Unix/Linux作坊
原始文件：Linux IP Masquerade mini HOWTO
Ambrose Au, achau@wwonline.com
v1.00, 1 January 1997
翻译日期：1997/04/14
翻译维护：asdchen@ms1.hinet.netO
---------------------------------------------------------------Ｘ---
O
这份文件描述如何在一台 Linux主机上起动 IP Masquerade功能
，允许没有注册网际网路 IP 位址的连线电脑经由你的 Linux机器
连接网际网路。
1.简介
1.1.简介
这份文件描述如何在一台 Linux主机上起动 IP Masquerade功能
，允许没有注册网际网路 IP 位址的连线电脑经由你的 Linux机器
连接网际网路。你的机器可能是以乙太网路连接 Linux, 也可能是其
它种类，像是拨接的点对点(ppp) 连线。这份文件将会强调乙太网路
连线的情况，因为这应该是最常见的案例。
这份文件倾向给使用 2.0.x核心的使用者参考，不包含发展中
的 2.1.x核心。
1.2.前言，回馈＆参考资讯
首先，我想让你知道我不是对 IP masquerade了解非常透彻或很有
经验的人。
我发现新手在较新的核心上，像是 2.x核心，设定 IP Masguerade
时非常困惑。虽然有份常见问答集(FAQ) 与邮递列表(mailing list)
，然而没有一份这方面的专门文件；而且在邮递列表上有些对於这样
一份说明文件(HOWTO) 的请求。所以，我决定撰写它给所有新手作为
一个起点，并且希望能抛砖引玉，作为那些非常了解它的使用者建立
文件的基础。如果你认为我做的不好，不要在意告诉我，这样我能把
它做得更好。
这份文件很多是以原先 Ken Eves 的常见问答集以及 ip_masq邮递
列表里许多有帮助的讯息作为基础。特别感谢Mr. Matthew Driver
在邮递列表中的讯息引发我设立 ip_masq的灵感以及最後撰写了这
份文件。
如果我的任何资讯有误或遗漏任何资讯，请别介意把任何回馈或意见
寄到 achau@wwonline.com 来。你的无价回馈将影响未来的这份说明
文件!
这份说明文件是想作为让你的 IP Masquerade能在最短时间内运作
的快速指引。最新的消息以及资讯可以在我所维护的 IP Masquerade
Resource网页上找到。如果你有任何关於 IP Masquerade的技术
问题，请加入 IP Masquerade邮递列表而别寄电子邮件给我，因为
我的时间有限，而且 IP_ Masq 的发展者们更有能力回答你的问题。
这份文件最新的版本可以在 IP Masquerade Resource 上找到，里面
也有 HTML 以及 postscript 的版本。
。 http://www.wwonline.com/~achau/ipmasq/
。 http://www.hwy401.com/achau/ipmasq/
。 http://www.leg.uct.ac.za/mirrors/ipmasq/
。 http://130.89.230.132/linux/ipmasq/
1.3.版权＆宣告
这份文件版权属於 Ambrose Au,而且是免费的文件。你可以在 GNU
的通用公开授权方式下散播它。
这份文件中的资讯跟其它内容都已经尽了我最大的努力。无论如何，
ip_masq 是实验性的，而且我也可能会犯些错误；所以你应该自己决
定是不是要照著这份文件中的资讯做。
没有人会为使用这份文件中的资讯所造成的电脑损坏或其它损失负责
。i.e.
作者不对依照这份文件内容动作所造成的损害负责。
This document is copyright(c) 1996 Ambrose Au, and it's a free
document. You can redistribute it under the terms of the GNU General
Public License.
The information and other contents in this document are to the best of
my knowledge. However, ip_masq is experimental, and there is chance
that I make mistakes as well; so you should determine if you want to
follow the information in this document.
Nobody is responsible for any damage on your computers and any other
losses by using the information on this document. i.e.
THE AUTHOR IS NOT RESPONSIBLE FOR ANY DAMAGES INCURRED DUE
TO ACTIONS TAKEN BASED ON THE INFORMATION IN THIS DOCUMENT.
2.背景知识
2.1.什麽是 IP Masquerade?
