【導(dǎo)讀】一般情況下,配置防火墻確實是一件需要很高技術(shù)的工作。無論是商業(yè)版本的防火墻還是完全免費的防火墻都需要在Linux平臺中進行軟硬件的配置。
Linux 下的防火墻(firewall)從誕生到現(xiàn)在,防火墻主要經(jīng)歷了四個發(fā)展階段:第一階段:基于路由器的防火墻;第二階段用戶化的防火墻工具套;第三階段:建立在通用操作系統(tǒng)上的防火墻;第四階段:具有安全操作系統(tǒng)的防火墻。目前世界上大多數(shù)防火墻供應(yīng)商提供的都是具有安全操作系統(tǒng)的軟硬件結(jié)合的防火墻,象著名的NETEYE、NETSCREEN、TALENTIT等。在Linux操作系統(tǒng)上的防火墻軟件也很多,有些是商用版本的防火墻,有的則是完全免費和公開源代碼的防火墻。大多數(shù)Linux教程都提到了如何在Linux平臺中使用IPCHAINS來構(gòu)筑防火墻。設(shè)置和管理Linux操作系統(tǒng)中的防火墻是網(wǎng)絡(luò)系統(tǒng)管理員的重要工作。
有沒有能隨身攜帶的,使用方便的Linux防火墻呢?答案是有的,現(xiàn)在我就向大家介紹一種能裝在普通軟盤里面的Linux防火墻。這套名字叫 floppyfw的Linux 防火墻能存放在一張普通的軟盤里,并獨立的在RAM內(nèi)存中運行。使用它能啟動計算機,利用ipchains過濾掉無用的IP包,還可以使用它來配置IP偽裝(IP masquerade),監(jiān)視端口,通過它可以使用主機對其他網(wǎng)絡(luò)中的計算機進行遠程控制。Floppyfw功能十分強大,但是它運行所需要的硬件環(huán)境卻非常低,除了需要一張軟盤之外,只要8MB的內(nèi)存就足夠了。
Floppyfw需要的最的硬件設(shè)備如下: 最少8MB內(nèi)存3.5"軟驅(qū)顯示卡鍵盤顯示器
有的Linux系統(tǒng)中裝兩塊網(wǎng)卡,能使得Floppyfw正常工作,這就需要每一塊網(wǎng)卡的IRQ和內(nèi)存地址都正確無誤。在Linux系統(tǒng)中配置雙網(wǎng)卡相信很多系統(tǒng)管理員都是輕車熟路的。
Floppyfw支持以下的網(wǎng)卡。 3Com 3c509 NE2000 compatibles Tulip-based Intel EtherExpress PCI
關(guān)于軟件:
把Floppyfw做成一張可以引導(dǎo)的軟磁盤是一件非常簡單的事情。不過你要首先到http://www.zelow.no/floppyfw/download/ 把Floppyfw下載到計算機的硬盤上。Floppyfw最新的版本應(yīng)該是1.0.5或者更高,F(xiàn)loppyfw是一個鏡像文件,可以使用 # dd if=floppyfw-1.0.5.img of=/dev/fd0 bs=72k
這個命令把鏡像文件解壓并寫到準備好的軟盤上。
關(guān)于設(shè)置:
需要注意的是,一般的軟盤格式化以后都是DOS(FAT)的格式。為了能順利的啟動Linux系統(tǒng),我們需要在這張軟盤上作一些修改。建議使用其他的計算機來修改這張軟盤,如果在Linux系統(tǒng)中使用MTOOLS工具修改則更好。
使用命令如下: $ cd /tmp$ mcopy a:config$ vi config$ mcopy config a:
如果你使用的是其他的操作系統(tǒng),我想在WINDOWS中可以使用記事本進行修改。在軟盤中,我們可以看到floppyfw一共有5個文件: config (主配置文件) firewall.ini (過濾規(guī)則) modules.lst (附加的 ip_masq 模塊) sysLinux.cfg (內(nèi)核啟動參量) syslog.cfg (syslog 配置, 例如/etc/syslog.conf)
在一般情況下,我們不需要修改sysLinux.cfg或者modules.lst文件。我們主要的任務(wù)就是要修改config這個文件。為了簡單明了的說明問題,我在這里不想過多的解釋config這個文件里面的具體的配置清單,只是著重說明config文件末尾幾個重要的事項。
