香港本周票房第一位《三岔口》！
<P>1.1. 简介</P><P> 这份文件描述如何在一台 Linux 主机上起动 IP Masquerade 功能，允许没有注册网际网路 IP 位址的连线电脑经由你的 Linux 机器连接网际网路。你的机器可能是以乙太网路连接 Linux, 也可能是其它种类，像是拨接的点对点(ppp) 连线。这份文件将会强调乙太网路连线的情况，因为这应该是最常见的案例。</P>
<P>这份文件倾向给使用 2.0.x 核心的使用者参考，不包含发展中的 2.1.x 核心。</P>
<P>1.2. 前言，回馈＆参考资讯</P>
<P> 首先，我想让你知道我不是对 IP masquerade 了解非常透彻或很有经验的人。</P>
<P> 我发现新手在较新的核心上，像是 2.x 核心，设定 IP Masguerade时非常困惑。虽然有份常见问答集(FAQ) 与邮递列表(mailing list)，然而没有一份这方面的专门文件；而且在邮递列表上有些对於这样一份说明文件(HOWTO) 的请求。所以，我决定撰写它给所有新手作为一个起点，并且希望能抛砖引玉，作为那些非常了解它的使用者建立文件的基础。如果你认为我做的不好，不要在意告诉我，这样我能把它做得更好。</P>
<P> 这份文件很多是以原先 Ken Eves 的常见问答集以及 ip_masq 邮递列表里许多有帮助的讯息作为基础。特别感谢 Mr. Matthew Driver在邮递列表中的讯息引发我设立 ip_masq 的灵感以及最後撰写了这份文件。</P>
<P> 如果我的任何资讯有误或遗漏任何资讯，请别介意把任何回馈或意见寄到 achau@wwonline.com 来。你的无价回馈将影响未来的这份说明文件!</P>
<P> 这份说明文件是想作为让你的 IP Masquerade 能在最短时间内运作的快速指引。最新的消息以及资讯可以在我所维护的 IP MasqueradeResource 网页上找到。如果你有任何关於 IP Masquerade 的技术问题，请加入 IP Masquerade 邮递列表而别寄电子邮件给我，因为我的时间有限，而且 IP_ Masq 的发展者们更有能力回答你的问题。</P>
<P> 这份文件最新的版本可以在 IP Masquerade Resource 上找到，里面也有 HTML 以及 postscript 的版本。</P>
<P> http://www.wwonline.com/~achau/ipmasq/ http://www.hwy401.com/achau/ipmasq/ </P>
<P> http://www.leg.uct.ac.za/mirrors/ipmasq/ linux/ipmasq/">http://130.89.230.132/linux/ipmasq/ </P>
<P>1.3. 版权＆宣告</P>
<P> 这份文件版权属於 Ambrose Au, 而且是免费的文件。你可以在 GNU的通用公开授权方式下散播它。</P>
<P> 这份文件中的资讯跟其它内容都已经尽了我最大的努力。无论如何，ip_masq 是实验性的，而且我也可能会犯些错误；所以你应该自己决定是不是要照著这份文件中的资讯做。</P>
<P> 没有人会为使用这份文件中的资讯所造成的电脑损坏或其它损失负责。作者不对依照这份文件内容动作所造成的损害负责。</P>
<P>2. 背景知识</P>
<P>2.1. 什麽是 IP Masquerade?</P>
<P> IP Masquerade 是 Linux 发展中的一种网路功能。如果一台 Linux主机使用 IP Masquerade 功能连线到网际网路上，那麽接上它的电脑（不论是在同一个区域网路上或藉由数据机连线）也可以接触网际网路，即使它们没有获得正式指定的 IP 位址。</P>
<P> 这使得一些电脑可以隐藏在闸道(gateway) 系统後面存取网际网路而不被发现，看起来就像只有这个系统在使用网际网路。突破设定良好的伪装(masquerade)系统之安全防护应该会比突破良好的封包过滤式防火墙(packet filter firewall)来得更加困难（假设两者之中都没有错误）。</P>
<P>2.2. 现况</P>
<P> IP Masquerade 仍然在实验阶段。无论如何，核心从 1.3.x 开始已经内建这项支援。许多个人甚至公司正在使用它，而有满意的结果。</P>
<P> 浏览网页以及远端签入(telnet)已经有回报表示可以在 ip_masq 上运作。档案传输(FTP)， 网路交谈(IRC) 以及聆听 Real Audio 现在可以载入某些模组配合。其它的网路资料流音讯 (streaming audio)像是 True Speech 以及 Internet Wave 也能运作。一些邮递列表中的使用夥伴甚至还尝试过视讯会议软体。 Ping 现在配合新近可以取得的网际网路控制讯息协定(ICMP)修补档也能运作。更完整的支援软体列表请参考 4.3 节。</P>
