用Linux+IPChains代替Windows+WinGate

藍(lán)色蟲(chóng)

任務(wù)：辦公室有10臺(tái)電腦，組成局域網(wǎng)，其中1臺(tái)名為gate的機(jī)器配有ISDN卡，可撥號(hào)上網(wǎng)，另外9臺(tái)機(jī)器也要上網(wǎng)，由gate機(jī)器

做代理或網(wǎng)關(guān)，共享其ISDN設(shè)備。原來(lái)的方案是：gate機(jī)器上的操作系統(tǒng)是Win98，使用的代理軟件是WinGate�，F(xiàn)在，gate機(jī)器

的操作系統(tǒng)換成了Linux，怎么讓其它9臺(tái)機(jī)器也能上網(wǎng)？



經(jīng)過(guò)嘗試，我使用IPChains的IP偽裝轉(zhuǎn)發(fā)功能成功地做到了這一點(diǎn)。我的配置為：

藍(lán)點(diǎn)Linux 2.0，Kernel-2.2.16，isdn4linux v3.1pre1，上海貝爾生產(chǎn)的ISDN內(nèi)置卡，型號(hào)為SBT6021。

下面介紹具體做法。介紹順序?yàn)椋簝?nèi)核->;ipchains的配置->;其它機(jī)器的配置。



0、 前提條件

前提條件當(dāng)然就是這臺(tái)配有ISDN卡，安裝了Linux的名為gate的機(jī)器，本身必須能夠順利撥號(hào)上網(wǎng)。我已做到了，具體操作過(guò)程

寫(xiě)在我的上一篇文章《在Linux下使用ISDN撥號(hào)上網(wǎng)》中。



1、 內(nèi)核

這個(gè)方案的原理是：由于這臺(tái)gate機(jī)器建立撥號(hào)連接后，具有真正的IP地址，能夠正常地訪問(wèn)Internet，而局域網(wǎng)內(nèi)其它機(jī)器卻

沒(méi)有真正的IP地址，不能象gate機(jī)器那樣正常地訪問(wèn)Internet，解決辦法就是由gate機(jī)器代勞其它機(jī)器的Internet訪問(wèn)請(qǐng)求，假

裝是它自己的。把這臺(tái)gate機(jī)器作為局域網(wǎng)的網(wǎng)關(guān)，當(dāng)它收到來(lái)自局域網(wǎng)內(nèi)其它機(jī)器的請(qǐng)求數(shù)據(jù)包時(shí)，進(jìn)行偽裝，然后再轉(zhuǎn)發(fā)出

去；相應(yīng)地，當(dāng)偽裝后發(fā)出去的數(shù)據(jù)包得到響應(yīng)返回時(shí)，先對(duì)該響應(yīng)數(shù)據(jù)包進(jìn)行還原，再轉(zhuǎn)交給回局域網(wǎng)內(nèi)真正發(fā)出請(qǐng)求的那臺(tái)

機(jī)器。這種做法叫做IP Masquerade（IP偽裝）。

要Linux內(nèi)核支持IP偽裝這種功能，在編譯內(nèi)核時(shí)，必須選中下列選項(xiàng)：

Network firewalls

IP: firewalling

IP: masquerading

IP: ipportfw masq support

IP: ipautofw masquerade support

IP: ip fwmark masq-forwarding support

IP: ICMP masquerading

但我不必急于編譯內(nèi)核，如果現(xiàn)有的內(nèi)核已經(jīng)包含這些選項(xiàng)了，我又何必重復(fù)一遍呢。那我怎么知道現(xiàn)有內(nèi)核是否已經(jīng)包含這些

選項(xiàng)了呢？看內(nèi)核編譯配置文件/usr/src/linux/.config（注意：文件名以"."開(kāi)頭的文件是隱藏文件，要用ls -a才可看到。）

我看到其中有下面這7行內(nèi)容，對(duì)應(yīng)于剛才的7個(gè)選項(xiàng)：



CONFIG_FIREWALL=y

CONFIG_IP_FIREWALL=y

CONFIG_IP_MASQUERADE=y

CONFIG_IP_MASQUERADE_ICMP=y

CONFIG_IP_MASQUERADE_IPAUTOFW=m

CONFIG_IP_MASQUERADE_IPPORTFW=m

CONFIG_IP_MASQUERADE_MFW=m



"=y"表示內(nèi)核直接支持（代碼已鏈入內(nèi)核中），"=m"表示模塊支持（代碼在另外的內(nèi)核中，可由內(nèi)核載入）。于是這就表明，

藍(lán)點(diǎn)Linux 2.0的原有內(nèi)核已包含這些選項(xiàng)了，我就不用重新編譯內(nèi)核啦。

但仍然得做點(diǎn)事情，首先必須命令內(nèi)核，啟動(dòng)IP轉(zhuǎn)發(fā)功能：

echo 1 >; /proc/sys/net/ipv4/ip_forward

往/proc/sys/net/ipv4/ip_forward里寫(xiě)入"1"就行了。

有些功能如ftp, irc等的偽裝，需要相應(yīng)的模塊支持，這些模塊放在/lib/modules/2.2.16/ipv4目錄中，裝入它們：

depmod -a

modprobe ip_masq_ftp

modprobe ip_masq_irc

modprobe ip_masq_raudio



2、 ipchains的配置

藍(lán)點(diǎn)Linux 2.0包含的ipchains軟件已經(jīng)足夠滿足我的要求了，我就不必安裝新的，只需配置一下即可。Ipchains是一個(gè)包過(guò)

