 |
||||||||||||||
since2012/04/23 |
 |
 |
||||||||||||
 |
 |
 |
 |
 |
 |
 |
 |
 |
||||||
 |
 |
 |
 |
|||||||||||
 |
 |
 |
||||||||||||
 |
|
|
|
|
|
|
|
|
|
|
|
|
|
|
|
最近更新日期：2003/08/25
防火墙： ：为何需要防火墙 ：防火墙的主要类别 ：防火墙的一般线路布线与抵挡技巧 ：防火墙的使用限制 Linux 的封包过滤机制： ：Linux 核心版本与防火墙机制 ：iptables 的表格与封包进入的流程 ：iptables 的语法： 清除规则, 定义政策, 增加与插入规则, 纪录与回复防火墙规则 一个简单的防火墙设定： ：我的防火墙规则的草拟 ：规则设定 TCP Wrappers： ：什么是 TCP Wrappers 与他的抵挡机制 ：TCP Wrapperes 的规则说明 其他的相关测试： 进阶：防火墙后端服务器的架设 重点回顾 参考数据 课后练习  防火墙：
为何需要防火墙 因为不希望常常在网络上面看到『唉呀！我依据某某网页的信息架设了一个 Linux 主机，为什么过了一个星期之后，以 root 的密码无法登入我的主机？』，还有一种说法『唉呦！我的 Linux 主机为什么无法查询登录文件了？为什么被 ISP 警告说我的 mail server 被列为黑名单了，为什么被侦测到说我有攻击人家？我都没有做坏事呀！？』呵呵！很伤脑筋对不对～没错啦！网络安全果然是很麻烦！又得要天天照顾他，又得要 随时更新到最新版的套件！唉～麻烦吶！但是网络安全却又是一个网管人员的基本知识要求，一个具有良好的防火墙措施的主机，可以让一个网管人员过的更开心 呀！ 要晓得的是，我们是一般的小家庭，所以主机即使被 Cracker 入侵，只要在对方利用我们的 IP 干坏事之前就将主机给他关掉的话，还能稍微保护一下自己，但是若您是一个大型企业的主机，而且还提供有关信用卡啦，个人用户的信息啦等等的讯息时，那么可 不能说关机就关机的，这个时候怎么办？如果您没有设定紧急应变手则，没有良好的登录档案分析习惯，也没有实时回报系统在帮您侦测您的主机，嘿嘿！那总损失 除了金额之外，还包括公司的信誉，那可是很可怕的呦！由国外的分析可以发现，几乎主机被入侵之后，损失的除了金钱之外，还有主机维护的时间、软硬件重新设 定的费用等等，相当可观的一笔费用呀～ 所以啦！架设一部具有较为安全的主机，对我们来说，也是相当重要的，怎么说呢？别以为我们是一般的 ADSL 拨接的小站就无所谓呦！等到真的被入侵之后，然后您的主机被利用来作坏事，然后利用您的主机作坏事的那个人又将他的登录信息杀掉，让人家找不到他，嘿嘿！到时候吃官司的可会是您！别以为 ADSL 拨接制的带宽不足呢！要使用您的主机来做事那也不需要多大的带宽，只要能连上 Internet ，只要能再藉由您的主机向外面扩散，嘿嘿！再怎么小的带宽都有人会利用的！『千万不要小看系统的安全性～』 防火墙的主要类别 除了以软件及硬件作为防火墙的分类之外，基本上，我们也可以使用防火墙对于封包的抵挡机制来进行分类。主要可以分为两大类，分别是代理服务器 (Proxy) 以及 IP Filter 。在代理服务器方面，由名称我们就可以知道，代理服务器仅是代理 Client 端去向 Internet 要求数据，所以呢， Proxy 其实已经将可代理的协议限制的很少很少，并且由于内部与外部计算机的并不能直接互通，所以可以达到良好的保护效果；另一种则是上面提到的 IP fileter 啦！利用封包过滤的方式来达到防火墙的目的！ 这是属于网络『应用层』的咚咚了，这个 Proxy ( 代理服务器 ) 基本上就是一种『服务』喔！他的功能可以如下图来表示： 图一、Proxy 主机的示意图 当 Client 有要求的时候， Proxy Server 会帮 Client 去外面捉取数据，然后再将数据丢回给 Client 端！