RedHat Linux下防火墻配置技巧是什么
防火墻主要由服務訪問規(guī)則、驗證工具、包過濾和應用網關4個部分組成，防火墻就是一個位于計算機和它所連接的網絡之間的軟件或硬件。RedHatLinux為增加系統(tǒng)安全性提供了防火墻保護。防火墻存在于你的計算機和網絡之間，用來判定網絡中的遠程用戶有權訪問你的計算機上的哪些資源
RedHat Linux下防火墻配置技巧
RedHatLinux為增加系統(tǒng)安全性提供了防火墻保護。防火墻存在于你的計算機和網絡之間，用來判定網絡中的遠程用戶有權訪問你的計算機上的哪些資源。一個正確配置的防火墻可以極大地增加你的系統(tǒng)安全性。
為你的系統(tǒng)選擇恰當?shù)陌踩墑e。
高級
如果你選擇了“高級”，你的系統(tǒng)就不會接受那些沒有被你具體指定的連接(除了默認設置外)。只有以下連接是默認允許的：
DNS回應
DHCP—任何使用DHCP的網絡接口都可以被相應地配置。如果你選擇“高級”，你的防火墻將不允許下列連接：
1.活躍狀態(tài)FTP(在多數(shù)客戶機中默認使用的被動狀態(tài)FTP應該能夠正常運行。)
2.IRCDCC文件傳輸。
3.RealAudio.
4.遠程X窗口系統(tǒng)客戶機。
如果你要把系統(tǒng)連接到互聯(lián)網上，但是并不打算運行服務器，這是最安全的選擇。如果需要額外的服務，你可以選擇“定制”來具體指定允許通過防火墻的服務。
注記：如果你在安裝中選擇設置了中級或高級防火墻，網絡驗證方法(NIS和LDAP)將行不通。
中級
如果你選擇了“中級”，你的防火墻將不準你的系統(tǒng)訪問某些資源。訪問下列資源是默認不允許的：
1.低于1023的端口—這些是標準要保留的端口，主要被一些系統(tǒng)服務所使用，例如：FTP、SSH、telnet、HTTP、和NIS.
2.NFS服務器端口(2049)—在遠程服務器和本地客戶機上，NFS都已被禁用。
3.為遠程X客戶機設立的本地X窗口系統(tǒng)顯示。
4.X字體服務器端口(xfs不在網絡中監(jiān)聽;它在字體服務器中被默認禁用)。
如果你想準許到RealAudio之類資源的訪問，但仍要堵塞到普通系統(tǒng)服務的訪問，選擇“中級”。你可以選擇“定制”來允許具體指定的服務穿過防火墻。注記：如果你在安裝中選擇設置了中級或高級防火墻，網絡驗證方法(NIS和LDAP)將行不通。
無防火墻
無防火墻給予完全訪問權并不做任何安全檢查，安全檢查是對某些服務的禁用。建議你只有在一個可信任的網絡(非互聯(lián)網)中運行時，或者你想稍后再進行詳細的防火墻配置時才選此項。
選擇“定制”來添加信任的設備或允許其它的進入接口。
信任的設備
選擇“信任的設備”中的任何一個將會允許你的系統(tǒng)接受來自這一設備的全部交通;它不受防火墻規(guī)則的限制。例如，如果你在運行一個局域網，但是通過PPP撥號連接到了互聯(lián)網上，你可以選擇“eth0”，而后所有來自你的局域網的交通將會被允許。把“eth0”選為“信任的”意味著所有這個以太網內的交通都是被允許的，但是ppp0接口仍舊有防火墻限制。如果你想限制某一接口上的交通，不要選擇它。
建議你不要將連接到互聯(lián)網之類的公共網絡上的設備定為“信任的設備”。
允許進入
啟用這些選項將允許具體指定的服務穿過防火墻。注意：在工作站類型安裝中，大多數(shù)這類服務在系統(tǒng)內沒有被安裝。
DHCP
如果你允許進入的DHCP查詢和回應，你將會允許任何使用DHCP來判定其IP地址的網絡接口。DHCP通常是啟用的。如果DHCP沒有被啟用，你的計算機就不能夠獲取IP地址。
SSH
