当前位置:Linux教程 - 基础知识 - 基础知识 - 菜鸟心得(二)请共享,请指正

基础知识 - 菜鸟心得(二)请共享,请指正

菜鸟心得(二)请共享,请指正
2004-04-23 15:18 pm
来自:Linux文档
现载:Www.8s8s.coM
地址:无名

三.配置问题(以双网卡防火墙为例)
企业用户架构linux服务器,通常完成这么几个功能:文件共享,打印共享,上internet,发布自己的web和ftp等。包含的软件包主要有: samba(windows共享)、apache(web服务)、squid(web代理)、proftpd/wu-ftpd(ftp服务)、 iptables/ipchains(防火墙)等。其中,samba、apache和squid是必选的,ftp和防火墙主流都选择proftpd和 iptables,主要是考虑更安全和更易配置。
在rh8.0里面,自带可安装samba、apache、squid、wu-ftpd、iptables,虽然版本不一定是最新的,但只要配置正确,它们足以发挥正常功能。
“瘟斗死”的执行文件有明确的标记(如:*.exe,*.com等),而配置都是自动的。Linux完全不是这么回事,不但执行文件没有有明确的标记,安装和配置也需要行命令输入。网友们给出很多的配置文章,都是基于行命令的,这对于用惯了“瘟斗死”的admin,又是初学linux的菜鸟们来说,确实是很茫然的,找不到北呀(我现在就知道带“齿轮”图标的文件是可执行的,.conf是可以配置的。是不是很菜呀)。

下面谈谈我的配置经验:

配置应该先易后难,能用图形配置界面的最好使用它。逐个进行,配好一个,启动一个,测试一个,再配下一个。大部分配置文件都有缺省的配置和全配置的详细说明,在你还不清楚那些没有打开的配置的功能和意义以前,最好先不要打开。切忌一哄而上,全部启动,出了问题都不知道谁影响谁,谁对谁错。
配置的顺序建议是:dns(包括网卡),iptables ,samba,ftp,apache,最后是squid。为什么要这样啦?dns就不用解释了,它不能正常工作,其它的都谈不上。内网的兄弟们急着上网,先配好iptables打发了他们。samba相对简单,配成完全共享后,两机间可以互考文件,便于其他配置,如考网页到apache等。ftp配好后,就可用dreamweaver上传网站到apache,有利于apache测试。Web服务不是很急,可以晚点配。只有在三个服务都能正常工作的情况下才有可能进行代理配置。当然你也可以按自己的顺序配了。
下面说的“终端”,均是指“系统工具”里的“终端”窗口程序。对语句的意义不再做解释,这方面的介绍很多,重点在配置的过程和方法。

1. DNS配置。
安装完后,用root登录,先打开桌面“系统设置”中的“网络”图形界面,检查网络配置。

“设备”一栏
内外网卡的IP地址都必须手动指配。在“当计算机启动时激活设备”处打勾。
网关:
如果本机是内网网关,内网卡的“默认网关编号”就空着,反之填写内网网关的IP地址。
外网卡的网关地址一定要添的,应该是外网卡连线对端设备(如路由器、交换机等)的IP地址。注意,掩码一定要正确。“路由”可以不配。
接好网络线,点击“活跃”,激活内外网卡。

“主机”一栏
这实际上是一个主机地址列表,对应于“/etc/hosts”文件。通常已经有了你本机的名字和地址(如果你在安装时就输入了主机名的话)。可以用“编辑” 和“添加”进行修改或添加本机和其它主机的名字、别名和IP地址。注意,最好使用DNS来添加新的主机名、别名和IP地址。

“DNS”一栏
在“主机名”中输入与“‘主机’一栏”中的本机主机名一致的名字。在“搜索域”中输入你域名全称,点击“添加”。
如果本机是DNS客户,在“主DNS”输入你的DNS服务器IP地址,反之就空着。

