Linux2.4内核下的代理ARP和透明防火墙
作者:每天洗脸的小媳妇_853 | 来源:互联网 | 2017-06-23 17:22
文章标题:Linux2.4内核下的代理ARP和透明防火墙。Linux是中国IT实验室的一个技术频道。包含桌面应用,Linux系统管理,内核研究,嵌入式系统和开源等一些基本分类
作者:吴阿亭 一: 操作环境 Redhat 7.X, iptables, iproute2 二: 为什么需要Proxy ARP? 目前而言,为了添加防火墙,重新布署网络结构主要有如下方法: a. 防火墙两端分别使用真实地址和私有地址,用NAT或者端口转发实现对外服务,缺点是不能支持所有协议。 b. 把现有从ISP得到的IP地址分段成两个子网在防火墙两端使用,缺点是需要更改服务器默认网关及子网掩码等设置 c. 用代理ARP技术构建透明防火墙,可以Linux 2.4内核中轻易实现,它能保持现有的IP地址、 网关和子网掩码设置,加上使用真实IP地址,所以支持所有协议。 三: 典型应用图例 下面我们来考虑一个典型的小型企业网络环境: 1> 公司有专线连结互联网,为了保护DMZ区内的服务器,我们想架设一台防火墙直接连接路由器,下面再连结所有向外提供服务的各种WEB,Mail,DNS服务器,如下图: Internet | | DDN ____|____ | Router | |_________|e0: a.b.c.1 | __|__ eth0: a.b.c.2 | | | F | 用Proxy ARP技术的透明防火墙 (gw: a.b.c.1) |_____| | eth1: a.b.c.2 (两边可以用同一个IP,节省IP地址) | _____________|____________ | | | __|__ _|_ _|_ mail relay| A |ip:a.b.c.3 | B | | C | web proxy | |gw:a.b.c.1 |___| |___| |_____| WEB DNS | ip:a.b.c.4 IP:a.b.c.5 __ Intranet_____ _| gw:a.b.c.1 gw:a.b.c.1 192.168.1.0/24 | __|__ | D | |Mail | |_____| 注: 1. 一台防火墙F保护整个DMZ区和内部网络,两边可以用同一个IP地址a.b.c.2 。 2. 透明防火墙F两边在同一网段,且被保护的机器的IP和网关设置与同没有透明防火墙时一样,对被保护的服务器和外部用户而言都是透明的。当拿掉防火墙F时整个网络仍然能工作。 3. 服务器A连结内部网络作代理服务器共享上网,且配置Sendmail为内部网上的邮件服务器D作邮件relay。 4. 服务器A也可以直接连接到Router,和服务器F一样,这样要单独为服务器A设置防火墙规则。 5. 如果只有服务器F连接路由器,则只需用一个交叉电缆连结即可,不用HUB或者Switch 。 6. 你也可以合并A到F中,这样需要在F上有三块网卡同时连结DMZ和内部网络。 四: 如何设置Proxy ARP? Redhat 7.2已经带有iproute2,用 #ip route命令而不是以前用的#route命令 假定从ISP得到的IP地址为a.b.c.0/28 即可有a.b.c.0-15 共16个IP可用,但a.b.c.0(网络地址)和a.b.c.15(广播地址)不可用,故实际可用IP为a.b.c.1-14共14个IP地址。 a. 安装时先设置eth0和eth1的IP地址都是a.b.c.2,且默认网关为a.b.c.1 。 b. 启动后运行下面的命令或者放入/etc/rc.d/rc.local ip route del a.b.c.0/28 dev eth0 ip route add a.b.c.1 dev eth0 echo 1 > /proc/sys/net/ipv4/conf/eth0/proxy_arp echo 1 > /proc/sys/net/ipv4/conf/eth1/proxy_arp echo 1 > /proc/sys/net/ipv4/ip_forward 最后当你运行ip route命令时你应该看到类似下面的输出。 