本文将简单的教你如何在Linux 上安装Firewall, 同时也会提到Proxy Server的安装及使用, 藉著Proxy Server使在Firewall後方的人对於Internet也能拥有比较大的Access权限。
1. 介绍
这一阵子, Firewall成了Internet保全上的热门话题, 但也造成了许多人对它的误解。这篇HOWTO 将会探讨什麽是Firewall？如何安装？何谓Proxy Server？如何设定Proxy Server？以及这些技术除了安全以外的新应用。
1.1. 读者回响
欢迎给我任何意见, 我尤其想知道Macintosh 使用者的意见, 我在这方面的资讯不多, 「如果发现这篇文章中有任何错误, 请务必通知我」。人非圣贤, 孰能无过嘛! 如果你有发现任何错误, 请通知我, 我会很乐意去更正它的。我会试著去回覆所有的来信, 不过我挺忙的, 不要对我太苛求。我的EMAIL地址是drig@execpc.com.
1.2. 严正声明
这份文件将介绍Firewall及Proxy Server的原理, 我无意装作是个网路安全专家, 我只是个读得多而且爱电脑胜过爱人类的家伙。在此声明, 我不对任何依本文所做行为所造成的损害负任何责任( I AM NOT RESPONSIBLE FOR ANY DAMAGESINCURRED DUE TO ACTIONS TAKEN BASED ON THIS DOCUMENT. ) 我只是想藉这篇文章去帮助你熟悉这个主题, 而非要穷毕生之力来研究它。
1.3. 版权宣告
除非另有声明, Linux HOWTO文件的版权归原作者所有。Linux HOWTO文件可以重制及散布其全部或部份在任何媒体上, 只要完整保留此一版权宣告。允许也欢迎商业性的散布行为, 但应先知会作者。
所有对Linux HOWTO 文件的翻译、修正、整理必须包含此版权宣告。亦即, 你不能修改本文件却在转手散布时加诸额外的条件限制。如有异议请连络Linux HOWTOcoordinator, 地址在下面。我们希望此一资讯能从愈多管道散愈好, 不过我们仍希望能保留HOWTO文件的版权, 如有任何散布计划, 请通知我们。
1.4. 写这篇文章的动机
过去一年来在comp.os.linux 论坛上有一大堆人在求救, 寻求Firewall方面的协助, 似乎也没有什麽人要回答。我猜是没人知道要怎麽回答吧! 所以我花了一点时间玩了玩Firewall, 写这篇文章来回应那些需求。
1.5. 尚待努力方向
学习Macintosh的做法
学习不同的Windows TCP/IP套装软体
找个好用的UDP Proxy Server和Linux搭配
1.6. 深入研究时的参考资料
TIS Firewall Toolkit文件
NET-2 HOWTO
PPP HOWTO
Ethernet HOWTO
MultIPle Ethernet Mini HOWTO
Networking with Linux
TCP/IP Network Administrator's Guide by O'Reilly and Associates
Firewall Toolkit by TIS 有一套很棒的文件, 其中有谈到Firewall及相关的资料, 至於Firewall Toolkit的进一步说明, 请看Firewall软体那一节。
2. 了解Firewalls
Firewall原来是汽车上的一个术语, 它用来隔离引擎和乘客, 在引擎爆炸时可以发挥保护乘客的功能。电脑上的Firewall是一个逻辑装置, 用来保护私人的区域不受公用部份的侵害, 做法是:
1. 找一部有Routing能力的电脑(例如Linux)
2. 加入两个界面(例如: 序列埠、Ethernet、Token Ring等等)
3. 关掉IP forwarding的功能
4. 把其中一个界面接上Internet
5. 把受保护的网路接在另一个界面上
现在你使电脑接到两个不同的网路上。这部Firewall电脑, 现在就称为Firewall了, 可以接到Internet上, 也可以接到保护网路(Protected Network) 上。但保护网路无法连上 Internet, Internet也连不上保护网路。
如果要从保护网路内连上Internet, 必须要先telnet到Firewall, 从那里使用Internet。同样的, Internet上的人要进入保护网路, 也必须先透过Firewall。
这种作法对於Internet上的攻击有很优秀的免疫作用。如果有人企图对受保护的网路进行攻击, 则必须先穿过Firewall, 攻击必须分成两步骤, 难度也增加了。如果有人想藉著使用一般的手法, 如邮件炸弹(MAIL BOMB)或"Internet Worm", 来攻击受保护的网路, 他们可能是无法如愿的。
2.1. Firewall的缺点