<P> IP Masquerade 在数种不同的作业系统及平台上与’客户端机器’配合良好。成功的案例有使用 Unix , Windows95 , Windows NT ,Windows for Workgroup (with TCP/IP package) , OS/2, Macintosh System's OS with Mac TCP, Mac Open Transport, DOS with NCSA Telnet package, VAX, Alpha with Linux, 甚至 Amiga with AmiTCP or AS225-stack 的系统。</P>
<P>2.3. 谁可以从 IP Masquerade 中获益?</P>
<P> 如果你有台连接网际网路的 Linux 主几，而且如果你有一些执行 TCP/IP 连接到 Linux 机器的电脑在区域网路上，以及／或是如果你的 Linux 主机有一个以上的数据机并且作为 PPP 或 SLIP伺服器连接其它电脑，它们这些”其它”机器没有正式指定的 IP 位址。（这些机器从这里开始以後就称为”其它”机器）。而且当然，如果你希望这些”其它”机器不必花额外的费用就能连上网际网路:)</P>
<P>2.4. 谁不需要 IP Masquerade?</P>
<P> 如果你的机器是单独一台(stand-alone) 连接网际网路的 Linux主机，那麽执行 ip_masq 没什麽意义，或者如果你的”其它”机器拥有正式指定的 IP 位址，那麽你就不需要IP Masquerade ，而且当然，如果你不喜欢免费使用(free ride) 这个主意的话。</P>
<P>2.5. IP Masquerade 是如何运作的?</P>
<P>节自 Ken eves 的 IP Masquerade FAQ:</P>
<P>这是大部分简单的设定草图:</P>
<P>SLIP/PPP +------------+ +-------------+</P>
<P>to provider | Linux | SLIP/PPP | Anybox |</P>
<P><---------- modem1| |modem2 modem | | 111.222.333.444 | | 192.168.1.100 | | +------------+ +-------------+ 上面的草图中一台安装并执行 ip_masquerading 的 Linux 机器使用 modem1 经由 SLIP/or/PPP 连接网际网路。它有一个 指定的 IP 位址 111.222.333.444。它设定 modem2 允许拨接者 签入并起始 SLIP/or/PPP 连结。 第二个系统（不必是执行 Linux 的系统）拨接进入 Linux 机器并起始 SLIP/or/PPP 连结。它在网际网路上并没有指定的 IP 位址所以它使用 192.168.1.100。（参阅下述） 配合 ip_masquerade 及适当递送配置(routing configured) Anybox 这台机器可以跟网际网路交流就如同它真的连在上面般 （除了少数例外）。 节录 Pauline Middelink: 别忘记提到 ANYBOX 应该把 Linux 机器当作它的闸道（无论是 预设递送路径或只是个子网路都没关系）。如果 ANYBOX 不能够 这样设， Linux 机器应该为所有要递送的位址做代理位址解析 析协定(proxy arp) 服务，但代理位址解析的设定超过这份文件 的□围。 下面节录自 comp.os.linux.networking 的一篇布告并且稍加编辑以 符合上述□例的用词: 。我告诉 ANYBOX 这台机器跑 slip 的 linux 机器是它的闸道。 。当一个封包从 ANYBOX 进入 linux 机器时，它会指定新的来源埠 号(source port number)，把它自己的 ip 位址塞入封包的标头并 储存原来的。然後它将会藉由 SLIP/or/PPP 界面把修改过的封包 送上网际网路。 。当一个封包从网际网路来到 linux 机器时，如果埠号是上面指定 的其中一个，它将会取出原来的埠号以及 ip 位址，把它们放回封 包的标头，并且把封包送往 ANYBOX 。 。送出封包的主机将永远不知道其中的差别。 一个 IP Masquerading 的例子: 下面的图示是典型的例子: +----------+ | | Ethernet | abox |:::::: | |2 :192.168.1.x +----------+ : : +----------+ PPP +----------+ : 1| Linux | link | | ::::| masq-gate|:::::::::// Internet | bbox |:::::: | | | |3 : +----------+ +----------+ : : +----------+ : | | : | cbox |:::::: | |4 +----------+ <-Internal Network-></P>
