博文
iptable 使用实例(2006-09-26 19:38:00)
摘要：iptable 使用实例
iptables使用实例
首先让我们看一下服务器/客户机的交互原理。服务器提供某特定功能的服务总是由特定的后台程序提供的。在TCP/IP网络中，常常把这个特定的服务绑定到特定的TCP或UDP端口。之后，该后台程序就不断地监听（listen)该端口，一旦接收到符合条件的客户端请求，该服务进行TCP握手后就同客户端建立一个连接，响应客户请求。与此同时，再产生一个该绑定的拷贝，继续监听客户端的请求。
举一个具体的例子：假设网络中有一台服务器A(IP地址为1.1.1.1)提供WWW服务，另有客户机B(2.2.2.2)、C(3.3.3.3)。首先，服务器A运行提供WWW服务的后台程序（比如Apache）并且把该服务绑定到端口80，也就是说，在端口80进行监听。当B发起一个连接请求时,B将打开一个大于1024的连接端口(1024内为已定义端口),假设为1037。A在接收到请求后，用80端口与B建立连接以响应B的请求，同时产生一个80端口绑定的拷贝，继续监听客户端的请求。假如A又接收到C的连接请求（设连接请求端口为1071），则A在与C建立连接的同时又产生一个80端口绑定的拷贝继续监听客户端的请求。如下所示，因为系统是以源地址、源端口、目的地址、目的端口来标识一个连接的，所以在这里每个连接都是唯一的。
服务器 客户端
连接1：a.b.c.1:80 <=> a.b.c.4:1037
连接2：a.b.c.1:80 <=> a.b.c.7:1071
每一种特定的服务都有自己特定的端口，一般说来小于1024的端口多为保留端口，或者说是已定义端口，低端口分配给众所周知的服务（如WWW、FTP等等），从512到1024的端口通常保留给特殊的UNIX TCP/IP应用程序，具体情况请参考/etc/services文件或RFC1700。
假设网络环境如下：某一单位，租用DDN专线上网，网络拓扑如下：
+--------------+
| 内部网段 | eth1+--------+eth0 DDN
| +------------|firewall|<===============>Internet
| 198.168.80.0 | +--------+......
Linux下WWW服务器配置全攻略(2006-09-24 11:57:00)
摘要：
Linux操作系统近几年有了蓬勃的发展，在整个世界范围内得到了越来越多公司和团体的支持，尤其是最近IBM公司的鼎力支持，更是使Linux服务器如虎添翼，更上一层楼。而在国内，Linux的应用也是方兴未艾，众多公司已经投入到Linux系统的研发和推广工作中。一些优秀的Linux操作系统相继出现，比如红旗Linux等。但是我国的Linux应用水平还很低，熟悉Linux的人员严重缺乏，Linux专业人才的缺乏已成为Linux在国内应用和普及的瓶颈问题。据《开放系统世界》2003年第八期介绍，中国五年内Linux人才需求量将会超过120万。而“1+1+1”工程的实施，也是间接地告诉我们这个问题的严重性。如此大好时机，我们干吗还愣着不动呢！如果你是一位Linux爱好者，你可能已经掌握了基本的Linux的知识与操作，毫无疑问，你并不会去满足这样小小的成就。Linux为何如此的流行？其最大的特点莫过于功能强大，性能稳定的服务器应用了。像WWW,MAIL,FTP,DNS和SMB等。在这篇文章中，我将以Redhat Linux 9为蓝本，从Web服务器的一些最基本的操作入手，从初学者使用的态度，让读者正确充分的认识Apache。好，现在就让我们一起踏上征服Apache的自由之路吧。
第一站 Apache的历史与前景
1995年，美国国家计算机安全协会（NCSA）的开发者创建了NCSZ全球网络服务软件，其最大的特点是HTTP精灵程序，它比当时的CERN服务器更容易由源码来配置和创建，又由于当时其他服务器软件的缺乏，他很快流行起来。但是后来，该服务器的核心开发人员几乎都离开了NCSA，一些使用者们自己成立了一个组织来管理他们编写的补丁，于是Apache Group应运而生。他们把该服务器软件称为Apache。Apache源于A patchy server的读音，意思是充满补丁的服务器。如今Apache慢慢地已经成为Internet上最流行的Web服务器软件了。在所有的Web服务器软件中，Apache占据绝对优势，远远领先排名第二的Microsoft IIS。如果你对它感兴趣，你可以访问Apache的官方网站：http://www.apache.org。Apache作为自由软件之一，像其他自由软件一样，他们都是由许许多多的自由开发人员投入了大量的时间......
linux防火墙(iptable)(2006-09-22 20:21:00)
摘要：1、什么是防火墙
防火墙是一套能够在两个或两个以上的网络之间，明显区隔出实体线路联机的软硬件设备组合。被区隔开来的网络，可以透过封包转送技术来相互通讯，透过防火墙的安全管理机制，可以决定哪些数据可以流通，哪些资料无法流通，藉此达到网络安全保护的目的。
防火墙产品可以概略归类为硬件式防火墙和软件式防火墙，但实际上无论是硬件式或软件式防火墙，它们都需要使用硬件来作为联机介接，也需要使用软件来设定安全政策，严格说两者间的差别并不太大。我们只能从使用的硬件与操作系统来加以区分，硬件式防火墙是使用专有的硬件，而软件式防火墙则使用一般的计算机硬件，硬件式防火墙使用专有的操作系统，而软件式防火墙则使用一般的操作系统。
防火墙依照其运作方式来分类，可以区分为封包过滤式防火墙 (Packet Filter) 、应用层网关式防火墙 (Application-Level Gateway，也有人把它称为 Proxy 防火墙)、电路层网关式防火墙 (Circuit-Level Gateway)。其中被广为采用的是封包过滤式防火墙，本文要介绍的 iptables 防火墙就是属于这一种。
封包过滤是最早被实作出来的防火墙技术，它是在 TCP/IP 四层架构下的 IP 层中运作。封包过滤器的功能主要是检查通过的每一个 IP 数据封包，如果其标头中所含的数据内容符合过滤条件的设定就进行进一步的处理，主要的处理方式包含：放行（accept）、丢弃（drop）或拒绝（reject）。要进行封包过滤，防火墙必须要能分析通过封包的来源 IP 与目的地 IP，还必须能检查封包类型、来源埠号与目的埠号、封包流向、封包进入防火墙的网卡接口、TCP的联机状态等数据。
防火墙由于种种理由价格一直居高不下，对于贫穷的中小学来讲要采购一台防火墙，简直是不可能的任务，而由于 Linux 的风行，使用 Linux 来充作软件式防火墙，似乎是不错的解决之道，本文拟介绍以 Linux 上最新最强大的 iptables 防火墙软件，建置出适合学校使用的过滤规则，让缺钱的学校能有一套好用的防火墙来看守校园网络的大门。
2、Linux 防火墙演变简史
Linux 最早出现的防火墙软件称为 ipfw，ipfw 能透过 IP 封包标头的分析，分辨出封包的来源 IP 与目的地 IP、封包类型、来源埠号与......
