一般而言，實(shí)現(xiàn)Linux的防火墻功能有兩種策略。一種是首先全面禁止所有的輸入、輸出和轉(zhuǎn)發(fā)數(shù)據(jù)包，然后根據(jù)用戶(hù)的具體需要逐步打開(kāi)各項(xiàng)服務(wù)功能。這種方式的特點(diǎn)是安全性很高，但必須全面考慮用戶(hù)所需的各項(xiàng)服務(wù)功能，不能有任何遺漏，要求系統(tǒng)管理員清楚地知道實(shí)現(xiàn)某種服務(wù)和功能需要打開(kāi)哪些服務(wù)和端口。第二種方式是首先默認(rèn)打開(kāi)所有的輸入、輸出數(shù)據(jù)包，然后禁止某些危險(xiǎn)包、IP欺騙包、廣播包、ICMP服務(wù)類(lèi)型攻擊等；對(duì)于應(yīng)用層的服務(wù)，像http、sendmail、pop3、ftp等，可以有選擇地啟動(dòng)或安裝。這種方式雖然沒(méi)有第一種方式安全，但比較容易配置，不需要過(guò)多地了解ipchains命令的細(xì)節(jié)就可以配置一個(gè)基本的防火墻系統(tǒng)。

我所管理的代理服務(wù)器是IBM的Netfinity3000，安裝了RedHat Linux 6.2、squid-2.3，有兩塊網(wǎng)卡，外部網(wǎng)卡為eth0(211.98.126.180)，內(nèi)部網(wǎng)卡為eth1 (192.168.0.1)，客戶(hù)機(jī)的IP地址是192.168.0.xxx。按照第二種方法設(shè)置了一個(gè)防火墻，具體過(guò)程如下:

安裝完系統(tǒng)之后，以root的身份登錄，在/etc/rc.d/目錄下用vi創(chuàng)建一個(gè)腳本叫firewall.rules；創(chuàng)建完成后，執(zhí)行命令chmod 755 firewall.rules，確保其為可執(zhí)行文件；然后用vi打開(kāi)/etc/rc.d/rc.local文件，加入一行/etc/rc.d/firewall.rules，確保機(jī)器每次啟動(dòng)即可執(zhí)行所設(shè)定的各項(xiàng)防火墻規(guī)則。

firewall.rules文件的內(nèi)容略。

如果你的機(jī)器只有一塊網(wǎng)卡，通過(guò)Modem撥號(hào)上網(wǎng)，那么連接內(nèi)部網(wǎng)絡(luò)的網(wǎng)卡應(yīng)該是eth0，IP地址可能是192.168.0.1，外部接口就是ppp0，你只須將firewall.rules文件內(nèi)容中的eth0改為ppp0即可。設(shè)置了以上防火墻規(guī)則之后，你可以在/etc/inetd.conf中禁止所有不需要的服務(wù)，只保留ftp和telnet；同時(shí)設(shè)置/etc/hosts.allow和/etc/hosts.deny，僅允許內(nèi)部某些管理用戶(hù)登錄到該防火墻。以上方法在筆者所在的環(huán)境中成功運(yùn)行，并解決了outlook express收發(fā)郵件的問(wèn)題。

最新評(píng)論