Настройка программного обеспечения

Настройка routing'а (маршрутизации пакетов между интерфейсами) может быть как
статической (однократно настраиваемая таблица), так и динамической.

Динамическая настройка бывает необходима в том случае, если у Вас сложная,
постоянно меняющаяся структура сети и одна и та же машина может быть доступна по
различным интерфейсам (например через разные Ethernet или SLIP интерфейсы). Для
динамической настройки routing'а служат команды routed и gated.

Как правило в большинстве ситуаций бывает достаточно статической настройки
интерфейса командой route.

Настройка routing'а производится в файле rc.inet1. Как правило Вам
бывает необходимо настроить routing по вышеперечисленным трем интерфейсам:

• Локальный интерфейс (lo).
  
• Интерфейс для платы Ethetnet (eth0).
  
• Интерфейс для серийного порта - SLIP/CSLIP (sl0).

Локальный инерфейс поддерживает сеть с IP-номером 127.0.0.1 . Поэтому для
машрутизации пакетов с адресом 127.... используется команда :

/sbin/route add -net 127.0.0.1

Если у Вас для связи с локалной сетью используется одна плата Ethernet и все
машины находятся в этой сети (сетевая маска 255.255.255.0), то для настройки
routing'а достаточно вызвать:

NETMASK=255.255.255.0

/sbin/route add -net ${NETWORK} netmask ${NETMASK}

Настройку routing'а по интерфейсу SLIP/CSLIP производит команда dip, вызывая
при установлении связи команды ifconfig и route.

Если Вы не собираетесь заводить поддержку сервиса имен для свой сети (что
является довольно сложной организациооной и технической проблемой) и доверяете
ведение своих имен Вашему IP-провайдеру, то Вам достаточно указать в файле
/etc/resolv.conf адрес nameserver'а вашего провайдера:

nameserver <адрес>

order hosts, bind

Защита локальной сети от взлома осуществляется следующими способами:

• запретом роутирования (машрутизации) указанных пакетов с одного интерфейса
  на другой (screening routing).
  
• выключение серверов на локальным машинах
  
• закрытие или ограничение доступа к серверам на локальных машинах
  (wrapping).

Screening routing

Данный режим защиты использует возможности ядра Linux блокировать указанные
пакеты при их передаче (forwarding) с одного интерфейса на другой. Эти
возможности включаются при конфигурации ядра (make config - см.выше) с
параметрами:

IP forwarding/gatewaying (CONFIG_IP_FORWARD) [y]

IP firewalling (CONFIG_IP_FIREWALL) [y]

Преимущество данного метода состоит в том, что Вы можете на одной машине
(gateway между локальной сетью и Internet'ом) защитить всю локальную сеть, не
защищая каждую мащину в отдельности.

Для того чтобы включить защиту Вам необходимо воспользоваться программой
настройкой защиты ipfwadm.

В 90% случает бывает достаточно закрыть TCP-порты c 1-го по 1024 для запреты
доступа к основным TCP-серверам и порты с 5000 по 65535 для запреда доступа с
X-серверам, оставив порты 1025-4999 для работы программ-клиентов локальной сети.
Если Вы хотите открыть доступ клиентам Internet к Вашим серверам (ftp,http и т
п) (предварительно тщательно проверив защиту), то вы можете оставить открытыми
соответствующие порты (см. /etc/service).

Все команды защиты Вы можете записать в отдельный командный файл (например
/etc/rc.d/rc.firewall) и вызывать его при выходе системы в мультирежим из
файла /etc/rc.d.rc.inet1.

Пример файла настройки защиты:

#!/bin/sh



NET=198.223.25

LOCALNET=198.223.25.0



/sbin/ipfwadm -B -f     #сброс блокировок



#Пропускать все пакеты внутри локальной сети

/sbin/ipfwadm -B -a accept -S ${LOCALNET}/24 -D ${LOCALNET}/24



#Задерживать пакеты на TCP-серверы локальной сети сети

/sbin/ipfwadm -B -P tcp -a deny -S 255.255.255.255/0 -D ${LOCALNET}/24 0:1024



#Задерживать пакеты на X-server'ы локальной сети

/sbin/ipfwadm -B -P tcp -a deny -S 255.255.255.255/0 -D ${LOCALNET}/24 5000:64575



# Пакеты с TCP-портов 1025 по 4999 разрешены для доступа из/в Internet

# эти порты используются клиентами (а не серверами) и взлом по ним невозможен





#Задерживать пакеты на UDP-серверы локальной сети

/sbin/ipfwadm -B -P udp -a deny -S 255.255.255.255/0 -D ${LOCALNET}/24 0:1024





#Защита gateway в Internet

GateWayIP=194.126.198.229/32



/sbin/ipfwadm -B -P tcp -a deny -S 255.255.255.255/0 -D ${GateWayIP} 0:20

# оставить окрытыми порты 21-23 - ftp -доступ

/sbin/ipfwadm -B -P tcp -a deny -S 255.255.255.255/0 -D ${GateWayIP} 24:79

# и 80 - http - доступ

/sbin/ipfwadm -B -P tcp -a deny -S 255.255.255.255/0 -D ${GateWayIP} 81:1024

/sbin/ipfwadm -B -P tcp -a deny -S 255.255.255.255/0 -D ${GateWayIP} 5000:64575

/sbin/ipfwadm -B -P udp -a deny -S 255.255.255.255/0 -D ${GateWayIP} 0:1024

# не забудьте максимально защитить ftp и www серверы от возможности взлома





#Зашита машин локальной сети вне Internet'a

#  Запретить локальным машинам с номерами 32-255 доступ к Internet

#машины 32-63

/sbin/ipfwadm -B -a deny -S 255.255.255.255/0 -D ${NET}.32/27

#машины 64-128

/sbin/ipfwadm -B -a deny -S 255.255.255.255/0 -D ${NET}.64/26

#машины 128-255

/sbin/ipfwadm -B -a deny -S 255.255.255.255/0 -D ${NET}.128/25

Выключение серверов на локальным машинах

Для того чтобы полностью закрыть доступ на локальной машине (речь идет о
UNIX-машинах) к определенному сервису (например telnetd) достаточно в файле
/etc/inetd.conf закомментировать строчку запуска данного сервера. В отличие от
защитычерез firewall

• Вам необходимо подправить файл /etc/inetd.conf на всех локальных машинах
  
• Вы закрываетет доступ к серверу не только Internet'овских пользователей но
  и локальных.

Если Вы хотите лишь огранчить доступ к серверу, не выключая его, то Вам надо
настроить TCP-wrapper (см. следующий раздел).

Wrapping

В ОС Linux при обращении из сети к TCP-порту суперсервер inetd вызывает не
сам сервер, а программу tcpd, передавая ей параметром имя необходимого сервера
(см. файл /etc/inetd.conf). Программа tcpd определяет IP-адрес клиента
ищет этот адрес для указанного сервиса в файлах /etc/hosts.allow и
/etc/hosts.deny. Если адрес найден в файле /etc/hosts.allow -
клиенту разрешается доступ к указанному серверу, если же адрес найден в файле
/etc/hosts.deny, то клиент не получает доступ к серверу. Например, если
Вы хотите открыть доступ на сервер telnetd только с одной машины Вы добавляете в
файл /etc/hosts.deny строку: