配制ubuntu -凯发ag旗舰厅登录网址下载

原作者：anton chuvakin

在过去几年中，linux作为防火墙平台的应用显著增长。从早期1.2版内核的ipfwadm开始，linux的防火墙代码也走过了很长一段路程了。在2.4版的linux内核中，使用了netfilter体系。在最新的2.4版中，linux大大加强了安全性，例如：更好的加密支持和netfilter体系的使用。netfilter具有完全的向后兼容性。

本文将对iptables的配置做一个综述并且重点介绍一些iptables的配置工具。本文的讨论将着眼于linux内核的ip防火墙以及其各种界面的配置工具，比如：gui或者脚本(shell、perl或者特定的配置语言)。使用这些工具能够简化iptables的配置减少配置的错误。关于iptables的知识请参考rusty russell写的linux iptables howto。



使用命令行配置iptables的困难


使用iptables的命令行接口来配置iptables防火墙对一个人来说是一个挑战，用户很难指定所有ip报文的行为。用户需要对tcp/ip和应用层协议有较深的了解。象其前辈ipchains一样，iptables把ip过滤规则归并到链中，ip报文遍历规则链接受处理，还可以送到另外的链接受处理，或者最后由默认策略(accept、drop、reject)处理。有些网络应用程序比其它一些程序更容易穿过防火墙，因此需要理解网络连接的建立和断开。

我们看一下pop3协议，这是最简单的协议之一。允许所有向内目标端口是110的报文通过通过无法解决所有的管理问题，因为这样只能使客户端向发出申请，而服务器却无法应答。另外，如果使用网络地址转换(nat)和其它方式的报文转发，也存在许多问题。因为防火墙的配置将影响到整个企业的安全，所以应该特别小心。下面将大概地讨论iptables的配置，要获得更多细节请参考linux iptables howto



iptables的命令行选项


在进入这时的讨论之前，我们看一下iptables命令行选项的一个总结。


规则链维护选项

1.建立新的规则链(-n)
2.删除一个空的规则链(-x)
3.改变一个内置规则链的策略(-p)
4.列出一条规则链中的规则(-l)
5.擦写一条规则链中的规则(-f)



规则维护


1.在一条规则链中加入一条新的规则(-a)
2.删除一条规则链中某个位置的规则(-d)



iptables的优点

在讨论各种iptables配置工具之前，让我们看一下iptables的优点，尤其是netfilter比ipchains具有的优势。



iptables允许建立状态(stateful)防火墙，就是在内存中保存穿过防火墙的每条连接。这种模式对于有效地配置ftp和dns以及其它网络服务是必要的。


iptables能够过滤tcp标志任意组合报文，还能够过滤mac地址。


系统日志比ipchains更容易配置，扩展性也更好。


对于网络地址转换(network address translation)和透明代理的支持，netfilter更为强大和易于使用。


iptable能够阻止某些dos攻击，例如sys洪泛攻击。




iptables配置工具


现在，我们看一下linux iptables的一些配置工具。我主要关注每个工具的特征、弹性和易用性。我们将讨论以下的工具：



monmotha's firewall 2.3.5作者：monmotha

firewallscript (iptables 4.4c-3 devel) 作者：patrik hildingsson

ferm-0.0.18 作者：auke kok

agt-0.83 作者：andy gilligan

knetfilter-1.2.4 作者：luigi genoni

gshield-2.0.2 作者：r. gregory



monmotha的firewall 2.3.5

monmotha写的firewall 2.3.5是一个大约30k的shell脚本。目前，主要适用于基于主机的保护，因为一些基于网络的选项正在开发中。这个脚本的界面(例如：给iptables传递配置选项的方法)有点混乱。不过，它不需要配置文件而且安装容易，直接复制到任何地方都可以。默认情况下，它根本不做什么，实际上根本就不执行，也缺少文档。这个脚本对于拨号用户可能有点用处。


firewallscript

firewallscript(ifs 4.4d)也是一个bash脚本，大约有85k。这个脚本可以用于基于主机和网络的防护。首次运行时，它会直接产生一个配置文件。不过，在默认情况下，这个文件不起什么作用，只有测试作用。这个脚本可以配置nat和地址伪装。这个脚本非常复杂，但是缺少文档，因此最好能够仔细阅读它的代码，使用iptables -l命令哪个链已经生效，什么被允许/拒绝。这个脚本的ip报文追踪功能还可以为你提供娱乐。此外，它还会自动探测、加载iptables需要的内核模块。这个脚本和上一个脚本还具有取消(undo)功能，能够恢复iptables原来的配置文件。


ferm

ferm是一个perl脚本，使用一种类c语言写成的配置文件。这种语言非常容易阅读和理解。这个脚本有很好的文档和丰富的示例作为参考。

这是一个例子：

-----------------------------------------------------------------------------


# simple workstation example for ferm

chain input

{
if ppp0 # put your outside interface here
{
proto tcp goto fw_tcp;
proto udp goto fw_udp;
proto icmp goto fw_icmp;
}
}

chain fw_tcp proto tcp {
dport ssh accept;
syn deny log;
dport domain accept;
dport 0:1023 deny log;
}

chain fw_udp proto udp {
deny log;
}


chain fw_icmp proto icmp {
icmptype (
destination-unreachable time-exceeded
) accept;
deny log;
}


