搜索

[24415] 2015-10-25_RHCE系列（二）：如何进行包过滤、网络地址转换和设置内核运行时参数

文档创建者：s7ckTeam
浏览次数：15
最后更新：2025-01-18
2015-10-25_RHCE系列（二）：如何进行包过滤、网络地址转换和设置内核运行时参数 R H C E   系 列 （ 二 ） ： 如 何 进 行 包 过 滤 、 网 络 地 址 转 换 和 设 置 内 核 运 行 时 参 数 原 创   i c t l y h   L i n u x 中 国   2 0 1 5 - 1 0 - 2 5 正 如 第 一 部 分 （ “ 设 置 静 态 网 络 路 由 ” ） 提 到 的 ， 在 这 篇 文 章 （ R H C E   系 列 第 二 部 分 ） ， 我 们 首 先 介 绍 红 帽 企 业 版   L i n u x   7 （ R H E L ） 中 包 过 滤 和 网 络 地 址 转 换 （ N A T ） 的 原 理 ， 然 后 再 介 绍 在 某 些 条 件 发 生 变 化 或 者 需 要 变 动 时 设 置 运 行 时 内 核 参 数 以 改 变 运 行 时 内 核 行 为 。 R H E L   7   中 的 网 络 包 过 滤 当 我 们 讨 论 数 据 包 过 滤 的 时 候 ， 我 们 指 防 火 墙 读 取 每 个 试 图 通 过 它 的 数 据 包 的 包 头 所 进 行 的 处 理 。 然 后 ， 根 据 系 统 管 理 员 之 前 定 义 的 规 则 ， 通 过 采 取 所 要 求 的 动 作 过 滤 数 据 包 。 正 如 你 可 能 知 道 的 ， 从   R H E L   7   开 始 ， 管 理 防 火 墙 的 默 认 服 务 是   f i r e w a l l d 。 类 似   i p t a b l e s ， 它 和   L i n u x   内 核 的   n e t f i l t e r   模 块 交 互 以 便 检 查 和 操 作 网 络 数 据 包 。 但 不 像 i p t a b l e s ， F i r e w a l l d   的 更 新 可 以 立 即 生 效 ， 而 不 用 中 断 活 跃 的 连 接   -   你 甚 至 不 需 要 重 启 服 务 。 F i r e w a l l d   的 另 一 个 优 势 是 它 允 许 我 们 定 义 基 于 预 配 置 服 务 名 称 的 规 则 （ 之 后 会 详 细 介 绍 ） 。 在 第 一 部 分 ， 我 们 用 了 下 面 的 场 景 ： 静 态 路 由 网 络 示 意 图 然 而 ， 你 应 该 记 得 ， 由 于 还 没 有 介 绍 包 过 滤 ， 为 了 简 化 例 子 ， 我 们 停 用 了 2 号 路 由 器 的 防 火 墙 。 现 在 让 我 们 来 看 看 如 何 使 接 收 的 数 据 包 发 送 到 目 的 地 的 特 定 服 务 或 端 口 。 首 先 ， 让 我 们 添 加 一 条 永 久 规 则 允 许 从   e n p 0 s 3   ( 1 9 2 . 1 6 8 . 0 . 1 9 )   到   e n p 0 s 8   ( 1 0 . 0 . 0 . 1 8 )   的 入 站 流 量 ： 上 面 的 命 令 会 把 规 则 保 存 到 中 ： 1 .   #   f i r e w a l l - c m d   - - p e r m a n e n t   - - d i r e c t   - - a d d - r u l e   i p v 4   f i l t e r   F O R W A R D   0   - i   e n p 0 s 3   - o   e n p 0 s 8   - j   A C C E P T / e t c / f i r e w a l l d / d i r e c t . x m l 1 .   #   c a t   / e t c / f i r e w a l l d / d i r e c t . x m l
