Linux防火牆配置初級入門

【導讀】RedHat Linux 爲增長系統安全性提供了防火牆保護。防火牆存在於你的計算機和網絡之間，用來斷定網絡中的遠程用戶有權訪問你的計算機上的哪些資源。一個正確配置的防火牆能夠極大地增長你的系統安全性。

RedHat Linux 爲增長系統安全性提供了防火牆保護。防火牆存在於你的計算機和網絡之間，用來斷定網絡中的遠程用戶有權訪問你的計算機上的哪些資源。一個正確配置的防火牆能夠極大地增長你的系統安全性。

爲你的系統選擇恰當的安全級別。

「高級」

若是你選擇了「高級」，你的系統就不會接受那些沒有被你具體指定的鏈接（除了默認設置外）。只有如下鏈接是默認容許的：

DNS迴應

DHCP — 任何使用 DHCP 的網絡接口均可以被相應地配置。

若是你選擇「高級」，你的防火牆將不容許下列鏈接：

1.活躍狀態FTP（在多數客戶機中默認使用的被動狀態FTP應該可以正常運行。）

2.IRC DCC 文件傳輸

3.RealAudio

4.遠程 X 窗口系統客戶機

若是你要把系統鏈接到互聯網上，可是並不打算運行服務器，這是最安全的選擇。若是須要額外的服務，你能夠選擇「定製」來具體指定容許經過防火牆的服務。

註記:若是你在安裝中選擇設置了中級或高級防火牆，網絡驗證方法（NIS 和 LDAP）將行不通。

「中級」

若是你選擇了「中級」，你的防火牆將不許你的系統訪問某些資源。訪問下列資源是默認不容許的：

1.低於1023 的端口 — 這些是標準要保留的端口，主要被一些系統服務所使用，例如： FTP 、 SSH 、 telnet 、 HTTP 、和 NIS 。

2.NFS 服務器端口（2049）— 在遠程服務器和本地客戶機上，NFS 都已被禁用。

3.爲遠程 X 客戶機設立的本地 X 窗口系統顯示。

4.X 字體服務器端口（ xfs 不在網絡中監聽；它在字體服務器中被默認禁用）。

若是你想准許到RealAudio之類資源的訪問，但仍要堵塞到普通系統服務的訪問，選擇「中級」。你能夠選擇「定製」來容許具體指定的服務穿過防火牆。

註記:若是你在安裝中選擇設置了中級或高級防火牆，網絡驗證方法（NIS 和 LDAP）將行不通。

「無防火牆」

無防火牆給予徹底訪問權並不作任何安全檢查。安全檢查是對某些服務的禁用。建議你只有在一個可信任的網絡（非互聯網）中運行時，或者你想稍後再進行詳細的防火牆配置時才選此項。

選擇「定製」來添加信任的設備或容許其它的進入接口。

「信任的設備」

選擇「信任的設備」中的任何一個將會容許你的系統接受來自這一設備的所有交通；它不受防火牆規則的限制。例如，若是你在運行一個局域網，可是經過PPP撥號鏈接到了互聯網上，你能夠選擇「eth0」，然後全部來自你的局域網的交通將會被容許。把「eth0」選爲「信任的」意味着全部這個以太網內的交通都是被容許的，可是ppp0接口仍舊有防火牆限制。若是你想限制某一接口上的交通，不要選擇它。

建議你不要將鏈接到互聯網之類的公共網絡上的設備定爲「信任的設備」。

「容許進入」

啓用這些選項將容許具體指定的服務穿過防火牆。注意：在工做站類型安裝中，大多數這類服務在系統內沒有被安裝。

「DHCP」

若是你容許進入的 DHCP 查詢和迴應，你將會容許任何使用 DHCP 來斷定其IP地址的網絡接口。DHCP一般是啓用的。若是DHCP沒有被啓用，你的計算機就不可以獲取 IP 地址。

「SSH」

Secure（安全）SHell（SSH）是用來在遠程機器上登陸及執行命令的一組工具。若是你打算使用SSH工具經過防火牆來訪問你的機器，啓用該選項。你須要安裝openssh-server 軟件包以便使用 SSH 工具來遠程訪問你的機器。

「Telnet」

Telnet是用來在遠程機器上登陸的協議。Telnet通訊是不加密的，幾乎沒有提供任何防止來自網絡刺探之類的安全措施。建議你不要容許進入的Telnet訪問。若是你想容許進入的 Telnet 訪問，你須要安裝 telnet-server 軟件包。

「WWW (HTTP)」

HTTP協議被Apache（以及其它萬維網服務器）用來進行網頁服務。若是你打算向公衆開放你的萬維網服務器，請啓用該選項。你不須要啓用該選項來查看本地網頁或開發網頁。若是你打算提供網頁服務的話，你須要安裝 httpd 軟件包。

啓用「WWW (HTTP)」將不會爲 HTTPS 打開一個端口。要啓用 HTTPS，在「其它端口」字段內註明。

「郵件 (SMTP)」

若是你須要容許遠程主機直接鏈接到你的機器來發送郵件，啓用該選項。若是你想從你的ISP服務器中收取POP3或IMAP郵件，或者你使用的是 fetchmail之類的工具，不要啓用該選項。請注意，不正確配置的 SMTP 服務器會容許遠程機器使用你的服務器發送垃圾郵件。

「FTP」

FTP 協議是用於在網絡機器間傳輸文件的協議。若是你打算使你的 FTP 服務器可被公開利用，啓用該選項。你須要安裝 vsftpd 軟件包才能利用該選項。

「其它端口」

你能夠容許到這裏沒有列出的其它端口的訪問，方法是在「其它端口」字段內把它們列出。格式爲：端口:協議。例如，若是你想容許 IMAP 經過你的防火牆，你能夠指定 imap:tcp 。你還能夠具體指定端口號碼，要容許 UDP 包在端口 1234 經過防火牆，輸入 1234:udp 。要指定多個端口，用逗號將它們隔開。

竅門:要在安裝完畢後改變你的安全級別配置，使用安全級別配置工具。在 shell 提示下鍵入 redhat-config-securitylevel 命令來啓動安全級別配置工具。若是你不是根用戶，它會提示你輸入根口令後再繼續。