Firewall最大的问题在於由内部Access Internet的困难。基本上, Firewall利用Dial-Up Shell 的帐号来减少对於Internet的使用, 必须先login Firewall才能做其他对Internet的Access动作。因此一些需要直接连接Internet的程式(如Netscape) 便无法在Firewall後方顺利动作, 解决的办法——Proxy Server。
2.2. Proxy Server
Proxy Server可用来协助由Firewall後方直接Access到Internet。它们的工作是在Server上开启一个Socket, 作为和Internet沟通的管道。举例来说, 我的电脑drig是在保护网路内, 当我要使用Netscape去浏览Web 时, 我得在Firewall上建个ProxyServer, 这个Proxy Server设定好可以接受我的电脑的请求, 把要连上Port 80请求转接到它的Port 1080上。
任何用过TIA 或TERM的人应该对这个观念不会太陌生, 在这两个程式里, 你可以对一个Port做转向的动作。我的一个朋友用TIA 设定允许大家用192.251.139.21 port4024去连上他的web server。这里提到的Proxy Server原理也差不多, 只是恰好相反,让你使用port 1080(或某特定值)去连接其他人的port 80。Proxy Server最了不起的地方在於它的安全性, 如果你设定正确的话, 它不会允许任何人逾越它。
3. 动手吧!
3.1. 硬体需求
本例中, 电脑采用486-DX66, 8M RAM, 500M Linux 分割, 以一台1.44 bps MODEM连到ISP上。这就是原本Linux box的基本配备, 要架成Firewall, 我们还得加上一块NE2000 Ethernet网路卡。接著连上三部PC(Win 3.1+Trumpet Winsock)和两台Suns(SunOS 4.1)。我选择这样的架构是著眼於它很普通常见, 而且我对这两种平台都蛮熟悉的。本来有考虑要加上Mac, 可是我不太常用也不熟, 就算了。
3.2. 设定软体
现在, Linux box 透过14.4 PPP line连上Internet, 再用Ethernet连上其他的电脑。首先, 先recomplie linux kernel, make config时得做适当的调整。我参考了Kernel HOWTO, Ethernet HOWTO, NET-2 HOWTO然後进行"make config":
1. 使用Networking Support
2. 使用TCP/IP Networking
3. 取消IP Forwarding (CONFIG_IP_FORWARD).
4. 使用IP Firewalling
5. 可以使用IP accounting, 这样比较审慎一点。
6. 使用Networking Device Support
7. 使用PPP 及Ethernet support, 视你的界面而定
接著, 我们recompile, reinstall kernel 後重开机。应该可以在开机过程中看到我们所加入的界面的资料, 如果没有, 参考其他的HOWTO, 看看是那里做错了。
3.3. 设定网路位址
这是很有趣的一部份。因为我们不希望Internet直接Access我们的网路, 所以不必使用真实位址。一个不错的选择是C Class的192.168.2.xxx, 它是设定来做测试的dummy domain。所以放心大胆的用它吧! 没人会跟你抢的。在我们的设定中, 只需要一个真实的位址, 其他的自设就可以了。指定连上PPP 的串列埠一个真实IP 位址, Firewall上的Ethernet卡设为192.168.2.1, 将其他电脑设为192.168.2.xxx。
3.4. 测试看看
试著从Firewall上ping一个Internet上的Node。我使用nic.ddn.mil做为测试点。如果不行, 查查你的PPP 有没有设好, 仔细的读一下Net-2 HOWTO, 再试一次。
现在, 试著ping保护网路内的电脑, 所有网路内的电脑应该可以ping其他任何一台电脑, 如果不行, 老话一句, 看看NET-2 HOWTO 再试一次。接著, 所有在保护网路内的机器应该都可以ping Firewall。若不行, 再重覆以上步骤, 记得, 你该 ping 192.168.2.1, 而非PPP 的真实IP位址。
然後试著从Firewall里的电脑去ping PPP的IP位址, 如果可以, 表示你IP Forwarding的功能未取消, 你必须重新compile kernel。虽然我们已经把受保护的网路设为192.168.2.1 domain, 不会收到来自Internet的封包, 可是把IP Forwarding 关掉还是比较保险一点, 可以自己主控全局而非仰赖ISP。