请注意，此时真正出去 Internet 的，其实是 Proxy Server ，而不是 Client 端呦！( 这个跟 NAT 服务并不太一样，会在后续的 NAT主机设定时再提到。) 由于 Client 端并不是直接出去，加上 Proxy Server 一般仅开放 80 及 21, 20 port 而已，因此可以较为安全！相对的，对于 Client 端的限制自然就较多了！更详细的 Proxy 说明我们会在后续的代理服务器章节中提到。 直接以 IP filter 来进行封包的过滤！这个时候会由 TCP 的 header 分析起来，再决定是否可以让该 TCP 封包进入主机。因为是分析 TCP/IP 的封包，所以使用到的网络协议是比较底层的信息喔，因为底层的信息相当的复杂，包括了网络卡的硬件地址(MAC)、软件地址、TCP, UDP, ICMP 等封包的 Header 讯息、TCP 封包的三向交握观念等等，所以 IP Filter 可以达成的功能可就大的多了！另外，一般我们谈到的 Linux 上的防火墙大多指的就是 iptables 这个 IP Filter 机制了，他利用一些封包过滤的规则设定，来定义出什么数据可以接收，什么数据需要剔除，以达到保护主机的目的喔！ 在这个章节中，我们先不谈 Proxy 这个东西，仅来分析一下最基础的两个防火墙机制，一个是 iptables ，另一个则是 TCP_Wrappers ！ 防火墙的一般线路布线与抵挡技巧 由前面的说明当中，您应该可以了解到一件事，那就是防火墙除了可以『保护防火墙机制(iptables)本身所在的那部主机』之外，还可以『保护防火墙后面的主机或 PC』。呵呵！没错！防火墙的功能可是很大的喔！除了可以帮助我们抵御外来的主动联机之外，也可以帮我们控管网络流量，并且，在简单的局域网络规划中， Firewall 搭配 Router ( 就是 NAT 主机的架构 ) 也是相当常见的一种规划！这种规划对于内部私有网域的安全也有一定程度的保护作用呢！底下我们稍微谈一谈目前常见的防火墙规划： 我们的网域里面仅有一部 Linux 主机，该主机负责我们整个 LAN 里面所有个人计算机对外的联机，所以他也是我们 LAN 里面的 Router 。该防火墙一般会有两个接口，一个对内一个对外，同时，您也可以直接在 Linux 防火墙上面架设网站，这是目前针对小型的企业所常见的网络配置状态。在这样的配置状态中，所有的 PC 都会经过 Firewall 的封包过滤之后，才能将数据封包送出或者是收受，而如果 Internet 上面出现问题，您只要管理 Firewall 那部主机，就可以很轻易的将来自 Internet 的不良封包抵挡掉喔！管理一部防火墙就能够造福整个 LAN 里面的 PC，很划算吧！ ^_^！而且，在 Firewall 上面可以同时架设 Proxy ，用来控制 Client 端的 WWW 联机状态，呵呵！控制的更详尽吶！(注：也可以加设网络流量监控软件，例如 MRTG 来分析带宽喔！)基本上，这样的配置好处为： 图二、单一 Linux 防火墙主机 一般来说，我们的防火墙对于 LAN 的防备都不会设定的很严格，因为是我们自己的 LAN 嘛！所以是信任网域之一啰！不过，最常听到的入侵方法也是使用这样的一个信任漏洞！因为您不能保证所有使用企业内部计算机的用户都是公司的员工，也无法保证您的员工不会『搞破坏！』呵呵！所以，如果您有特别重要的部门需要更安全的保护网络环境，那么将 LAN 里面再加设一个防火墙，将安全等级分类，那么将会让您的重要数据获得更佳的保护喔！ 图三、LAN 里面加设防火墙的配置 还有一种更有趣的设定，那就是将提供网络服务的服务器放在防火墙后面，这有什么好处呢？如下图四所示，Web, Mail 与 FTP 都是透过防火墙连到 Internet 上面去，所以，底下这四部主机在 Internet 上面的 Public IP 都是一样的！(这个观念我们会在 NAT 主机的时候再次的强调)只是透过防火墙的封包分析后，将 WWW 的要求封包转送到 Web 主机，将 Mail 送给 Mail Server 去处理而已(透过 port 的不同来转递)。好了，因为四部主机在 Internet 上面看到的 IP 都相同，但是事实上却是四部不同的主机，而当有攻击者想要入侵您的 FTP 主机好了，他使用各种分析方法去进攻的主机，其实是『防火墙』那一部，攻击者想要攻击您内部的主机，除非他能够成功的搞定您的防火墙，否则就很难入侵您的内部主机呢！不过，这种架构下所进行的设定就得包含 port 的转递，对于新手来说，设定上有一定的难度，鸟哥个人不太建议新手这么做，还是等以后有经验之后再来玩这种架构吧！ 图四、架设在防火墙后端的主机服务器 上面就是目前比较常见的几种防火墙的配置方法。那么如何进行封包的抵挡设定呢？再来复习一下一个数据封包的内容，如下图所示： 图五、一般数据封包所含有的基础信息 这个应该不难了解吧！例如您的 port 20-21 这个 FTP 相关的 port ，您只要开放给内部网络的话，所以不对 Internet 开放，那么当 Internet 来的封包想要进入您的 port 20-21 的话，就可以将该数据封包丢掉！因为我们可以分析的到该封包所带有的 port 号码呀！ 例如您已经发现某个 IP 主要都是来自攻击行为的主机，那么只要来自该 IP 的资料封包，就将他丢弃！这样也可以达到基础的安全呦！ 最常拒绝的就是带有 SYN 的主动联机的旗标了！只要一经发现，嘿嘿！您就可以将该封包丢弃呀！ 如果您的局域网络里面有比较捣蛋的但是又具有比较高强的网络功力的高手时，如果您使用 IP 来抵挡他使用网络的权限，而他却懂得反正换一个 IP 就好了，都在同一个网域内嘛！同样还是在搞破坏～怎么办？！没关系，我们可以死锁他的网络卡硬件地址啊！因为 MAC 是焊在网络卡上面的，所以您只要分析到该使用者所使用的 MAC 之后，可以利用防火墙将该 MAC 锁住，呵呵！除非他能够一换再换他的网络卡来取得新的 MAC，否则换 IP 是没有用的啦！ 图六、封包进入主机的流程 也就是说，资料封包会先经过 iptables 才会经过 TCP_Wrappers 的作用！
防火墙的使用限制 什么？！设定防火墙之后还不安全啊？！那当然啦！谁说设定了防火墙之后您的系统就一定安全？！那可不一定啊！防火墙虽然可以防止不受欢迎的封包进入我们的网络当中，不过，某些情况下，他并不能保证我们的网络一定就很安全。举几个例子来谈一谈： 所以啦，在您的 Linux 主机实地上网之前，还是得先： 其他相关的讯息请到 认识网络安全--主机防护计划 里面去看一看怎么增加自身的安全吧！ Linux 的封包过滤机制
Linux 核心版本与防火墙机制 Linux 在封包过滤机制是慢慢演进形成目前的 iptables 的，在核心不为 2.4 的时代，使用的防火墙机制是不同的！ 由上面的说明中，可以知道 Linux 上面的防火墙机制是依据不同核心而变的，而因为目前我们看到的新的 Linux 版本之核心都是 2.4.xx 版本，所以使用的防火墙机制当然就是以 iptables 为准了。此外，还要特别留意的是，核心为 2.4 版本的 Linux 同时支持 ipchains 这个在核心 2.2 版的防火墙机制，然而不幸的是，『iptables 与 ipchains 两者不能同时执行！』，所以如果您发现您的系统已经在执行 ipchains 了，那么就得将 ipchains 这个模块移除之后，才能够使用 iptables ，反之亦然喔！ 无论如何，在核心为 2.4.xx 的系统上面，还是比较建议使用 iptables ，因为 iptables 功能比较强大而且在规则设定上面比较简单，此外，还具有其他支持的外挂模块，而虽然 2.4 同时支持 ipchains ，不过在 2.2 上面支持 ipchains 的模块都不再 2.4 上面存在了，所以，当然选择功能更强的 iptables 咯。那么如何知道我的 Linux 核心版本？呵呵！使用 uname 这个指令就对了！ iptables 的表格与封包进入的流程 只要是防火墙机制，通常都是以『针对封包的分析规则来规范每种封包的通过与否，以及应该进行的动作』，同样的道理，iptables 的工作方向，必须要依规则的顺序来分析封包，举个简单的例子，假设我有十条防火墙规则好了，那么当 Internet 来了一个封包想要进入我的主机，那么防火墙会怎么分析这个封包呢？我们以底下的图示来说明好了： 图七、封包过滤的规则动作 上面图七的 Rule 是规则的意思，『这些规则是有顺序的』，至于 Action 则是动作的意思，通常针对封包的动作有 ACCEPT/DROP (接受/丢弃) 两种动作。什么是『规则的顺序呢』？让我们看一下上面的例子，当 TCP 封包通过了 Rule 1 ，刚好符合 Rule 1 的规定，那么 TCP 封包就会进行 Action 1 ，而不会理会 Rule 2 以后的规则了！而如果 TCP 不符合 Rule 1 的规定，那么就会进入第二条规则 (Rule 2) 来检查，....一直到 Rule 10 的时候，该 TCP 封包都没有符合的规则可以进行，那么此时就会以『预设动作 ( 封包政策, Policy )』来让 TCP 封包进行通过与否的动作。所以啦，当您的规则的顺序排列错误时，就会产生很大的困扰！怎么说呢？我们再举个例子好了，假设您的 Linux 主机提供了 WWW 的服务，那么自然就要针对 port 80 来启用通过的封包规则，但是您发现 IP 来源为 192.168.100.100 老是恶意的尝试入侵您的系统，所以您想要将该 IP 拒绝往来，最后，所有的非 WWW 的封包都给他丢弃，就这三个规则来说，您要如何设定防火墙检验顺序呢？ 这样的排列顺序就能符合您的需求，不过，万一您的顺序排错了，变成： 此时，那个 192.168.100.100 『可以使用您的 WWW 服务』喔！因为只要他对您的主机送出 WWW 要求封包，就可以使用您的 WWW 主机功能了，因为您的规则顺序定义第一条就会让他通过，而不去考虑第二条规则！这样可以理解规则顺序的意义了吗？！现在再来想一想，如果 Rule 1 变成了『将所有的封包丢弃』，Rule 2 才设定『WWW 服务封包通过』，请问，我的 client 可以使用我的 WWW 服务吗？！呵呵！答案是『否～』想通了吗？！ ^_^ 事实上，图七就是 iptables 的『一张表格里面的一条链(chains)』，您可以想象一下， iptables 的规则都是写在『表格, table』里面的，而每个表格又依据封包的行进路线，而可大略分为三条链：『进入、输出、转递』等。在 iptables 里面有两个经常用到的内建表格 (build-in table) ，分别是针对主机的 filter 以及针对防火墙后端的主机设定的 nat 两个，这两个表格又分别具有三条链，分别是： 所以说，如图七的规则订定至少就会有六组吶！那么这六条链有什么相关性呢？这得需要由封包的行进路线来说明： 当有封包想要进入我们 Linux 本机时，该封包会经过两条链，分别得先通过 nat 的 PREROUTING 链，再通过 filter 的 INPUT 链才能进入本机使用我们本机的资源。事实上，如果仅考虑本机的话，那么 nat 的 PREROUTING 预设政策就给他通过，仅考虑 filter 的 INPUT 即可； 图八、进入本机封包所需通过的 table 与 chains 当封包想要进入本机后端的计算机时，也就是说，其实该数据封包不是要使用本机的资源，所以如同底下的图九所示，封包并不会进入本机喔！而且，此时封包的流通与 nat 的 PREROUTING, POSTROUTING 以及 filter 的 FORWARD 是有关系的！这点要特别特别注意啊！ 图九、进入本机后端的计算机时，封包所需通过的 table 与 chains 呵呵！iptables 不只可以管制由外而内的封包，同时也可以管制由内而外的讯息呢！当封包由本机传送出去时，会通过 nat 与 filter 的 OUTPUT 链，还会有 POSTROUTING 的检查喔！