-----------------------------------------------------------------------------

这个配置文件将使ferm产生iptables如下规则：允许向外的ssh和dns报文通过；阻塞所有的udp报文；只允许两种类型的icmp消息通过：目的不可达和超时，并绝拒绝和日志其它类型的icmp消息。

agt

agt是一个使用c语言编写的程序。从它的代码来看，目前还处于开发阶段。不支持automake，需要手工编辑makefile文件，文档也不是很丰富，但是其配置文件非常简单。下面就是一个配置文件：


new | from-int
new | reset

|| from-int | icmp | accept |||||
|| from-int | tcp | accept ||||| pop3
|| from-int | tcp | accept ||||| imap

|| reset | tcp | reject --reject-with tcp-reset |||||


这样的文件格式，加上缺乏必要的文档，对使用者来说是一个很大的挑战。而且最好多花些时间学学iptables。

knetfilter

knetfilter是一个非常棒的图形化iptables配置工具，它是基于kde的(有kde1和kde2两个版本)。knetfilter非常易于上手，你可以很容易地使用它来配置基于主机保护的规则和规则列表；保存和恢复测这些规则和规则列表；测试规则和规则列表(在同一个面板上运行tcpdump网络嗅探器)，这一切只要点几下鼠标就可以了。它也支持nat和网络地址伪装的配置。但是，对于拨号工作站，knetfilter工作的不太好，因为它需要本地ip，而且只探测eth0网络接口，不进行ppp探测。这个工程的文档也很少，不过因为是基于图形界面，所以即使不用手册也可以很好地使用。

gshield

gshield是一个bash shell脚本，可能是当前最成熟的一个工具。它的文档非常丰富，配置文件也比较合理直观，还能够设置nat。它不但能够处静态ip地址，还能够处理动态ip地址(例如：ppp)。

gshield还有图形界面，目前仍然处于早期开发阶段，可以从http://members.home.com/vhodges/gshieldconf.html下载。不过，它似乎只兼容gshield的早期版本(1.x)。

下面是一个示例配置文件：


fw_root="/etc/firewall"
iptables=`which iptables`
localif="eth0"
dns="24.31.195.65"
ltime="20/m"
allow_dhcp_leases="yes"
...


gshield使用的默认配置非常安全，特别适合不愿意摆弄配置文件的用户，不过软件的编者建议用户最好能够通读整个配置文件。据readme文件讲，gshield实现了"类tcpwrapper风格的服务访问控制功能"，使用这个功能用户可以很容易地阻塞/允许某项服务，而不必考虑报文方向之类的问题，只要关心什么客户连接到服务器就可以了。



结论


虽然本文介绍了一些防火墙配置工具，但是实际上目前还没有理想的配置工具。最好的配置工具还是iptables命令，这里介绍的这些工具，只适用于对于使用iptables命令行感觉困难的用户。


声明：如果您认为这篇文章有点转载的价值，那么在转载时请注明文章的出处和作者(包括译者)。请不要拿出:

lion蠕虫分析


作者：max vision

作为自己没有侵犯凯发ag旗舰厅登录网址下载的版权的依据，因为max vision是美国人，他不会自己用汉语写一篇分析lion蠕虫的文章，虽然lion蠕虫是中国人写的。(读到这里，您可能会感到莫名其妙，已经抄起鸡蛋、西红柿了，但是请相信：我没有发烧，绝对是有感而发，通过这种方式表达自己的愤怒而已)。'

概要

``the great thing about mod_rewrite is it gives you all the configurability and flexibility of sendmail. the downside to mod_rewrite is that it gives you all the configurability and flexibility of sendmail.''

-- brian behlendorf
apache group

`` despite the tons of examples and docs, mod_rewrite is voodoo. damned cool voodoo, but still voodoo. ''

-- brian moore
bem@news.cmc.net

欢迎来到mod_rewrite, url操作的瑞士军刀!

此模块提供了一个基于规则的(使用正则表达式分析器的)实时转向url请求的引擎。 支持每个规则可以拥有不限数量的规则以及附加条件规则的灵活而且强大的url操作机制。此url操作可以取决于各种测试，比如服务器变量、环境变量、http头、时间标记，甚至各种格式的用于匹配url组成部分的查找数据库。

此模块可以操作url的所有部分(包括路径信息部分)， 在服务器级的(httpd.conf)和目录级的(.htaccess)配置都有效， 还可以生成最终请求串。此重写操作的结果可以是内部子处理，也可以是外部请求的转向，甚至还可以是内部代理处理。

但是，所有这些功能和灵活性带来一个问题，那就是复杂性， 因此，不要指望一天之内就能看懂整个模块。

此模块从1997年7月起为apache group所专用，由以下这些人创建于1996年4月

ralf s. engelschall
rse@engelschall.com
www.engelschall.com

指令索引

• rewritebase
• rewritecond
• rewriteengine
• rewritelock
• rewritelog
• rewriteloglevel
• rewritemap
• rewriteoptions
• rewriterule

主题

• 内部处理
• 环境变量
• 实用方案

内部处理

此模块的内部处理极为复杂，但是，为了使一般用户避免犯低级错误， 也让管理员能充分利用其功能，在此仍然做一下说明。

api程序段

首先，你必须了解，apache是通过若干程序段来处理http请求的。 apache api 对每个程序段提供了一个hook程序。 mod_rewrite使用两个hook程序： 其一是，url到文件名的转译hook，用在读取http请求之后，而在授权开始之前；其二是，修正hook，用在授权程序段和读取目录级配置文件(.htaccess)之后，而在内容处理器激活之前。

所以，apache收到一个请求并且确定了响应主机(或者是虚拟主机)之后， 重写引擎即开始执行url到文件名程序段，以处理服务器级的配置中所有的mod_rewrite指令。 在最终数据目录确定以后，进入修正程序段并触发目录级配置中的mod_rewrite指令。这两个程序段并不是泾渭分明的，但都实施把url重写成新的url或者文件名。虽然api最初不是为此设计的，但它已经成为api的一种用途， 而在apache 1.x 中这是mod_rewrite唯一的实现方法。 记住以下两点，会有助于更好地理解：

另外，mod_rewrite尽力使这些复杂的操作对用户全透明，但仍须记住：服务器级的url操作速度快而且效率高，而目录级的操作由于这个鸡和蛋的问题速度慢效率也低。 但从另一个侧面看，这却是mod_rewrite得以为一般用户提供(局部限制的)url操作的唯一方法。

牢记这两点!

规则集的处理

当mod_rewrite在这两个程序段中开始执行时，它会读取配置结构中的配置好的 (或者是在服务启动时建立的服务器级的，或者是apache核心在遍历目录采集到的目录级的)规则集， 随后，启动url重写引擎来处理(带有一个或多个条件)的规则集。 无论是服务器级的还是目录级的规则集，都是由同一个url重写引擎处理，只是处理结果不同而已。

规则集中规则的顺序是很重要的，因为重写引擎是按一种特殊的(非常规的)顺序处理的，其原则是：逐个遍历每个规则(rewriterule directives)， 如果出现一个匹配条件的规则，则可能回头遍历已有的规则条件(rewriteconddirectives)。由于历史的原因，条件规则是置前的，所以控制流程略显冗长，细节见figure 1。

figure 1:the control flow through the rewriting ruleset

可见，url首先与每个规则的pattern匹配， 如果匹配不成功，mod_rewrite立即终止此规则的处理，继而处理下一个规则。如果匹配成功，mod_rewrite寻找响应的规则条件，如果一个条件都没有， 则简单地用substitution构造的新的值来替换url，然后继续处理其他规则。 如果条件存在，则开始一个内部循环按其列出的顺序逐个处理。 对规则的条件的处理有所不同：url并不与pattern匹配， 而是，首先通过扩展变量、反向引用、查找映射表等步骤建立一个teststring的字符串，随后，用它来与condpattern匹配。如果匹配不成功，则整个条件集和对应的规则失败；如果匹配成功，则执行下一个规则直到所有条件执行完毕。 如果所有条件得以匹配，则以substitution替换url，并且继续处理。

特殊字符的引用

在apache 1.3.20, teststring and substitution 字符串中的特殊字符可以用前缀的斜杠来实现转义(即，忽略其特殊含义而视之为普通字符)。 比如，substitution可以用'/$'来包含一个美元符号，以避免mod_rewrite把它视为反向引用。

正则表达式的反向引用能力

这是很重要的一点：一旦在pattern或者condpattern使用了圆括号， 就会建立内部的反向引用，可以使用$n和%n来调用(见下述)，并且，在substitution和teststring中都有效。 figure 2 说明了反向引用被转换扩展的位置。

figure 2: the back-reference flow through a rule.