关闭“网络配置”,按照提示存盘。

作为DNS客户,本机的DNS配置就结束了。你可以在“终端”里用nslookup和ping命令测试域名、主机全称名和别名,必须全部通过才能进行后面的步骤。

如果本机是DNS服务器。在桌面打开“服务器设置”中的“域名服务”图形界面,配置DNS服务器。
里面已经有一个“localhost”域的正、反向区块,不要动它,让它留着。
点击“添加”,选“正向主区块”,在“域名”中输入你域的全称。确定。进到“名称到IP的翻译”。在“主名称服务器”中输入本机的主机名全称,在“联系”中修改“localhost”为你的主机名全称。
在“记录”里点亮你的域名,点击右边的“编辑”,打开域名设置窗口。在“名称服务器”右边点击“添加”,输入本机主机名全称,确定。在“IP地址”中输入你的内网卡地址。
在“记录”里点亮你的域名,点击右边的“添加”,打开“添加一条记录”窗口,添加其它主机的主机名和别名的解析。确定。
退出“名称到IP的翻译”。
再点击“添加”,选“反向主区块”,在“IP地址”中输入你域的IP网址。确定。进到“IP到名称的翻译”。在“主名称服务器”中输入本机的主机名全称,在“联系”中修改“localhost”为你的主机名全称。
在“名称服务器”,点击右边的“添加”,打开“名称服务器的属性”窗口,在“服务器”中添加本机的主机名。确定。
在“逆向地址表”,点击右边的“添加”,打开“新逆向区块指针”窗口,添加其它主机的主机名逆向解析。确定。
退出“IP到名称的翻译”。
关闭“域名服务”配置窗口,根据提示存盘。相应的文件会存入:/etc/named.conf文件和/var/named目录下。
最后,打开“/etc/named.conf”文件,在“options{ }”中,加入转发语句:“forwarders {x.x.x.x;};”,地址应该是你的ISP的DNS地址。
至此,DNS服务器就配置好了。打开桌面“系统设置”中的“服务”,进入“服务配置”窗口。找到“named”一项,在左边打勾,点击左上的“储存”,再点击“开始”,启动DNS服务器。
你可以在“终端”里用nslookup和ping命令测试域名、主机全称名和别名,必须全部通过才能进行后面的步骤。

2. Iptables配置
配置iptables的目的,一个是防止公网的入侵,一个是让内网的兄弟们上网。在没配之前,只有本机能上网。
Rh8.0的“系统设置”中有个“安全级别” ,它主要是针对本机来说的,不能用它来配置iptables。打开“安全级别”,把它配成“无防火墙”级别。
为了配置、测试方便,可以先用“KWrite”编个“脚本”,采用“复制”、“粘贴”方式,把全部语句一次性粘贴到“终端”里执行。这样修改测试都很方便。
打开“其他”—“辅助设施”中的“KWrite”,将下面的样本输入或粘贴到里面(其中,eth0、eth1分别是外、内网卡):

echo "Enable IP Forwarding..."
echo 1 >/proc/sys/net/ipv4/ip_forward
echo "Starting iptables rules..."
/sbin/modprobe iptable_filter
/sbin/modprobe ip_tables
/sbin/modprobe iptable_nat

iptables -F INPUT
iptables -F FORWARD
iptables -F OUTPUT
iptables -F POSTROUTING -t nat
iptables -F PREROUTING -t nat

iptables -P INPUT DROP
iptables -P FORWARD DROP
iptables -P OUTPUT ACCEPT

iptables -A INPUT -i lo -j ACCEPT
iptables -A INPUT -i eth1 -j ACCEPT
iptables -A INPUT -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT

iptables -A FORWARD -s 192.168.0.0/24 -j ACCEPT
iptables -A FORWARD -i eth0 -m state --state ESTABLISHED,RELATED -j ACCEPT
iptables -t nat -A POSTROUTING -o eth0 -s 192.168.0.0/24 -j MASQUERADE

/etc/rc.d/init.d/iptables restart

iptables -L


再另存为一个文件放到桌面上,便于使用。
在这个配置里面,INPUT和转发FORWARD功能的缺省值都是拒绝(DROP),这意味着在后面的INPUT和FORWARD语句中没有表明通过(ACCEPT)的都将被拒之门外。这是一个最好的安全模式,经过使用赛门铁克的在线测试,所有公网端口都是隐藏的。注意,所有内网端口都是打开的,本机对内没有安全可言。
其它的语句我就不多说了,最后一句是显示配置执行后的链路结果。
每次修改完后,将整篇语句全部复制,再粘贴到“终端”,它将自动配置、启动、显示一次。反复修改、测试,直到达到你的要求。
最后将整篇语句全部复制,再粘贴到“/etc/rc.d/rc.local”文件后面,你的配置开机后也可以自动执行了。

(待续)