最後, 从Firewall上ping一下受保护的网路内的机器, 到这个地步, 应该不会有什麽问题。到这里, 我们已经完成了最基础的Firewall安装。
3.5. Firewall的安全性
目前的Firewall还不够好, 因为它还敞开著大门等待别人来攻击。首先, 找到 /etc/inetd.conf, 它又被称为"super server", 因为在上面有超过一打的server daemon被执行。例如:
Telnet
Talk
FTP
Daytime
取消所有不需要的功能, 例如netstat、systat、tftp、bootp、finger。甚至你可以关掉telnet只允许rlogin或vica-versa。你只要在该功能前加上# 就可以轻易的把它取消掉。利用kill -HUP 送出一个SIG-HUP给inetd, 使inetd 重新去读取我们刚才改的设定(inetd.conf)同时restart。试试telnet Firewall的port 15(netstat port), 如果你还读得到netstat的资料, 表示你没有正确的restart inetd。[译注: 如果还搞不定, 考虑reboot吧!]
4. Firewall软体
4.1. 可用的套装软体
单纯的Firewall除了Linux核心及基本网路套装软体(inetd, telnetd和telnet, ftpd和ftp)外不需外加任何软体, 但这种情况下, 限制极多而且不太好用。所以有些软体可以使你的Firewall更有用, 我最主要要探讨的是一个叫"socks"的Proxy Server。另外, 有两个软体你可以记在心中, 我等一下会简单介绍。
4.2. TIS Firewall Toolkit
TIS 中有一套程式用来进行Firewalling, 这些程式和socks基本上相同, 但采用了不同的设计策略。socks是用一个程式来搞定所有的Internet动作, TIS 则利为不同的功能发展不同的程式。
为了明白说明起见, 就以World Wide Web和telnet作例子吧! 在socks中, 你要设定一个config档和一个daemon, 透过这个档案及daemon, telnet及www可以正常使用, 就宛如你没把它们关掉前一样。
而在TIS toolkit中, 你要为WWW and Telnet各设一个daemon及config档。完成之後, 其他的Internet Access仍被禁止, 直到你完成其设定为止。如果某一特定功能没有daemon(如talk), 你可以使用"plug-in"的daemon, 只是不像其他的工具那样有弹性且不易使用罢了。
这里似乎有一点小小的不同, 不过会造成很大的不同——socks 允许你随便设设就上路, 不过一个设定不良的Socks server, 网路内部的人可以试著得到超出预期的Internet Access权。而TIS toolkit中, 人们只能使用系统管理者所赋与的权限。
Socks易於安装、易於complie且具有较大的弹性。如果你想严格控制网路内的使用者, 则TIS toolkit的安全性较佳。但二者都提供了对外的绝对保护。
4.3. TCP Wrapper
TCP wrapper不是一个Firewalling工具, 但它提供了许多相同的效果。透过 TCP wrapper, 你可以控制谁有权Access你的机器和Access那些服务, 同时可以追踪连线的记录, 而且它还提供了一个基本的侦测伪装功能。
TCP wrapper基於一些理由, 并未广泛的运用:
它不算是一个真的Firewall
要使用它, 你必须要连上Internet, 因此你得有一个IP 位址
它只控制安装它的「机器」, 对「网路」不能提供很好的服务。Firewall则可以 保护每一个架构上的每一个机器。TCP wrapper在Mac及MS Windows机器无法使用
4.4. IPfw 和 IPfw Admin
5. Proxy Server
5.1. 安装Proxy Server
Proxy Server需要额外的软体, 你可以从ftp://sunsite.unc.edu/pub/Linux/ system/Network/misc/socks-linux-src.tgz得到你要的宝贝。在sock-conf下同时有一个config档□例。解压之後, 跟著指示把它make起来, 我在make时遇到了一箩筐的问题, 确定你的Makefile正确无误。一件要注意的是记得把Proxy Server加到 /etc/inetd.conf里, 你可以加入下行:
socks stream tcp nowait nobody /usr/local/etc/sockd sockd
5.2. 设定Proxy Server
socks的程式需要两个configuration档。一个说明那些Access是被允许的, 另一个则是把请求route到适当的Proxy Server。Access档必须设在server上。而 routing档则要装在每部Un*x机器上。DOS 和mac的机器会进行它们自己的routing。
