Linux 防火墻配置基礎篇
加入技術(shù)交流群
「高級」
如果你選擇了「高級」 ，你的系統就不會(huì )接受那些沒(méi)有被你具體指定的連接（除了默認設置外）。只有以下連接是默認允許的：
DNS回應
DHCP — 任何使用 DHCP 的網(wǎng)絡(luò )接口都可以被相應地配置。
如果你選擇「高級」，你的防火墻將不允許下列連接：
1.活躍狀態(tài)FTP（在多數客戶(hù)機中默認使用的被動(dòng)狀態(tài)FTP應該能夠正常運行。）
2.IRC DCC 文件傳輸
3.RealAudio
4.遠程 X 窗口系統客戶(hù)機
如果你要把系統連接到互聯(lián)網(wǎng)上，但是并不打算運行服務(wù)器，這是最安全的選擇。如果需要額外的服務(wù)，你可以選擇 「定制」 來(lái)具體指定允許通過(guò)防火墻的服務(wù)。
注記:如果你在安裝中選擇設置了中級或高級防火墻，網(wǎng)絡(luò )驗證方法（NIS 和 LDAP）將行不通。
「中級」
如果你選擇了「中級」，你的防火墻將不準你的系統訪(fǎng)問(wèn)某些資源。訪(fǎng)問(wèn)下列資源是默認不允許的：
1.低于1023 的端口 — 這些是標準要保留的端口，主要被一些系統服務(wù)所使用，例如： FTP 、 SSH 、 telnet 、 HTTP 、和 NIS 。
2.NFS 服務(wù)器端口（2049）— 在遠程服務(wù)器和本地客戶(hù)機上，NFS 都已被禁用。
3.為遠程 X 客戶(hù)機設立的本地 X 窗口系統顯示。
4.X 字體服務(wù)器端口（ xfs 不在網(wǎng)絡(luò )中監聽(tīng)；它在字體服務(wù)器中被默認禁用）。
如果你想準許到RealAudio之類(lèi)資源的訪(fǎng)問(wèn)，但仍要堵塞到普通系統服務(wù)的訪(fǎng)問(wèn)，選擇 「中級」 。你可以選擇 「定制」 來(lái)允許具體指定的服務(wù)穿過(guò)防火墻。
注記:如果你在安裝中選擇設置了中級或高級防火墻，網(wǎng)絡(luò )驗證方法（NIS 和 LDAP）將行不通。
「無(wú)防火墻」
無(wú)防火墻給予完全訪(fǎng)問(wèn)權并不做任何安全檢查。安全檢查是對某些服務(wù)的禁用。建議你只有在一個(gè)可信任的網(wǎng)絡(luò )（非互聯(lián)網(wǎng)）中運行時(shí)，或者你想稍后再進(jìn)行詳細的防火墻配置時(shí)才選此項。
選擇 「定制」 來(lái)添加信任的設備或允許其它的進(jìn)入接口。
「信任的設備」
選擇「信任的設備」中的任何一個(gè)將會(huì )允許你的系統接受來(lái)自這一設備的全部交通；它不受防火墻規則的限制。例如，如果你在運行一個(gè)局域網(wǎng)，但是通過(guò)PPP撥號連接到了互聯(lián)網(wǎng)上，你可以選擇「eth0」，而后所有來(lái)自你的局域網(wǎng)的交通將會(huì )被允許。把「eth0」選為“信任的”意味著(zhù)所有這個(gè)以太網(wǎng)內的交通都是被允許的，但是ppp0接口仍舊有防火墻限制。如果你想限制某一接口上的交通，不要選擇它。
建議你不要將連接到互聯(lián)網(wǎng)之類(lèi)的公共網(wǎng)絡(luò )上的設備定為 「信任的設備」 。
「允許進(jìn)入」
啟用這些選項將允許具體指定的服務(wù)穿過(guò)防火墻。注意：在工作站類(lèi)型安裝中，大多數這類(lèi)服務(wù)在系統內沒(méi)有被安裝。
「DHCP」
如果你允許進(jìn)入的 DHCP 查詢(xún)和回應，你將會(huì )允許任何使用 DHCP 來(lái)判定其IP地址的網(wǎng)絡(luò )接口。DHCP通常是啟用的。如果DHCP沒(méi)有被啟用，你的計算機就不能夠獲取 IP 地址。
「SSH」
Secure（安全）SHell（SSH）是用來(lái)在遠程機器上登錄及執行命令的一組工具。如果你打算使用SSH工具通過(guò)防火墻來(lái)訪(fǎng)問(wèn)你的機器，啟用該選項。你需要安裝openssh-server 軟件包以便使用 SSH 工具來(lái)遠程訪(fǎng)問(wèn)你的機器。
「Telnet」
Telnet是用來(lái)在遠程機器上登錄的協(xié)議。Telnet通信是不加密的，幾乎沒(méi)有提供任何防止來(lái)自網(wǎng)絡(luò )刺探之類(lèi)的安全措施。建議你不要允許進(jìn)入的Telnet訪(fǎng)問(wèn)。如果你想允許進(jìn)入的 Telnet 訪(fǎng)問(wèn)，你需要安裝 telnet-server 軟件包。
「WWW (HTTP)」
HTTP協(xié)議被Apache（以及其它萬(wàn)維網(wǎng)服務(wù)器）用來(lái)進(jìn)行網(wǎng)頁(yè)服務(wù)。如果你打算向公眾開(kāi)放你的萬(wàn)維網(wǎng)服務(wù)器，請啟用該選項。你不需要啟用該選項來(lái)查看本地網(wǎng)頁(yè)或開(kāi)發(fā)網(wǎng)頁(yè)。如果你打算提供網(wǎng)頁(yè)服務(wù)的話(huà)，你需要安裝 httpd 軟件包。
啟用 「WWW (HTTP)」 將不會(huì )為 HTTPS 打開(kāi)一個(gè)端口。要啟用 HTTPS，在 「其它端口」 字段內注明。
「郵件 (SMTP)」
如果你需要允許遠程主機直接連接到你的機器來(lái)發(fā)送郵件，啟用該選項。如果你想從你的ISP服務(wù)器中收取POP3或IMAP郵件，或者你使用的是fetchmail之類(lèi)的工具，不要啟用該選項。請注意，不正確配置的 SMTP 服務(wù)器會(huì )允許遠程機器使用你的服務(wù)器發(fā)送垃圾郵件。
「FTP」
FTP 協(xié)議是用于在網(wǎng)絡(luò )機器間傳輸文件的協(xié)議。如果你打算使你的 FTP 服務(wù)器可被公開(kāi)利用，啟用該選項。你需要安裝 vsftpd 軟件包才能利用該選項。
「其它端口」
你可以允許到這里沒(méi)有列出的其它端口的訪(fǎng)問(wèn)，方法是在 「其它端口」 字段內把它們列出。格式為： 端口:協(xié)議 。例如，如果你想允許 IMAP 通過(guò)你的防火墻，你可以指定 imap:tcp 。你還可以具體指定端口號碼，要允許 UDP 包在端口 1234 通過(guò)防火墻，輸入 1234:udp 。要指定多個(gè)端口，用逗號將它們隔開(kāi)。
竅門(mén):要在安裝完畢后改變你的安全級別配置，使用 安全級別配置工具 。 在 shell 提示下鍵入 redhat-config-securitylevel 命令來(lái)啟動(dòng) 安全級別配置工具 。如果你不是根用戶(hù)，它會(huì )提示你輸入根口令后再繼續。
評論