David Rudder<drig@execpc.com>, 译文作者是Jeffrey Lee
<jeffrey@linux.im.ntit.edu.tw或m2003@im.ntit.edu.tw>
[译注: 我觉得这一段比技术性的本文还难翻, 而且有其法律上的重要性, 所以原
文附上, 若中文语意和原文有所出入, 以原文为准。
Unless otherwise stated, Linux HOWTO documents are copyrighted by
their respective authors. Linux HOWTO documents may be reproduced and
distributed in whole or in part, in any medium physical or electronic,
as long as this copyright notice is retained on all copies. Commercial
redistribution is allowed and encouraged; however, the author would
like to be notified of any such distributions.
All translations, derivative works, or aggregate works incorporating
any Linux HOWTO documents must be covered under this copyright notice.
That is, you may not produce a derivative work from a HOWTO and impose
additional restrictions on its distribution. Exceptions to these rules
may be granted under certain conditions; please contact the Linux
HOWTO coordinator at the address given below.
In short, we wish to promote dissemination of this information through
as many channels as possible. However, we do wish to retain copyright
on the HOWTO documents, and would like to be notified of any plans to
redistribute the HOWTOs.
If you have any questions, please contact David Rudder
<drig@execpc.com>. ]
1.4. 写这篇文章的动机
过去一年来在comp.os.linux 论坛上有一大堆人在求救, 寻求Firewall方面的
协助, 似乎也没有什麽人要回答。我猜是没人知道要怎麽回答吧! 所以我花了一点
时间玩了玩Firewall, 写这篇文章来回应那些需求。
1.5. 尚待努力方向
o 学习Macintosh的做法
o 学习不同的Windows TCP/IP套装软体
o 找个好用的UDP Proxy Server和Linux搭配
1.6. 深入研究时的参考资料
o TIS Firewall Toolkit文件
o NET-2 HOWTO
o PPP HOWTO
o Ethernet HOWTO
o MultIPle Ethernet Mini HOWTO
o Networking with Linux
o TCP/IP Network Administrator's Guide by O'Reilly and Associates
Firewall Toolkit by TIS 有一套很棒的文件, 其中有谈到Firewall及相关的
资料, 至於Firewall Toolkit的进一步说明, 请看Firewall软体那一节。
2. 了解Firewalls
Firewall原来是汽车上的一个术语, 它用来隔离引擎和乘客, 在引擎爆炸时可
以发挥保护乘客的功能。电脑上的Firewall是一个逻辑装置, 用来保护私人的区域
不受公用部份的侵害, 做法是:
1. 找一部有Routing能力的电脑(例如Linux)
2. 加入两个界面(例如: 序列埠、Ethernet、Token Ring等等)
3. 关掉IP forwarding的功能
4. 把其中一个界面接上Internet
5. 把受保护的网路接在另一个界面上
现在你使电脑接到两个不同的网路上。这部Firewall电脑, 现在就称为Firewall
了, 可以接到Internet上, 也可以接到保护网路(Protected Network) 上。但保护网
路无法连上 Internet, Internet也连不上保护网路。
如果要从保护网路内连上Internet, 必须要先telnet到Firewall, 从那里使用
Internet。同样的, Internet上的人要进入保护网路, 也必须先透过Firewall。
这种作法对於Internet上的攻击有很优秀的免疫作用。如果有人企图对受保护的
网路进行攻击, 则必须先穿过Firewall, 攻击必须分成两步骤, 难度也增加了。如果
有人想藉著使用一般的手法, 如邮件炸弹(MAIL BOMB)或"Internet Worm", 来攻击受
保护的网路, 他们可能是无法如愿的。
2.1. Firewall的缺点
Firewall最大的问题在於由内部Access Internet的困难。基本上, Firewall
利用Dial-Up Shell 的帐号来减少对於Internet的使用, 必须先login Firewall
才能做其他对Internet的Access动作。因此一些需要直接连接Internet的程式(如
Netscape) 便无法在Firewall後方顺利动作, 解决的办法——Proxy Server。
2.2. Proxy Server
Proxy Server可用来协助由Firewall後方直接Access到Internet。它们的工作是
在Server上开启一个Socket, 作为和Internet沟通的管道。举例来说, 我的电脑drig
是在保护网路内, 当我要使用Netscape去浏览Web 时, 我得在Firewall上建个Proxy
Server, 这个Proxy Server设定好可以接受我的电脑的请求, 把要连上Port 80请求
转接到它的Port 1080上。
任何用过TIA 或TERM的人应该对这个观念不会太陌生, 在这两个程式里, 你可以
对一个Port做转向的动作。我的一个朋友用TIA 设定允许大家用192.251.139.21 port
4024去连上他的web server。这里提到的Proxy Server原理也差不多, 只是恰好相反,
让你使用port 1080(或某特定值)去连接其他人的port 80。Proxy Server最了不起的
地方在於它的安全性, 如果你设定正确的话, 它不会允许任何人逾越它。
3. 动手吧!