IP Masquerade 是 Linux发展中的一种网路功能。如果一台 Linux
主机使用 IP Masquerade功能连线到网际网路上，那麽接上它的电
脑（不论是在同一个区域网路上或藉由数据机连线）也可以接触网际
网路，即使它们没有获得正式指定的 IP 位址。
这使得一些电脑可以隐藏在闸道(gateway) 系统後面存取网际网路而
不被发现，看起来就像只有这个系统在使用网际网路。突破设定良好
的伪装(masquerade)系统之安全防护应该会比突破良好的封包过滤式
防火墙(packet filter firewall)来得更加困难（假设两者之中都没
有错误）。
2.2.现况
IP Masquerade 仍然在实验阶段。无论如何，核心从 1.3.x开始已
经内建这项支援。许多个人甚至公司正在使用它，而有满意的结果。
浏览网页以及远端签入(telnet)已经有回报表示可以在 ip_masq上
运作。档案传输(FTP)， 网路交谈(IRC) 以及聆听 Real Audio 现在
可以载入某些模组配合。其它的网路资料流音讯 (streaming audio)
像是 True Speech以及 Internet Wave也能运作。一些邮递列表
中的使用夥伴甚至还尝试过视讯会议软体。 Ping 现在配合新近可以
取得的网际网路控制讯息协定(ICMP)修补档也能运作。更完整的支援
软体列表请参考 4.3节。
IP Masquerade 在数种不同的作业系统及平台上与’客户端机器’配
合良好。成功的案例有使用 Unix, Windows95, Windows NT,
Windows for Workgroup (with TCP/IP package) , OS/2, Macintosh
System's OS with Mac TCP, Mac Open Transport, DOS with NCSA
Telnet package, VAX, Alpha with Linux, 甚至 Amiga with AmiTCP
or AS225-stack的系统。
2.3.谁可以从 IP Masquerade中获益?
。如果你有台连接网际网路的 Linux主几，而且
。如果你有一些执行 TCP/IP 连接到 Linux机器的电脑在区域网路
上，以及／或是
。如果你的 Linux主机有一个以上的数据机并且作为 PPP 或 SLIP
伺服器连接其它电脑，它们
。这些”其它”机器没有正式指定的 IP 位址。（这些机器从这里开
始以後就称为”其它”机器）
。而且当然，如果你希望这些”其它”机器不必花额外的费用就能连
上网际网路:)
2.4.谁不需要 IP Masquerade?
。如果你的机器是单独一台(stand-alone) 连接网际网路的 Linux
主机，那麽执行 ip_masq没什麽意义，或者
。如果你的”其它”机器拥有正式指定的 IP 位址，那麽你就不需要
IP Masquerade ，
。而且当然，如果你不喜欢免费使用(free ride) 这个主意的话。
2.5.IP Masquerade 是如何运作的?
节自 Ken eves 的 IP Masquerade FAQ:
这是大部分简单的设定草图:
SLIP/PPP +------------+ +-------------+
to provider|Linux | SLIP/PPP| Anybox|
＜---------- modem1||modem2 ----------- modem | |
111.222.333.444 || 192.168.1.100 | |
+------------+ +-------------+
上面的草图中一台安装并执行 ip_masquerading的 Linux
机器使用 modem1 经由 SLIP/or/PPP连接网际网路。它有一个
指定的 IP 位址 111.222.333.444。它设定 modem2 允许拨接者
签入并起始 SLIP/or/PPP连结。
第二个系统（不必是执行 Linux的系统）拨接进入 Linux
机器并起始 SLIP/or/PPP连结。它在网际网路上并没有指定的
IP位址所以它使用 192.168.1.100。（参阅下述）
配合 ip_masquerade及适当递送配置(routing configured)
Anybox这台机器可以跟网际网路交流就如同它真的连在上面般
（除了少数例外）。
节录 Pauline Middelink:
别忘记提到 ANYBOX 应该把 Linux机器当作它的闸道（无论是
预设递送路径或只是个子网路都没关系）。如果 ANYBOX 不能够
这样设， Linux机器应该为所有要递送的位址做代理位址解析
析协定(proxy arp) 服务，但代理位址解析的设定超过这份文件
的□围。
下面节录自 comp.os.linux.networking 的一篇布告并且稍加编辑以
符合上述□例的用词:
。我告诉 ANYBOX 这台机器跑 slip 的 linux机器是它的闸道。
。当一个封包从 ANYBOX 进入 linux机器时，它会指定新的来源埠
号(source port number)，把它自己的 ip 位址塞入封包的标头并
储存原来的。然後它将会藉由 SLIP/or/PPP界面把修改过的封包
送上网际网路。
。当一个封包从网际网路来到 linux机器时，如果埠号是上面指定
的其中一个，它将会取出原来的埠号以及 ip 位址，把它们放回封
包的标头，并且把封包送往 ANYBOX 。
。送出封包的主机将永远不知道其中的差别。
一个 IP Masquerading的例子:
下面的图示是典型的例子:
+----------+
||Ethernet
| abox |::::::
||2:192.168.1.x
+----------+ :
: +----------+ PPP
+----------+ :1|Linux | link
|| ::::| masq-gate|:::::::::// Internet
| bbox |:::::: ||
||3: +----------+
+----------+ :
:
+----------+ :
|| :
| cbox |::::::
||4
+----------+
＜-Internal Network-＞
在这个例子中我们考虑 4台电脑系统（想必遥远的右方还有些东西
