LINUX網(wǎng)絡(luò)安全文獻(xiàn)

瀟湘夜雨

我不是什么高手根據(jù)自己通過使用LINUX給大家寫了點(diǎn)我的個(gè)人心得給大家看看僅供參考
維護(hù)網(wǎng)絡(luò)安全性最簡(jiǎn)單的辦法是保證網(wǎng)絡(luò)中的主機(jī)不會(huì)接觸外界,也不被外界接觸,最容易的辦法是從不將自己的網(wǎng)絡(luò)連接到公共網(wǎng)絡(luò)上,例如INTERNET.這種通過隔離達(dá)到的安全性策略在許多情況下是不能接受的。使用私有IP地址是一種簡(jiǎn)單可行的方法.可以避免黑客進(jìn)入到用戶的私人計(jì)算機(jī).
RFC1918規(guī)定了能夠用于本地TCP/IP網(wǎng)絡(luò)使用的IP地址.這些IP地址不會(huì)被路由器處理.因?yàn)檫@些IP不會(huì)在INTERNET上路由,因此不必注冊(cè).通過在該范圍分配IP地址,可以有效的將網(wǎng)絡(luò)流量現(xiàn)在在本地網(wǎng)絡(luò)內(nèi).這是一種拒絕外部計(jì)算機(jī)訪問而允許內(nèi)部計(jì)算機(jī)之間的數(shù)據(jù)流同的快速有效的方法.所有有關(guān)互聯(lián)網(wǎng)的官方標(biāo)準(zhǔn)為RFC(REQUEST FOR COMMENT)來發(fā)行
  私有IP不能在INTERNET上路由,因此使用私有IP地址的系統(tǒng)無法訪問INTERNET但通過建立一個(gè)IP偽裝的服務(wù)器(一臺(tái)LINUX服務(wù)器)可解決這一問題.當(dāng)數(shù)據(jù)包離開計(jì)算機(jī)時(shí),包含有它自身的IP地址作為源地址,在數(shù)據(jù)抱經(jīng)過LINUX服務(wù)器發(fā)送到外不世界時(shí)回敬國一個(gè)轉(zhuǎn)換.服務(wù)器同時(shí)記錄哪個(gè)源地址的數(shù)據(jù)包發(fā)送到LNTERNET上的哪個(gè)目標(biāo)IP地址.當(dāng)數(shù)據(jù)包發(fā)送到INTERNET上之后,他能夠到達(dá)起目標(biāo)地址獲得其響應(yīng).
  這種設(shè)置有一個(gè)問題.因?yàn)閿?shù)據(jù)包的源地址為服務(wù)器的IP,而不是服務(wù)器后面利用戶計(jì)算機(jī)的IP地址所以,來自外部計(jì)算機(jī)的響應(yīng)將發(fā)送到服務(wù)器.因此,威力完整數(shù)據(jù)包傳輸,LINUX服務(wù)器必須搜索到一個(gè)表,以便確定該數(shù)據(jù)包屬于哪個(gè)計(jì)算機(jī).然后講述具保的源地址設(shè)置為私有用戶私有用戶計(jì)算機(jī)的 地址,并發(fā)送到該計(jì)算機(jī).顯然來自私有IP地址計(jì)算機(jī)的數(shù)據(jù)包現(xiàn)在能夠在INTERNET上傳輸了.因此,IP偽裝也也誠摯為網(wǎng)絡(luò)地址轉(zhuǎn)換.
  默認(rèn)情況下,LINUX內(nèi)核內(nèi)設(shè)置有IP偽裝功能.但是,如果已經(jīng)從內(nèi)核中刪除了這一功能,或者使用一個(gè)沒有內(nèi)置IP偽裝功能的內(nèi)核,則需要重新編譯內(nèi)核,然后設(shè)置數(shù)據(jù)包過濾規(guī)則以便允許轉(zhuǎn)換的進(jìn)行,為了讓IP偽裝能夠工作,則需要打開服務(wù)器的IP轉(zhuǎn)換服務(wù).大家可以通過將/etc/sysconfig/network文件中的FORWARD_IPV4設(shè)置為YES而打開IP轉(zhuǎn)換.
  為了將內(nèi)部網(wǎng)絡(luò)連接到外部世界,需要在IP偽裝服務(wù)器上有兩個(gè)網(wǎng)絡(luò)接口.一個(gè)借口用語連接到內(nèi)部網(wǎng)絡(luò),而里一個(gè)借口用來將服務(wù)器連接到外部世界 例如:
/sbin/ifconfig.ethl inet  211.123.1.1  netmask  255.255.255.0
將你的計(jì)算機(jī)IP地址培植為192.168.1.2到192.168.1.254,并將所有用戶的計(jì)算機(jī)的網(wǎng)管設(shè)置為192.168.1.1網(wǎng)絡(luò)掩碼為255.255.255.0 這是 所有的計(jì)算機(jī)能夠相互通信,
  /sbin/ipchains-A forward -j MASQ 192.168.1.0/24 -d0.0.0.0/0
  /sbin/ipchains-p forward DENY
第一條命令對(duì)其目標(biāo)地址不是192.168.1.0網(wǎng)絡(luò)的 IP數(shù)據(jù)報(bào)打開了IP偽裝功能服務(wù).他將轉(zhuǎn)換它最初來自192.168.1.0網(wǎng)絡(luò)的 經(jīng)過為裝的IP數(shù)據(jù)包,并竟發(fā)到另一個(gè)網(wǎng)絡(luò)接口鎖鏈界的網(wǎng)絡(luò)的默認(rèn)路由器.第二條將默認(rèn)的轉(zhuǎn)發(fā)策略設(shè)置為拒絕所有非內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包.可將上述的民令放在/etc/rc.d/rc.local zai引導(dǎo)服務(wù)器時(shí),就能夠啟動(dòng)IP為狀功能.
  由于時(shí)間倉促寫的可能不全有點(diǎn)雜亂望大家見晾.
中國E安聯(lián)盟 瀟湘夜雨發(fā)布如要轉(zhuǎn)載請(qǐng)寫明文章的出處  http://www.cnean.e-org.org/

開心笑一笑

好文章,這才有水平之作!不過下次要先排好版面!看起來有點(diǎn)亂!
以后跟妳學(xué)吧!呵呵!!!!!

dxp

厲害，我要拜你為師，別拒絕。。
能告訴我怎樣隱藏IP嗎？
謝謝。

lonelykiller

寫的不錯(cuò),但太累贅了.

zero-B

樓主就是瀟湘夜雨？
我就是拜他所賜才能來到CU的，謝謝哦!

盛冰

好，我頂

hailanlan1223

好帖  頂............

lengi

恩，但是這里有幾個(gè)問題要問一下。
1、如何保障高可用性（如果對(duì)外流量達(dá)到3G，請(qǐng)問放臺(tái)linux來做防火墻是不是跑不上3G）
2、如何保障高可靠性（做集群？大家知道服務(wù)器因?yàn)橛布�的故障冗機(jī)概率高于專業(yè)的網(wǎng)絡(luò)設(shè)備的）