<P> 在这个例子中我们考虑 4 台电脑系统（想必遥远的右方还有些东西让你到网际网路的 IP 连线能够连接，以及一些（远超过这一页）在网际网路上你有兴趣交换资讯的东西）。这个 Linux 系统伪装闸道是 abox, bbox, cbox 内部网路机器连接网际网路的伪装闸道。内部网路使用指定的私用(private) 网路位址，在这个案例中是 class C网路 192.168.1.0, linux 机器拥有位址 192.168.1.1 而’其它’系统也拥有此网路上的位址。</P>
<P> 这三台机器 abox, bbox 以及 cbox （它们可以执行任何作业系统－像是 Windows95, Macintosh MacTCP 或甚至是另一台 linux 机器，只要它们能了解 IP ）可以连线到网际网路上的其它机器去，然而
这个伪装系统闸道转换它们所有的连线所以这些连线看起来像是原本即从伪装闸道本身发出的，而且还安排伪装连线传回的资料转回原先的系统－所以在内部网路上的系统看到的是直接通往网际网路的递送路径而且不知道他们的资料被伪装过。</P>
<P>2.6. 在 Linux 2.x 上使用 IP Masquerade 的需求核心 2.0.x 的原始程式码可以从这里取得ftp://ftp.funet.fi/pub/Linux/kernel/src/v2.0/（是的，你将得配合加入一些支援来编译你的核心....
建议最新的稳定版本）</P>
<P> 可载入核心模组，最好是 2.0.0 或更新的版本，可以从这里取得http://www.pi.se/blox/modules/modules-2.0.0.tar.gz（至少需要 modules-1.3.57 ）</P>
<P>
设定良好的 TCP/IP 网路涵盖於 Linux NET-2 HOWTO及网路管理者指引(Network Administrator's Guide)。你的 Linux 主机的网际网路连线涵盖於 Linux ISP Hookup HOWTO,Linux PPP HOWTO 以及 Linux PPP-over-ISDN mini-HOWTO</P>
<P>
Ipfwadm 2.3 或更新的版本可以从这里取得linux/ipfwadm/ipfwadm-2.3.tar.gz">ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz
在 Linux Ipfwadm 网页上有更多关於版本的资讯。你可以选择性地应用一些 IP Masquerade 修补档打开其它功能。从这里可以取的更多资讯， IP Masquerade Resources（这些修补档适用於所有的 2.0.x 核心）</P> <P>3. IP Masquerade 的设定</P><P> 如果你的私用网路里有任何重要的资讯，在使用 IP Masquerade之前请三思。这可能成为你通往网际网路的闸道，反之亦然，也可能成为另一边的世界进入你私用网路的途径。</P><P>3.1. 编译核心加入 IP Masquerade 的支援。首先，你需要核心的原始程式码（最好是稳定的 2.0.0 版或以上的核心）。如果这是你第一次编译核心，不要害怕。事实上，这非常容易而且涵盖於 Linux Kernel HOWTO。使用指令: tar zxvf linux-2.0.x.tar.gz -C /usr/src 把核心的原始程式码解至 /usr/src/ ， 其中 x 是 2.0 之後的修补层级（确定有个称为 linux 的目录或符号链结）。加上适当的修补。因为新的修补档不断出来，所以细节不会包含在这里。最新的资讯请参考 IP Masquerade Resources。有关编译核心更进一步的介绍请参考 Kernel HOWTO 以及核心原始程式码目录里的 README 档案。