分享
 
 
 

解决R9的VPNserver的DDOS问题

王朝other·作者佚名  2008-05-19
窄屏简体版  字體: |||超大  

1. 简介

解决了CIPE 在处理异常条件下存在错误可导致产生拒绝服务攻击。如果应用程序接收

到一个比它能处理最小CIPE包还小的包,就可以导致系统崩溃,停止后续处理。

CIPE运行在内核级别可以导致系统崩溃,或者不可测的数据丢失。

本是Linux Cipe+Masquerading mini-HOWTO. 本文解释如何使用cipe经由 linux masquerading firewall主机,来建立一个介於您的局烛网(LAN)与其它局烛网之间的虚拟私有网络(Virtual Private Network)。

1.1. 版权声明

(C)opyright 1998 Anthony Ciaravalo, acj@home.com

除非特别声明,否则Linux HOWTO文件的版权是归原作者所有。只要保证版权受到保护,Linux HOWTO文件能够以任何电子或实体媒介来进行完整或部分的复制、散布。商业化的重制是被允许的,甚至加以鼓励;但前提是必须知会原作者。

所有源自於Linux HOWTO的文件(包括翻译、改编、汇整等等)都必须包含本版权声明。也就是说,任何人皆不能在文件的散布上加诸其它限制。除非在某些特定情况下,才得以用特例允许;详情请与Linux HOWTO coordinator洽询,联络方式见後述。

如果您有任何疑问,欢迎洽询Linux HOWTO coordinator Greg Hankins ,您可以查询(finger)这个帐号以取得联络电话或邮件地址。

1.2 责任承担声明

使用此份文件的范例或信息,必须自行承担风险。在经由Internet连接到网络上时,可能会衍生许多安全性的议题。即使是您的讯息已经经过加密,但不正确的firewall设定仍然会导致安全上的裂缝。关于cipe connection您必须要特别小心谨慎,然而,仍然无法保障100%的安全。作者并不保证在本文件中所提供的信息同时也提供了一个安全的网络环境。

1.3. 使用回报

如果您有任何问题、建议、更正,或评论,欢迎您写信到 acj@home.net.

1.4. 本文件之最新版本

新版的文件将会发表到 cipe mailing list 并且email 给 Linux HOWTO coordinator 并且建档成 Linux HOWTO。

1.5 取得文件

本文件是针对 cipe 所写成的。您可以从 http://sites.inka.de/~bigred/sw/cipe-1.6.0.tar.gz取得文件文件。

2. 机器设定

2.1 Firewall 设定

本文件假设您的 kernel 已经设定成支持 IP masquerade 并且已经正常执行 firewall 相关设定。本文中并不解释如何去设定 masquerading firewall,而只介绍设定规则的范例,以说明在使用 masquerading firewall 时,如何让cipe能够正常运作。您可以在参考文件中找到如何设定 linux IP masquerade firewall.

2.2. The Star/Hub 设定

这个设定使用 star/hub 架构,因此如果 machine A 停止运作,那么machine B 和 C 将无法连线。您可以考虑在 machine B 和 C 之间增加一个 cipe connection 来解决这个问题。而当您将许多网络连结在一起的时候,就会开始变得有危机存在。本文件只介绍了 star/hub 设定的范例。

Machine A

eth0: 10.10.1.1

eth1: real ip 1

/

Machine B Machine C

eth0: 10.10.2.1 eth0:10.10.3.1

eth1: real ip 2 eth1: real ip 3

2.3. 名词参考

eth0 是 local network (fake address)

eth1 是 internet address (real address)

Port A 是任何您可以选择的有效通讯端口

Port B 是任何其余您可以选择的有效通讯端口

Key A 是任何您可以选择的有效 key (详情请阅读 cipe 文件)

Key B 是任何您可以选择的有效 key

2.4. Machine A 的设定

2.4a. /etc/cipe/ip-up

#a trimmed down version of the sample ip-up that comes with the

distribution

#!/bin/sh

umask 022

PATH=/sbin:/bin:/usr/sbin:/usr/bin

echo "UP $*" /tmp/cipe

echo $3 /var/run/$1.pid

#笔者倾向於在设定 routing 时分成不同的文件来设,详述如下。

2.4b. /etc/cipe/options.machineB

#设备域名

device cip3b0

# the peers internal (fake) ip address

ptpaddr 10.10.2.1

# my cipe (fake) ip address

ipaddr 10.10.1.1

# my real ip address and cipe port

me (real ip 1):(port A)

# the peers ip address and cipe port

peer (real ip 2):(port A)

#128 比特的加密 key,应予以保密

key (Key A)

2.4c. /etc/cipe/options.machineC

#设备域名

device cip3b1

# the peers internal (fake) ip address

ptpaddr 10.10.3.1

# my cipe (fake) ip address

ipaddr 10.10.1.1

# my real ip address and cipe port

me (real ip 1):(port B)

# the peers ip address and cipe port

peer (real ip 3):(port B)

#128 比特的加密 key,应予以保密

key (Key B)

