Firewalling 及 Proxy Server HOWTO 中文版 v1.0, 9 Nov 1996
译者: 李明儒 Jeffrey Lee
jeffrey@linux.im.ntit.edu.tw OR m2003@im.nt it.edu.tw
原文: Firewalling and Proxy Server HOWTO v0.2, 17 July 1995
原文作者: David Rudder, drig@execpc.com
前言: 用Linux 有一阵子了, 玩Linux 久了的人都知道在GNU 的世界里, 不必花费一毛钱, 就有程式可以抓、有文件可以看。抓多看多了, 就不得不感佩这群Linux 奇迹幕後的无名英雄, 不像一些软体帝国主义者, 一心只想用软体捞钱, 而无私的贡献自己的心血给大家分享。刚好最近在研究Firewall, 就「顺手」把它翻成中文, 让大家分享我研读的心得, 试著追随那些软体乌托邦理想家的脚步。庆幸原文作者的笔法还算浅显易懂, 但有些地方写得相当简要, 所以译文中不免有部份属个人的揣测推敲, 如果你发现任何地方有疑问, 欢迎来信指教。
Please Mail to jeffrey@linux.im.ntit.edu.tw

本文将简单的教你如何在Linux 上安装Firewall, 同时也会提到Proxy Server的安装及使用, 藉著Proxy Server使在Firewall後方的人对於Internet也能拥有比较大的Access权限。
1. 介绍

这一阵子, Firewall成了Internet保全上的热门话题, 但也造成了许多人对它的误解。这篇HOWTO 将会探讨什麽是Firewall？如何安装？何谓Proxy Server？如何设定Proxy Server？以及这些技术除了安全以外的新应用。

1.1. 读者回响

欢迎给我任何意见, 我尤其想知道Macintosh 使用者的意见, 我在这方面的资讯不多, 「如果发现这篇文章中有任何错误, 请务必通知我」。人非圣贤, 孰能无过嘛! 如果你有发现任何错误, 请通知我, 我会很乐意去更正它的。我会试著去回覆所有的来信, 不过我挺忙的, 不要对我太苛求。我的EMAIL地址是drig@execpc.com.
[译注: 我也绝对欢迎任何意见, 请寄到jeffrey@linux.im.ntit.edu.tw]

1.2. 严正声明

这份文件将介绍Firewall及Proxy Server的原理, 我无意装作是个网路安全专家, 我只是个读得多而且爱电脑胜过爱人类的家伙。在此声明, 我不对任何依本文所做行为所造成的损害负任何责任( I AM NOT RESPONSIBLE FOR ANY DAMAGESINCURRED DUE TO ACTIONS TAKEN BASED ON THIS DOCUMENT. ) 我只是想藉这篇文章去帮助你熟悉这个主题, 而非要穷毕生之力来研究它。

1.3. 版权宣告

除非另有声明, Linux HOWTO文件的版权归原作者所有。Linux HOWTO文件可以重制及散布其全部或部份在任何媒体上, 只要完整保留此一版权宣告。允许也欢迎商业性的散布行为, 但应先知会作者。
所有对Linux HOWTO 文件的翻译、修正、整理必须包含此版权宣告。亦即, 你不能修改本文件却在转手散布时加诸额外的条件限制。如有异议请连络Linux HOWTOcoordinator, 地址在下面。我们希望此一资讯能从愈多管道散愈好, 不过我们仍希望能保留HOWTO文件的版权, 如有任何散布计划, 请通知我们。
如有任何问题, 请连络David Rudder<drig@execpc.com>, 译文作者是Jeffrey Lee
<jeffrey@linux.im.ntit.edu.tw或m2003@im.ntit.edu.tw>

[译注: 我觉得这一段比技术性的本文还难翻, 而且有其法律上的重要性, 所以原文附上, 若中文语意和原文有所出入, 以原文为准。

Unless otherwise stated, Linux HOWTO documents are copyrighted bytheir respective authors. Linux HOWTO documents may be reproduced anddistributed in whole or in part, in any medium physical or electronic,as long as this copyright notice is retained on all copies. Commercialredistribution is allowed and encouraged; however, the author wouldlike to be notified of any such distributions.

All translations, derivative works, or aggregate works incorporatingany Linux HOWTO documents must be covered under this copyright notice.
That is, you may not produce a derivative work from a HOWTO and imposeadditional restrictions on its distribution. Exceptions to these rulesmay be granted under certain conditions; please contact the LinuxHOWTO coordinator at the address given below.

In short, we wish to promote dissemination of this information throughas many channels as possible. However, we do wish to retain copyrighton the HOWTO documents, and would like to be notified of any plans toredistribute the HOWTOs.

If you have any questions, please contact David Rudder
<drig@execpc.com>. ]

1.4. 写这篇文章的动机
过去一年来在comp.os.linux 论坛上有一大堆人在求救, 寻求Firewall方面的协助, 似乎也没有什麽人要回答。我猜是没人知道要怎麽回答吧! 所以我花了一点时间玩了玩Firewall, 写这篇文章来回应那些需求。

1.5. 尚待努力方向

o 学习Macintosh的做法
o 学习不同的Windows TCP/IP套装软体
o 找个好用的UDP Proxy Server和Linux搭配

1.6. 深入研究时的参考资料

o TIS Firewall Toolkit文件
o NET-2 HOWTO
o PPP HOWTO
o Ethernet HOWTO
o MultIPle Ethernet Mini HOWTO
o Networking with Linux
o TCP/IP Network Administrator''s Guide by O''Reilly and Associates

Firewall Toolkit by TIS 有一套很棒的文件, 其中有谈到Firewall及相关的资料, 至於Firewall Toolkit的进一步说明, 请看Firewall软体那一节。

2. 了解Firewalls

Firewall原来是汽车上的一个术语, 它用来隔离引擎和乘客, 在引擎爆炸时可以发挥保护乘客的功能。电脑上的Firewall是一个逻辑装置, 用来保护私人的区域不受公用部份的侵害, 做法是:

1. 找一部有Routing能力的电脑(例如Linux)
2. 加入两个界面(例如: 序列埠、Ethernet、Token Ring等等)
3. 关掉IP forwarding的功能
4. 把其中一个界面接上Internet
5. 把受保护的网路接在另一个界面上

现在你使电脑接到两个不同的网路上。这部Firewall电脑, 现在就称为Firewall了, 可以接到Internet上, 也可以接到保护网路(Protected Network) 上。但保护网路无法连上 Internet, Internet也连不上保护网路。

如果要从保护网路内连上Internet, 必须要先telnet到Firewall, 从那里使用Internet。同样的, Internet上的人要进入保护网路, 也必须先透过Firewall。

这种作法对於Internet上的攻击有很优秀的免疫作用。如果有人企图对受保护的网路进行攻击, 则必须先穿过Firewall, 攻击必须分成两步骤, 难度也增加了。如果有人想藉著使用一般的手法, 邮件炸弹(MAIL BOMB)或"Internet Worm", 来攻击受保护的网路, 他们可能是无法如愿的。

2.1. Firewall的缺点

Firewall最大的问题在於由内部Access Internet的困难。基本上, Firewall利用Dial-Up Shell 的帐号来减少对於Internet的使用, 必须先login Firewall才能做其他对Internet的Access动作。因此一些需要直接连接Internet的程式(如Netscape) 便无法在Firewall後方顺利动作, 解决的办法——Proxy Server。

2.2. Proxy Server

Proxy Server可用来协助由Firewall後方直接Access到Internet。它们的工作是在Server上开启一个Socket, 作为和Internet沟通的管道。举例来说, 我的电脑drig是在保护网路内, 当我要使用Netscape去浏览Web 时, 我得在Firewall上建个ProxyServer, 这个Proxy Server设定好可以接受我的电脑的请求, 要连上Port 80请求转接到它的Port 1080上。

任何用过TIA 或TERM的人应该对这个观念不会太陌生, 在这两个程式里, 你可以对一个Port做转向的动作。我的一个朋友用TIA 设定允许大家用192.251.139.21 port4024去连上他的web server。这里提到的Proxy Server原理也差不多, 只是恰好相反,让你使用port 1080(或某特定值)去连接其他人的port 80。Proxy Server最了不起的地方在於它的安全性, 如果你设定正确的话, 它不会允许任何人逾越它。

3. 动手吧!

3.1. 硬体需求

本例中, 电脑采用486-DX66, 8M RAM, 500M Linux 分割, 以一台1.44 bpsMODEM连到ISP上。这就是原本Linux box的基本配备, 要架成Firewall, 我们还得加上一块NE2000 Ethernet网路卡。接著连上三部PC(Win 3.1+Trumpet Winsock)和两台Suns(SunOS 4.1)。我选择这样的架构是著眼於它很普通常见, 而且我对这两种平台都蛮熟悉的。本来有考虑要加上Mac, 可是我不太常用也不熟, 就算了。

3.2. 设定软体

现在, Linux box 透过14.4 PPP line连上Internet, 再用Ethernet连上其他的电脑。首先, 先recomplie linux kernel, make config时得做适当的调整。
我参考了Kernel HOWTO, Ethernet HOWTO, NET-2 HOWTO然後进行"make config":

1. 使用Networking Support
2. 使用TCP/IP Networking
3. 取消IP Forwarding (CONFIG_IP_FORWARD).
4. 使用IP Firewalling
5. 可以使用IP accounting, 这样比较审慎一点。
6. 使用Networking Device Support
7. 使用PPP 及Ethernet support, 视你的界面而定