5.2.1. Access档
在socks4.2 Beta中, Access档称为"sockd.conf", 应该包括两行, 一行允许的(permit), 一行是禁止的(deny), 每行有三个项目:
识别字(permit/deny)
IP位址
位址修正值(位址 modifier)
识别字不是permit就是deny, 应该要有一行permit、一行deny。IP位址采用 Internet上的标准记法, 例如192.168.2.0。 位址修正值也是采IP位址的格式, 而有netmask 的效果。把它想像成一个三十二位元的二进位数, 若该位元为１, 表示在做位址比较时, 此一位元必须和之前IP位址那一项的该位元相符。例如:
permit 192.168.2.23 255.255.255.255
意思是只有192.168.2.23算是相符, 而
permit 192.168.2.0 255.255.255.0
会允许192.168.2.0到192.168.2.255间的IP 位址, 即整个C Class domain。如果你加入下行:
permit 192.168.2.0 0.0.0.0
则代表你是来者不拒了。所以先允许你要开放权限的位址, 再拒绝其他的位址。例如:
permit 192.168.2.0 255.255.255.0
deny 0.0.0.0 0.0.0.0
会允许所有的192.169.2.xxx, 注意deny行里的"0.0.0.0" 使用了0.0.0.0做修正, "0.0.0.0"并没什麽特殊用意, 修正值就拒绝了所有的位址, 用0只是因为打字方便罢了, 你要用255.255.255.255 也没人拦著你。除这两行外, 你还可以加上额外的限制。
你也可以permit或deny某一特定的user, 但这需要"ident authenticaiont", 并非所有的系统都有此一功能, 像Trumpet Winsock 就没有, 所以我就不再深入研究, 以上所做的讨论应该已经足够了。
5.2.2. Routing档
Routing档称作"socks.conf", 很容易跟Access档搞混。Routing档用来告诉 socks clients何时用socks , 何时不用。例如, 在我们的网路上, 192.168.2.3 和192.168.2.1 (Firewall) talk时就用不到socks , 它们直接用Ethernet相连。因为系统自动定义127.0.0.1作为回路之用, 你和自已talk时当然也不需socks。档案中有三个项目:
deny
direct
sockd
Deny指示何时要拒绝请求, 它的语法和sockd.conf同。一般来说, 把修正值设为0.0.0.0 就可以轻易挡掉所有的外来者。direct项指出那些位址不必用到 socks , 即不必透过Proxy Server就可连到的地方。同样有三栏, 识别字、IP位址和位址修正值, 例如:
direct 192.168.2.0 255.255.255.0
这使我们可以在保护网路内直接通行。sockd 项说明那些电脑上有socks server daemon在执行, 语法是:
sockd @=
注意"@="那一栏, 它让你列出一堆Proxy Server的IP位址。在我们的例子里, 我们只用一台Proxy Server, 但你可以多设几个好容纳高负载, 同时减少故障停摆的风险, IP位址和修正值用法同前。
5.2.3. Firewall内的DNS
相较之下, 在Firewall内安装DNS 是很简单的事, 只要在Firewall的机器上装个DNS , 并且将Firewall内的机器DNS 设定改成它就行了。
5.3. 使用Proxy Server
5.3.1. Unix
若你的应用程式想要应用Proxy Server, 先绝条件是它们必须是"sockified" 型的, 所以你必须有两个TELNET, 一个是直接连接的, 一个则是透过Proxy Server 连接。Socks 有教你怎麽去sockify 一个程式, 同时也有一堆己经sockified 的程式, 如果你使用一sockified 版本去作直接连接, socks 会自动替你转换成直接版。所以, 我们得把所有保护网内的原有程式改为sockified 的版本, 先将"finger" 改为"finger.orig", "telnet" 改成"telnet.orig"等等, 你必须在include/socks.h 档中告诉socks这些资料。
有些程式会自行routing并sockify自己, Netscape就是一个例子。你可以在 Netscape中使用Proxy Server, 只要在Proxies 选项中输入 Server的位址就可以了 (在本例中为192.168.2.1)。每个应用程式都会让你有点手忙脚乱吧!