在(/bin/ash) 找到"OPEN_SHELL controls shell"這行文字,如果您的計算機的內(nèi)存少于12MB,把ONLY_8M設(shè)置成"Y"。USE_SYSLOG能測定系統(tǒng)中syslogd是否運行,而 SYSLOG_FLAGS則是判斷syslogd啟動的標志。用戶可以根據(jù)自己的實際情況進行修改。
附錄:配置清單一,這是一個通過測試的標準配置清單。由于這個Linux系統(tǒng)中沒有提供DHCP服務(wù),使用的靜態(tài)的IP,所以僅供有相似服務(wù)的用戶提供參考。點擊這里下載清單一
關(guān)于過濾規(guī)則:
現(xiàn)在,讓我們再來看看firewall.ini文件。沒有修改之前的floppyfw 的firewall.ini文件默認設(shè)置了靜態(tài)的IP偽裝和拒絕一些固定端口的訪問。因為我們需要建立自己的防火墻,所以我們需要對 firewall.ini文件進行修改。我們需要全面的設(shè)置過濾規(guī)則,關(guān)閉一些我們認為存在前在危險的端口。
在這里因為篇幅的關(guān)系我就不再講解如何設(shè)置ipchains。如果您想知道更詳細的ipchains的配置方案和具體使用方法,推薦您參考以下的這個國外的Linux防火墻ipchains配置方案。
firewall.ini 的過濾規(guī)則的具體設(shè)置可以參考配置清單二(ftp: //ftp.mfi.com/pub/sysadmin/2001/jan2001.tar.z),這是一個已經(jīng)修改好了的配置。如果你對Linux的防火墻不太熟悉,那么可以直接下載這個配置清單來進行參考或者直接使用。
清單二可以提供最基本的DNS, SMTP, POP, NNTP, TELNET, SSH, FTP, HTTP, 和 WHOIS服務(wù),一般的客戶端計算機都可以通過安全的端口訪問網(wǎng)絡(luò)和使用以上的服務(wù)。
關(guān)于LOG
一般的Linux系統(tǒng)中的LOG文件可不少,主要是記錄系統(tǒng)運行中的一些主要參數(shù)和記錄。上面已經(jīng)說過了,syslog.cfg就是一個管理和記錄LOG 的文件。Floppyfw能通過這個syslog.cfg文件記錄下Linux防火墻系統(tǒng)中的控制記錄,例如鍵盤錯誤,顯示器沒有安裝等信息也被如是的記錄下來。這為今后系統(tǒng)管理員分析和解決系統(tǒng)問題提供了有利的依據(jù)。syslog.cfg的設(shè)置也不難,首先把syslog.cfg設(shè)置成某臺計算機的主記錄文件。例如,在Red Hat系統(tǒng)中,通過編輯/etc/rc.d/init.d/syslog可以達到目的。如果這臺計算機的IP是192.168.1.2,那么在 syslog.cfg則要配置成一致的IP。具體的配置清單可以參考"清單三"(ftp: //ftp.mfi.com/pub/sysadmin/2001/jan2001.tar.z)
一旦你把前面三個主要的文件配置好了以后,那么你就可以通過這張軟盤啟動Linux系統(tǒng)進行測試了。
如果你在配置和測試防火墻中還遇到其他的問題,可以參考以下網(wǎng)址: Floppyfw by Thomas Lundquist: http://www.zelow.no/floppyfw/Linux Firewalls by Robert L. Ziegler: http://Linux-firewall-tools.com/Linux/faq/
最后,我在這里還要特別介紹一個也是相當不錯的Linux防火墻NetMAXFireWall。
NetMAX FireWall來自Cybernet Systems 公司,該防火墻的主要特點是容易安裝,運行穩(wěn)定,對硬件需求低,安全防范效果非常理想。由于NetMAX防火墻是通過完全的圖形用戶界面(GUI)來一步步引導(dǎo)用戶安裝的,那么NetMAX防火墻可以說是非常的適合Linux初學(xué)者和對Linux系統(tǒng)了解不多的用戶。