接著, 我们recompile, reinstall kernel 後重开机。应该可以在开机过程中看到我们所加入的界面的资料, 如果没有, 参考其他的HOWTO, 看看是那里做错了。

3.3. 设定网路位址

这是很有趣的一部份。因为我们不希望Internet直接Access我们的网路, 所以不必使用真实位址。一个不错的选择是C Class的192.168.2.xxx, 它是设定来做测试的dummy domain。所以放心大胆的用它吧! 没人会跟你抢的。在我们的设定中,只需要一个真实的位址, 其他的自设就可以了。指定连上PPP 的串列埠一个真实IP位址, Firewall上的Ethernet卡设为192.168.2.1, 将其他电脑设为192.168.2.xxx。

3.4. 测试看看

试著从Firewall上ping一个Internet上的Node。我使用nic.ddn.mil做为测试点。[ 译注: 在国内可以ping edu.tw 看看 ]如果不行, 查查你的PPP 有没有设好,仔细的读一下Net-2 HOWTO, 再试一次。

现在, 试著ping保护网路内的电脑, 所有网路内的电脑应该可以ping其他任何一台电脑, 如果不行, 老话一句, 看看NET-2 HOWTO 再试一次。接著, 所有在保护网路内的机器应该都可以ping Firewall。若不行, 再重覆以上步骤, 记得, 你该ping 192.168.2.1, 而非PPP 的真实IP位址。

然後试著从Firewall里的电脑去ping PPP的IP位址, 如果可以, 表示你IPForwarding的功能未取消, 你必须重新compile kernel。虽然我们已经把受保护的网路设为192.168.2.1 domain, 不会收到来自Internet的封包, 可是把IP Forwarding关掉还是比较保险一点, 可以自己主控全局而非仰赖ISP。

最後, 从Firewall上ping一下受保护的网路内的机器, 到这个地步, 应该不会有什麽问题。到这里, 我们已经完成了最基础的Firewall安装。

3.5. Firewall的安全性

目前的Firewall还不够好, 因为它还敞开著大门等待别人来攻击。首先, 找到/etc/inetd.conf, 它又被称为"super server", 因为在上面有超过一打的serverdaemon被执行。例如:

o Telnet
o Talk
o FTP
o Daytime

取消所有不需要的功能, 例如netstat、systat、tftp、bootp、finger。甚至你可以关掉telnet只允许rlogin或vica-versa。你只要在该功能前加上# 就可以轻易的把它取消掉。利用kill -HUP <pid> 送出一个SIG-HUP给inetd, inetd 重新去读取我们刚才改的设定(inetd.conf)同时restart。试试telnet Firewall的port15(netstat port), 如果你还读得到netstat的资料, 表示你没有正确的restartinetd。[译注: 如果还搞不定, 考虑reboot吧!]

4. Firewall软体

4.1. 可用的套装软体

单纯的Firewall除了Linux核心及基本网路套装软体(inetd, telnetd和telnet,ftpd和ftp)外不需外加任何软体, 但这种情况下, 限制极多而且不太好用。所以有些软体可以使你的Firewall更有用, 我最主要要探讨的是一个叫"socks"的ProxyServer。另外, 有两个软体你可以记在心中, 我等一下会简单介绍。

4.2. TIS Firewall Toolkit

TIS 中有一套程式用来进行Firewalling, 这些程式和socks基本上相同, 但采用了不同的设计策略。socks是用一个程式来搞定所有的Internet动作, TIS 则利为不同的功能发展不同的程式。

为了明白说明起见, 就以World Wide Web和telnet作例子吧! 在socks中, 你要设定一个config档和一个daemon, 透过这个档案及daemon, telnet及www可以正常使用, 就宛如你没把它们关掉前一样。

而在TIS toolkit中, 你要为WWW and Telnet各设一个daemon及config档。完成之後, 其他的Internet Access仍被禁止, 直到你完成其设定为止。如果某一特定功能没有daemon(如talk), 可以使用"plug-in"的daemon, 只是不像其他的工具那样有弹性且不易使用罢了。

这里似乎有一点小小的不同, 不过会造成很大的不同——socks 允许你随便设设就上路, 不过一个设定不良的Socks server, 网路内部的人可以试著得到超出预期的Internet Access权。而TIS toolkit中, 人们只能使用系统管理者所赋与的权限。

Socks易於安装、易於complie且具有较大的弹性。如果你想严格控制网路内的使用者, 则TIS toolkit的安全性较佳。但二者都提供了对外的绝对保护。

转载地址：http://www.net130.com/CMS/Pub/network/network_manage/211040.htm