5.3.2. MS Windows/Trumpet Winsock
Trumpet Winsock 具有内容Proxy Server的能力, 在"setup" menu里输入你的 server IP位址和其他相关可以直接连通的电脑位址, Trumpet会处理所有外送的封包。
5.4. 使Proxy Server处理UDP 封包
有点美中不足的是socks 软体只能处理TCP 封包, 而不包括UDP 封包。很多有用的程式像talk, Archie都使用UDP。 有个软体可以用来当作UDP 的Proxy Server, 叫作UDPrelay, 由Tom Fitzgerald所写。不幸的是, 到目前为止, 它还不相容於Linux。
5.5. Proxy Server的缺点
Proxy Server是个安全装置, 用它在有限的IP位址上增加Internet的Access动作会有一些缺点。Proxy Server允许在保护网路到Internet的大量Access, 却可以让外界不能触及网路内部, 亦即外界的server, talk或Archie, mail都无法真接传至保护网路内, 看起来没什麽大不了的, 可是请你仔细想想:
你可能在保护网路内用电脑打了一篇报告, 回家之後, 你想把它拿回来看看, 抱歉, 这是不可能的, 你根本无法Access你的电脑, 因为它在Firewall内部。 你试著login Firewall, 可是因为每个人都有Proxy Server Access, 所以没有 人为你在上面另设帐号。
你和□的女友用email通信, 有些「不可告人」的私事要讲, 请她把email直接 寄到你的电脑上会比较好, 但是不行。你信任Firewall的管理者没错, 但这毕 竟还是私人信件。
无法处理UDP 封包是Proxy Servers的致命伤, 我想UDP 的用途会愈来愈多。 [例如: CoolTalk... ]
FTP 会造成Proxy Server上的另外一个问题, 当你抓档或是作一个ls动作时, FTP Server会开一个socket 在client机器上, 并藉由它来传送资讯。而一个Proxy Server不会允许你这麽做, 所以FTP 就无法顺利完成。另外, Proxy Server跑起来挺慢的, 因为overhead太大了些, 其他的方法相形之下就快多了。
基本上, 如果你有一个IP位址, 你也不担心安全的问题, 也用不到Firewall或是Proxy Server; 如果没有, 而你也不担心安全问题, 你可以找找IP emulator 之类的工具, 如Term、Slirp或TIA。Term可以在ftp://sunsite.unc.edu拿到, Slirp 可以在ftp://blitzen.canberra.edu.au/pub/slirp拿到, 而TIA在marketplace.com 上有。这些工具跑起来快多了, 连线也较有效率, 同时由Internet连入内部网路的权限也大多了。Proxy Server适合那些有一大堆主机要连上Internet却不太想安装和设定太多东西的人。
6. 进阶设定
在结束之前, 我有些设定要交代一下, 之前所说的适合大部分的人。但以下我会谈到一些进阶的设定来澄清一些问题。如果对之前我所提的你尚有疑问, 或是有兴趣了解一下Proxy Servers和Firewall的多彩多姿, 就再读下去吧!