让你到网际网路的 IP 连线能够连接，以及一些（远超过这一页）在
网际网路上你有兴趣交换资讯的东西）。这个 Linux系统伪装闸道
是 abox, bbox, cbox 内部网路机器连接网际网路的伪装闸道。内部
网路使用指定的私用(private) 网路位址，在这个案例中是 class C
网路 192.168.1.0, linux 机器拥有位址 192.168.1.1而’其它’
系统也拥有此网路上的位址。
这三台机器 abox, bbox 以及 cbox （它们可以执行任何作业系统－
像是 Windows95, Macintosh MacTCP或甚至是另一台 linux机器
，只要它们能了解 IP ）可以连线到网际网路上的其它机器去，然而
这个伪装系统闸道转换它们所有的连线所以这些连线看起来像是原本
即从伪装闸道本身发出的，而且还安排伪装连线传回的资料转回原先
的系统－所以在内部网路上的系统看到的是直接通往网际网路的递送
路径而且不知道他们的资料被伪装过。
2.6.在 Linux 2.x上使用 IP Masquerade的需求
。核心 2.0.x的原始程式码可以从这里取得
ftp://ftp.funet.fi/pub/Linux/kernel/src/v2.0/
（是的，你将得配合加入一些支援来编译你的核心....
建议最新的稳定版本）
。可载入核心模组，最好是 2.0.0或更新的版本，可以从这里取得
http://www.pi.se/blox/modules/modules-2.0.0.tar.gz
（至少需要 modules-1.3.57 ）
。设定良好的 TCP/IP 网路
涵盖於 Linux NET-2 HOWTO
＜http://www.caldera.com/LDP/HOWTO/NET-2-HOWTO.html＞及网路
管理者指引(Network Administrator's Guide)
＜http://linuxwww.db.erau.edu/NAG/＞
。你的 Linux主机的网际网路连线
涵盖於 Linux ISP Hookup HOWTO
＜http://www.caldera.com/LDP/HOWTO/ISP-Hookup-HOWTO.html＞,
Linux PPP HOWTO ＜http://www.caldera.com/LDP/HOWTO/PPP-HOWTO.html＞
以及 Linux PPP-over-ISDN mini-HOWTO
＜http://www.caldera.com/LDP/HOWTO/mini/PPP-over-ISDN＞
。Ipfwadm 2.3 或更新的版本可以从这里取得
ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz
在 Linux Ipfwadm网页上有更多关於版本的资讯
＜http://www.xos.nl/linux/ipfwadm/＞
。你可以选择性地应用一些 IP Masquerade修补档打开其它功能。
从这里可以取的更多资讯， IP Masquerade Resources
＜http://www.wwonline.com/~achau/ipmasq/＞（这些修补档适用於
所有的 2.0.x核心）
3.IP Masquerade 的设定
如果你的私用网路里有任何重要的资讯，在使用 IP Masquerade
之前请三思。这可能成为你通往网际网路的闸道，反之亦然，也
可能成为另一边的世界进入你私用网路的途径。
3.1.编译核心加入 IP Masquerade的支援
。首先，你需要核心的原始程式码（最好是稳定的2.0.0 版或以上
的核心）
。如果这是你第一次编译核心，不要害怕。事实上，这非常容易而且
涵盖於 Linux Kernel HOWTO
＜http://www.caldera.com/LDP/HOWTO/Kernel-HOWTO.html＞
。使用指令: tar zxvf linux-2.0.x.tar.gz -C /usr/src 把核心的
原始程式码解至 /usr/src/ ， 其中 x是 2.0之後的修补层级
（确定有个称为 linux的目录或符号链结）
。加上适当的修补。因为新的修补档不断出来，所以细节不会包含在
这里。最新的资讯请参考 IP Masquerade Resources
＜http://www.wwonline.com/~achau/ipmasq/＞
。有关编译核心更进一步的介绍请参考 Kernel HOWTO 以及核心原始
程式码目录里的 README 档案
。这里是你要编译进去的选项:
下列选项要回答 YES
* Prompt for development and/or incomplete code/drivers
CONFIG_EXPERIMENTAL
- 这将让你能选择把实验性的 ip_masq程式码编译到核心里去
* Enable loadable module support
CONFIG_MODULES
- 让你能够载入模组
* Networking support
CONFIG_NET
* Network firewalls
CONFIG_FIREWALL
* TCP/IP networking
CONFIG_INET
* IP: forwarding/gatewaying
CONFIG_IP_FORWARD
* IP: firewalling
CONFIG_IP_FIREWALL
* IP: masquerading (EXPERIMENTAL)
CONFIG_IP_MASQUERADE
- 这虽然是实验性的，但却是＊必须＊的
* IP: always defragment
CONFIG_IP_ALWAYS_DEFRAG
- 高度建议
* Dummy net driver support
CONFIG_DUMMY
- 建议使用
注意: 这些只是 ip_masq所需要的，你还需选择其它任何你的设定
需要的选项。
。编译核心之後，你应该编译并安装模组:
make modules; make modules_install
。然後你应该在 /etc/rc.d/rc.local （或任何你认为合适的档案）
里加上几行以便每次启动时自动载入 /lib/modules/2.0.x/ipv4/
里所需的模组:
.