这里是你要编译进去的选项:</P><P>下列选项要回答 YES</P><P>* Prompt for development and/or incomplete code/drivers CONFIG_EXPERIMENTAL</P><P>- 这将让你能选择把实验性的 ip_masq 程式码编译到核心里去</P><P>* Enable loadable module support CONFIG_MODULES</P><P>- 让你能够载入模组</P><P>* Networking support CONFIG_NET</P><P>* Network firewalls CONFIG_FIREWALL</P><P>* TCP/IP networking CONFIG_INET</P><P>* IP: forwarding/gatewaying CONFIG_IP_FORWARD</P><P>* IP: firewalling CONFIG_IP_FIREWALL</P><P>* IP: masquerading (EXPERIMENTAL) CONFIG_IP_MASQUERADE</P><P>- 这虽然是实验性的，但却是＊必须＊的</P><P>* IP: always defragment CONFIG_IP_ALWAYS_DEFRAG</P><P>- 高度建议</P><P>* Dummy net driver support CONFIG_DUMMY</P><P>- 建议使用</P><P>注意: 这些只是 ip_masq 所需要的，你还需选择其它任何你的设定需要的选项。</P><P>编译核心之後，你应该编译并安装模组:</P><P>make modules; make modules_install</P><P>然後你应该在 /etc/rc.d/rc.local （或任何你认为合适的档案）里加上几行以便每次启动时自动载入 /lib/modules/2.0.x/ipv4/里所需的模组:
.</P><P>.</P><P>.</P><P>/sbin/depmod -a</P><P>/sbin/modprobe ip_masq_ftp</P><P>/sbin/modprobe ip_masq_raudio</P><P>/sbin/modprobe ip_masq_irc</P><P>（以及其它像是 ip_masq_cuseeme, ip_masq_vdolive 等模组，如果</P><P>你有加上适当的修补）</P><P>.</P><P>.</P><P>.</P><P>注意: 你也可以在使用 ip_masq 之前手动地载入它，但是不要使用kerneld 来载入，这是不行的!</P><P>3.2. 指定私用网路的 IP 位址</P><P>因为所有’其它’机器都没有正式指定的位址，必须有个正确的方式来分配位址给这些机器。</P><P>节自 IP Masquerade FAQ:</P><P>有份 RFC(#1597) 是有关没有与外界连线的网路该使用什麽 IP 位址。有三个数字区块是特别为这个目的而保留的。其中一个我使用的是192.168.1.n 到 192.168.255.n 之间的 255 Class-C 子网路。</P><P>节自 RFC 1597:</P><P>第三节: 私用位址空间</P><P>网际网路位址指定当局(IANA: Internet Assigned Numbers Authority)已经保留下列三个区块的 IP 位址空间给私用网路:</P><P>10.0.0.0 - 10.255.255.255</P><P>172.16.0.0 - 172.31.255.255</P><P>192.168.0.0 - 192.168.255.255</P><P>我们将称第一个区块为”24位元区块”，第二个为”20位元区块”，而第三个则称为”16位元区块”。注意到第一个区块就只是个 class A 网路号码，第二个区块则是连续的 16 个 class B网路号码，而第三个区块是一组 255 个连续的 class C 网路号码。</P><P>所以，如果你要使用一个 class C 网路的话，那麽你的机器应该以192.168.1.1, 192.168.1.2, 192.168.1.3, ..., 192.168.1.x 来名之。</P><P>192.168.1.1 通常是闸道这台机器，在此即你连上网际网路的 Linux主机。注意 192.168.1.0 以及 192.168.1.x 分别为网路以及广播位址，是保留的。避免在你的机器上使用这些位址。</P><P>3.3. 配置”其它”机器</P><P>除了为每台机器设定适当的 IP 位址之外，你也应该设定适当的闸道。一般说来，这是非常直接了当的。你只需简单地输入 Linux 主机的位址（通常是 192.168.1.1）作为闸道位址。</P><P>关於领域名称服务，你可以加入任何 DNS 系统。最可能的应该是你Linux 使用的那一个。你也可以选择性地加上任何网域字尾( domain suffix) 。</P><P>在你重新配置这些 IP 位址之後，记得重新启动适当的服务或是重新开机。</P><P>下面的配置□例假设你使用一个 Class C 网路并且以 192.168.1.1作为 Linux 主机的位址。