6.1. 强调安全性的大网路
假设你有50部电脑和一个有 32 (5 bits)IP 位址的子网路, 有多重的Access等级, 你要依据不同的等级交代你的手下不同的事情。很明显的, 你会想把网路中的一部分保护起来, 防止不同等级的人去接触。
这些等级分别为:
凡夫级: 泛指可以给所有的人看的, 基本上, 就是一些□扯蛋, 例如对本尊 的流言毁谤之类的。
信徒级: 在这里你告诉他们宇宙光明体的真谛, 还有本尊是个万能的神的事 实。
核心级: 真正的精华所在, 在这一级中, 有七人小组所从事的地下活动的资 讯, 准备要使接管世界统治权的计划, 包括了用Photoshop合成的发光照片、 用Word排版的宇宙光明论及用Delphi写的信徒供养资料库等等。
6.1.1. 网路设计
IP位址安排如下:
192.168.2.255, 用作广播之用。
32个IP位址挪出23个, 设给供Internet Access的机器。
一个IP给Linux box。
一个给网路上另一部Linux box。
两个IP号码给Router。
剩下四个Domain Names设为paul, ringo, john, 和george, 用来掩人耳目。
保护网路位址为192.168.2.xxx
建立出两个分离的网路, 放在显相纪念馆不同的房间中, 使用红外线Ethernet 来做Route , 对外界而言完全隐形。幸运的, 红外线Ethernet用起来和一般的 Ethernet完全相同(我猜想是吧!), 所以可以视为一般的网路。两个网路各接上一台 Linux box。
有一个File Server 连上两个保护网路, 真是因为接管世界的计划包含了一部份忠诚的信徒参与。File Server 对信徒级用192.168.2.17, 对核心级用192.168.2.23。之所以用不同的位址是因为它们用不同的Ethernet卡, IP forwarding己经关了。
两台Linux box上的IP Forwarding都关了, Router不会把寄给192.168.2.xxx的封包向前传, 除非另有设定, 因此已算安全, 之所以要关掉IP forwarding是要防止信徒网路接触到核心网路。
NFS server也可以设计来提供不同的档案存取权限, 这可以用手动来控制, 但要用到一点符号链结的技巧, 使得一些共用档可供所有人使用。利用这个设定再加上一块Ethernet卡可以使三个网路都可以分享这些档案。
6.1.2. Proxy的架设
现在来制定三个网路的Net Access权。凡夫网直接连上Internet, 省得跟Proxy Server搅混, 信徒网及核心网已被包在在Firewall内, 所以凡夫网中不用架设Proxy Server。信徒网和核心网路的架设十分相似, 几乎设定相同, 因此我加入一些限制条件, 使它有些变化而且有趣一点。
1.不许任何人用File Server 作Internet Access 以防止病毒及其他的恶作剧等。 这点十分重要。
2.不允许信徒使用World Wide Web, 外界的流言会影响他们的忠贞。
所以信徒网Linux box上的sockd.conf档设定如下:
deny 192.168.2.17 255.255.255.255
核心网机器上则是:
deny 192.168.2.23 255.255.255.255
信徒网还要加上这一行:
deny 0.0.0.0 0.0.0.0 eq 80
这样可以防止任何机器使用Port 80, HTTP Port, 但其他的服务仍然是开放的, 除了浏览WEB 之外。然後两边的档中还要加上:
permit 192.168.2.0 255.255.255.0
使得192.168.2.xxx的电脑可以使用这个Proxy Server, 除了己经被拒绝者之外。 (ie. File Server 和信徒网上的web Access) 信徒网的sockd.conf看起来如下:
deny 192.168.2.17 255.255.255.255
deny 0.0.0.0 0.0.0.0 eq 80
permit 192.168.2.0 255.255.255.0
核心网的档案应该如下:
deny 192.168.2.23 255.255.255.255
permit 192.168.2.0 255.255.255.0
这样应该就行了, 每个网路都是独立的, 只允许有限度的接触, 大家都如愿了。
摘自：http://www.eastlinux.net/