2.4d. /etc/cipe/setroute

#!/bin/sh

#设定 routing table 的文件

#设定 Machine B 的 routing table

/sbin/route add -host 10.10.2.1 dev cip3b0

/sbin/route add -net 10.10.2.0 netmask 255.255.255.0 gw 10.10.2.1

#设定 Machine C 的 routing table

/sbin/route add -host 10.10.3.1 dev cip3b1

/sbin/route add -net 10.10.3.0 netmask 255.255.255.0 gw 10.10.3.1

2.4e. /etc/rc.d/rc.local

echo Configuring VPN network

/usr/local/sbin/ciped -o /etc/cipe/options.machineB

/usr/local/sbin/ciped -o /etc/cipe/options.machineC

/etc/cipe/setroute

2.4f. Firewall 规则

#去除所有 incoming firewall 的规则,并将缺省值设为 deny

/sbin/ipfwadm -I -f

/sbin/ipfwadm -I -p deny

#允许所有新进的封包 (packets) 经由 cipe links 送至您的网络中

/sbin/ipfwadm -I -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16

/sbin/ipfwadm -I -a accept -W cip3b1 -S 10.10.0.0/16 -D 10.10.0.0/16

#您可以再增加一些额外的封包进入规则

#去除所有 outgoing firewall 的规则,并将缺省值设为 deny

/sbin/ipfwadm -O -f

/sbin/ipfwadm -O -p deny

#允许所有送出的封包 (packets) 经由 cipe links 送至其它网络

/sbin/ipfwadm -O -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16

/sbin/ipfwadm -O -a accept -W cip3b1 -S 10.10.0.0/16 -D 10.10.0.0/16

#您可以再增加一些额外的封包送出规则

#去除所有 forwarding firewall 的规则,并将缺省值设为 deny

/sbin/ipfwadm -F -f

/sbin/ipfwadm -F -p deny

#允许所有转送的封包 (packets) 经由 cipe links 送至其它网络

/sbin/ipfwadm -F -a accept -W cip3b0 -S 10.10.0.0/16 -D 10.10.0.0/16

/sbin/ipfwadm -F -a accept -W cip3b1 -S 10.10.0.0/16 -D 10.10.0.0/16

#允许从这台机器的真实 ip forward 到其它机器的真实 ip

/sbin/ipfwadm -F -a accept -W eth1 -S (real ip 1) -D (real ip 2)

/sbin/ipfwadm -F -a accept -W eth1 -S (real ip 1) -D (real ip 3)

#允许经由 local interface (fake ip address) 转送到其它网络上

/sbin/ipfwadm -F -a accept -W eth0 -S 10.10.0.0/16 -D 10.10.0.0/16

#您可以再增加一些额外的封包转送规则

2.4g. 网关 (Gateway)

所有在 10.10.1.0 网络上的机器必须以 10.10.1.1 来当作网关,如果您不是如此设定,那么将无法正常运作。

2.5. Machine B 的设定

2.5a. /etc/cipe/ip-up

#a trimmed down version of the sample ip-up that comes with the

distribution

#!/bin/sh

umask 022

PATH=/sbin:/bin:/usr/sbin:/usr/bin

echo "UP $*" /tmp/cipe

echo $3 /var/run/$1.pid

#笔者倾向於在设定 routing 时分成不同的文件来设,详述如下。

2.5b. /etc/cipe/options.machineA

#设备域名

device cip3b0

# the peers internal (fake) ip address

ptpaddr 10.10.1.1

# my cipe (fake) ip address

ipaddr 10.10.2.1

# my real ip address and cipe port

me (real ip 1):(port A)

# the peers ip address and cipe port

peer (real ip 2):(port A)

#128 比特的加密 key,应予以保密

key (Key A)

2.5c. /etc/cipe/setroute

#!/bin/sh

#设定 routing table 的文件

#设定 Machine A 的 routing table

/sbin/route add -host 10.10.1.1 dev cip3b0

/sbin/route add -net 10.10.1.0 netmask 255.255.255.0 gw 10.10.1.1

2.5d. /etc/rc.d/rc.local

echo Configuring VPN network

/usr/local/sbin/ciped -o /etc/cipe/options.machineA

/etc/cipe/setroute

2.5e. Firewall 规则

(以下请参照 2.4f 的注解说明)

#flush all incoming firewall rules and

 
 
 
免责声明:本文为网络用户发布,其观点仅代表作者个人观点,与本站无关,本站仅提供信息存储服务。文中陈述内容未经本站证实,其真实性、完整性、及时性本站不作任何保证或承诺,请读者仅作参考,并请自行核实相关内容。
2023年上半年GDP全球前十五强
 百态   2023-10-24
美众议院议长启动对拜登的弹劾调查
 百态   2023-09-13
上海、济南、武汉等多地出现不明坠落物
 探索   2023-09-06
印度或要将国名改为“巴拉特”
 百态   2023-09-06
男子为女友送行,买票不登机被捕
 百态   2023-08-20
手机地震预警功能怎么开?
 干货   2023-08-06
女子4年卖2套房花700多万做美容:不但没变美脸,面部还出现变形
 百态   2023-08-04
住户一楼被水淹 还冲来8头猪
 百态   2023-07-31
女子体内爬出大量瓜子状活虫
 百态   2023-07-25
地球连续35年收到神秘规律性信号,网友:不要回答!
 探索   2023-07-21
全球镓价格本周大涨27%
 探索   2023-07-09
钱都流向了那些不缺钱的人,苦都留给了能吃苦的人
 探索   2023-07-02
倩女手游刀客魅者强控制(强混乱强眩晕强睡眠)和对应控制抗性的关系
 百态   2020-08-20
美国5月9日最新疫情:美国确诊人数突破131万
 百态   2020-05-09
荷兰政府宣布将集体辞职
 干货   2020-04-30
倩女幽魂手游师徒任务情义春秋猜成语答案逍遥观:鹏程万里
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案神机营:射石饮羽
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案昆仑山:拔刀相助
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案天工阁:鬼斧神工
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案丝路古道:单枪匹马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:与虎谋皮
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:李代桃僵
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案镇郊荒野:指鹿为马
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:小鸟依人
 干货   2019-11-12
倩女幽魂手游师徒任务情义春秋猜成语答案金陵:千金买邻
 干货   2019-11-12
 
推荐阅读
 
 
 
>>返回首頁<<
 
靜靜地坐在廢墟上,四周的荒凉一望無際,忽然覺得,淒涼也很美
© 2005- 王朝網路 版權所有