3.1. 硬体需求
本例中, 电脑采用486-DX66, 8M RAM, 500M Linux 分割, 以一台1.44 bps
MODEM连到ISP上。这就是原本Linux box的基本配备, 要架成Firewall, 我们还得加
上一块NE2000 Ethernet网路卡。接著连上三部PC(Win 3.1+Trumpet Winsock)和两
台Suns(SunOS 4.1)。我选择这样的架构是著眼於它很普通常见, 而且我对这两种平
台都蛮熟悉的。本来有考虑要加上Mac, 可是我不太常用也不熟, 就算了。
3.2. 设定软体
现在, Linux box 透过14.4 PPP line连上Internet, 再用Ethernet连上其他
的电脑。首先, 先recomplie linux kernel, make config时得做适当的调整。
我参考了Kernel HOWTO, Ethernet HOWTO, NET-2 HOWTO然後进行"make config":
1. 使用Networking Support
2. 使用TCP/IP Networking
3. 取消IP Forwarding (CONFIG_IP_FORWARD).
4. 使用IP Firewalling
5. 可以使用IP accounting, 这样比较审慎一点。
6. 使用Networking Device Support
7. 使用PPP 及Ethernet support, 视你的界面而定
接著, 我们recompile, reinstall kernel 後重开机。应该可以在开机过程中
看到我们所加入的界面的资料, 如果没有, 参考其他的HOWTO, 看看是那里做错了。
3.3. 设定网路位址
这是很有趣的一部份。因为我们不希望Internet直接Access我们的网路, 所以
不必使用真实位址。一个不错的选择是C Class的192.168.2.xxx, 它是设定来做测
试的dummy domain。所以放心大胆的用它吧! 没人会跟你抢的。在我们的设定中,
只需要一个真实的位址, 其他的自设就可以了。指定连上PPP 的串列埠一个真实IP
位址, Firewall上的Ethernet卡设为192.168.2.1, 将其他电脑设为192.168.2.xxx。
3.4. 测试看看
试著从Firewall上ping一个Internet上的Node。我使用nic.ddn.mil做为测试点
。[ 译注: 在国内可以ping edu.tw 看看 ]如果不行, 查查你的PPP 有没有设好,
仔细的读一下Net-2 HOWTO, 再试一次。
现在, 试著ping保护网路内的电脑, 所有网路内的电脑应该可以ping其他任何
一台电脑, 如果不行, 老话一句, 看看NET-2 HOWTO 再试一次。接著, 所有在保护
网路内的机器应该都可以ping Firewall。若不行, 再重覆以上步骤, 记得, 你该
ping 192.168.2.1, 而非PPP 的真实IP位址。
然後试著从Firewall里的电脑去ping PPP的IP位址, 如果可以, 表示你IP
Forwarding的功能未取消, 你必须重新compile kernel。虽然我们已经把受保护的
网路设为192.168.2.1 domain, 不会收到来自Internet的封包, 可是把IP Forwarding
关掉还是比较保险一点, 可以自己主控全局而非仰赖ISP。
最後, 从Firewall上ping一下受保护的网路内的机器, 到这个地步, 应该不会
有什麽问题。到这里, 我们已经完成了最基础的Firewall安装。
3.5. Firewall的安全性
目前的Firewall还不够好, 因为它还敞开著大门等待别人来攻击。首先, 找到
/etc/inetd.conf, 它又被称为"super server", 因为在上面有超过一打的server
daemon被执行。例如:
o Telnet
o Talk
o FTP
o Daytime
取消所有不需要的功能, 例如netstat、systat、tftp、bootp、finger。甚至
你可以关掉telnet只允许rlogin或vica-versa。你只要在该功能前加上# 就可以轻
易的把它取消掉。利用kill -HUP <pid> 送出一个SIG-HUP给inetd, 使inetd 重新
去读取我们刚才改的设定(inetd.conf)同时restart。试试telnet Firewall的port
15(netstat port), 如果你还读得到netstat的资料, 表示你没有正确的restart
inetd。[译注: 如果还搞不定, 考虑reboot吧!]
