一般而言,防火墻的兩個網絡接口應分屬兩個不同的網絡,根據系統管理員定義的訪問規則在兩個接口之間轉發數據包,或者拒絕、丟棄數據包。實際上,防火墻不單單是訪問控制的功能,而且還充當了路由器的角色。當然,這并非有什么不妥當的地方,但是當你企圖把你配置好的linux防火墻放入運行網絡,來保護現有系統安全的時候,你不得不重新考慮和更改你的網絡架構。另外一個可能的麻煩是,當防火墻發生意外時,如果沒有防火墻的硬件備份的話,那么你將面臨巨大的心理壓力,因為防火墻的故障,整個網絡癱瘓了。假如你把防火墻配置成透明模式(可稱為偽網橋),就無需更改網絡架構,即使是防火墻不能工作了,要做的僅僅是拔出網線,把網線直接插在路由器的內部接口就可以讓網絡正常工作,然后你就有時間慢慢恢復發生故障的防火墻。
好了,既然透明防火墻有那么多方便,我們趕快動手來配置吧!準備一臺pc機,兩塊網卡(建議用3com網卡),網線若干,redhat linux 9安裝盤一套。打開機箱,把兩塊網卡插入計算機的pci插槽,用網線把計算機分別與網關和交換機相連(如前頁圖“正常狀態”那樣);蓋上計算機的蓋子,插上電源,開機。在光驅里放上Linux 9安裝光盤,由光盤引導計算機,從而安裝Linux 系統。選擇定制安裝,不要保守,多花一點時間體驗一下圖形界面的安裝樂趣,取消防火墻(no firewall),在安裝快結束時選擇以文本方式登錄系統,完成安裝。
透明防火墻功能配置:
1、 設置網絡地址
修改文件 /etc/sysconfig/network-scripts/ifcfg-eth0 和 /etc/sysconfig/network-scripts/ifcfg-eth1,使其具有相同的ip地址,相同的子網掩碼。
用vi 來編輯如下,保存文件,運行命令 service network restart 使修改生效。
|
這里需要注意兩個地方,第一個是要區分清楚那一個網卡是eth0,那一個是 eth1.這個問題十分關鍵,如果搞混了就會導致防火墻不能連通網絡。至于怎樣區分eth0和 eth1,我將在文章的末尾作簡單的描述。在這里假定與路由器相連的網卡是eth0.
2、設置默認路由
在文件 /etc/sysconfig/network-scripts/ifcfg-eth0 中加入一行 gateway=192.168.1.1 保存后運行命令 service network restart ,修改生效。找一個開放ICMP協議的公網IP,用命令ping 202.108.36.196 (www.163.com 的主機)檢測跟外網的連通狀況,如果正常,表明Linux防火墻主機跟外網配置正確。再用命令ping 192.168.1.18 檢測防火墻主機與內網主機的連通狀況,如果正常則進行下一步操作。
3、 啟用網絡轉發和proxy_arp
這是透明防火墻的核心部分,我把它們寫進文件/etc/rc.d/rc.local。用vi /etc/rc.d/rc.local 插入如下內容。在做這一步的時候,我曾
|
經花費較多的時間,因為我做參考的那本書里的這一步沒有參數 “–w” ,后來單獨運行 sysctl net.ipv4.conf.eth0.proxy_arp=1 才發現red hat Linux 9 沒有參數“-w”不能運行。
4、指定路由
由于兩塊網卡(eth0,eth1)使用同樣的ip ,如果不專門指定轉發路徑,一定會導致路由混亂,從而使防火墻以內的計算機沒法訪問 Internet 。還是用命令 vi 修改文件 /etc/rc.d/rc.local ,插入如下幾行。保存文件,重新啟動計算機/
|
Linux防火墻,如果不出意外,就可以從192.168.1.18 這臺主機訪問Internet,當然內網的任何機器都是可以訪問Internet 的。在這里對定義的路由(Define route)作些說明:/sbin/ip route del 192.168.1.0/24 dev eth0 表明所有到子網192.168.1.0/24的數據包都不從網卡eth0轉發而從 eth1轉發,即命令 /sbin/ip route add 192.168.1.0/24 dev eth1;/sbin/ip route add 192.168.1.1 dev eth0 表明所有到192.168.1.1的數據包都由eth0轉發,這其實可以理解為兩個網卡數據轉發的分工—到192.168.1.1 的數據包由eth0負責,其余的由eth1負責。到這一步,恭喜你!已經成功了一大半,如果安裝Linux的時候,選擇的防火墻規則為中等級別,那么這個防火墻已經配置成功了。相信大家跟我一樣,且肯就此罷休。
定制防火墻策略
都是2.4.20的內核版本,當然要用netfilter/iptables。由于安裝Linux系統的時候,選擇了“無防火墻”這個選項,那么在/etc/sysconfig 下將沒有iptables這個文件存在。還是讓我們隨心所欲的來定制防火墻訪問策略吧。