请注意 192.168.1.0 及 192.168.1.255是保留的。</P><P>3.3.1. 配置 Windows 95</P><P>1.如果你还没有安装网路卡以及界面驱动程式，现在做。</P><P>2.到’控制台／网路’里去。</P><P>3.如果你的网路配置里没有’TCP/IP 协定’则加进去。</P><P>4.在’TCP/IP 内容’中，选择’IP 位址’并且把 IP 位址设定为192.168.1.x,(1 VDOLive Windows, 配合 vdolive 修补档</P><P>注意: 即使不是由你呼叫别人，使用 ipautofw 套件某些客户端软体像是 IPhone 以及 Powwow 可能还是可以运作（参阅 4.6 节）</P><P>其它客户端软体</P><P>NCSA Telnet 2.3.08</P><P>DOS, 包含 telnet, ftp, ping 等等的一组套件。</P><P>PC-anywhere for windows 2.0</P><P>MS-Windows, 经由 TCP/IP 远端控制 PC ，只有在作为客户端而非主机端的情形下才能运作</P><P>Socket Watch</P><P>使用 ntp － 网路时间协定</P><P>Linux net-acct package</P><P>Linux, 网路帐号管理套件</P><P>4.3.2. 无法使用的客户端软体</P><P>Intel Internet Phone Beta 2</P><P>可以连上但声音只能单向（往外）传送</P><P>Intel Streaming Media Viewer Beta 1</P><P>无法连上伺服器</P><P>Netscape CoolTalk</P><P>无法连接对方</P><P>talk,ntalk</P><P>这将不会运作 － 需要撰写一份核心代理程式。</P><P>WebPhone</P><P>目前无法运作（它做了不合法的位址假设）。</P><P>X 没有测试过，但我想除非有人建立一套 X 代理程式否则它无法运作，这可能是 masquerading 程式码之外的一个外部程式。一个让它运作的方式是使用 ssh 作为链结并且使用其内部的 X 代理功能来执行!</P> <P>4.3.3. 已测试过可以作为”其它”机器的平台／作业系统</P><P>Linux 。 Solaris 。 Windows 95 。 Windows NT (both workstation and server)</P><P>Windows For Workgroup 3.11 (with TCP/IP package) 。 Windows 3.1 (with Chameleon package)</P><P>Novel 4.01 Server 。 OS/2 (including Warp v3) 。 Macintosh OS (with MacTCP or Open Transport)</P><P>DOS (with NCSA Telnet package, DOS Trumpet works partially)</P><P>Amiga (with AmiTCP or AS225-stack) 。 VAX Stations 3520 and 3100 with UCX (TCP/IP stack for VMS)</P><P>Alpha/AXP with Linux/Redhat 。 SCO Openserver (v3.2.4.2 and 5)</P><P>IBM RS/6000 running AIX （谁还测试过其它平台? ）</P><P>4.4. IP Firewall Administration(ipfwadm)</P><P>这一节提供关於 ipfwadm 更深入的使用指引</P><P>这是一个给在固定 PPP 位址之 PPP 连线後面的防火墙／伪装系统使用的设定。信赖(trusted) 界面为 192.168.255.1, PPP 界面已经修改过以避免犯错 :) 。我分别列出每一个进入(incoming)以及送出