4. Firewall软体
4.1. 可用的套装软体
单纯的Firewall除了Linux核心及基本网路套装软体(inetd, telnetd和telnet,
ftpd和ftp)外不需外加任何软体, 但这种情况下, 限制极多而且不太好用。所以有
些软体可以使你的Firewall更有用, 我最主要要探讨的是一个叫"socks"的Proxy
Server。另外, 有两个软体你可以记在心中, 我等一下会简单介绍。
4.2. TIS Firewall Toolkit
TIS 中有一套程式用来进行Firewalling, 这些程式和socks基本上相同, 但采
用了不同的设计策略。socks是用一个程式来搞定所有的Internet动作, TIS 则利
为不同的功能发展不同的程式。
为了明白说明起见, 就以World Wide Web和telnet作例子吧! 在socks中, 你要
设定一个config档和一个daemon, 透过这个档案及daemon, telnet及www可以正常使
用, 就宛如你没把它们关掉前一样。
而在TIS toolkit中, 你要为WWW and Telnet各设一个daemon及config档。完成
之後, 其他的Internet Access仍被禁止, 直到你完成其设定为止。如果某一特定功
能没有daemon(如talk), 你可以使用"plug-in"的daemon, 只是不像其他的工具那样
有弹性且不易使用罢了。
这里似乎有一点小小的不同, 不过会造成很大的不同——socks 允许你随便设
设就上路, 不过一个设定不良的Socks server, 网路内部的人可以试著得到超出预
期的Internet Access权。而TIS toolkit中, 人们只能使用系统管理者所赋与的权
限。
Socks易於安装、易於complie且具有较大的弹性。如果你想严格控制网路内的
使用者, 则TIS toolkit的安全性较佳。但二者都提供了对外的绝对保护。
4.3. TCP Wrapper
TCP wrapper不是一个Firewalling工具, 但它提供了许多相同的效果。透过
TCP wrapper, 你可以控制谁有权Access你的机器和Access那些服务, 同时可以追
踪连线的记录, 而且它还提供了一个基本的侦测伪装功能。
TCP wrapper基於一些理由, 并未广泛的运用:
o 它不算是一个真的Firewall
o 要使用它, 你必须要连上Internet, 因此你得有一个IP 位址
o 它只控制安装它的「机器」, 对「网路」不能提供很好的服务。Firewall则可以
保护每一个架构上的每一个机器。TCP wrapper在Mac及MS Windows机器无法使用
4.4. IPfw 和 IPfw Admin
5. Proxy Server
5.1. 安装Proxy Server
Proxy Server需要额外的软体, 你可以从ftp://sunsite.unc.edu/pub/Linux/
system/Network/misc/socks-linux-src.tgz得到你要的宝贝。在sock-conf下同时
有一个config档□例。解压之後, 跟著指示把它make起来, 我在make时遇到了一箩
筐的问题, 确定你的Makefile正确无误。一件要注意的是记得把Proxy Server加到
/etc/inetd.conf里, 你可以加入下行:
socks stream tcp nowait nobody /usr/local/etc/sockd sockd
5.2. 设定Proxy Server
socks的程式需要两个configuration档。一个说明那些Access是被允许的, 另
一个则是把请求route到适当的Proxy Server。Access档必须设在server上。而
routing档则要装在每部Un*x机器上。DOS 和mac的机器会进行它们自己的routing。
5.2.1. Access档
在socks4.2 Beta中, Access档称为"sockd.conf", 应该包括两行, 一行允许
的(permit), 一行是禁止的(deny), 每行有三个项目:
o 识别字(permit/deny)
o IP位址
o 位址修正值(位址 modifier)
识别字不是permit就是deny, 应该要有一行permit、一行deny。IP位址采用
Internet上的标准记法, 例如192.168.2.0。 位址修正值也是采IP位址的格式, 而
有netmask 的效果。把它想像成一个三十二位元的二进位数, 若该位元为１, 表示
在做位址比较时, 此一位元必须和之前IP位址那一项的该位元相符。例如:
permit 192.168.2.23 255.255.255.255
意思是只有192.168.2.23算是相符, 而
permit 192.168.2.0 255.255.255.0
会允许192.168.2.0到192.168.2.255间的IP 位址, 即整个C Class domain。如果
你加入下行:
permit 192.168.2.0 0.0.0.0
则代表你是来者不拒了。所以先允许你要开放权限的位址, 再拒绝其他的位址。例如:
permit 192.168.2.0 255.255.255.0
deny 0.0.0.0 0.0.0.0
会允许所有的192.169.2.xxx, 注意deny行里的"0.0.0.0" 使用了0.0.0.0做修正,
"0.0.0.0"并没什麽特殊用意, 修正值就拒绝了所有的位址, 用0只是因为打字方便
罢了, 你要用255.255.255.255 也没人拦著你。除这两行外, 你还可以加上额外的
限制。
你也可以permit或deny某一特定的user, 但这需要"ident authenticaiont",
并非所有的系统都有此一功能, 像Trumpet Winsock 就没有, 所以我就不再深入研
究, 以上所做的讨论应该已经足够了。
5.2.2. Routing档
Routing档称作"socks.conf", 很容易跟Access档搞混。Routing档用来告诉
socks clients何时用socks , 何时不用。例如, 在我们的网路上, 192.168.2.3
和192.168.2.1 (Firewall) talk时就用不到socks , 它们直接用Ethernet相连。
因为系统自动定义127.0.0.1作为回路之用, 你和自已talk时当然也不需socks。
档案中有三个项目:
o deny
o direct
o sockd
Deny指示何时要拒绝请求, 它的语法和sockd.conf同。一般来说, 把修正值
设为0.0.0.0 就可以轻易挡掉所有的外来者。direct项指出那些位址不必用到
socks , 即不必透过Proxy Server就可连到的地方。同样有三栏, 识别字、IP位
址和位址修正值, 例如:
direct 192.168.2.0 255.255.255.0
这使我们可以在保护网路内直接通行。sockd 项说明那些电脑上有socks server
daemon在执行, 语法是:
sockd @=<serverlist> <IP address> <modifier>
注意"@="那一栏, 它让你列出一堆Proxy Server的IP位址。在我们的例子里, 我们
只用一台Proxy Server, 但你可以多设几个好容纳高负载, 同时减少故障停摆的风
险, IP位址和修正值用法同前。
5.2.3. Firewall内的DNS
相较之下, 在Firewall内安装DNS 是很简单的事, 只要在Firewall的机器上装
个DNS , 并且将Firewall内的机器DNS 设定改成它就行了。
5.3. 使用Proxy Server
5.3.1. Unix
若你的应用程式想要应用Proxy Server, 先绝条件是它们必须是"sockified"
型的, 所以你必须有两个TELNET, 一个是直接连接的, 一个则是透过Proxy Server
连接。Socks 有教你怎麽去sockify 一个程式, 同时也有一堆己经sockified 的程
式, 如果你使用一sockified 版本去作直接连接, socks 会自动替你转换成直接版
。所以, 我们得把所有保护网内的原有程式改为sockified 的版本, 先将"finger"
改为"finger.orig", "telnet" 改成"telnet.orig"等等, 你必须在include/socks.h
档中告诉socks这些资料。
有些程式会自行routing并sockify自己, Netscape就是一个例子。你可以在
Netscape中使用Proxy Server, 只要在Proxies 选项中输入 Server的位址就可以了
(在本例中为192.168.2.1)。每个应用程式都会让你有点手忙脚乱吧!
