RedHat Linux下防火牆配置入門必學(轉)

Rounders發表於2007-08-11
RedHat Linux下防火牆配置入門必學[@more@]RedHat Linux 為增加系統安全性提供了防火牆保護。防火牆存在於你的計算機和網路之間,用來判定網路中的遠端使用者有權訪問你的計算機上的哪些資源。一個正確配置的防火牆可以極大地增加你的系統安全性。

  為你的系統選擇恰當的安全級別。

  “高階”

  如果你選擇了“高階” ,你的系統就不會接受那些沒有被你具體指定的連線(除了預設設定外)。只有以下連線是預設允許的:

  DNS回應

  DHCP — 任何使用 DHCP 的網路介面都可以被相應地配置。

  如果你選擇“高階”,你的防火牆將不允許下列連線:

  1.活躍狀態FTP(在多數客戶機中預設使用的被動狀態FTP應該能夠正常執行。)

  2.IRC DCC 檔案傳輸

  3.RealAudio

  4.遠端 X 視窗系統客戶機

  如果你要把系統連線到網際網路上,但是並不打算執行伺服器,這是最安全的選擇。如果需要額外的服務,你可以選擇 “定製” 來具體指定允許透過防火牆的服務。

  註記:如果你在安裝中選擇設定了中級或高階防火牆,網路驗證方法(NIS 和 LDAP)將行不通。

  “中級”

  如果你選擇了“中級”,你的防火牆將不准你的系統訪問某些資源。訪問下列資源是預設不允許的:

  1.低於1023 的埠 — 這些是標準要保留的埠,主要被一些系統服務所使用,例如: FTP 、 SSH 、 telnet 、 HTTP 、和 NIS 。

  2.NFS 伺服器埠(2049)— 在遠端伺服器和本地客戶機上,NFS 都已被禁用。

  3.為遠端 X 客戶機設立的本地 X 視窗系統顯示。

  4.X 字型伺服器埠( xfs 不在網路中監聽;它在字型伺服器中被預設禁用)。

  如果你想准許到RealAudio之類資源的訪問,但仍要堵塞到普通系統服務的訪問,選擇 “中級” 。你可以選擇 “定製” 來允許具體指定的服務穿過防火牆。註記:如果你在安裝中選擇設定了中級或高階防火牆,網路驗證方法(NIS 和 LDAP)將行不通。

  “無防火牆”

  無防火牆給予完全訪問權並不做任何安全檢查。安全檢查是對某些服務的禁用。建議你只有在一個可信任的網路(非網際網路)中執行時,或者你想稍後再進行詳細的防火牆配置時才選此項。

  選擇 “定製” 來新增信任的裝置或允許其它的進入介面。

  “信任的裝置”

  選擇“信任的裝置”中的任何一個將會允許你的系統接受來自這一裝置的全部交通;它不受防火牆規則的限制。例如,如果你在執行一個區域網,但是透過 PPP撥號連線到了網際網路上,你可以選擇“eth0”,而後所有來自你的區域網的交通將會被允許。把“eth0”選為“信任的”意味著所有這個乙太網內的交通都是被允許的,但是ppp0介面仍舊有防火牆限制。如果你想限制某一介面上的交通,不要選擇它。

  建議你不要將連線到網際網路之類的公共網路上的裝置定為 “信任的裝置” 。

  “允許進入”

  啟用這些選項將允許具體指定的服務穿過防火牆。注意:在工作站型別安裝中,大多數這類服務在系統內沒有被安裝。

  “DHCP”

  如果你允許進入的 DHCP 查詢和回應,你將會允許任何使用 DHCP 來判定其IP地址的網路介面。DHCP通常是啟用的。如果DHCP沒有被啟用,你的計算機就不能夠獲取 IP 地址。

  “SSH”

  Secure(安全)SHell(SSH)是用來在遠端機器上登入及執行命令的一組工具。如果你打算使用SSH工具透過防火牆來訪問你的機器,啟用該選項。你需要安裝openssh-server 軟體包以便使用 SSH 工具來遠端訪問你的機器。

  “Telnet”

  Telnet是用來在遠端機器上登入的協議。Telnet通訊是不加密的,幾乎沒有提供任何防止來自網路刺探之類的安全措施。建議你不要允許進入的 Telnet訪問。如果你想允許進入的 Telnet 訪問,你需要安裝 telnet-server 軟體包。“WWW (HTTP)”

  HTTP協議被Apache(以及其它全球資訊網伺服器)用來進行網頁服務。如果你打算向公眾開放你的全球資訊網伺服器,請啟用該選項。你不需要啟用該選項來檢視本地網頁或開發網頁。如果你打算提供網頁服務的話,你需要安裝 httpd 軟體包。

  啟用 “WWW (HTTP)” 將不會為 HTTPS 開啟一個埠。要啟用 HTTPS,在 “其它埠” 欄位內註明。

  “郵件 (SMTP)”

  如果你需要允許遠端主機直接連線到你的機器來傳送郵件,啟用該選項。如果你想從你的ISP伺服器中收取POP3或IMAP郵件,或者你使用的是 fetchmail之類的工具,不要啟用該選項。請注意,不正確配置的 SMTP 伺服器會允許遠端機器使用你的伺服器傳送垃圾郵件。

  “FTP”

  FTP 協議是用於在網路機器間傳輸檔案的協議。如果你打算使你的 FTP 伺服器可被公開利用,啟用該選項。你需要安裝 vsftpd 軟體包才能利用該選項。

  “其它埠”

  你可以允許到這裡沒有列出的其它埠的訪問,方法是在 “其它埠” 欄位內把它們列出。格式為: 埠:協議 。例如,如果你想允許 IMAP 透過你的防火牆,你可以指定 imap:tcp 。你還可以具體指定埠號碼,要允許 UDP 包在埠 1234 透過防火牆,輸入 1234: udp 。要指定多個埠,用逗號將它們隔開。

  竅門:要在安裝完畢後改變你的安全級別配置,使用 安全級別配置工具 。 在 shell 提示下鍵入 redhat-config-securitylevel 命令來啟動 安全級別配置工具 。如果你不是根使用者,它會提示你輸入根口令後再繼續。

來自 “ ITPUB部落格 ” ,連結:http://blog.itpub.net/9417382/viewspace-944664/,如需轉載,請註明出處,否則將追究法律責任。

相關文章