(outgoing)界面来抓出变更递送路径(stuffed routing) 以及／或是伪装(masquerading)等等这些个 IP spoofing 技巧。同时任何没有明确允许的东西都是禁止的。</P><P>!/bin/sh</P><P> /etc/rc.d/rc.firewall, 定义防火墙配置，从 rc.local 执行。</P><P>PATH=/sbin:/bin:/usr/sbin:/usr/bin</P><P>测试用，等待一段时间然後清除所有的防火墙规则。如果你希望防火墙十分钟之後自动关闭就取消下列几行的注解。</P><P>(sleep 600; \</P><P>ipfwadm -I -f; \</P><P>ipfwadm -I -p accept; \</P><P>ipfwadm -O -f; \</P><P>ipfwadm -O -p accept; \</P><P>ipfwadm -F -f; \</P><P>ipfwadm -F -p accept; \</P><P>进入伪装闸道的设定，更新以及设定拒绝的策略(policy)。事实上预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则</P><P>ipfwadm -I -f</P><P>ipfwadm -I -p deny</P><P>伪装闸道的本地(local) 界面，区域网路里的机器，允许连往任何地方</P><P>ipfwadm -I -a accept -V 192.168.255.1 -S 192.168.0.0/16 -D 0.0.0.0/0</P><P>伪装闸道的远端(remote)界面，声称是区域网路里的机器，IP spoofing</P><P>拒绝</P><P>ipfwadm -I -a deny -V your.static.PPP.address -S 192.168.0.0/16 -D 0.0.0.0/0 -o</P><P>伪装闸道的远端界面，任何来源，允许送往固定 (permanent) PPP</P><P>位址</P><P>ipfwadm -I -a accept -V your.static.PPP.address -S 0.0.0.0/0 -D</P><P>your.static.PPP.address/32</P><P> 回授(loopback)界面是允许的</P><P>ipfwadm -I -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0</P><P>捕捉所有规则，任何其它的进入方式都会被拒绝并记录。可惜没有记录用的选项但这可以代替</P><P>ipfwadm -I -a deny -S 0.0.0.0/0 -D 0.0.0.0/0 -o</P><P>送出伪装闸道的设定，更新以及设定拒绝的策略(policy)。事实上预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则</P><P>ipfwadm -O -f</P><P>ipfwadm -O -p deny</P><P>本地界面，允许任何来源送出至区域网路</P><P>ipfwadm -O -a accept -V 192.168.255.1 -S 0.0.0.0/0 -D 192.168.0.0/16</P><P>远端界面送出至区域网路，stuffed routing ，拒绝</P><P>ipfwadm -O -a deny -V your.static.PPP.address -S 0.0.0.0/0 -D 192.168.0.0/16 -o</P><P>区域网路的机器从远端界面送出，stuffed masquerading，拒绝</P><P>ipfwadm -O -a deny -V your.static.PPP.address -S 192.168.0.0/16 -D 0.0.0.0/0 -o</P><P>区域网路的机器从远端界面送出，stuffed masquerading，拒绝</P><P>ipfwadm -O -a deny -V your.static.PPP.address -S 0.0.0.0/0 -D 192.168.0.0/16 -o</P><P>任何其它远端界面送出的东西都是允许的</P><P>ipfwadm -O -a accept -V your.static.PPP.address -S your.static.PPP.address/32 -D</P><P>0.0.0.0/0</P><P>回授(loopback)界面是允许的</P><P>ipfwadm -O -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0</P><P>捕捉所有规则，任何其它的送出方式都会被拒绝并记录。可惜没有记录用的选项但这可以代替</P><P>ipfwadm -O -a deny -S 0.0.0.0/0 -D 0.0.0.0/0 -o</P><P> 伪装闸道的转送设定，更新以及设定拒绝的策略(policy)。事实上预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则</P><P>ipfwadm -F -f</P><P>ipfwadm -F -p deny</P><P>伪装区域网路的机器从本地界面送出至任何地方的资料</P><P>ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/16 -D 0.0.0.0/0</P><P> 捕捉所有规则，任何其它的转送方式都会被拒绝并记录。