5.3.2. MS Windows/Trumpet Winsock
Trumpet Winsock 具有内容Proxy Server的能力, 在"setup" menu里输入你的
server IP位址和其他相关可以直接连通的电脑位址, Trumpet会处理所有外送的封
包。
5.4. 使Proxy Server处理UDP 封包
有点美中不足的是socks 软体只能处理TCP 封包, 而不包括UDP 封包。很多有
用的程式像talk, Archie都使用UDP。 有个软体可以用来当作UDP 的Proxy Server,
叫作UDPrelay, 由Tom Fitzgerald所写<fitz@wang.com>。不幸的是, 到目前为止,
它还不相容於Linux。
5.5. Proxy Server的缺点
Proxy Server是个安全装置, 用它在有限的IP位址上增加Internet的Access动
作会有一些缺点。Proxy Server允许在保护网路到Internet的大量Access, 却可以
让外界不能触及网路内部, 亦即外界的server, talk或Archie, mail都无法真接传
至保护网路内, 看起来没什麽大不了的, 可是请你仔细想想:
o 你可能在保护网路内用电脑打了一篇报告, 回家之後, 你想把它拿回来看看,
抱歉, 这是不可能的, 你根本无法Access你的电脑, 因为它在Firewall内部。
你试著login Firewall, 可是因为每个人都有Proxy Server Access, 所以没有
人为你在上面另设帐号。
o 你和□的女友用email通信, 有些「不可告人」的私事要讲, 请她把email直接
寄到你的电脑上会比较好, 但是不行。你信任Firewall的管理者没错, 但这毕
竟还是私人信件。
o 无法处理UDP 封包是Proxy Servers的致命伤, 我想UDP 的用途会愈来愈多。
[例如: CoolTalk... ]
FTP 会造成Proxy Server上的另外一个问题, 当你抓档或是作一个ls动作时,
FTP Server会开一个socket 在client机器上, 并藉由它来传送资讯。而一个Proxy
Server不会允许你这麽做, 所以FTP 就无法顺利完成。另外, Proxy Server跑起来
挺慢的, 因为overhead太大了些, 其他的方法相形之下就快多了。
基本上, 如果你有一个IP位址, 你也不担心安全的问题, 也用不到Firewall或
是Proxy Server; 如果没有, 而你也不担心安全问题, 你可以找找IP emulator 之
类的工具, 如Term、Slirp或TIA。Term可以在ftp://sunsite.unc.edu拿到, Slirp
可以在ftp://blitzen.canberra.edu.au/pub/slirp拿到, 而TIA在marketplace.com
上有。这些工具跑起来快多了, 连线也较有效率, 同时由Internet连入内部网路的
权限也大多了。Proxy Server适合那些有一大堆主机要连上Internet却不太想安装
和设定太多东西的人。
6. 进阶设定
在结束之前, 我有些设定要交代一下, 之前所说的适合大部分的人。但以下我
会谈到一些进阶的设定来澄清一些问题。如果对之前我所提的你尚有疑问, 或是有
兴趣了解一下Proxy Servers和Firewall的多彩多姿, 就再读下去吧!