事实上，如果不考虑我们本机后端的计算机，那么仅要使用 filter 的 OUTPUT 链即可！ 图十、本机发送出的封包所需通过的 table 与 chains 一般来说，如果您的防火墙是设在 Linux 本机上面，并且您的 Linux 本机并没有启用 NAT 的功能，那么您只需要考虑 filter 这个 table 的 INPUT 与 OUTPUT 这两条链就可以了！简化的很多喔！但是如果您的 Linux 主机还有考虑到 NAT 的功能，那么 nat table 的 PREROUTING 与 POSTROUTING 还有 filter table 的 FORWARD 就得需要好好的设定一番了！底下我们就来谈一谈，那么要怎么设定 iptables 的规则语法吧！ iptables 的语法 事实上， iptables 就是一个可以加载的模块，在开始进行 iptables 的设定之前，先确认一下，由于 ipchains 与 iptables 是不能同时存在的，所以先检查一下 ipchains 是否不小心被加载到系统当中了呢？
上头的 ip_tables 就是 iptables 的模块了！加载之后，我们就可以使用 iptables 的语法了！因为 iptables 的语法相当的多，所以底下我将这些语法分成规则清除、定义政策以及新增与插入规则三部分来说明：(注：防火墙的设定是相当重要的工作，另外，他的设定过程当中常常会有『测试』的意味在里面，因为是测试，有的时候我们会不小心『将自己的联机封包挡住了！』，导致无法联机，所以，『设定防火墙的时候，尽量在本机前面设定，不要利用远程联机服务来设定，否则很容易产生自己将自己挡掉的重大问题！』) 清除规则与观察规则 iptables 在一开始的时候，应该是没有规则的，不过，可能因为您在安装的时候就有选择系统自动帮您建立防火墙机制，此时系统就会有默认的防火墙规则了！好了，无论如何，我们先来看看目前本机的防火墙规则是如何吧！？
至于要清除规则的话，就得要这样下达指令了！
一般来说，我们在重新定义防火墙的时候，都会先将规则给他清除掉。还记得我们前面谈到的，防火墙的『规则顺序』是有特殊意义的，所以啰，当然先清除掉规则，然后一条一条来设定会比较容易一点啦！ 定义政策 清除规则之后，再接下来就是要设定规则的政策啦！还记得政策指的是什么吗？『当您的封包不在您设定的规则之内时，则该封包的通过与否，以 Policy 的设定为准』，通常这个政策在 filter 这个 table 的 INPUT 链方面可以定义的比较严格一点，而 FORWARD 与 OUTPUT 则可以订定的松一些！通常我都是将 INPUT 的 policy 定义为 DROP 啦！全部都挡掉再说！
增加与插入规则 好了，接下来准备要来定义规则了！请注意，在这个小节里面我们完全都针对 Linux 本机来进行设定 ( 就是仅针对 filter table 啰！ )，至于 NAT 后面的主机，我们一部分留到 NAT 主机设定再谈，一部分留在本章最后面的进阶篇再谈，这里先学基础的就好了！要设定 iptables 规则的基本语法如下：
如上面的基本语法所示，我们的 iptables 可以规定封包『来自哪里、要去哪里、使用什么协议(port number)』等等的信息呢！所以他的功能就真的是挺强大的啊！而除了上述的功能之外，我们不是谈过，好像还可以使用网络卡的硬件地址(MAC)来进行分析吗？而且，那个 ping 的指令响应封包的 ICMP 协议也可以进行设定喔！此外，TCP 封包 Header 上面的 SYN 旗目标功能与否，也能够设定呢！底下谈一谈这些更深入的规则喔！
纪录与回复防火墙规则 刚刚上面我们谈了很多的设定了，那么我该如何观察目前主机上面的防火墙规则呢？我们可以使用『iptables -L -n 』来观察，不过，该指令所显示的信息其实还是不太足够的！这个时候，我们其实可以使用底下的两个指令来将目前主机上面的防火墙机制『储存』下来，在下次想要将这个规则『回复』的时候，就能够直接利用指令将规则直接回复喔！
