Proxy&Firewall手册 --fjxufeng（风过留枫）
用Linux 有一阵子了, 玩Linux 久了的人都知道在GNU 的世界里, 不必花 费一毛钱, 就有程式可以抓、有文件可以看。抓多看多了, 就不得不感佩 这群Linux 奇迹幕后的无名英雄, 不像一些软体帝国主义者, 一心只想用 软体捞钱, 而无私的贡献自己的心血给大家分享。刚好最近在研究Firewall , 就「顺手」把它翻成中文, 让大家分享我研读的心得, 试著追随那些软 体乌托邦理想家的脚步。庆幸原文作者的笔法还算浅显易懂, 但有些地方 写得相当简要, 所以译文中不免有部份属个人的揣测推敲, 如果你发现任 何地方有疑问, 欢迎来信指教。 Please Mail to jeffrey@linux.im.ntit.edu.tw }
本文将简单的教你如何在Linux 上安装Firewall, 同时也会提到Proxy Server 的安装及使用, 藉著Proxy Server使在Firewall后方的人对于Internet也能拥有比 较大的Access权限。
1. 介绍
这一阵子, Firewall成了Internet保全上的热门话题, 但也造成了许多人对它 的误解。这篇HOWTO 将会探讨什么是 Firewall？如何安装？何谓Proxy Server？如 何设定Proxy Server？以及这些技术除了安全以外的新应用。
1.1. 读者回响
欢迎给我任何意见, 我尤其想知道Macintosh 使用者的意见, 我在这方面的资 讯不多, 「如果发现这篇文章中有任何错误, 请务必通知我」。人非圣贤, 孰能无 过嘛! 如果你有发现任何错误, 请通知我, 我会很乐意去更正它的。我会试著去回 覆所有的来信, 不过我挺忙的, 不要对我太苛求。我的EMAIL地址是drig@execpc.com. [译注: 我也绝对欢迎任何意见, 请寄到 jeffrey@linux.im.ntit.edu.tw]
1.2. 严正声明
这份文件将介绍Firewall及Proxy Server的原理, 我无意装作是个网路安全专 家, 我只是个读得多而且爱电脑胜过爱人类的家伙。在此声明, 我不对任何依本文 所做行为所造成的损害负任何责任 ( I AM NOT RESPONSIBLE FOR ANY DAMAGES INCURRED DUE TO ACTIONS TAKEN BASED ON THIS DOCUMENT. ) 我只是想藉这篇文 章去帮助你熟悉这个主题, 而非要穷毕生之力来研究它。
1.3. 版权宣告
除非另有声明, Linux HOWTO文件的版权归原作者所有。Linux HOWTO文件可以 重制及散布其全部或部份在任何媒体上, 只要完整保留此一版权宣告。允许也欢迎 商业性的散布行为, 但应先知会作者。 所有对Linux HOWTO 文件的翻译、修正、整理必须包含此版权宣告。亦即, 你 不能修改本文件却在转手散布时加诸额外的条件限制。如有异议请连络Linux HOWTO coordinator, 地址在下面。我们希望此一资讯能从愈多管道散愈好, 不过我们仍 希望能保留HOWTO文件的版权, 如有任何散布计划, 请通知我们。 如有任何问题, 请连络 David Rudder, 译文作者是Jeffrey Lee
[译注: 我觉得这一段比技术性的本文还难翻, 而且有其法律上的重要性, 所以原 文附上, 若中文语意和原文有所出入, 以原文为准。
Unless otherwise stated, Linux HOWTO documents are copyrighted by their respective authors. Linux HOWTO documents may be reproduced and distributed in whole or in part, in any medium physical or electronic, as long as this copyright notice is retained on all copies. Commercial redistribution is allowed and encouraged; however, the author would like to be notified of any such distributions.
All translations, derivative works, or aggregate works incorporating any Linux HOWTO documents must be covered under this copyright notice. That is, you may not produce a derivative work from a HOWTO and impose additional restrictions on its distribution. Exceptions to these rules may be granted under certain conditions; please contact the Linux HOWTO coordinator at the address given below.
In short, we wish to promote dissemination of this information through as many channels as possible. However, we do wish to retain copyright on the HOWTO documents, and would like to be notified of any plans to redistribute the HOWTOs.