如果您還記得去年8 月的LinuxWorld Conference & Expo 盛會的話,那么您可能見過NetMAX防火墻參加過那次Linux博覽會的展示。和其他版本的防火墻不同的是NetMAX防火墻具有獨特的,安全的Web -based構(gòu)造來保護Linux系統(tǒng)的安全。配置NetMAX防火墻可以通過網(wǎng)絡(luò)來進行相應(yīng)的配置和調(diào)試,無疑這為許多用戶和系統(tǒng)管理員提供了很大的方便。這也是NetMAX防火墻能吸引人的地方之一。
不過,NetMAX防火墻可不是免費的防火墻版本,如果您需要安裝NetMAX防火墻,那么您不得不購買一張NetMAX防火墻的光盤,因為NetMAX 防火墻并不支持網(wǎng)絡(luò)安裝模式。使用CD-ROM光盤安裝模式安裝NetMAX防火墻需要10分鐘的時間,這比起使用網(wǎng)絡(luò)安裝模式要快得多了。如果您需要了解更多的NetMAX防火墻信息或者購買NetMAX防火墻光盤,敬請查詢以下網(wǎng)址:Cybernet Systems Corporation: http://www.cybernet.com/
好,下面就讓我們一起來看一看NetMAX防火墻的簡單安裝。
測試平臺: 處理器: Pentium 200 MMX內(nèi)存: 64 MB RAM 硬盤: 2.1 GB 網(wǎng)絡(luò):兩塊 3Com ISA 3c509B NICs 系統(tǒng)平臺:操作系統(tǒng): Red Hat Linux 6.2Kernel: 2.2.16
安裝之前,需要設(shè)置計算機主板上的BIOS,使用CD-ROM驅(qū)動器引導(dǎo)計算機。放入NetMAX防火墻光盤。
NetMAX 防火墻的引導(dǎo)初始化屏幕和RED HAT的安裝初始化界面是差不多的,令人驚異的是NetMAX防火墻的版權(quán)信息提示看上去就是把RED HAT這幾個字換成了NetMA而已。安裝過RED HAT 的用戶就一點也不覺得陌生。NetMAX防火墻的開發(fā)公司稱NetMAX防火墻就是基于Red Hat Linux發(fā)行版本而設(shè)計的。所以Red Hat Linux能和NetMAX防火墻相處得很好。
初始化界面載入后,NetMAX防火墻和Red Hat Linux相似之處就更加明顯了。接著NetMAX防火墻就會嘗試著分析和查找計算機上的硬件設(shè)備,因為NetMAX防火墻需要安裝必要的kernel模塊,如果NetMAX防火墻不能正確的識別硬件和載入kernel模塊,它會顯示錯誤的提示給用戶。NetMAX防火墻是不會一次性安裝所有的東西到 Linux中取得。它首先會詢問用戶Linux系統(tǒng)中的網(wǎng)絡(luò)配置參數(shù)讓用戶確認。然后詢問用戶是否同意繼續(xù)進行console-based 安裝。如果選擇"NO",那么NetMAX防火墻就會啟動Apache和提供用戶一個基于網(wǎng)絡(luò)的URL參數(shù)提供給用戶指定和修改。
好,如果我們選擇"NO",那么就會出現(xiàn)下面的安裝情況,NetMAX防火墻就會在Linux系統(tǒng)中打開了WEB瀏覽器(KDE 2's Konqueror)。如果這是我們填入一個URL,那么一個錯誤的信息就會在屏幕上彈出來。當錯誤的信息彈出后,NetMAX防火墻就要求用戶修正 https URL。至于錯誤信息彈出的原因,我們尚未清楚,不過,在我們平時安裝和配置Apache 的時候也會有類似的情況出現(xiàn)。
按照 NetMAX防火墻的提示使用https修正初始化安裝之后,NetMAX防火墻這是才真正顯示出它的授權(quán)和放棄信息。這和一般軟件在一開始安裝就顯示版權(quán),授權(quán)等信息是不同的。點?quot;Click here to continue" 就可以進一步安裝了。需要注意的是,如果您仔細觀察,您就會發(fā)現(xiàn)NetMAX防火墻的使用手冊有228頁之多。手冊里面有"基本問題解決方法",如果在安裝和使用 NetMAX防火墻遇到問題的時候就可以查看這本手冊了。但是不是所有我們在安裝的時候遇到的問題都能找到解決的方法。手冊上列有的問題解決方法畢竟是有限的。
由于NetMAX防火墻采用了圖形用戶界面的安裝模式,所以只要您對Linux系統(tǒng)中的應(yīng)用軟件的安裝比較熟悉的話,安裝和測試NetMAX防火墻應(yīng)該是一件非常輕松的事情的。