a.b.c.1 dev eth0 scope link a.b.c.0/28 dev eth1 proto kernel scope link src a.b.c.2 127.0.0.0/8 dev lo scope link default via a.b.c.1 dev eth0 c. 我从防火墙F ping DMZ区的所有机器和路由器,再确保你能从web,DNS上能够ping路由器, 如果你是后来添加的透明防火墙,你可能要等一段长的时间让路由器知道现在你在用代理ARP, 最终路由器会清除自身的ARP cache的,如果可能,关掉路由器电源再打开以使更快地清除ARP cache. d. 不同的Linux 内核响应新的ARP cache的时间不同,用Linux 2.4内核比较快。 e. 当然你也可以在透明防火墙F两端用不同的IP地址。 五: 其它应用 下面是另一种情况的代理ARP应用。 在公司局域网上,有两台数据库服务器你需要单独保护,你可以添加一个透明防火墙,同样不需要改动任何现有的IP地址设置,类似上面的道理,如下图。 ip:192.168.1.201 gw:192.168.1.1 | database1 | ____ ___ |__________eth1| F2 |eth0____________|F1 | 公司防火墙 | |____| |___| 192.168.1.1 | database2 | 内部代理ARP防火墙 ip:192.168.1.202 gw:192.168.1.1 设置步骤如下: 1. 为F2两端设置相同的IP为192.168.1.200,默认网关为192.168.1.1 2. 启动后运行 ip route del 192.168.1.0/24 dev eth1 ip route add 192.168.1.201 dev eth1 ip route add 192.168.1.202 dev eth1 echo 1 > /proc/sys/net/ipv4/conf/eth0/proxy_arp echo 1 > /proc/sys/net/ipv4/conf/eth1/proxy_arp echo 1 > /proc/sys/net/ipv4/ip_forward 3. 保证从database服务器能ping通代理ARP防火墙另一端的服务器,然后开始在F2上设置具体的防火墙规则。
推荐阅读
本文介绍了在Centos7操作系统上使用Nginx和AWStats进行日志分析的步骤和注意事项。通过AWStats可以统计网站的访问量、IP地址、操作系统、浏览器等信息,并提供精确到每月、每日、每小时的数据。在部署AWStats之前需要确认服务器上已经安装了Perl环境,并进行DNS解析。 ...
[详细]
蜡笔小新 2023-12-14 19:42:01
本文介绍了Python高级网络编程及TCP/IP协议簇的OSI七层模型。首先简单介绍了七层模型的各层及其封装解封装过程。然后讨论了程序开发中涉及到的网络通信内容,主要包括TCP协议、UDP协议和IPV4协议。最后还介绍了socket编程、聊天socket实现、远程执行命令、上传文件、socketserver及其源码分析等相关内容。 ...
[详细]
蜡笔小新 2023-12-14 18:16:27
本文介绍了在Linux服务器上进行密码过期策略、登录次数限制、私钥登录等配置的方法。通过修改配置文件中的参数,可以设置密码的有效期、最小间隔时间、最小长度,并在密码过期前进行提示。同时还介绍了如何进行公钥登录和修改默认账户用户名的操作。详细步骤和注意事项可参考本文内容。 ...
[详细]
蜡笔小新 2023-12-14 17:57:01
本文介绍了在rhel5.5操作系统下搭建网关+LAMP+postfix+dhcp的步骤和配置方法。通过配置dhcp自动分配ip、实现外网访问公司网站、内网收发邮件、内网上网以及SNAT转换等功能。详细介绍了安装dhcp和配置相关文件的步骤,并提供了相关的命令和配置示例。 ...
[详细]
蜡笔小新 2023-12-14 17:13:20
本文介绍了在Centos7.6系统下安装Gitlab的详细教程,并提供了一些注意事项。教程包括查看系统版本、安装必要的软件包、配置防火墙等步骤。同时,还强调了使用阿里云服务器时的特殊配置需求,以及建议至少4GB的可用RAM来运行GitLab。 ...