Linux下NFS的配置与注意的问题 (2006-09-21 23:38:00)
摘要：1.什么是NFS(Network FileSystem)
NFS 就是 Network FileSystem 的缩写，最早之前是由 Sun 所发展出来的。他最大的功能就是可以透过网络，让不同的机器、不同的操作系统、可以彼此分享个别的档案 ( share file )，所以，也可以简单的将他看做是一个 file server 呢！这个 NFS Server 可以让你的 PC 来将网络远程的 NFS 主机分享的目录，挂载到本地端的机器当中，所以，在本地端的机器看起来，那个远程主机的目录就好象是自己的 partition 一般！
虽然 NFS 有属于自己的协议与使用的 port number ，但是在资料传送或者其它相关讯息传递的时候， NFS 使用的则是一个称为远程过程调用( Remote Procedure Call, RPC )的协议来协助 NFS 本身的运作！
2.RPC
当我们在使用某些服务来进行远程联机的时候，有些信息，例如主机的IP、服务的 port number、与对应到的服务之 PID 等等，都需要管理与对应！这些管理 port 的对应与服务相关性的工作，就是这个 Remote Procedure Call, RPC 的任务了
NFS 本身的服务并没有提供资料传递的协议，但是 NFS 却能让我们进行档案的分享，这其中的原因，就是 NFS 使用到一些其它相关的传输协议！而这些传输的协议，就是使用到这个所谓的 RPC 的功能啰！这也就是说， NFS 本身就是使用 RPC 的一个 program 就是了！说的更白话一点， NFS 也可以视作是一个 RPC server 啦！同时要注意到的是，在某些状况中，不但跑 NFS 的 Server 需要激活 RPC 的服务，连带的，要挂载 NFS partition 的 Client 机器，也需要同步激活 RPC 才行！这样 Server 端与 Client 端才能藉由 RPC 的协议来进行 program port 的对应喔！NFS 主要在管理分享出来的目录，而至于资料的传递，就直接将他丢给 RPC 的协议来运作就是了！
3.NFS 激活的 RPC daemons
o rpc.nfsd：这个 daemon 主要的功能就是在管理 Client 是否能够登入主机的权......
[Linux]vsftp配置大全---超完整版 (2006-09-21 23:36:00)
摘要：
说明：
如果不做说明，一般安装命令均使用ROOT权限，用 # 表示
特别说明：无
以下文章介绍Liunx 环境下vsftpd的三种实现方法
一、前言
Vsftp(Very Secure FTP)是一种在Unix/Linux中非常安全且快速稳定的FTP服务器，目前已经被许多大型站点所采用，如ftp.redhat.com,ftp.kde.org,ftp.gnome.org.等。Vsftpd的实现有三种方式
1、匿名用户形式：在默认安装的情况下，系统只提供匿名用户访问
2、本地用户形式：以/etc/passwd中的用户名为认证方式
3、虚拟用户形式：支持将用户名和口令保存在数据库文件或数据库服务器中。相对于FTP的本地用户形式来说，虚拟用户只是FTP服务器的专有用户，虚拟用户只能访问FTP服务器所提供的资源，这大大增强系统本身的安全性。相对于匿名用户而言，虚拟用户需要用户名和密码才能获取FTP服务器中的文件，增加了对用户和下载的可管理性。对于需要提供下载服务，但又不希望所有人都可以匿名下载；既需要对下载用户进行管理，又考虑到主机安全和管理方便的FTP站点来说，虚拟用户是一种极好的解决方案。
[b:76578f24b7]二、获取最新版的Vsftp程序[/b:76578f24b7][/size:76578f24b7]
Vsftp官方下载：ftp://vsftpd.beasts.org/users/cevans/vsftpd-2.0.3.tar.gz" TARGET=_blank>ftp://vsftpd.beasts.org/users/cevans/vsftpd-2.0.3.tar.gz，目前已经到2.0.3版本。假设我们已经将vsftpd-2.0.3.tar.gz文件下载到服务器的/home/xuchen目录
[code:1:76578f24b7]# cd /home/xuchen
# tar xzvf vsftpd-2.0.3.tar.gz //解压缩程序
# cd vsftpd-2.0.3[/code:1:76578f24b7]
初学vb ......
redhat linux中vsftp配置(2006-09-21 23:33:00)
摘要：
//配置文件
/etc/vsftpd/vsftpd.conf 主配置文件
/etc/vsftpd.ftpusers 指定哪些用户不能访问FTP服务器
/etc/vsftpd.user_list 指定的用户在/etc/vsftpd/vsftpd.conf中设置了userlist_enable=YES且userlist_deny=NO时能访问FTP服务器
//允许匿名用户上传
anon_upload_enable=YES 允许匿名用户上传
anon_mkdir_write_enable=YES 开启匿名用户的写和创建目录的权限
anon_world_readable_only=NO 开放匿名用户的浏览权限
idle_session_timeout=600 在用户会话空闲10分钟后被中断
data_connectiono_timeout=120 在数据连接空闲2分钟后被中断
accept_timeout=60
connect_timeout=60 在空闲1分钟后自动断连接，并在中断1分钟后自动激活
max_clients=200 总的客户并发连接数
max_per_ip=3 每个客户机最大连接数
local_max_rate=50000
anon_max_rate=30000 本地用户最大传输速率50KB/S，匿名的30KB/S
//安全
//设置/etc/hosts.deny
vsftpd:DENY FROM ALL
//设置/etc/hosts.allow
vsftpd:IP:ALLOW
//创建匿名上传目录
# mkdir /var/ftp/incoming
#chmod o+w /var/ftp/incoming/
//运行在xinetd方式下
//修改配置文件
# vi /etc/vsftpd/vsftpd.conf
//在如下配置选项前添加注释
//# listen=YES
//# tcp_wrappers=YES
//从vsftpd的文档目录里复制xinetd配置文件
# cp /usr/share/doc/vsftpd-1.1.3/vsftpd.xinetd /etc/xi......
Linux下的Sendmail配置(简单篇)(2006-09-21 23:32:00)
摘要：
Sendmail的安装，您首先要保证域名提供商为你的主机做了MX记录的域名解析。我做的MX记录如下。
名 称：abc.com
类 型：mx(10)
主机名：mx1.abc.com
同时给主机做了mx1.abc.com的A记录。测试MX记录是否生效，您可以用nslookup
#nslookup
> set q=mx
> abc.com
这时您就会从系统显示出的信息中看到您的MX记录是否生效。
Redhat安装完毕后，系统默认已经安装了Sendmail-cf-8.11.0-8.i386.rpm软件包，请检查/etc/下是否有Sendmail.cf文件，如果没有，请安装Sendmail-cf-8.11.0，-8.i386.rpm的软件包，在Linux的光盘中有。
配置：
/etc/sendmail.cf
Cwlocalhost abc mx1.abc.com
/etc/mail/access
添加：
1.2.3.4RELAY（1.2.3.4是我的IP）
/etc/mail/local-host-names
abc.com（添加一别名，为了收取user@abc.com格式的信件）
为了用户可以使用Foxmail，Outlook等软件进行收信。您需要安装Imap。打开系统的POP3端口。
请查看/usr/sbin/下是否含有ipop2d、ipop3d文件，如没有，请安装imap-4.7c2-12.i386.rpm软件包。
配置：
/etc/xinetd.d/ipop2
默认：disable=yes 改为：disable=no
/etc/xinetd.d/ipop3
默认：disable=yes 改为：disable=no
/etc/xinetd.d/ipop3
默认：disable=yes 改为：disable=no
/etc/xinetd.d/pops
默认：disable=yes 改为：disable=no
最后：
/etc/rc.d/init.d/xinetd restart
邮件系统用户......
Redhat Linux下配置sendmail和smtp(2006-09-21 23:31:00)
摘要：一: 本文目的
利用RedHat 7.1中的默认配置方便地设置一台利用SASL库进行用户名和密码认证的SMTP服务器，以允许外面的用户以用户名和密码认证来relay邮件。
二: 网络系统
公司域名 : domain.com
用来认证的SMTP服务器全称域名: smtp.domain.com
三: 为什么要这样用?
假设上面的公司有专线接入Internet， 且在其它城市有多个分支机构， 公司有统一的域名domain.com，
所有员工的邮件地址类似如staffname@domain.com。 但是分支机构大多数没有专线接入，用ISDN或者普通拨号方式入网， 并且越来越多的ISP不允许以非ISP的邮件地址域名后缀发送邮件， 即使你是他们的拨号用户。
还有一种情况是移动用户，经常地，公司派遣用户在外出差旅行期间，用户需要发送邮件，则也同样需要一种认证方案去允许正确的用户relay邮件。
现在我们考虑做公司自己内部的邮件relay系统。
就是设置一台SMTP服务器在防火墙之外，安装Redhat 7.1，选择‘服务器系统’方式安装所有需要的包，然后设置Sendmail，配置一台基于SASL的用户名和密码认证的邮件服务器，以relay自己公司的员工的邮件。
四: 配置Sendmail
1. 选择‘服务器系统’安装Redhat 7.1
2. 进入目录 /usr/share/sendmail-cf/cf 。
如果你没有该目录，说明你还没有安装sendmail-cf-8.11.2-14 RPM包，从你的安装CD中安装它。
3. 修改文件redhat.mc如下
divert(-1)
dnl This is the sendmail macro config file. If you make changes to this file,
dnl you need the sendmail-cf rpm installed and then have to generate a
dnl new /etc/sendmail.cf by running the following command:
dnl
dnl m4......