If you have any questions, please contact David Rudder . ]
1.4. 写这篇文章的动机
过去一年来在comp.os.linux 论坛上有一大堆人在求救, 寻求Firewall方面的 协助, 似乎也没有什么人要回答。我猜是没人知道要怎么回答吧! 所以我花了一点 时间玩了玩Firewall, 写这篇文章来回应那些需求。
1.5. 尚待努力方向
o 学习Macintosh的做法 o 学习不同的Windows TCP/IP套装软体 o 找个好用的UDP Proxy Server和Linux搭配
1.6. 深入研究时的参考资料
o TIS Firewall Toolkit文件 o NET- 2 HOWTO o PPP HOWTO o Ethernet HOWTO o MultIPle Ethernet Mini HOWTO o Networking with Linux o TCP/IP Network Administrator's Guide by O'Reilly and Associates
Firewall Toolkit by TIS 有一套很棒的文件, 其中有谈到Firewall及相关的 资料, 至于Firewall Toolkit的进一步说明, 请看Firewall软体那一节。
2. 了解Firewalls
Firewall原来是汽车上的一个术语, 它用来隔离引擎和乘客, 在引擎爆炸时可 以发挥保护乘客的功能。电脑上的Firewall是一个逻辑装置, 用来保护私人的区域 不受公用部份的侵害, 做法是:
1. 找一部有Routing能力的电脑(例如Linux) 2. 加入两个界面(例如: 序列埠、Ethernet、Token Ring等等) 3. 关掉IP forwarding的功能 4. 把其中一个界面接上Internet 5. 把受保护的网路接在另一个界面上
现在你使电脑接到两个不同的网路上。这部Firewall电脑, 现在就称为Firewall 了, 可以接到Internet上, 也可以接到保护网路 (Protected Network) 上。但保护网 路无法连上 Internet, Internet也连不上保护网路。
如果要从保护网路内连上Internet, 必须要先telnet到Firewall, 从那里使用 Internet。同样的, Internet上的人要进入保护网路, 也必须先透过Firewall。
这种作法对于Internet上的攻击有很优秀的免疫作用。如果有人企图对受保护的 网路进行攻击, 则必须先穿过Firewall, 攻击必须分成两步骤, 难度也增加了。如果 有人想藉著使用一般的手法, 如邮件炸弹(MAIL BOMB)或"Internet Worm", 来攻击受 保护的网路, 他们可能是无法如愿的。
2.1. Firewall的缺点
Firewall最大的问题在于由内部Access Internet的困难。基本上, Firewall 利用Dial-Up Shell 的帐号来减少对于Internet的使用, 必须先login Firewall 才能做其他对Internet的Access动作。因此一些需要直接连接 Internet的程式(如 Netscape) 便无法在Firewall后方顺利动作, 解决的办法——Proxy Server。
2.2. Proxy Server
Proxy Server可用来协助由Firewall后方直接Access到Internet。它们的工作是 在Server上开启一个Socket, 作为和Internet沟通的管道。举例来说, 我的电脑drig 是在保护网路内, 当我要使用Netscape去浏览Web 时, 我得在 Firewall上建个Proxy Server, 这个Proxy Server设定好可以接受我的电脑的请求, 把要连上Port 80请求 转接到它的Port 1080上。
任何用过TIA 或TERM的人应该对这个观念不会太陌生, 在这两个程式里, 你可以 对一个Port做转向的动作。我的一个朋友用TIA 设定允许大家用192.251.139.21 port 4024去连上他的web server。这里提到的Proxy Server原理也差不多, 只是恰好相反, 让你使用port 1080(或某特定值)去连接其他人的port 80。Proxy Server最了不起的 地方在于它的安全性, 如果你设定正确的话, 它不会允许任何人逾越它。
3. 动手吧!
3.1. 硬体需求
本例中, 电脑采用486-DX66, 8M RAM, 500M Linux 分割, 以一台1.44 bps MODEM连到ISP上。这就是原本 Linux box的基本配备, 要架成Firewall, 我们还得加 上一块NE2000 Ethernet网路卡。接著连上三部PC (Win 3.1+Trumpet Winsock)和两 台Suns(SunOS 4.1)。我选择这样的架构是著眼于它很普通常见, 而且我对这两种平 台都蛮熟悉的。本来有考虑要加上Mac, 可是我不太常用也不熟, 就算了。
3.2. 设定软体
现在, Linux box 透过14.4 PPP line连上Internet, 再用Ethernet连上其他 的电脑。首先, 先 recomplie linux kernel, make config时得做适当的调整。 我参考了Kernel HOWTO, Ethernet HOWTO, NET-2 HOWTO然后进行"make config":
1. 使用Networking Support 2. 使用TCP/IP Networking 3. 取消IP Forwarding (CONFIG_IP_FORWARD). 4. 使用IP Firewalling 5. 可以使用IP accounting, 这样比较审慎一点。 6. 使用Networking Device Support 7. 使用PPP 及Ethernet support, 视你的界面而定
