Linux 版 (精华区)

发信人: superman (☆风雨无阻☆), 信区: Linux
标  题: [转载] 管理员不可不看
发信站: 紫 丁 香 (Fri Sep 11 08:10:25 1998), 站内信件

【 以下文字转载自 cnlinux 讨论区 】
【 原文由 Tom_Young@bbs.ustc.edu.cn 所发表 】
 
【 以下文字转载自 Satan 的信箱 】 
发信人: dfbb (赵无忌☆迷恋红尘), 信区: Linux 
标  题: 基于Linux的路由器和防火墙配置 
发信站: BBS 水木清华站 (Wed Sep  2 22:42:16 1998) 
 
基于Linux的路由器和防火墙配置 
 
    内蒙古大学  何立强 
    随着Internet应用的日益普及,免费网络操作系统Linux受到越来 
越多的网络爱好者的关注。通过简单的安装,人们就可以获得Linux提 
供的多项网络服务,诸如域名服务、电子邮件、匿名FTP服务等。同时 
,它还提供了图形工作站所具有的Xwindows系统。可以说,Linux已经 
具备了网络服务器的所有功能。在此,笔者想结合自己的工作经验,谈 
谈Linu x在另一方面的用途,即将Linux作为路由器连接两个不同的网 
段,并在其上配置防火墙,以实现网络的存取访问控制和流量统计的功 
能。 
    要想使一台装有Linux的PC具有路由器的功能,首先要进行硬件配 
置。如下图所示,名为Router的PC上装有Linux系统,并配有两块网卡, 
每块网卡连接一个不同的网段,该机作为路由器在两个网段间转发IP 
数据包。为了防止两块网卡的中断发生冲突,需要网卡驱动程序将中 
断分别设为不同值。笔者在实践时将其中断号和I/O地址分别设置为: 
3,0x300H 和4,0x320H。 
图1 
    硬件配置完毕,还需要在软件上做相应的配置。在通常的安装模 
式下,Linux系统不具备路由器的功能,因此,必须重新安装Linux内核 
。以Slackware版的Linux为例,其重新配置内核的过程为: 
    1. #cd/usr/src/linux 
    /*进入Linux的源代码目标*/ 
    2. #make config 
    /*进行编译选项的配置*/ 
    在该步中,系统会提供编译过程中的一些选项,供用户根据自己的 
实际情况进行选择。对于无法确定的选项,用户可选择系统缺省值。 
在网络部分编译的询问中,会出现如下的提示: 
     network firewall[y/n/N]? 
     /*内核是否支持防火墙*/ 
     …… 
     TCP/IP networking[n/y/Y]? 
     /*主机是否连接TCP/IP网络*/ 
     IP: forwarding/gatewaying [n/y/Y]? 
     /*主机是否转发数据库或作为网关*/ 
     …… 
     IP:firewalling[y/n/N]? 
     /*是否在TCP/IP网络内设置防火墙*/ 
     IP:firewall packet logging[y/n/N]? 
     /*是否在防火墙上登记数据包*/ 
     …… 
     IP:accounting[y/n/N]? 
     /*是否对数据包计帐*/ 
     IP:optimize as router not host[y/n/N]? 
     /*是否将主机设置为路由器*/ 
     …… 
     IP:multicats routig [y/n/N]? 
    /*路由器是否向外广播路由信息*/ 
    因为我们要将此主机配置为路由器,并在其上设置防火墙,故对这 
些选项统一选"y"。 
    3.#make dep 
    /*根据编译选项做编译前的准备工作*/ 
    4.#make zlmage 
    /*开始编译内核并命名编译后的内核文件名为zlmage*/ 
    编译后的内核存于"/usr/src/linux/arch/i386/boot"目录。在 
系统原内核备份后,用户可将该文件拷贝到根目录下,并改名为"vmlin 
uz",运行"lilo",使其在下次启动时生效。 
    重构内核后,需对两块网卡的TCP/IP部分进行设置,使其能有效地 
连接两个不同的网段,并能在两个网段进行IP数据包的转发。设置步 
骤为(其中的参数依图中所示): 
    1.对于NE2000兼容的网卡,修改"/etc/rc.d/rc.modules"文件; 
     /sbin/modprobe  ne  io=0x300,0x320 
    /*识别两块网卡*/ 
    2.修改"/etc/rc.d/rc.inetl"文件,设置两网卡的IP地址、掩码 
及到两网卡的路由 
    信息; 
    IPADDR="202.207.0.27" 
    NETWORK="202.207.0.0" 
    BROADCAST="202.207.0.255" 
    IPADDR1="202.207.7.2" 
    NETWORK1="202.207.7.0" 
    BROADCAST1="202.207.7.255" 
    NETMASK="255.255.255.0" 
    /sbin/ifconfig eth0 ${IPADDR} broadcast${BROADCAST} netm 
ask${NETMASK} 
    /sbin/ifconfig eth1 ${IPADDR1} broadcast${BROADCAST1} ne 
tmask${NETMASK} 
    /sbin/route add-net ${NETWORK} netmask${NETMASK} eth0 
    /sbin/route add-net ${NETWORK1} netmask ${NETMASK} eth1 
    3.修改"/etc/rc.d/rc.inet2"文件,打开关于"Routed Server"的 
注释,使其可 
    以与其它路由器交换路由信息,并转发IP数据包。 
    ## Start the Routed server 
    if[-f ${NET}/routed];then 
    echo -n"routed" 
    ${NET}/routed -g -s 
     /*启动程序*/ 
    fi 
    4.在"/etc/lilo.conf"文件中增加一行,使其在启动时识别第二 
块网卡。 
    append="ether=0,0x320,ethl" 
    完成上面的设置后,应重新启动计算机,系统会识别到两块网卡, 
并按照"/etc/rc.d/ rc.intel"文件中的说明对网卡的IP地址、掩码 
进行设置。启动完成后,以超级用户root 的身份进入系统,键入下面 
的命令即可看到关于网卡和路由的信息。 
    #ifconfig  /*显示网卡的详细信息*/ 
    #route 
    /*显示系统的路由表*/ 
    笔者曾将学生机房局域网内的PC通过Linux路由器与校园网相接, 
并进一步通过校园网进入Internet。此外,笔者又在Linux路由器上配 
置了防火墙。实践证明,防火墙有效地控制住了学生对非法IP地址的 
访问,并成功地记录下每个IP地址的网络流量,为计费和网管提供了依 
据。Linux的防火墙配置可以通过简单的命令逐条进行,也可编写shel 
l程序放到系统的启动目录下自动执行。其命令格式非常简单,现举例 
如下: 
    #ipfwadm -A 
    /*对通过路由器的所有数据包进行计帐*/ 
    #ipfwadm -I  -a accept -S 162.105.0.0/16 
    /*接受来自162.105.0.0网络的所有数据包*/ 
    #ipfwadm -I  -a deny -S 159.226.0.0/16 
    /*丢掉来自159.226.0.0网络的所有数据包/ 
    #ipfwadm -O  -a reject -S 210.32.0.0/12 
    /*丢掉发往210.32.0.0网络的所有数据包,并发送拒绝信息包给 
请求者*/ 
    读者可根据实际需要进行防火墙的配置,以达到期望的效果。   
 
-- 

※ 来源: 中国科大BBS站 [bbs.ustc.edu.cn]
--
※ 转载:．紫 丁 香 bbs.hit.edu.cn．[FROM: poster.hit.edu.c]