濾器，功能強(qiáng)大，設(shè)置也復(fù)雜，但我只想使用其IP偽裝轉(zhuǎn)發(fā)功能而已，設(shè)置得以簡(jiǎn)化。我這臺(tái)Linux機(jī)器在一個(gè)局域網(wǎng)上，局域

網(wǎng)的域名為thalia.com，地址為210.96.100.0，這臺(tái)機(jī)器的主機(jī)名為gate，地址為210.96.100.10。

對(duì)ipchains過(guò)濾器進(jìn)行設(shè)置，就是設(shè)置各種鏈及規(guī)則。先看看目前情況如何：

ipchains -L

得到類(lèi)似下面的信息：



Chain input (policy ACCEPT):

Chain forward (policy ACCEPT):

Chain output (policy ACCEPT):



沒(méi)什么規(guī)則，3條鏈的策略都是接受。

由于只是使用偽裝轉(zhuǎn)發(fā)功能，所以只對(duì)forward鏈進(jìn)行操作。

ipchains -P forward DENY

把forward鏈的策略設(shè)為DENY，拒絕通過(guò)。此后增加可通過(guò)的規(guī)則，逐漸允許更多的數(shù)據(jù)包通過(guò)，這是一種先緊后松的做法。

ipchains -A forward -s 210.96.100.0/255.255.255.0 -j MASQ

增加1條規(guī)則，這條規(guī)則說(shuō)明：對(duì)來(lái)自210.96.100.0局域網(wǎng)內(nèi)（網(wǎng)絡(luò)掩碼為255.255.255.0）的數(shù)據(jù)包

（-s 210.96.100.0/255.255.255.0），進(jìn)行偽裝處理（-j MASQ）。

這時(shí)候再看一下情況如何：

ipchains -L

得到類(lèi)似下面的信息：



Chain input (policy ACCEPT):

Chain forward (policy DENY):

target prot opt source destination ports

MASQ all ------ 210.96.100.0/24 anywhere n/a

Chain output (policy ACCEPT):



forward鏈中多了1條MASQ規(guī)則。

要簡(jiǎn)單地實(shí)現(xiàn)共享ISDN上網(wǎng)，這已經(jīng)足夠了。



3、 其它機(jī)器的配置

配置局域網(wǎng)上的其它Win98, Win2000機(jī)器，要點(diǎn)是把缺省網(wǎng)關(guān)設(shè)為那臺(tái)Linux gate機(jī)器，DNS域名服務(wù)器也設(shè)為那臺(tái)

Linux gate機(jī)器。應(yīng)用軟件如IE，OutlookExpress等不用做任何設(shè)置，想象成ISDN裝在本機(jī)上就行。

我現(xiàn)在就去設(shè)置1臺(tái)Win98機(jī)器試試看。

(1)在“控制面板 | 網(wǎng)絡(luò) | 配置”下，選中“TCP/IP->;3Com PCI Ethernet Adapter”（這臺(tái)機(jī)器配的是3Com網(wǎng)卡），點(diǎn)

擊“屬性”按鈕，彈出TCP/IP屬性對(duì)話框。

(2)到“IP地址”頁(yè)中，指定IP地址，IP地址為210.96.100.14，子網(wǎng)掩碼為255.255.255.0；到“網(wǎng)關(guān)”頁(yè)中，添加新網(wǎng)關(guān)

210.96.100.10。

(3)機(jī)器重啟。

(4)打開(kāi)IE，瀏覽http://168.160.224.103（即新浪網(wǎng)sina.com.cn），看到了新浪的首頁(yè)；

但是瀏覽http://www.sina.com.cn，卻不行。這是域名解析的問(wèn)題。

(5)重復(fù)(1)步驟，彈出TCP/IP屬性對(duì)話框，到“DNS配置”頁(yè)中，啟用DNS，主機(jī)名寫(xiě)zzh，添加DNS服務(wù)器搜索順

序210.96.100.10。機(jī)器重啟。打開(kāi)IE，再次瀏覽http://www.sina.com.cn，這次好啦。



4、 形成shell文件

上面對(duì)內(nèi)核和ipchains的配置是逐條命令進(jìn)行的，已經(jīng)全部成功通過(guò)，現(xiàn)在把它們寫(xiě)成shell文件。

/etc/ppp/ip-masq-start文件內(nèi)容如下：



# IP masq

echo 1 >; /proc/sys/net/ipv4/ip_forward

depmod -a

modprobe ip_masq_ftp

modprobe ip_masq_irc

modprobe ip_masq_raudio



ipchains -P forward DENY

ipchains -A forward -s 210.96.100.0/255.255.255.0 -j MASQ



讓它成為可執(zhí)行文件：

chmod a+x /etc/ppp/ip-masq-start

以后事情就簡(jiǎn)單了。要開(kāi)啟IP偽裝轉(zhuǎn)發(fā)功能，下命令/etc/ppp/ip-masq-start。