6.1. 强调安全性的大网路
[译注: 原文中举了一个Milwaukee 23rd Discordian Cobal的例子, 术语很多,
而且对不熟当地文化的人几乎不知所云, 我乾脆把它整个换成宋七力的
例子, 有点类似, 而且有趣多了。:) ]
如果你是宋七力本尊, 你想建个网路, 参考一下。假设你有50部电脑和一个有
32 (5 bits)IP 位址的子网路, 有多重的Access等级, 你要依据不同的等级交代你
的手下不同的事情。很明显的, 你会想把网路中的一部分保护起来, 防止不同等级
的人去接触。
[声明: 本例纯属虚构, 如有雷同, 纯属巧合。]
这些等级分别为:
1.凡夫级: 泛指可以给所有的人看的, 基本上, 就是一些□扯蛋, 例如对本尊
的流言毁谤之类的。
2.信徒级: 在这里你告诉他们宇宙光明体的真谛, 还有本尊是个万能的神的事
实。
3.核心级: 真正的精华所在, 在这一级中, 有七人小组所从事的地下活动的资
讯, 准备要使接管世界统治权的计划, 包括了用Photoshop合成的发光照片、
用Word排版的宇宙光明论及用Delphi写的信徒供养资料库等等。
6.1.1. 网路设计
IP位址安排如下:
o 192.168.2.255, 用作广播之用。
o 32个IP位址挪出23个, 设给供Internet Access的机器。
o 一个IP给Linux box。
o 一个给网路上另一部Linux box。
o 两个IP号码给Router。
o 剩下四个Domain Names设为paul, ringo, john, 和george, 用来掩人耳目。
o 保护网路位址为192.168.2.xxx
建立出两个分离的网路, 放在显相纪念馆不同的房间中, 使用红外线Ethernet
来做Route , 对外界而言完全隐形。幸运的, 红外线Ethernet用起来和一般的
Ethernet完全相同(我猜想是吧!), 所以可以视为一般的网路。两个网路各接上一台
Linux box。
有一个File Server 连上两个保护网路, 真是因为接管世界的计划包含了一部
份忠诚的信徒参与。File Server 对信徒级用192.168.2.17, 对核心级用192.168.2.23。
之所以用不同的位址是因为它们用不同的Ethernet卡, IP forwarding己经关了。
两台Linux box上的IP Forwarding都关了, Router不会把寄给192.168.2.xxx的
封包向前传, 除非另有设定, 因此已算安全, 之所以要关掉IP forwarding是要防止
信徒网路接触到核心网路。
NFS server也可以设计来提供不同的档案存取权限, 这可以用手动来控制, 但
要用到一点符号链结的技巧, 使得一些共用档可供所有人使用。利用这个设定再加
上一块Ethernet卡可以使三个网路都可以分享这些档案。
6.1.2. Proxy的架设
现在来制定三个网路的Net Access权。凡夫网直接连上Internet, 省得跟Proxy
Server搅混, 信徒网及核心网已被包在在Firewall内, 所以凡夫网中不用架设Proxy
Server。信徒网和核心网路的架设十分相似, 几乎设定相同, 因此我加入一些限制
条件, 使它有些变化而且有趣一点。
1.不许任何人用File Server 作Internet Access 以防止病毒及其他的恶作剧等。
这点十分重要。
2.不允许信徒使用World Wide Web, 外界的流言会影响他们的忠贞。
所以信徒网Linux box上的sockd.conf档设定如下:
deny 192.168.2.17 255.255.255.255
核心网机器上则是:
deny 192.168.2.23 255.255.255.255
信徒网还要加上这一行:
deny 0.0.0.0 0.0.0.0 eq 80
这样可以防止任何机器使用Port 80, HTTP Port, 但其他的服务仍然是开放的, 除
了浏览WEB 之外。然後两边的档中还要加上:
permit 192.168.2.0 255.255.255.0
使得192.168.2.xxx的电脑可以使用这个Proxy Server, 除了己经被拒绝者之外。
(ie. File Server 和信徒网上的web Access) 信徒网的sockd.conf看起来如下:
deny 192.168.2.17 255.255.255.255
deny 0.0.0.0 0.0.0.0 eq 80
permit 192.168.2.0 255.255.255.0
核心网的档案应该如下:
deny 192.168.2.23 255.255.255.255
permit 192.168.2.0 255.255.255.0
这样应该就行了, 每个网路都是独立的, 只允许有限度的接触, 大家都如愿了。
[译注: 为了第六章, 我推敲了一下午, 总算搞懂作者的意思( 或者是完全误会
了作者的意思, 画一张图让大家能更快进入状况。
┌————┐ Router┌———┐Linux ┌————┐
│Internet├———□—┤凡夫网├—□—┤ 核心网 │
└————┘ └—┬—┘ └——┬—┘
Linux□ │ 192.168.2.23
│ □ File Server
┌┴————┐ │ 192.168.2.17
│ 信徒网 ├———┘
└—————┘ ]
--
※ 来源:．紫 丁 香 bbs.hit.edu.cn．[FROM: 202.118.244.16]