linux SSH 的一些安全小技巧 (2006-09-21 22:02:00)
摘要：
一, 前言
关于 ssh 的好处, 相信不用我多说了吧?
简而言之, 之前的 rpc command 与 telnet 都全可用 ssh 代替.
比方如下的这些常见功能:
- 远程登录
ssh user@remote.machine
- 远程执行
ssh user@remote.machine ’command ...’
- 远程粗?
scp user@remote.machine:/remote/path /local/path
scp /local/path user@remote.machine:/remote/path
- X forward
ssh -X user@remote.machine
xcommand ...
- Tunnel / Portforward
ssh -L 1234:remote.machine:4321 user@remote.machine
ssh -R 1234:local.machine:4321 user@remote.machine
ssh -L 1234:other.machine:4321 user@remote.machine
至于详细的用法, 我这就不说了. 请读者自行研究吧.
我这里要说的, 是针对 ssh 服务为大家介绍一些安全技巧, 希望大家用得更安心些.&......
SSH使用指南(2006-09-21 21:52:00)
摘要：介绍SSH
什么是SSH？
传统的网络服务程序，如：ftp、pop和telnet在本质上都是不安全的，因为它们在网络上用明文传送口令和数据，别有用心的人非常容易就可以截获这些口令和数据。而且，这些服务程序的安全验证方式也是有其弱点的，就是很容易受到“中间人”（man-in-the-middle）这种方式的攻击。所谓“中间人”的攻击方式，就是“中间人”冒充真正的服务器接收你的传给服务器的数据，然后再冒充你把数据传给真正的服务器。服务器和你之间的数据传送被“中间人”一转手做了手脚之后，就会出现很严重的问题。
SSH的英文全称是Secure SHell。通过使用SSH，你可以把所有传输的数据进行加密，这样“中间人”这种攻击方式就不可能实现了，而且也能够防止DNS和IP欺骗。还有一个额外的好处就是传输的数据是经过压缩的，所以可以加快传输的速度。SSH有很多功能，它既可以代替telnet，又可以为ftp、pop、甚至ppp提供一个安全的“通道”。
最初SSH是由芬兰的一家公司开发的。但是因为受版权和加密算法的限制，现在很多人都转而使用OpenSSH。OpenSSH是SSH的替代软件，而且是免费的，可以预计将来会有越来越多的人使用它而不是SSH。
SSH是由客户端和服务端的软件组成的，有两个不兼容的版本分别是：1.x和2.x。用SSH 2.x的客户程序是不能连接到SSH 1.x的服务程序上去的。OpenSSH 2.x同时支持SSH 1.x和2.x。
OpenSSH 是 SSH （Secure SHell） 协议的免费开源实现。它用安全、加密的网络连接工具代替了 telnet、ftp、 rlogin、rsh 和 rcp 工具。OpenSSH 支持 SSH 协议的版本 1.3、1.5、和 2。自从 OpenSSH 的版本 2.9 以来，默认的协议是版本 2，该协议默认使用 RSA 钥匙。
>>>>0penssh下载<<<<:
为什么使用 SSH？
使用 OpenSSH 工具将会增进你的系统安全性。 所有使用 OpenSSH 工具的通讯，包括口令，都会被加密。 telnet 和 ftp 使用纯文本口令，并被明文发送。这些信息可能会被截取，口令可能会被检索，然后未经授权的人员可能会使用截取的口令登录进你的系统而......