检 查   F i r e w a l l d   保 存 的 规 则 然 后 启 用 规 则 使 其 立 即 生 效 ： 现 在 你 可 以 从   R H E L   7   中 通 过   t e l n e t   到   w e b   服 务 器 并 再 次 运 行   t c p d u m p   监 视 两 台 机 器 之 间 的   T C P   流 量 ， 这 次 2 号 路 由 器 已 经 启 用 了 防 火 墙 。 如 果 你 想 只 允 许 从   1 9 2 . 1 6 8 . 0 . 1 8   到   w e b   服 务 器 （ 8 0   号 端 口 ） 的 连 接 而 阻 塞   1 9 2 . 1 6 8 . 0 . 0 / 2 4   网 络 中 的 其 它 来 源 呢 ？ 在   w e b   服 务 器 的 防 火 墙 中 添 加 以 下 规 则 ： 现 在 你 可 以 从   1 9 2 . 1 6 8 . 0 . 1 8   和   1 9 2 . 1 6 8 . 0 . 0 / 2 4   中 的 其 它 机 器 发 送 到   w e b   服 务 器 的   H T T P   请 求 。 第 一 种 情 况 连 接 会 成 功 完 成 ， 但 第 二 种 情 况 最 终 会 超 时 。 任 何 下 面 的 命 令 可 以 验 证 这 个 结 果 ： 我 强 烈 建 议 你 看 看   F e d o r a   P r o j e c t   W i k i   中 的   F i r e w a l l d   R i c h   L a n g u a g e   文 档 更 详 细 地 了 解 关 于 富 规 则 的 内 容 。 R H E L   7   中 的 网 络 地 址 转 换 （ N A T ） 网 络 地 址 转 换 （ N A T ） 是 为 专 用 网 络 中 的 一 组 计 算 机 （ 也 可 能 是 其 中 的 一 台 ） 分 配 一 个 独 立 的 公 共   I P   地 址 的 过 程 。 这 样 ， 在 内 部 网 络 中 仍 然 可 以 用 它 们 自 己 的 私 有   I P   地 址 来 区 别 ， 但 外 部 “ 看 来 ” 它 们 是 一 样 的 。 另 外 ， 网 络 地 址 转 换 使 得 内 部 网 络 中 的 计 算 机 发 送 请 求 到 外 部 资 源 （ 例 如 因 特 网 ） ， 然 后 只 有 源 系 统 能 接 收 到 对 应 的 响 应 成 为 可 能 。 现 在 让 我 们 考 虑 下 面 的 场 景 ： 网 络 地 址 转 换 1 .   #   f i r e w a l l - c m d   - - d i r e c t   - - a d d - r u l e   i p v 4   f i l t e r   F O R W A R D   0   - i   e n p 0 s 3   - o   e n p 0 s 8   - j   A C C E P T 1 .   #   t e l n e t   1 0 . 0 . 0 . 2 0   8 0 2 .   #   t c p d u m p   - q n n v v v   - i   e n p 0 s 3   h o s t   1 0 . 0 . 0 . 2 0 1 .   #   f i r e w a l l - c m d   - - a d d - r i c h - r u l e   ' r u l e   f a m i l y = " i p v 4 "   s o u r c e   a d d r e s s = " 1 9 2 . 1 6 8 . 0 . 1 8 / 2 4 "   s e r v i c e   n a m e = " h t t p "   a c c e p t ' 2 .   #   f i r e w a l l - c m d   - - a d d - r i c h - r u l e   ' r u l e   f a m i l y = " i p v 4 "   s o u r c e   a d d r e s s = " 1 9 2 . 1 6 8 . 0 . 1 8 / 2 4 "   s e r v i c e   n a m e = " h t t p "   a c c e p t '   - - p e r m a n e n t 3 .   #   f i r e w a l l - c m d   - - a d d - r i c h - r u l e   ' r u l e   f a m i l y = " i p v 4 "   s o u r c e   a d d r e s s = " 1 9 2 . 1 6 8 . 0 . 0 / 2 4 "   s e r v i c e   n a m e = " h t t p "   d r o p ' 4 .   #   f i r e w a l l - c m d   - - a d d - r i c h - r u l e   ' r u l e   f a m i l y = " i p v 4 "   s o u r c e   a d d r e s s = " 1 9 2 . 1 6 8 . 0 . 0 / 2 4 "   s e r v i c e   n a m e = " h t t p "   d r o p '   - - p e r m a n e n t 1 .   #   t e l n e t   1 0 . 0 . 0 . 2 0   8 0 2 .   #   w g e t   1 0 . 0 . 0 . 2 0
