菜鳥入門:LINUX的防火墻配置——基礎篇

來源:本站原創 Linux 超過689 views圍觀 0條評論

RedHat Linux 為增加系統安全性提供了防火墻保護。防火墻存在于你的計算機和網絡之間,用來判定網絡中的遠程用戶有權訪問你的計算機上的哪些資源。一個正確配置的防火墻可以極大地增加你的系統安全性。
為你的系統選擇恰當的安全級別。
「高級」
如果你選擇了「高級」 ,你的系統就不會接受那些沒有被你具體指定的連接(除了默認設置外)。只有以下連接是默認允許的:
DNS回應
DHCP ― 任何使用 DHCP 的網絡接口都可以被相應地配置。
如果你選擇「高級」,你的防火墻將不允許下列連接:
1.活躍狀態FTP(在多數客戶機中默認使用的被動狀態FTP應該能夠正常運行。)
2.IRC DCC 文件傳輸
3.RealAudio
4.遠程 X 窗口系統客戶機
如果你要把系統連接到互聯網上,但是并不打算運行服務器,這是最安全的選擇。如果需要額外的服務,你可以選擇 「定制」 來具體指定允許通過防火墻的服務。
注記:如果你在安裝中選擇設置了中級或高級防火墻,網絡驗證方法(NIS 和 LDAP)將行不通。
「中級」
如果你選擇了「中級」,你的防火墻將不準你的系統訪問某些資源。訪問下列資源是默認不允許的:
1.低于1023 的端口 ― 這些是標準要保留的端口,主要被一些系統服務所使用,例如: FTP 、 SSH 、 telnet 、 HTTP 、和 NIS 。
2.NFS 服務器端口(2049)― 在遠程服務器和本地客戶機上,NFS 都已被禁用。
3.為遠程 X 客戶機設立的本地 X 窗口系統顯示。
4.X 字體服務器端口( xfs 不在網絡中監聽;它在字體服務器中被默認禁用)。
如果你想準許到RealAudio之類資源的訪問,但仍要堵塞到普通系統服務的訪問,選擇 「中級」 。你可以選擇 「定制」 來允許具體指定的服務穿過防火墻。
注記:如果你在安裝中選擇設置了中級或高級防火墻,網絡驗證方法(NIS 和 LDAP)將行不通。
「無防火墻」
無防火墻給予完全訪問權并不做任何安全檢查。安全檢查是對某些服務的禁用。建議你只有在一個可信任的網絡(非互聯網)中運行時,或者你想稍后再進行詳細的防火墻配置時才選此項。
選擇 「定制」 來添加信任的設備或允許其它的進入接口。
「信任的設備」
選擇「信任的設備」中的任何一個將會允許你的系統接受來自這一設備的全部交通;它不受防火墻規則的限制。例如,如果你在運行一個局域網,但是通過PPP撥號連接到了互聯網上,你可以選擇「eth0」,而后所有來自你的局域網的交通將會被允許。把「eth0」選為“信任的”意味著所有這個以太網內的交通都是被允許的,但是ppp0接口仍舊有防火墻限制。如果你想限制某一接口上的交通,不要選擇它。
建議你不要將連接到互聯網之類的公共網絡上的設備定為 「信任的設備」 。
「允許進入」
啟用這些選項將允許具體指定的服務穿過防火墻。注意:在工作站類型安裝中,大多數這類服務在系統內沒有被安裝。
「DHCP」
如果你允許進入的 DHCP 查詢和回應,你將會允許任何使用 DHCP 來判定其IP地址的網絡接口。DHCP通常是啟用的。如果DHCP沒有被啟用,你的計算機就不能夠獲取 IP 地址。
「SSH」
Secure(安全)SHell(SSH)是用來在遠程機器上登錄及執行命令的一組工具。如果你打算使用SSH工具通過防火墻來訪問你的機器,啟用該選項。你需要安裝openssh-server 軟件包以便使用 SSH 工具來遠程訪問你的機器。
「Telnet」
Telnet是用來在遠程機器上登錄的協議。Telnet通信是不加密的,幾乎沒有提供任何防止來自網絡刺探之類的安全措施。建議你不要允許進入的Telnet訪問。如果你想允許進入的 Telnet 訪問,你需要安裝 telnet-server 軟件包。
「WWW (HTTP)」
HTTP協議被Apache(以及其它萬維網服務器)用來進行網頁服務。如果你打算向公眾開放你的萬維網服務器,請啟用該選項。你不需要啟用該選項來查看本地網頁或開發網頁。如果你打算提供網頁服務的話,你需要安裝 httpd 軟件包。
啟用 「WWW (HTTP)」 將不會為 HTTPS 打開一個端口。要啟用 HTTPS,在 「其它端口」 字段內注明。
「郵件 (SMTP)」
如果你需要允許遠程主機直接連接到你的機器來發送郵件,啟用該選項。如果你想從你的ISP服務器中收取POP3或IMAP郵件,或者你使用的是fetchmail之類的工具,不要啟用該選項。請注意,不正確配置的 SMTP 服務器會允許遠程機器使用你的服務器發送垃圾郵件。
「FTP」
FTP 協議是用于在網絡機器間傳輸文件的協議。如果你打算使你的 FTP 服務器可被公開利用,啟用該選項。你需要安裝 vsftpd 軟件包才能利用該選項。
「其它端口」
你可以允許到這里沒有列出的其它端口的訪問,方法是在 「其它端口」 字段內把它們列出。格式為: 端口:協議 。例如,如果你想允許 IMAP 通過你的防火墻,你可以指定 imap:tcp 。你還可以具體指定端口號碼,要允許 UDP 包在端口 1234 通過防火墻,輸入 1234:udp 。要指定多個端口,用逗號將它們隔開。
竅門:要在安裝完畢后改變你的安全級別配置,使用 安全級別配置工具 。 在 shell 提示下鍵入 redhat-config-securitylevel 命令來啟動 安全級別配置工具 。如果你不是根用戶,它會提示你輸入根口令后再繼續。

本文來自:Linux文庫 — http://doc.linuxpk.com/41653.html

文章出自:CCIE那點事 http://www.qdxgqk.live/ 版權所有。本站文章除注明出處外,皆為作者原創文章,可自由引用,但請注明來源。 禁止全文轉載。
本文鏈接:http://www.qdxgqk.live/?p=3318轉載請注明轉自CCIE那點事
如果喜歡:點此訂閱本站
  • 相關文章
  • 為您推薦
  • 各種觀點
?
暫時還木有人評論,坐等沙發!
發表評論

您必須 [ 登錄 ] 才能發表留言!

?
?
萌宠夺宝游戏