可惜没有记录用的选项但这可以代替</P><P>ipfwadm -F -a deny -S 0.0.0.0/0 -D 0.0.0.0/0 -o</P><P>你可以使用 -I, -O 或是 -F 来控制到某特定节点的流量。记得这些规则集是由上往下扫描的而 -a 代表”附加(append)”到目前现有的规则集中所以任何限制必须在全域(global)规则之前出现。例如（没测试过）:-</P><P>使用 -I 规则。可能是速度最快的但是它只能阻止区域网路里的机器，防火墙本身仍然可以存取”禁止”的节点。当然你可能想允许这样的组合。</P><P> 拒绝并记录本地界面，区域网路里的机器通往 204.50.10.13</P><P>ipfwadm -I -a reject -V 192.168.255.1 -S 192.168.0.0/16 -D 204.50.10.13/32 -o</P><P>本地界面，区域网路里的机器，允许通往任何地方</P><P>ipfwadm -I -a accept -V 192.168.255.1 -S 192.168.0.0/16 -D 0.0.0.0/0</P><P>使用 -O 规则。最慢，因为封包首先经过伪装但这个规则阻止防火墙存取禁止的节点。</P><P> 拒绝并记录送出至 204.50.10.13 的资料</P><P>ipfwadm -O -a reject -V your.static.PPP.address -S your.static.PPP.address/32 -D</P><P>204.50.10.13/32 -o</P><P>允许任何其它远端界面送出的东西</P><P>ipfwadm -O -a accept -V your.static.PPP.address -S your.static.PPP.address/32 -D</P><P>0.0.0.0/0</P><P> 使用 -F 规则。可能比 -I 慢而这仍然只能阻止伪装的机器（例如内部的机器），防火墙仍然可以取得禁止的节点。</P><P> 拒绝并记录 PPP 界面送出从区域网路到 204.50.10.13 的资料。</P><P>ipfwadm -F -a reject -W ppp0 -S 192.168.0.0/16 -D 204.50.10.13/32 -o</P><P>伪装本地界面从区域网路送出至任何地方的资料。</P><P>ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/16 -D 0.0.0.0/0</P><P>不需要有个特定的规则来允许 192.168.0.0/16 通往 204.50.11.0 ,这涵盖於全域规则中。</P><P>有一种以上的方法可以对界面设定上述规则。例如可以使用 -W eth0来取代 -V 192.168.255.1 ，可以使用 -W ppp0 来取代 -V your.static.PPP.address。个人的选择最重要。</P><P>4.5. IP Masquerade 以及随选拨接(Demand-Dial-Up)</P><P>1.如果你想把网路设定成自动拨接上网际网路，那麽 diald demand拨接套件将会是很棒的工具。</P><P>2.要设定 diald, 请查看 Setting Up Diald for Linux 网页</P><P>3.一但 diald 以及 IP masq 设定完成，你可以在任何客户端机器上启动 web, telnet 或是 ftp 连线。</P><P>4.Diald 将会侦测到进入系统的请求，然後拨接到你的 ISP 并建立连线。</P><P>5.第一次连线将会发生逾时(timeout) 的情形。如果你使用类比式的数据机那这是无可避免的。建立数据机连结以及 PPP 连线所花费的时间将会使你的客户端软体不耐。如果你使用 ISDN 连线那这是可以避免的。你得做的只是结束客户端软体现行的程序再重新启动即可。</P><P>4.6. IPautofw 封包转送程式</P><P>IPautofw是</P><P>一个给 Linux masquerading 使用的一般性 TCP 及 UDP 转送程式。一般使用需要 UDP 的套件的时候，需要载入特定的 ip_masq 模组；ip_masq_raudio, ip_masq_cuseeme,... Ipautofw 以更一般化的方式运作，它将会转送包含这些应用程式特定模组都不会转送的任何资料流型态。如果没有正确地管理这可能造成安全上的漏洞。
</P>
页:
[1]