LINUX網(wǎng)絡(luò)安全文獻

瀟湘夜雨

我不是什么高手根據(jù)自己通過使用LINUX給大家寫了點我的個人心得給大家看看僅供參考
維護網(wǎng)絡(luò)安全性最簡單的辦法是保證網(wǎng)絡(luò)中的主機不會接觸外界,也不被外界接觸,最容易的辦法是從不將自己的網(wǎng)絡(luò)連接到公共網(wǎng)絡(luò)上,例如INTERNET.這種通過隔離達(dá)到的安全性策略在許多情況下是不能接受的。使用私有IP地址是一種簡單可行的方法.可以避免黑客進入到用戶的私人計算機.
RFC1918規(guī)定了能夠用于本地TCP/IP網(wǎng)絡(luò)使用的IP地址.這些IP地址不會被路由器處理.因為這些IP不會在INTERNET上路由,因此不必注冊.通過在該范圍分配IP地址,可以有效的將網(wǎng)絡(luò)流量現(xiàn)在在本地網(wǎng)絡(luò)內(nèi).這是一種拒絕外部計算機訪問而允許內(nèi)部計算機之間的數(shù)據(jù)流同的快速有效的方法.所有有關(guān)互聯(lián)網(wǎng)的官方標(biāo)準(zhǔn)為RFC(REQUEST FOR COMMENT)來發(fā)行
  私有IP不能在INTERNET上路由,因此使用私有IP地址的系統(tǒng)無法訪問INTERNET但通過建立一個IP偽裝的服務(wù)器(一臺LINUX服務(wù)器)可解決這一問題.當(dāng)數(shù)據(jù)包離開計算機時,包含有它自身的IP地址作為源地址,在數(shù)據(jù)抱經(jīng)過LINUX服務(wù)器發(fā)送到外不世界時回敬國一個轉(zhuǎn)換.服務(wù)器同時記錄哪個源地址的數(shù)據(jù)包發(fā)送到LNTERNET上的哪個目標(biāo)IP地址.當(dāng)數(shù)據(jù)包發(fā)送到INTERNET上之后,他能夠到達(dá)起目標(biāo)地址獲得其響應(yīng).
  這種設(shè)置有一個問題.因為數(shù)據(jù)包的源地址為服務(wù)器的IP,而不是服務(wù)器后面利用戶計算機的IP地址所以,來自外部計算機的響應(yīng)將發(fā)送到服務(wù)器.因此,威力完整數(shù)據(jù)包傳輸,LINUX服務(wù)器必須搜索到一個表,以便確定該數(shù)據(jù)包屬于哪個計算機.然后講述具保的源地址設(shè)置為私有用戶私有用戶計算機的 地址,并發(fā)送到該計算機.顯然來自私有IP地址計算機的數(shù)據(jù)包現(xiàn)在能夠在INTERNET上傳輸了.因此,IP偽裝也也誠摯為網(wǎng)絡(luò)地址轉(zhuǎn)換.
  默認(rèn)情況下,LINUX內(nèi)核內(nèi)設(shè)置有IP偽裝功能.但是,如果已經(jīng)從內(nèi)核中刪除了這一功能,或者使用一個沒有內(nèi)置IP偽裝功能的內(nèi)核,則需要重新編譯內(nèi)核,然后設(shè)置數(shù)據(jù)包過濾規(guī)則以便允許轉(zhuǎn)換的進行,為了讓IP偽裝能夠工作,則需要打開服務(wù)器的IP轉(zhuǎn)換服務(wù).大家可以通過將/etc/sysconfig/network文件中的FORWARD_IPV4設(shè)置為YES而打開IP轉(zhuǎn)換.
  為了將內(nèi)部網(wǎng)絡(luò)連接到外部世界,需要在IP偽裝服務(wù)器上有兩個網(wǎng)絡(luò)接口.一個借口用語連接到內(nèi)部網(wǎng)絡(luò),而里一個借口用來將服務(wù)器連接到外部世界 例如:
/sbin/ifconfig.ethl inet  211.123.1.1  netmask  255.255.255.0
將你的計算機IP地址培植為192.168.1.2到192.168.1.254,并將所有用戶的計算機的網(wǎng)管設(shè)置為192.168.1.1網(wǎng)絡(luò)掩碼為255.255.255.0 這是 所有的計算機能夠相互通信,
  /sbin/ipchains-A forward -j MASQ 192.168.1.0/24 -d0.0.0.0/0
  /sbin/ipchains-p forward DENY
第一條命令對其目標(biāo)地址不是192.168.1.0網(wǎng)絡(luò)的 IP數(shù)據(jù)報打開了IP偽裝功能服務(wù).他將轉(zhuǎn)換它最初來自192.168.1.0網(wǎng)絡(luò)的 經(jīng)過為裝的IP數(shù)據(jù)包,并竟發(fā)到另一個網(wǎng)絡(luò)接口鎖鏈界的網(wǎng)絡(luò)的默認(rèn)路由器.第二條將默認(rèn)的轉(zhuǎn)發(fā)策略設(shè)置為拒絕所有非內(nèi)部網(wǎng)絡(luò)的數(shù)據(jù)包.可將上述的民令放在/etc/rc.d/rc.local zai引導(dǎo)服務(wù)器時,就能夠啟動IP為狀功能.
  由于時間倉促寫的可能不全有點雜亂望大家見晾.
中國E安聯(lián)盟 瀟湘夜雨發(fā)布如要轉(zhuǎn)載請寫明文章的出處  http://www.cnean.e-org.org/

開心笑一笑

好文章,這才有水平之作!不過下次要先排好版面!看起來有點亂!
以后跟妳學(xué)吧!呵呵!!!!!

dxp

厲害，我要拜你為師，別拒絕。。
能告訴我怎樣隱藏IP嗎？
謝謝。

lonelykiller

寫的不錯,但太累贅了.

zero-B

樓主就是瀟湘夜雨？
我就是拜他所賜才能來到CU的，謝謝哦!

盛冰

好，我頂

hailanlan1223

好帖  頂............

lengi

恩，但是這里有幾個問題要問一下。
1、如何保障高可用性（如果對外流量達(dá)到3G，請問放臺linux來做防火墻是不是跑不上3G）
2、如何保障高可靠性（做集群？大家知道服務(wù)器因為硬件的故障冗機概率高于專業(yè)的網(wǎng)絡(luò)設(shè)備的）