虽然mod_rewrite内部处理的这个过程是比较杂乱的， 但是了解这些可以帮助你阅读下文中指令的讲述。

环境变量

此模块会跟踪两个额外的(非标准的)cgi/ssi环境变量， script_url和script_uri。他们包含了当前资源的逻辑的网络状态, 而标准的cgi/ssi变量script_name和 script_filename包含的是物理的系统状态。

注意: 这些变量保持的是其最初被请求时的uri/url, 即, 在任何重写操作之前的。 其重要性在于他们是重写操作重写url到物理路径名的原始依据。

举例

实用方案

我们还提供另外一个文档url rewriting guide， 列举了许多基于url的问题的实用方案，其中你可以找到真实有用的规则集和mod_rewrite的更多信息。

rewritebase 指令

rewritebase指令显式地设置了目录级重写的基准url。 在下文中，你可以看见rewriterule可以用于目录级的配置文件中(.htaccess)， 并在局部范围内起作用，即，规则实际处理的只是剥离了本地路径前缀的一部分。处理结束后，这个路径会被自动地附着回去。 默认值是，rewritebase physical-directory-path

在对一个新的url进行替换时，此模块必须把这个url重新注入到服务器处理中。为此，它必须知道其对应的url前缀或者说url基准。通常，此前缀就是对应的文件路径。 但是，大多数网站url不是直接对应于其物理文件路径的，因而一般不能做这样的假定!所以在这种情况下，就必须用rewritebase指令来指定正确的url前缀。

如果你的网站服务器url不是与物理文件路径直接对应的，而又需要使用rewriterule指令，则必须在每个对应的.htaccess文件中指定rewritebase。

举例，目录级配置文件内容如下:

上述例子中，对/xyz/oldstuff.html的请求被正确地重写为物理的文件/abc/def/newstuff.html.

for apache hackers

以下列出了内部处理的详细步骤:

虽然这个过程看来很繁复，但是由于目录级重写的到来时机已经太晚了， 它不得不把这个(重写)请求重新注入到apache核心中，所以apache内部确实是这样处理的。但是：它的开销并不象看起来的那样大，因为重新注入完全在apache服务器内部进行， 而且这样的过程在apache内部也为其他许多操作所使用。 所以，你可以充分信任其设计和实现是正确的。

rewritecond 指令

rewritecond指令定义了一个规则的条件，即，在一个rewriterule指令之前有一个或多个rewritecond指令。 条件之后的重写规则仅在当前uri与pattern匹配并且符合这些条件的时候才会起作用。

teststring是一个纯文本的字符串，但是还可以包含下列可扩展的成分：

• rewriterule反向引用: 引用方法是

$n

(0 <= n <= 9) 引用当前(带有若干rewritecond指令的)rewriterule中的 与pattern匹配的分组成分(圆括号!)。

• rewritecond反向引用: 引用方法是

%n

(1 <= n <= 9) 引用当前若干rewritecond条件中最后符合的条件中的分组成分(圆括号!)。

• rewritemap 扩展: 引用方法是

${mapname:key|default}

细节请参见the documentation for rewritemap。

• 服务器变量: 引用方法是

%{name_of_variable}

name_of_variable可以是下表列出的字符串之一:

这些都对应于类似命名的http mime头、apache服务器的c变量以及unix系统中的 struct tm字段，大多数都在其他的手册或者cgi规范中有所讲述。而其中为mod_rewrite所特有的变量有:

is_subreq

如果正在处理的请求是一个子请求，它包含字符串"true"，否则就是"false"。 模块为了解析uri中的附加文件，有可能会产生子请求。

api_version

这是正在使用的httpd中(服务器和模块之间内部接口)的apache模块api的版本， 其定义位于include/ap_mmn.h中。此模块版本对应于正在使用的apache的版本 (比如，在apache 1.3.14的发行版中，这个值是19990320:10)。 通常，对它感兴趣的是模块的作者。

the_request

这是由浏览器发送给服务器的完整的http请求行。(比如, "get /index.html http/1.1"). 它不包含任何浏览器发送的附加头信息。

request_uri

这是在http请求行中所请求的资源。(比如上述例子中的"/index.html".)

request_filename

这是与请求相匹配的完整的本地文件系统的文件路径名或描述.

特别注意事项:

condpattern是条件pattern, 即, 一个应用于当前实例teststring的正则表达式, 即, teststring将会被计算然后与condpattern匹配.

谨记: condpattern是一个兼容perl的正则表达式，但是还有若干增补：