接著, 我们recompile, reinstall kernel 后重开机。应该可以在开机过程中 看到我们所加入的界面的资料, 如果没有, 参考其他的HOWTO, 看看是那里做错了。
3.3. 设定网路位址
这是很有趣的一部份。因为我们不希望Internet直接Access我们的网路, 所以 不必使用真实位址。一个不错的选择是C Class的 192.168.2.xxx, 它是设定来做测 试的dummy domain。所以放心大胆的用它吧! 没人会跟你抢的。在我们的设定中, 只需要一个真实的位址, 其他的自设就可以了。指定连上PPP 的串列埠一个真实IP 位址, Firewall上的Ethernet卡设为 192.168.2.1, 将其他电脑设为192.168.2.xxx。
3.4. 测试看看
试著从Firewall上ping一个Internet上的Node。我使用nic.ddn.mil做为测试点 。[ 译注: 在国内可以ping edu.tw 看看 ]如果不行, 查查你的PPP 有没有设好, 仔细的读一下Net-2 HOWTO, 再试一次。
现在, 试著ping保护网路内的电脑, 所有网路内的电脑应该可以ping其他任何 一台电脑, 如果不行, 老话一句, 看看NET- 2 HOWTO 再试一次。接著, 所有在保护 网路内的机器应该都可以ping Firewall。若不行, 再重覆以上步骤, 记得, 你该 ping 192.168.2.1, 而非PPP 的真实IP位址。
然后试著从Firewall里的电脑去ping PPP的IP位址, 如果可以, 表示你IP Forwarding的功能未取消, 你必须重新 compile kernel。虽然我们已经把受保护的 网路设为192.168.2.1 domain, 不会收到来自Internet的封包, 可是把IP Forwarding 关掉还是比较保险一点, 可以自己主控全局而非仰赖ISP。
最后, 从Firewall上ping一下受保护的网路内的机器, 到这个地步, 应该不会 有什么问题。到这里, 我们已经完成了最基础的Firewall安装。
3.5. Firewall的安全性
目前的Firewall还不够好, 因为它还敞开著大门等待别人来攻击。首先, 找到 /etc/inetd.conf, 它又被称为"super server", 因为在上面有超过一打的server daemon被执行。例如:
o Telnet o Talk o FTP o Daytime
取消所有不需要的功能, 例如netstat、systat、tftp、bootp、finger。甚至 你可以关掉telnet只允许rlogin或 vica-versa。你只要在该功能前加上# 就可以轻 易的把它取消掉。利用kill -HUP 送出一个SIG-HUP给inetd, 使 inetd 重新 去读取我们刚才改的设定(inetd.conf)同时restart。试试telnet Firewall的port 15 (netstat port), 如果你还读得到netstat的资料, 表示你没有正确的restart inetd。[译注: 如果还搞不定, 考虑 reboot吧!]
4. Firewall软体
4.1. 可用的套装软体
单纯的Firewall除了Linux核心及基本网路套装软体(inetd, telnetd和telnet, ftpd和ftp)外不需外加任何软体, 但这种情况下, 限制极多而且不太好用。所以有 些软体可以使你的Firewall更有用, 我最主要要探讨的是一个叫"socks"的 Proxy Server。另外, 有两个软体你可以记在心中, 我等一下会简单介绍。
4.2. TIS Firewall Toolkit
TIS 中有一套程式用来进行Firewalling, 这些程式和socks基本上相同, 但采 用了不同的设计策略。socks是用一个程式来搞定所有的Internet动作, TIS 则利 为不同的功能发展不同的程式。
为了明白说明起见, 就以World Wide Web和telnet作例子吧! 在socks中, 你要 设定一个config档和一个daemon, 透过这个档案及daemon, telnet及www可以正常使 用, 就宛如你没把它们关掉前一样。
而在TIS toolkit中, 你要为WWW and Telnet各设一个daemon及config档。完成 之后, 其他的 Internet Access仍被禁止, 直到你完成其设定为止。如果某一特定功 能没有daemon(如talk), 你可以使用"plug-in" 的daemon, 只是不像其他的工具那样 有弹性且不易使用罢了。
这里似乎有一点小小的不同, 不过会造成很大的不同——socks 允许你随便设 设就上路, 不过一个设定不良的Socks server, 网路内部的人可以试著得到超出预 期的Internet Access权。而TIS toolkit中, 人们只能使用系统管理者所赋与的权 限。
Socks易于安装、易于complie且具有较大的弹性。如果你想严格控制网路内的 使用者, 则TIS toolkit的安全性较佳。但二者都提供了对外的绝对保护。
4.3. TCP Wrapper
TCP wrapper不是一个Firewalling工具, 但它提供了许多相同的效果。透过 TCP wrapper, 你可以控制谁有权Access你的机器和Access那些服务, 同时可以追 踪连线的记录, 而且它还提供了一个基本的侦测伪装功能。
TCP wrapper基于一些理由, 并未广泛的运用:
o 它不算是一个真的Firewall o 要使用它, 你必须要连上Internet, 因此你得有一个IP 位址 o 它只控制安装它的「机器」, 对「网路」不能提供很好的服务。Firewall则可以 保护每一个架构上的每一个机器。TCP wrapper在Mac及MS Windows机器无法使用