利用 iptables-save 与 iptables-restore 也可以很轻松的管理好我们的防火墙系统吶！ 一个简单的防火墙设定：
也就是将 Policy 设定为 DROP 而将其他的服务一个一个的启动，这样会比较好的啦！ ^_^！ 我的防火墙规则的草拟 我这里提一个蛮简单的防火墙规划，我的硬件联机如上面的 图二 所示的那样，亦即只有一部 Linux 主机，而我的网络设定为： 我们草拟的规则为：『关闭所有的，开放特定的』的模式，所以在政策上面( Policy )则选择 DROP ！而您也晓得， iptables 所订定的规则为一条一条分析比对下去的，所以我们在 安排防火墙的规则 上面就显得特别的重要了！为了预防某些动作被搞混乱了，加上未来我们要以这个简易的防火墙进行更进一步的设定规划，所以这里我们需要用一个简单的流程图来示意！特别留意：这里我们总共用了三个档案，我放置的目录在我 Linux 系统底下的 /usr/local/virus/iptables 里面，档名分别为： 注意：每次修改完了任何一个档案，要立刻生效的话，请执行 iptables.rule 即可！而整个的流程有点像底下这样： 图十一、简单的防火墙规划流程 规则设定 事实上，我们在设定防火墙的时候，不太可能会一个一个指令的输入，通常是利用 shell scripts 来帮我们达成这样的功能吶！底下是利用上面的流程图所规划出来的防火墙 scripts ，您可以参考看看，但是您需要将环境修改成适合您自己的环境才行喔！
特别留意我上面的标注的粗体字部分，因为每个人的环境都不相同，因此您必须要设定属于您自己的环境参数才行！不然，出了问题不要怪我啊！....再来看一下关于 iptables.allow 的内容是如何？假如我要让一个 140.116.44.0/24 这个网域进入我的主机的话，那么这个档案的内容可以写成这样：
请特别注意，若您有新的 port 或者是没有开启某些 port 的时候，请在您的 iptables.rule 里面的第 8 步骤，新增加其他的 port 的服务，这样就可以啦！不过，还是如同前面我们所说的，这个 firewall 仅能提供基本的安全防护，其他的相关问题，还需要再测试测试呢！此外，如果您希望一开机就自动执行这个 script 的话，请将这个档案的完整档名写入 /etc/rc.d/rc.local 当中，有点像底下这样：
上面的三个档案可以在底下的网站上取得下载：
TCP_Wrappers：
什么是 TCP Wrappers 与他的抵挡机制 刚刚说到，TCP Wrappers 的抵挡机制其实是以 tcpd 这支程序为主，而这支程序的主要参数文件在 /etc/hosts.allow 以及 /etc/hosts.deny 两个档案当中，『当某个软件支持 tcpd (TCP Wrappers) 的功能，则当网络封包尝试向该服务要求数据时，该网络封包将接受 TCP Wrappers 的检验，而检验的参数设定则是取自 /etc/hosts.allow 以及 /etc/hosts.deny两个档案』。所以啰，如果您要使用 TCP Wrappers 来管理某个程序时，需要特别留意该程序是否有支持 TCP Wrappers 喔！好了，那么这里有两个档案需要来设定，那么那个档案先被使用呢？ 那么这两个档案如何设定呢？简单的语法如下
在上面的语法当中，最重要的莫过于找出『服务名称』！举个例子来说，未来我们会介绍 ssh 这个远程联机服务器，而这个服务器的启动的 binary 可执行文件为 sshd 这个文件名的程序，所以您要让某些来源的 IP 或主机名通过 TCP Wrappers 的检验时，就必须要：
并且同时需要注意 SSH 是否有支持 TCP Wrappers 喔！重要重要！此外，您也可以使用 ALL 来代表『所有的服务』或者是『所有的来源』，例如在 /etc/hosts.deny 里面加入：