在目錄 /etc/rc.d 下創建腳本文件 myfirewall.sh,用命令 touch /etc/rc.d/myfirewall.sh并給文件執行權限 chmod 711 myfirewall。然后用 vi 編輯這個文件。我寫的這個
|
規則只開放了較少的允許訪問的策略(可以ping ,收發郵件,瀏覽網頁,ssh,https,telnet,ftp,其它的訪問則全部丟棄)。$IPT –A OUTPUT ACCEPT 沒有設置成DROP的原因是由于大部分網絡服務所使用的協議是tcp協議,眾所周知,tcp協議是面向連接的,如果設置 $IPT –A OUTPUT DROP, 那么任何協議為tcp的連接就要寫兩條了。況且防火墻對外的訪問總是允許的,因此這樣做是為了簡化規則。
修改完成后保存,然后在當前目錄運行命令 ./myfirewall.sh,在上述腳本沒有書寫錯誤的情況下,規則生效,但它僅僅在內存里,用命令 service iptables save 將自動生成文件 /etc/sysconfig/iptables,前面設定的訪問策略就被保存到硬盤,系統重啟時,系統將自動地從文件 /etc/sysconfig/iptables 獲得定制的訪問策略。
到這里,一個透明的linux 防火墻就架設好了。更改計算機的BIOS設置,使它可以在沒有鍵盤的情況下啟動系統。啟用ftp,以便可以在需要時可以向防火墻主機拷貝文件。把鍵盤和顯示器拿掉,剩下的操作只是摁一下電源開關。
防火墻的管理
可能有時候我們需要更改防火墻的某些規則,或者做些別的管理,既然我們是系統管理員,再插上鍵盤和接上顯示器坐在防火墻面前可能會被人恥笑,因此這些管理工作當然通過網絡來進行。Ssh和webmin是我的偏好,ssh的協議端口是22,webmin的默認協議端口是10000。其中ssh是linux系統的默認服務 ,只要安裝客戶端就可以(windows下的程序securecrt 是個不錯的選擇,據說ssh連接速度沒有vnc 快)對防火墻進行所有的管理(和直接操作防火墻主機一樣);webmin是基于web的圖形界面管理方式,非常的方便和直觀,盡管它不能象ssh那樣對系統進行完全的管理,但是對于我們的工作需求還是可以滿足,建議在防火墻系統安裝webmin服務器程序。Ssh與webmin兩者結合使用,可以幫助我們較快較深入地掌握Linux。
Ssh客戶端安裝較為簡單,而webmin不需要安裝客戶端。這里介紹webmin 服務器的安裝:把webmin-1.110. tar.gz 下載到另外一臺windows的硬盤里,然后用ftp把它復制到防火墻主機的ftp目錄(如果你是linux高手,并不需要如此,只須以ssh方式登錄防火墻,用get/wget指令取得該文件),解開文件webmin-1.110.tar.gz tar –zxvf webmin-1.110.gz.tzr cd webmin-1.110 安裝webmin ./setup.sh ,一路回車,創建一個webmin管理賬戶,安裝完畢;在任何一臺運行瀏覽器的地址欄輸入防火墻的ip加上端口號10000就可以管理防火墻(http://192.168.1.254:10000)。以這種方式管理linux 網絡的防火墻十分直觀,并且選項十分詳盡,就算不懂iptable語法的人也能容易的配置防火墻的訪問規則。這里有一個技巧,假如你更改了某條訪問規則導致網絡不能向外訪問,不要慌,到防火墻跟前重啟一下系統即可。萬一更改規則發生不測并且規則已經寫入硬盤,那么請你直接刪除文件 /etc/sysconfig/iptables,然后再運行腳本 sh /etc/rc.d/myfirewall 再次重寫文件/etc/sysconfig/iptables service iptables save 。有的系統管理員傾向于直接編輯/etc/sysconfig/iptables 文件,但是這需要更多的耐心和勇氣。如果你是新手,建議你跟我一樣,先寫腳本,再生成iptables。
特別關注:
最好把除路由器而外的整個網絡放在防火墻的保護之中。如果象那樣有同一網段的主機放在防火墻的前面,將導致嚴重的網絡故障。實踐表明,這臺windows主機的ip地址丟失了(網絡屬性的ip值還在,但用命令 ipconfig /all 則是 0.0.0.0),重啟windows后提示ip地址沖突,更換同一網段內的任何一個未用的ip地址還是提示沖突。搞的我的兩臺郵件服務器和兩臺web服務器停火,我還以為是中了邪門的病毒,直到后來我把tcp/ip協議卸載再安裝才解決問題。經分析,是防火墻的路由導致這樣的故障。強烈建議把所有的主機放在防火墻的保護之下,以減少網絡的復雜程度。另外,我們應該養成這樣一種習慣—在系統正常的情況下,如果更改了配置,請一定要用筆記錄所作的更改,以便在改出問題時我們能夠快速準確的恢復,這種習慣更可運用到所有的IT管理工作,它是我的不傳之密。