.
.
/sbin/depmod -a
/sbin/modprobe ip_masq_ftp
/sbin/modprobe ip_masq_raudio
/sbin/modprobe ip_masq_irc
（以及其它像是 ip_masq_cuseeme, ip_masq_vdolive 等模组，如果
你有加上适当的修补）
.
.
.
注意: 你也可以在使用 ip_masq之前手动地载入它，但是不要使用
kerneld 来载入，这是不行的!
3.2.指定私用网路的 IP 位址
因为所有’其它’机器都没有正式指定的位址，必须有个正确的方式
来分配位址给这些机器。
节自 IP Masquerade FAQ:
有份 RFC(#1597) 是有关没有与外界连线的网路该使用什麽 IP 位址
。有三个数字区块是特别为这个目的而保留的。其中一个我使用的是
192.168.1.n 到 192.168.255.n之间的 255 Class-C子网路。
节自 RFC 1597:
第三节: 私用位址空间
网际网路位址指定当局(IANA: Internet Assigned Numbers Authority)
已经保留下列三个区块的 IP 位址空间给私用网路:
10.0.0.0- 10.255.255.255
172.16.0.0- 172.31.255.255
192.168.0.0 - 192.168.255.255
我们将称第一个区块为”24位元区块”，第二个为”20位元区块
”，而第三个则称为”16位元区块”。注意到第一个区块就只是
个 class A网路号码，第二个区块则是连续的 16 个 class B
网路号码，而第三个区块是一组 255个连续的 class C网路
号码。
所以，如果你要使用一个 class C网路的话，那麽你的机器应该以
192.168.1.1, 192.168.1.2, 192.168.1.3, ..., 192.168.1.x 来名
之。
192.168.1.1 通常是闸道这台机器，在此即你连上网际网路的 Linux
主机。注意 192.168.1.0以及 192.168.1.x分别为网路以及广播
位址，是保留的。避免在你的机器上使用这些位址。
3.3.配置”其它”机器
除了为每台机器设定适当的 IP 位址之外，你也应该设定适当的闸道
。一般说来，这是非常直接了当的。你只需简单地输入 Linux主机
的位址（通常是 192.168.1.1）作为闸道位址。
关於领域名称服务，你可以加入任何 DNS系统。最可能的应该是你
Linux 使用的那一个。你也可以选择性地加上任何网域字尾( domain
suffix) 。
在你重新配置这些 IP 位址之後，记得重新启动适当的服务或是重新
开机。
下面的配置□例假设你使用一个 Class C网路并且以 192.168.1.1
作为 Linux主机的位址。请注意 192.168.1.0及 192.168.1.255
是保留的。
3.3.1.配置 Windows 95
1.如果你还没有安装网路卡以及界面驱动程式，现在做。
2.到’控制台／网路’里去。
3.如果你的网路配置里没有’TCP/IP协定’则加进去。
4.在’TCP/IP内容’中，选择’IP位址’并且把 IP 位址设定为
192.168.1.x,(1＜x＜255) ，并且把子网路遮罩设为 255.255.255.0
5.在’通讯闸’中加入 192.168.1.x作为你的闸道。
6.在’DNS 配置’／’DNS 伺服器’下加入你的 Linux主机使用的
DNS （通常可以在 /etc/resolv.co