在 2 号 路 由 器 中 ， 我 们 会 把   e n p 0 s 3   接 口 移 动 到 外 部 区 域 （ e x t e r n a l ） ， e n p 0 s 8   到 内 部 区 域 （ e x t e r n a l ） ， 伪 装 （ m a s q u e r a d i n g ） 或 者 说   N A T   默 认 是 启 用 的 ： 对 于 我 们 当 前 的 设 置 ， 内 部 区 域 （ i n t e r n a l ）   -   以 及 和 它 一 起 启 用 的 任 何 东 西 都 是 默 认 区 域 ： 下 一 步 ， 让 我 们 重 载 防 火 墙 规 则 并 保 持 状 态 信 息 ： 最 后 ， 在   w e b   服 务 器 中 添 加 2 号 路 由 器 为 默 认 网 关 ： 现 在 你 会 发 现 在   w e b   服 务 器 中 你 可 以   p i n g   1 号 路 由 器 和 外 部 网 站 （ 例 如   t e c m i n t . c o m ） ： 验 证 网 络 路 由 在   R H E L   7   中 设 置 内 核 运 行 时 参 数 在   L i n u x   中 ， 允 许 你 更 改 、 启 用 以 及 停 用 内 核 运 行 时 参 数 ， R H E L   也 不 例 外 。 当 操 作 条 件 发 生 变 化 时 ， 接 口 （ s y s c t l ） 允 许 你 实 时 设 置 运 行 时 参 数 改 变 系 统 行 为 ， 而 不 需 太 多 麻 烦 。 为 了 实 现 这 个 目 的 ， 会 用   s h e l l   内 建 的   e c h o   写 1 .   #   f i r e w a l l - c m d   - - l i s t - a l l   - - z o n e = e x t e r n a l 2 .   #   f i r e w a l l - c m d   - - c h a n g e - i n t e r f a c e = e n p 0 s 3   - - z o n e = e x t e r n a l 3 .   #   f i r e w a l l - c m d   - - c h a n g e - i n t e r f a c e = e n p 0 s 3   - - z o n e = e x t e r n a l   - - p e r m a n e n t 4 .   #   f i r e w a l l - c m d   - - c h a n g e - i n t e r f a c e = e n p 0 s 8   - - z o n e = i n t e r n a l 5 .   #   f i r e w a l l - c m d   - - c h a n g e - i n t e r f a c e = e n p 0 s 8   - - z o n e = i n t e r n a l   - - p e r m a n e n t 1 .   #   f i r e w a l l - c m d   - - s e t - d e f a u l t - z o n e = i n t e r n a l 1 .   #   f i r e w a l l - c m d   - - r e l o a d 1 .   #   i p   r o u t e   a d d   d e f a u l t   v i a   1 0 . 0 . 0 . 1 8 1 .   #   p i n g   - c   2   1 9 2 . 1 6 8 . 0 . 1 2 .   #   p i n g   - c   2   t e c m i n t . c o m / p r o c / s y s / p r o c / s y s / < c a t e g o r y >
中 的 文 件 ， 其 中 一 般 是 以 下 目 录 中 的 一 个 ： d e v :   连 接 到 机 器 中 的 特 定 设 备 的 参 数 。 f s :   文 件 系 统 配 置 （ 例 如   q u o t a s   和   i n o d e s ） 。 k e r n e l :   内 核 配 置 。 n e t :   网 络 配 置 。 v m :   内 核 的 虚 拟 内 存 的 使 用 。 要 显 示 所 有 当 前 可 用 值 的 列 表 ， 运 行 在 第 一 部 分 中 ， 我 们 通 过 以 下 命 令 改 变 了 参 数 的 值 以 允 许   L i n u x   机 器 作 为 一 个 路 由 器 。 另 一 个 你 可 能 想 要 设 置 的 运 行 时 参 数 是 ， 它 会 启 用 你 键 盘 上 的 键 ， 以 使 系 统 更 好 的 运 行 一 些 底 层 功 能 ， 例 如 如 果 由 于 某 些 原 因 冻 结 了 后 重 启 系 统 ： 要 显 示 特 定 参 数 的 值 ， 可 以 按 照 下 面 方 式 使 用 ： 例 如 ， 有 些 参 数 ， 例 如 上 面 提 到 的 某 个 ， 只 需 要 一 个 值 ， 而 其 它 一 些 （ 例 如 ） 要 求 多 个 值 ： / p r o c / s y s / < c a t e g o r y > < c a t e g o r y > 1 .   #   s y s c t l   - a   |   l e s s n e t . i p v 4 . i p _ f o r w a r d 1 .   #   e c h o   1   >   / p r o c / s y s / n e t / i p v 4 / i p _ f o r w a r d k e r n e l . s y s r q S y s r q 1 .   #   e c h o   1   >   / p r o c / s y s / k e r n e l / s y s r q s y s c t l 1 .   #   s y s c t l   < p a r a m e t e r . n a m e > 1 .   #   s y s c t l   n e t . i p v 4 . i p _ f o r w a r d 2 .   #   s y s c t l   k e r n e l . s y s r q f s . i n o d e - s t a t e
查 看 内 核 参 数 不 管 什 么 情 况 下 ， 做 任 何 更 改 之 前 你 都 需 要 阅 读 内 核 文 档 。 请 注 意 系 统 重 启 后 这 些 设 置 会 丢 失 。 要 使 这 些 更 改 永 久 生 效 ， 我 们 需 要 添 加 内 容 到 目 录 的   . c o n f   文 件 ， 像 下 面 这 样 ： （ 其 中 数 字   1 0   表 示 相 对 同 一 个 目 录 中 其 它 文 件 的 处 理 顺 序 ） 。 并 用 下 面 命 令 启 用 更 改 ： 总 结 在 这 篇 指 南 中 我 们 解 释 了 基 本 的 包 过 滤 、 网 络 地 址 变 换 和 在 运 行 的 系 统 中 设 置 内 核 运 行 时 参 数 并 使 重 启 后 能 持 久 化 。 我 希 望 这 些 信 息 能 对 你 有 用 ， 如 往 常 一 样 ， 我 们 期 望 收 到 你 的 回 复 ！ 别 犹 豫 ， 在 下 面 的 表 单 中 和 我 们 分 享 你 的 疑 问 、 评 论 和 建 议 吧 。 v i a :   h t t p : / / w w w . t e c m i n t . c o m / p e r f o r m - p a c k e t - f i l t e r i n g - n e t w o r k - a d d r e s s - t r a n s l a t i o n - a n d - s e t - k e r n e l - r u n t i m e - p a r a m e t e r s - i n - r h e l / 作 者 ： G a b r i e l   C á n e p a   译 者 ： i c t l y h   校 对 ： w x y 本 文 由   L C T T   原 创 翻 译 ， L i n u x 中 国   荣 誉 推 出 / e t c / s y s c t l . d 1 .   #   e c h o   " n e t . i p v 4 . i p _ f o r w a r d   =   1 "   >   / e t c / s y s c t l . d / 1 0 - f o r w a r d . c o n f 1 .   #   s y s c t l   - p   / e t c / s y s c t l . d / 1 0 - f o r w a r d . c o n f
阅 读 原 文
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理