[详细]
蜡笔小新 2023-12-14 14:01:06
本文介绍了在Hibernate配置lazy=false时无法加载数据的问题,通过采用OpenSessionInView模式和修改数据库服务器版本解决了该问题。详细描述了问题的出现和解决过程,包括运行环境和数据库的配置信息。 ...
[详细]
蜡笔小新 2023-12-14 13:59:45
本文通过图解的方式介绍了redis的持久化存储机制RDB和AOF的原理和优缺点。RDB是将redis内存中的数据保存为快照文件,恢复速度较快但不支持拉链式快照。AOF是将操作日志保存到磁盘,实时存储数据但恢复速度较慢。文章详细分析了两种机制的优缺点,帮助读者更好地理解redis的持久化存储策略。 ...
[详细]
蜡笔小新 2023-12-13 20:24:11
本文介绍了数据库的存储结构及其重要性,强调了关系数据库范例中将逻辑存储与物理存储分开的必要性。通过逻辑结构和物理结构的分离,可以实现对物理存储的重新组织和数据库的迁移,而应用程序不会察觉到任何更改。文章还展示了Oracle数据库的逻辑结构和物理结构,并介绍了表空间的概念和作用。 ...
[详细]
蜡笔小新 2023-12-14 16:00:02
本文介绍了Linux系统中重启网络命令的实例,以及使用不同方式关机和重启系统的示例教程。包括使用图形界面和控制台访问系统的方法,以及使用shutdown命令进行系统关机和重启的句法和用法。 ...
[详细]
蜡笔小新 2023-12-14 15:52:52
本文主要讨论了在xps15上安装双系统win10和MacOS后,win10无法正常更新的问题。分析了可能的引导问题,并提供了解决方法。 ...
[详细]
蜡笔小新 2023-12-14 15:25:35
本文介绍了在树莓派上通过SSH服务使用命令行查看文件系统的操作,包括cd命令用于变更目录、pwd命令用于显示当前目录位置、ls命令用于显示文件和目录列表。详细讲解了这些命令的使用方法和注意事项。 ...
[详细]
蜡笔小新 2023-12-14 13:33:39
本文介绍了Metasploit攻击渗透实践的内容和要求,包括主动攻击、针对浏览器和客户端的攻击,以及成功应用辅助模块的实践过程。其中涉及使用Hydra在不知道密码的情况下攻击metsploit2靶机获取密码,以及攻击浏览器中的tomcat服务的具体步骤。同时还讲解了爆破密码的方法和设置攻击目标主机的相关参数。 ...
[详细]
蜡笔小新 2023-12-14 12:14:09
本文介绍了Python2x和Python3x在语法上的区别,包括print语句的变化、除法运算结果的不同、raw_input函数的替代、class写法的变化等。同时还介绍了Python脚本的解释程序的指定方法,以及在不同版本的Python中如何执行脚本。对于想要学习Python的人来说,本文提供了一些注意事项和技巧。 ...
[详细]
蜡笔小新 2023-12-14 11:27:53
本文介绍了Oracle数据库中tnsnames.ora文件的作用和配置方法。tnsnames.ora文件在数据库启动过程中会被读取,用于解析LOCAL_LISTENER,并且与侦听无关。文章还提供了配置LOCAL_LISTENER和1522端口的示例,并展示了listener.ora文件的内容。 ...
[详细]
蜡笔小新 2023-12-14 07:44:06
本文详细介绍了Linux中进程控制块PCBtask_struct结构体的结构和作用,包括进程状态、进程号、待处理信号、进程地址空间、调度标志、锁深度、基本时间片、调度策略以及内存管理信息等方面的内容。阅读本文可以更加深入地了解Linux进程管理的原理和机制。 ...
[详细]
蜡笔小新 2023-12-13 21:31:18
每天洗脸的小媳妇_853
这个家伙很懒,什么也没留下!