4.4. IPfw 和 IPfw Admin
5. Proxy Server
5.1. 安装Proxy Server
Proxy Server需要额外的软体, 你可以从ftp: //sunsite.unc.edu/pub/Linux/ system/Network/misc/socks-linux-src.tgz得到你要的宝贝。在sock-conf下同时 有一个config档范例。解压之后, 跟著指示把它make起来, 我在make时遇到了一箩 筐的问题, 确定你的Makefile正确无误。一件要注意的是记得把Proxy Server加到 /etc/inetd.conf里, 你可以加入下行:
socks stream tcp nowait nobody /usr/local/etc/sockd sockd
5.2. 设定Proxy Server
socks的程式需要两个configuration档。一个说明那些Access是被允许的, 另 一个则是把请求route到适当的 Proxy Server。Access档必须设在server上。而 routing档则要装在每部Un*x机器上。DOS 和mac的机器会进行它们自己的routing。
5.2.1. Access档
在socks4.2 Beta中, Access档称为"sockd.conf", 应该包括两行, 一行允许 的(permit), 一行是禁止的(deny), 每行有三个项目:
o 识别字(permit/deny) o IP位址 o 位址修正值(位址 modifier)
识别字不是permit就是deny, 应该要有一行permit、一行deny。IP位址采用 Internet上的标准记法, 例如 192.168.2.0。 位址修正值也是采IP位址的格式, 而 有netmask 的效果。把它想像成一个三十二位元的二进位数, 若该位元为１, 表示 在做位址比较时, 此一位元必须和之前IP位址那一项的该位元相符。例如:
permit 192.168.2.23 255.255.255.255
意思是只有192.168.2.23算是相符, 而
permit 192.168.2.0 255.255.255.0
会允许192.168.2.0到192.168.2.255间的IP 位址, 即整个C Class domain。如果 你加入下行:
permit 192.168.2.0 0.0.0.0
则代表你是来者不拒了。所以先允许你要开放权限的位址, 再拒绝其他的位址。例如:
permit 192.168.2.0 255.255.255.0 deny 0.0.0.0 0.0.0.0
会允许所有的192.169.2.xxx, 注意deny行里的"0.0.0.0" 使用了0.0.0.0做修正, "0.0.0.0"并没什么特殊用意, 修正值就拒绝了所有的位址, 用0只是因为打字方便 罢了, 你要用255.255.255.255 也没人拦著你。除这两行外, 你还可以加上额外的 限制。
你也可以permit或deny某一特定的user, 但这需要"ident authenticaiont", 并非所有的系统都有此一功能, 像Trumpet Winsock 就没有, 所以我就不再深入研 究, 以上所做的讨论应该已经足够了。
5.2.2. Routing档
Routing档称作"socks.conf", 很容易跟Access档搞混。Routing档用来告诉 socks clients何时用 socks , 何时不用。例如, 在我们的网路上, 192.168.2.3 和192.168.2.1 (Firewall) talk时就用不到 socks , 它们直接用Ethernet相连。 因为系统自动定义127.0.0.1作为回路之用, 你和自已talk时当然也不需socks。 档案中有三个项目:
o deny o direct o sockd
Deny指示何时要拒绝请求, 它的语法和sockd.conf同。一般来说, 把修正值 设为0.0.0.0 就可以轻易挡掉所有的外来者。 direct项指出那些位址不必用到 socks , 即不必透过Proxy Server就可连到的地方。同样有三栏, 识别字、IP位 址和位址修正值, 例如:
direct 192.168.2.0 255.255.255.0
这使我们可以在保护网路内直接通行。sockd 项说明那些电脑上有socks server daemon在执行, 语法是:
sockd @=
注意"@="那一栏, 它让你列出一堆Proxy Server的IP位址。在我们的例子里, 我们 只用一台Proxy Server, 但你可以多设几个好容纳高负载, 同时减少故障停摆的风 险, IP位址和修正值用法同前。
5.2.3. Firewall内的DNS
相较之下, 在Firewall内安装DNS 是很简单的事, 只要在Firewall的机器上装 个DNS , 并且将Firewall内的机器DNS 设定改成它就行了。
5.3. 使用Proxy Server
5.3.1. Unix
若你的应用程式想要应用Proxy Server, 先绝条件是它们必须是"sockified" 型的, 所以你必须有两个TELNET, 一个是直接连接的, 一个则是透过Proxy Server 连接。Socks 有教你怎么去sockify 一个程式, 同时也有一堆己经sockified 的程 式, 如果你使用一sockified 版本去作直接连接, socks 会自动替你转换成直接版 。所以, 我们得把所有保护网内的原有程式改为 sockified 的版本, 先将"finger" 改为"finger.orig", "telnet" 改成"telnet.orig"等等, 你必须在include/socks.h 档中告诉socks这些资料。
有些程式会自行routing并sockify自己, Netscape就是一个例子。你可以在 Netscape中使用Proxy Server, 只要在Proxies 选项中输入 Server的位址就縋roxy&Firewall手册 --fjxufeng（风过留枫）
用Linux 有一阵子了, 玩Linux 久了的人都知道在GNU 的世界里, 不必花 费一毛钱, 就有程式可以抓、有文件可以看。抓多看多了, 就不得不感佩 这群Linux 奇迹幕后的无名英雄, 不像一些软体帝国主义者, 一心只想用 软体捞钱, 而无私的贡献自己的心血给大家分享。刚好最近在研究Firewall , 就「顺手」把它翻成中文, 让大家分享我研读的心得, 试著追随那些软 体乌托邦理想家的脚步。庆幸原文作者的笔法还算浅显易懂, 但有些地方 写得相当简要, 所以译文中不免有部份属个人的揣测推敲, 如果你发现任 何地方有疑问, 欢迎来信指教。 Please Mail to jeffrey@linux.im.ntit.edu.tw }
本文将简单的教你如何在Linux 上安装Firewall, 同时也会提到Proxy Server 的安装及使用, 藉著Proxy Server使在Firewall后方的人对于Internet也能拥有比 较大的Access权限。
1. 介绍
这一阵子, Firewall成了Internet保全上的热门话题, 但也造成了许多人对它 的误解。这篇HOWTO 将会探讨什么是 Firewall？如何安装？何谓Proxy Server？如 何设定Proxy Server？以及这些技术除了安全以外的新应用。
1.1. 读者回响
欢迎给我任何意见, 我尤其想知道Macintosh 使用者的意见, 我在这方面的资 讯不多, 「如果发现这篇文章中有任何错误, 请务必通知我」。人非圣贤, 孰能无 过嘛! 如果你有发现任何错误, 请通知我, 我会很乐意去更正它的。我会试著去回 覆所有的来信, 不过我挺忙的, 不要对我太苛求。我的EMAIL地址是drig@execpc.com. [译注: 我也绝对欢迎任何意见, 请寄到 jeffrey@linux.im.ntit.edu.tw]
1.2. 严正声明
这份文件将介绍Firewall及Proxy Server的原理, 我无意装作是个网路安全专 家, 我只是个读得多而且爱电脑胜过爱人类的家伙。在此声明, 我不对任何依本文 所做行为所造成的损害负任何责任 ( I AM NOT RESPONSIBLE FOR ANY DAMAGES INCURRED DUE TO ACTIONS TAKEN BASED ON THIS DOCUMENT. ) 我只是想藉这篇文 章去帮助你熟悉这个主题, 而非要穷毕生之力来研究它。
1.3. 版权宣告
除非另有声明, Linux HOWTO文件的版权归原作者所有。Linux HOWTO文件可以 重制及散布其全部或部份在任何媒体上, 只要完整保留此一版权宣告。允许也欢迎 商业性的散布行为, 但应先知会作者。 所有对Linux HOWTO 文件的翻译、修正、整理必须包含此版权宣告。亦即, 你 不能修改本文件却在转手散布时加诸额外的条件限制。如有异议请连络Linux HOWTO coordinator, 地址在下面。我们希望此一资讯能从愈多管道散愈好, 不过我们仍 希望能保留HOWTO文件的版权, 如有任何散布计划, 请通知我们。 如有任何问题, 请连络 David Rudder, 译文作者是Jeffrey Lee
[译注: 我觉得这一段比技术性的本文还难翻, 而且有其法律上的重要性, 所以原 文附上, 若中文语意和原文有所出入, 以原文为准。
Unless otherwise stated, Linux HOWTO documents are copyrighted by their respective authors. Linux HOWTO documents may be reproduced and distributed in whole or in part, in any medium physical or electronic, as long as this copyright notice is retained on all copies. Commercial redistribution is allowed and encouraged; however, the author would like to be notified of any such distributions.
All translations, derivative works, or aggregate works incorporating any Linux HOWTO documents must be covered under this copyright notice. That is, you may not produce a derivative work from a HOWTO and impose additional restrictions on its distribution. Exceptions to these rules may be granted under certain conditions; please contact the Linux HOWTO coordinator at the address given below.
In short, we wish to promote dissemination of this information through as many channels as possible. However, we do wish to retain copyright on the HOWTO documents, and would like to be notified of any plans to redistribute the HOWTOs.
If you have any questions, please contact David Rudder . ]
1.4. 写这篇文章的动机
过去一年来在comp.os.linux 论坛上有一大堆人在求救, 寻求Firewall方面的 协助, 似乎也没有什么人要回答。我猜是没人知道要怎么回答吧! 所以我花了一点 时间玩了玩Firewall, 写这篇文章来回应那些需求。
1.5. 尚待努力方向
o 学习Macintosh的做法 o 学习不同的Windows TCP/IP套装软体 o 找个好用的UDP Proxy Server和Linux搭配
1.6. 深入研究时的参考资料
o TIS Firewall Toolkit文件 o NET- 2 HOWTO o PPP HOWTO o Ethernet HOWTO o MultIPle Ethernet Mini HOWTO o Networking with Linux o TCP/IP Network Administrator's Guide by O'Reilly and Associates
Firewall Toolkit by TIS 有一套很棒的文件, 其中有谈到Firewall及相关的 资料, 至于Firewall Toolkit的进一步说明, 请看Firewall软体那一节。
2. 了解Firewalls
Firewall原来是汽车上的一个术语, 它用来隔离引擎和乘客, 在引擎爆炸时可 以发挥保护乘客的功能。电脑上的Firewall是一个逻辑装置, 用来保护私人的区域 不受公用部份的侵害, 做法是:
1. 找一部有Routing能力的电脑(例如Linux) 2. 加入两个界面(例如: 序列埠、Ethernet、Token Ring等等) 3. 关掉IP forwarding的功能 4. 把其中一个界面接上Internet 5. 把受保护的网路接在另一个界面上
现在你使电脑接到两个不同的网路上。这部Firewall电脑, 现在就称为Firewall 了, 可以接到Internet上, 也可以接到保护网路 (Protected Network) 上。但保护网 路无法连上 Internet, Internet也连不上保护网路。
如果要从保护网路内连上Internet, 必须要先telnet到Firewall, 从那里使用 Internet。同样的, Internet上的人要进入保护网路, 也必须先透过Firewall。
这种作法对于Internet上的攻击有很优秀的免疫作用。如果有人企图对受保护的 网路进行攻击, 则必须先穿过Firewall, 攻击必须分成两步骤, 难度也增加了。如果 有人想藉著使用一般的手法, 如邮件炸弹(MAIL BOMB)或"Internet Worm", 来攻击受 保护的网路, 他们可能是无法如愿的。
2.1. Firewall的缺点
Firewall最大的问题在于由内部Access Internet的困难。基本上, Firewall 利用Dial-Up Shell 的帐号来减少对于Internet的使用, 必须先login Firewall 才能做其他对Internet的Access动作。因此一些需要直接连接 Internet的程式(如 Netscape) 便无法在Firewall后方顺利动作, 解决的办法——Proxy Server。
2.2. Proxy Server
Proxy Server可用来协助由Firewall后方直接Access到Internet。它们的工作是 在Server上开启一个Socket, 作为和Internet沟通的管道。举例来说, 我的电脑drig 是在保护网路内, 当我要使用Netscape去浏览Web 时, 我得在 Firewall上建个Proxy Server, 这个Proxy Server设定好可以接受我的电脑的请求, 把要连上Port 80请求 转接到它的Port 1080上。
任何用过TIA 或TERM的人应该对这个观念不会太陌生, 在这两个程式里, 你可以 对一个Port做转向的动作。我的一个朋友用TIA 设定允许大家用192.251.139.21 port 4024去连上他的web server。这里提到的Proxy Server原理也差不多, 只是恰好相反, 让你使用port 1080(或某特定值)去连接其他人的port 80。Proxy Server最了不起的 地方在于它的安全性, 如果你设定正确的话, 它不会允许任何人逾越它。
3. 动手吧!
3.1. 硬体需求
本例中, 电脑采用486-DX66, 8M RAM, 500M Linux 分割, 以一台1.44 bps MODEM连到ISP上。这就是原本 Linux box的基本配备, 要架成Firewall, 我们还得加 上一块NE2000 Ethernet网路卡。接著连上三部PC (Win 3.1+Trumpet Winsock)和两 台Suns(SunOS 4.1)。我选择这样的架构是著眼于它很普通常见, 而且我对这两种平 台都蛮熟悉的。本来有考虑要加上Mac, 可是我不太常用也不熟, 就算了。
3.2. 设定软体
现在, Linux box 透过14.4 PPP line连上Internet, 再用Ethernet连上其他 的电脑。首先, 先 recomplie linux kernel, make config时得做适当的调整。 我参考了Kernel HOWTO, Ethernet HOWTO, NET-2 HOWTO然后进行"make config":
1. 使用Networking Support 2. 使用TCP/IP Networking 3. 取消IP Forwarding (CONFIG_IP_FORWARD). 4. 使用IP Firewalling 5. 可以使用IP accounting, 这样比较审慎一点。 6. 使用Networking Device Support 7. 使用PPP 及Ethernet support, 视你的界面而定
接著, 我们recompile, reinstall kernel 后重开机。应该可以在开机过程中 看到我们所加入的界面的资料, 如果没有, 参考其他的HOWTO, 看看是那里做错了。
3.3. 设定网路位址
这是很有趣的一部份。因为我们不希望Internet直接Access我们的网路, 所以 不必使用真实位址。一个不错的选择是C Class的 192.168.2.xxx, 它是设定来做测 试的dummy domain。所以放心大胆的用它吧! 没人会跟你抢的。在我们的设定中, 只需要一个真实的位址, 其他的自设就可以了。指定连上PPP 的串列埠一个真实IP 位址, Firewall上的Ethernet卡设为 192.168.2.1, 将其他电脑设为192.168.2.xxx。
3.4. 测试看看
试著从Firewall上ping一个Internet上的Node。我使用nic.ddn.mil做为测试点 。[ 译注: 在国内可以ping edu.tw 看看 ]如果不行, 查查你的PPP 有没有设好, 仔细的读一下Net-2 HOWTO, 再试一次。
现在, 试著ping保护网路内的电脑, 所有网路内的电脑应该可以ping其他任何 一台电脑, 如果不行, 老话一句, 看看NET- 2 HOWTO 再试一次。接著, 所有在保护 网路内的机器应该都可以ping Firewall。若不行, 再重覆以上步骤, 记得, 你该 ping 192.168.2.1, 而非PPP 的真实IP位址。
然后试著从Firewall里的电脑去ping PPP的IP位址, 如果可以, 表示你IP Forwarding的功能未取消, 你必须重新 compile kernel。虽然我们已经把受保护的 网路设为192.168.2.1 domain, 不会收到来自Internet的封包, 可是把IP Forwarding 关掉还是比较保险一点, 可以自己主控全局而非仰赖ISP。
最后, 从Firewall上ping一下受保护的网路内的机器, 到这个地步, 应该不会 有什么问题。到这里, 我们已经完成了最基础的Firewall安装。
3.5. Firewall的安全性
目前的Firewall还不够好, 因为它还敞开著大门等待别人来攻击。首先, 找到 /etc/inetd.conf, 它又被称为"super server", 因为在上面有超过一打的server daemon被执行。例如:
o Telnet o Talk o FTP o Daytime
取消所有不需要的功能, 例如netstat、systat、tftp、bootp、finger。甚至 你可以关掉telnet只允许rlogin或 vica-versa。你只要在该功能前加上# 就可以轻 易的把它取消掉。利用kill -HUP 送出一个SIG-HUP给inetd, 使 inetd 重新 去读取我们刚才改的设定(inetd.conf)同时restart。试试telnet Firewall的port 15 (netstat port), 如果你还读得到netstat的资料, 表示你没有正确的restart inetd。[译注: 如果还搞不定, 考虑 reboot吧!]
