CSDN博客

img hem

如何在Redhat 6.1上用ipchains构建防火墙和IP伪装

发表于2001/6/7 15:09:00  814人阅读

如何在Redhat 6.1上用ipchains构建防火墙和IP伪装

发布日期: 1999-10-15
内容:


来源:中国Linux论坛 
作者:吴阿亭


简介: 
   Linux 2.2内核用ipchains代替了2.0内核中的
ipfwadm,在Redhat 6.0/6.1的版本中,ipfwadm不能再用
了。本文旨在介绍如何设置一个基本的防火墙系统和IP
伪装,允许内部用户用IP伪装上网,ipchains较之以前的
ipfwadm语法变动很大,如你想了解更多的命令和语法,
可以参考一篇网友翻译的中文ipchains howto
(http://www.hncd.gov.cn/linux) . 也可运行ipchains
--help
获得帮助。另外,本文的设置主要针对专线用户基本的
防火墙和IP伪装设置,也可供拨号用户参考。

思路:
   一般而言,实现Linux防火墙功能有两种策略,一种
是首先全面禁止所有的输入/输出/转发包,然后根据需
要逐步打开所要求的各项服务,这种方式最安全,但必
须全面考虑到自己所要使用的各项服务功能,不能有任
何遗漏,如果你对要实现的某种服务和功能不能清楚地
知道应该打开哪些服务和端口,那会比较麻烦;

  第二种方式是首先默认打开所有的输入/输出包,(对
转发包,不必打开,因为内部网段用保留地址,不能直
接与互联网交换数据,我们是通过用IP伪装的方式透明
地进行交换数据的),然后禁止某些危险包,IP欺骗
包,广播包,ICMP服务类型攻击等,对于应用层服务象
http,sendmail,pop3,ftp等,若不打算提供某些服务,
就不要启动它,或者根本就不要安装,这种方式虽然没
有第一种方式更安全,但是比较方便,容易配置,用户
不必过多地了解该如何打开一种服务(如FTP)所需要执
行的ipchains命令细节就能配置一个比较安全的防火墙
系统。

本文就采用第二种方式配置一个基本的防火墙系统,我的
内部网段使用192.168.11.0,eth0为外部网段网卡接
口,eth1为内部网段网卡接口。

实现:

   1. 安装完系统后,在/etc/rc.d/目录下创建一个
script叫ipchains.rules(执行#chmod u+x
ipchains.rules确保为可执行文件)然后加一
行/etc/rc.d/ipchains.rules到/etc/rc.d/rc.local
中,以确保每次机器重新启动后即运行所设定的各项防
火墙规则。
下面为该文件内容:
--------------------------
#!/bin/sh
echo "Starting ipchains firewall rules..."

# refresh all firewall rules
/sbin/ipchains -F forward
/sbin/ipchains -F input
/sbin/ipchains -F output

# setup default firewall rules
/sbin/ipchains -P forward DENY
/sbin/ipchains -P input ACCEPT
/sbin/ipchains -P output ACCEPT

external_interface=a.b.c.d

# setup Loopback interface
/sbin/ipchains -A input -j ACCEPT -i lo
/sbin/ipchains -A output  -j ACCEPT -i lo

# disabling IP spoofing
/sbin/ipchains -A input -j DENY -i eth0 -s
192.168.0.0/16
/sbin/ipchains -A input -j DENY -i eth0 -d
192.168.0.0/16

/sbin/ipchains -A output -j DENY -i eth0 -s
192.168.0.0/16
/sbin/ipchains -A output -j DENY -i eth0 -d
192.168.0.0/16

/sbin/ipchains -A input -j DENY -i eth0 -s
$external_interface/32
/sbin/ipchains -A output -j DENY -i eth0 -d
$external_interface/32

#refuse packets claiming to be to or from the
loopback interface
/sbin/ipchains -A input -j DENY -i eth0 -s
127.0.0.0/8
/sbin/ipchains -A input -j DENY -i eth0 -d
127.0.0.0/8

/sbin/ipchains -A output -j DENY -i eth0 -s
127.0.0.0/8
/sbin/ipchains -A output -j DENY -i eth0 -d
127.0.0.0/8

#refuse broadcast address source packets
/sbin/ipchains -A input -j DENY -i eth0 -s
255.255.255.255
/sbin/ipchains -A input -j DENY -i eth0 -d
0.0.0.0

#refuse multicast/anycast/broadcast address
/sbin/ipchains -A input -j DENY -i eth0 -s
240.0.0.0/3

#forwarding all internal traffic
/sbin/ipchains -A forward -j ACCEPT -i eth1 -s
192.168.11.0/24 -d 192.168.11.0/24

#setup IP Masquerading rules
echo "1" > /proc/sys/net/ipv4/ip_forward 
注:你也可以通过设置/etc/sysconfig/network文件启
动IP转发,改那一行
    FORWARD_IPV4=true即可,这样就不必设置上面的
echo行了。

# add modules for ftp, cuseeme, irc, real audio,
etc...
/sbin/modprobe ip_masq_ftp
/sbin/modprobe ip_masq_quake
/sbin/modprobe ip_masq_irc
/sbin/modprobe ip_masq_user
/sbin/modprobe ip_masq_raudio

#starting IP masquerading 
/sbin/ipchains -A forward -j MASQ -i eth0 -s
192.168.11.0/24

注:如果你仅仅希望让部分用户进行IP伪装,你也可以
个别设置,如
    /sbin/ipchains -A forward -j MASQ -i eth0 -s
192.168.11.3/32
    /sbin/ipchains -A forward -j MASQ -i eth0 -s
192.168.11.23/32
---------------------------------

其它防火墙安全事项:

  上面的设置启动了一个基本的防火墙系统,禁止IP欺
骗,广播包,但对于一个完整的防火墙系统,仍然要注
意下面几点:

1. 设置/etc/inetd.conf,禁止所有不需要的服务,象
所有的R命令,finger,talk等,一般而言,仅保留ftp,
telnet服务便于内部维护用途,同时设置
/etc/hosts.allow和/etc/hosts.deny,仅允许内部某些
管理用户可以telnet/ftp到该防火墙,当然,更安全的
办法是禁止所有的inetd服务,对ftp,telnet,安装
SSH,用SSH/scp代替telnet和ftp。

2. 启用影子口令(shadow password),简单的两个命令
是pwconv(启用影子口令)和pwunconv(恢复原状态),
Redhat 6的版本默认安装时已经启动了shadow
password,这样使得远程用户获得根密码更为困难,因为
影子口令使用/etc/shadow 存储口令文件,该文件仅仅
被root可读。

3.运行ntsysv检查,看是否启动了不需要的后台程序,
记住:仅仅启动那些你希望提供的服务后台程序,最大
限度地确保安全。

4.创建尽可能少的用户帐号,不断升级有安全漏洞的软
件包。
0 0

相关博文

我的热门文章

img
取 消
img