代表『不论何种服务、不论来自哪里的封包，全部都给他挡掉！』。 TCP Wrapperes 的规则说明 上面稍微提了一下 TCP Wrappers 的使用方法，其中最需要注意的是：封包的检验是先以 /etc/hosts.allow 为主，然后再以 /etc/hosts.deny 来管理！所以通常我们设定的方法就是： 注意喔！如果您在 /etc/hosts.deny 里面没有设定抵挡的话，那么 TCP Wrappers 预设的动作是『可以通过检验，并进入主机』喔！举例来说，同样的以 SSH, Telnet 与 FTP 为例，如果您只想要让『信任的主机』登入的话，那么也可以在里头进行规划！好了！这里我们以私有网段 192.168.1.0/24 可以取用 Telnet 及 FTP 的 hosts 有 192.168.1.2, 192.168.1.10, 192.168.1.20 这三部计算机，及来自 Internet 上面可以取用 SSH 的主机为 xxx.yyy.zzz.qqq 这个主机，及 192.168.1.0/24 全部的计算机！则您的两个档案可以写成这样：
其中，还有更高竿的 /etc/hosts.deny 的写法，这是关于当有来自不明人士使用类似 nmap 扫 port 软件来扫瞄您的主机时，他的 IP 会被记录下喔！(注意，底下的写法就需要有 TCP Wrappers 的辅助了！这包括了 safe_finger 这个指令！单纯的使用 xinetd 是无法达到底下的功能的！所以，请安装 tcp_wrappers 这个套件)
如此一来，当有来自非您所规定的合法 IP 试图以 telnet, ftp 及 ssh 联机您的主机时，系统就会将该 IP 寄一份资料给 root 来留文件！不过，这有个伤脑筋的地方，万一该 IP 最后成功的登入您的主机之后，可能会将 root 的信箱砍掉，导致这个作用就没有效果了！所以，这个时候，请您将上面 root@localhost 改成另一个非主机的信箱来收信！这样会比较有安全上的保障啦！ ^_^这个咚咚一设定完毕立刻就生效了！所以不用去理他也没关系！但是要随时注意一下您的设定是否正确呦！上面的语法只要您修改『服务名称』应该就能够适用于其他的服务吧！但是，请注意喔！对 Internet 开放的服务不要设定这个样子啊！不然人家可是无法联机进来的！上面的设定方法，大多是适用在『某些仅针对内部开放的服务』！ 上面的的 hosts.deny 范例您可以在底下的网页下载： http://linux.vbird.org/download/index.php#firewall_iptables 其他相关测试：虽然这样一来就稍微建置好了您的防火墙了！但是谁都不知道到底这样的防火墙效果如何？所以，您需要花费更多的时间来进行测试呢！测试的步骤可以是： 进阶：防火墙后端服务器的架设我们来考虑一个比较有趣的问题，那就是如同图四的情况，事实上，主机是架设在防火墙后端的！在这样的情况下，我们要怎么将来自 Internet 的封包，经由 firewall 转递到后端的主机上面呢？！我们可以参考一下封包的流程，如同上面图九的说明，因为来自 Internet 的封包要丢给防火墙后端的主机，所以在『路由之前就需要先设定好转换路由』的状态了！因此在 nat table 的 PREROUTING 的链上面来进行所谓的『 Destination NAT, DNAT 』的动作才行啦！您需要在防火墙的 iptables 机制上面，在 nat table 上面新增一条规则才行！语法如下： 重点回顾
参考数据
英文网站： 课后练习
前往参考用解答 2002/08/20：第一次完成日期！ 2003/08/25：重新设计内容，改写一些指令介绍，与前一篇『认识网络安全』分的比较完整一点！ |
|||||||||||||||||
http://linux.vbird.org
is designed by VBird
during 2001-2011. ksu.edu
本网页主要以Firefox配合解析度 1024x768 作为设计依据 鸟哥自由软件整合应用研究室