4. Firewall软体
4.1. 可用的套装软体
单纯的Firewall除了Linux核心及基本网路套装软体(inetd, telnetd和telnet, ftpd和ftp)外不需外加任何软体, 但这种情况下, 限制极多而且不太好用。所以有 些软体可以使你的Firewall更有用, 我最主要要探讨的是一个叫"socks"的 Proxy Server。另外, 有两个软体你可以记在心中, 我等一下会简单介绍。
4.2. TIS Firewall Toolkit
TIS 中有一套程式用来进行Firewalling, 这些程式和socks基本上相同, 但采 用了不同的设计策略。socks是用一个程式来搞定所有的Internet动作, TIS 则利 为不同的功能发展不同的程式。
为了明白说明起见, 就以World Wide Web和telnet作例子吧! 在socks中, 你要 设定一个config档和一个daemon, 透过这个档案及daemon, telnet及www可以正常使 用, 就宛如你没把它们关掉前一样。
而在TIS toolkit中, 你要为WWW and Telnet各设一个daemon及config档。完成 之后, 其他的 Internet Access仍被禁止, 直到你完成其设定为止。如果某一特定功 能没有daemon(如talk), 你可以使用"plug-in" 的daemon, 只是不像其他的工具那样 有弹性且不易使用罢了。
这里似乎有一点小小的不同, 不过会造成很大的不同——socks 允许你随便设 设就上路, 不过一个设定不良的Socks server, 网路内部的人可以试著得到超出预 期的Internet Access权。而TIS toolkit中, 人们只能使用系统管理者所赋与的权 限。
Socks易于安装、易于complie且具有较大的弹性。如果你想严格控制网路内的 使用者, 则TIS toolkit的安全性较佳。但二者都提供了对外的绝对保护。
4.3. TCP Wrapper
TCP wrapper不是一个Firewalling工具, 但它提供了许多相同的效果。透过 TCP wrapper, 你可以控制谁有权Access你的机器和Access那些服务, 同时可以追 踪连线的记录, 而且它还提供了一个基本的侦测伪装功能。
TCP wrapper基于一些理由, 并未广泛的运用:
o 它不算是一个真的Firewall o 要使用它, 你必须要连上Internet, 因此你得有一个IP 位址 o 它只控制安装它的「机器」, 对「网路」不能提供很好的服务。Firewall则可以 保护每一个架构上的每一个机器。TCP wrapper在Mac及MS Windows机器无法使用
4.4. IPfw 和 IPfw Admin
5. Proxy Server
5.1. 安装Proxy Server
Proxy Server需要额外的软体, 你可以从ftp: //sunsite.unc.edu/pub/Linux/ system/Network/misc/socks-linux-src.tgz得到你要的宝贝。在sock-conf下同时 有一个config档范例。解压之后, 跟著指示把它make起来, 我在make时遇到了一箩 筐的问题, 确定你的Makefile正确无误。一件要注意的是记得把Proxy Server加到 /etc/inetd.conf里, 你可以加入下行:
socks stream tcp nowait nobody /usr/local/etc/sockd sockd
5.2. 设定Proxy Server
socks的程式需要两个configuration档。一个说明那些Access是被允许的, 另 一个则是把请求route到适当的 Proxy Server。Access档必须设在server上。而 routing档则要装在每部Un*x机器上。DOS 和mac的机器会进行它们自己的routing。
5.2.1. Access档
在socks4.2 Beta中, Access档称为"sockd.conf", 应该包括两行, 一行允许 的(permit), 一行是禁止的(deny), 每行有三个项目:
o 识别字(permit/deny) o IP位址 o 位址修正值(位址 modifier)
识别字不是permit就是deny, 应该要有一行permit、一行deny。IP位址采用 Internet上的标准记法, 例如 192.168.2.0。 位址修正值也是采IP位址的格式, 而 有netmask 的效果。把它想像成一个三十二位元的二进位数, 若该位元为１, 表示 在做位址比较时, 此一位元必须和之前IP位址那一项的该位元相符。例如:
permit 192.168.2.23 255.255.255.255
意思是只有192.168.2.23算是相符, 而
permit 192.168.2.0 255.255.255.0
会允许192.168.2.0到192.168.2.255间的IP 位址, 即整个C Class domain。如果 你加入下行:
permit 192.168.2.0 0.0.0.0
则代表你是来者不拒了。所以先允许你要开放权限的位址, 再拒绝其他的位址。例如:
permit 192.168.2.0 255.255.255.0 deny 0.0.0.0 0.0.0.0
会允许所有的192.169.2.xxx, 注意deny行里的"0.0.0.0" 使用了0.0.0.0做修正, "0.0.0.0"并没什么特殊用意, 修正值就拒绝了所有的位址, 用0只是因为打字方便 罢了, 你要用255.255.255.255 也没人拦著你。除这两行外, 你还可以加上额外的 限制。
你也可以permit或deny某一特定的user, 但这需要"ident authenticaiont", 并非所有的系统都有此一功能, 像Trumpet Winsock 就没有, 所以我就不再深入研 究, 以上所做的讨论应该已经足够了。
5.2.2. Routing档
Routing档称作"socks.conf", 很容易跟Access档搞混。Routing档用来告诉 socks clients何时用 socks , 何时不用。例如, 在我们的网路上, 192.168.2.3 和192.168.2.1 (Firewall) talk时就用不到 socks , 它们直接用Ethernet相连。 因为系统自动定义127.0.0.1作为回路之用, 你和自已talk时当然也不需socks。 档案中有三个项目:
o deny o direct o sockd
Deny指示何时要拒绝请求, 它的语法和sockd.conf同。一般来说, 把修正值 设为0.0.0.0 就可以轻易挡掉所有的外来者。 direct项指出那些位址不必用到 socks , 即不必透过Proxy Server就可连到的地方。同样有三栏, 识别字、IP位 址和位址修正值, 例如:
direct 192.168.2.0 255.255.255.0
这使我们可以在保护网路内直接通行。sockd 项说明那些电脑上有socks server daemon在执行, 语法是:
sockd @=
注意"@="那一栏, 它让你列出一堆Proxy Server的IP位址。在我们的例子里, 我们 只用一台Proxy Server, 但你可以多设几个好容纳高负载, 同时减少故障停摆的风 险, IP位址和修正值用法同前。
5.2.3. Firewall内的DNS
相较之下, 在Firewall内安装DNS 是很简单的事, 只要在Firewall的机器上装 个DNS , 并且将Firewall内的机器DNS 设定改成它就行了。
5.3. 使用Proxy Server
5.3.1. Unix
若你的应用程式想要应用Proxy Server, 先绝条件是它们必须是"sockified" 型的, 所以你必须有两个TELNET, 一个是直接连接的, 一个则是透过Proxy Server 连接。Socks 有教你怎么去sockify 一个程式, 同时也有一堆己经sockified 的程 式, 如果你使用一sockified 版本去作直接连接, socks 会自动替你转换成直接版 。所以, 我们得把所有保护网内的原有程式改为 sockified 的版本, 先将"finger" 改为"finger.orig", "telnet" 改成"telnet.orig"等等, 你必须在include/socks.h 档中告诉socks这些资料。
有些程式会自行routing并sockify自己, Netscape就是一个例子。你可以在 Netscape中使用Proxy Server, 只要在Proxies 选项中输入 Server的位址就可以了 (在本例中为192.168.2.1)。每个应用程式都会让你有点手忙脚乱吧!
5.3.2. MS Windows/Trumpet Winsock
Trumpet Winsock 具有内容Proxy Server的能力, 在"setup" menu里输入你的 server IP位址和其他相关可以直接连通的电脑位址, Trumpet会处理所有外送的封 包。
5.4. 使Proxy Server处理UDP 封包
有点美中不足的是socks 软体只能处理TCP 封包, 而不包括UDP 封包。很多有 用的程式像talk, Archie都使用UDP。 有个软体可以用来当作UDP 的Proxy Server, 叫作UDPrelay, 由Tom Fitzgerald所写。不幸的是, 到目前为止, 它还不相容于Linux。
5.5. Proxy Server的缺点
Proxy Server是个安全装置, 用它在有限的IP位址上增加Internet的Access动 作会有一些缺点。Proxy Server允许在保护网路到Internet的大量Access, 却可以 让外界不能触及网路内部, 亦即外界的server, talk或Archie, mail 都无法真接传 至保护网路内, 看起来没什么大不了的, 可是请你仔细想想:
o 你可能在保护网路内用电脑打了一篇报告, 回家之后, 你想帮