Secure(安全)SHell(SSH)是用來在遠程機器上登錄及執(zhí)行命令的一組工具。如果你打算使用SSH工具通過防火墻來訪問你的機器，啟用該選項。你需要安裝openssh-server軟件包以便使用SSH工具來遠程訪問你的機器。
Telnet
Telnet是用來在遠程機器上登錄的協(xié)議。Telnet通信是不加密的，幾乎沒有提供任何防止來自網絡刺探之類的安全措施。建議你不要允許進入的Telnet訪問。如果你想允許進入的Telnet訪問，你需要安裝telnet-server軟件包。“WWW(HTTP)”
HTTP協(xié)議被Apache(以及其它萬維網服務器)用來進行網頁服務。如果你打算向公眾開放你的萬維網服務器，請啟用該選項。你不需要啟用該選項來查看本地網頁或開發(fā)網頁。如果你打算提供網頁服務的話，你需要安裝httpd軟件包。
啟用“WWW(HTTP)”將不會為HTTPS打開一個端口。要啟用HTTPS，在“其它端口”字段內注明。
郵件(SMTP)
如果你需要允許遠程主機直接連接到你的機器來發(fā)送郵件，啟用該選項。如果你想從你的ISP服務器中收取POP3或IMAP郵件，或者你使用的是fetchmail之類的工具，不要啟用該選項。請注意，不正確配置的SMTP服務器會允許遠程機器使用你的服務器發(fā)送垃圾郵件。
FTP
FTP協(xié)議是用于在網絡機器間傳輸文件的協(xié)議。如果你打算使你的FTP服務器可被公開利用，啟用該選項。你需要安裝vsftpd軟件包才能利用該選項。
其它端口
你可以允許到這里沒有列出的其它端口的訪問，方法是在“其它端口”字段內把它們列出。格式為：“端口：協(xié)議”。例如，如果你想允許IMAP通過你的防火墻，你可以指定imap：tcp.你還可以具體指定端口號碼，要允許UDP包在端口1234通過防火墻，輸入1234：udp.要指定多個端口，用逗號將它們隔開。
竅門：要在安裝完畢后改變你的安全級別配置，使用安全級別配置工具。在shell提示下鍵入redhat-config-securitylevel命令來啟動安全級別配置工具。如果你不是根用戶，它會提示你輸入根口令后再繼續(xù)。
補充閱讀：防火墻主要使用技巧
一、所有的防火墻文件規(guī)則必須更改。
盡管這種方法聽起來很容易，但是由于防火墻沒有內置的變動管理流程，因此文件更改對于許多企業(yè)來說都不是最佳的實踐方法。如果防火墻管理員因為突發(fā)情況或者一些其他形式的業(yè)務中斷做出更改，那么他撞到槍口上的可能性就會比較大。但是如果這種更改抵消了之前的協(xié)議更改，會導致宕機嗎?這是一個相當高發(fā)的狀況。
防火墻管理產品的中央控制臺能全面可視所有的防火墻規(guī)則基礎，因此團隊的所有成員都必須達成共識，觀察誰進行了何種更改。這樣就能及時發(fā)現(xiàn)并修理故障，讓整個協(xié)議管理更加簡單和高效。
二、以最小的權限安裝所有的訪問規(guī)則。
另一個常見的安全問題是權限過度的規(guī)則設置。防火墻規(guī)則是由三個域構成的：即源(IP地址)，目的地(網絡/子網絡)和服務(應用軟件或者其他目的地)。為了確保每個用戶都有足夠的端口來訪問他們所需的系統(tǒng)，常用方法是在一個或者更多域內指定打來那個的目標對象。當你出于業(yè)務持續(xù)性的需要允許大范圍的IP地址來訪問大型企業(yè)的網絡，這些規(guī)則就會變得權限過度釋放，因此就會增加不安全因素。服務域的規(guī)則是開放65535個TCP端口的ANY。防火墻管理員真的就意味著為黑客開放了65535個攻擊矢量?
三、根據(jù)法規(guī)協(xié)議和更改需求來校驗每項防火墻的更改。
在防火墻操作中，日常工作都是以尋找問題，修正問題和安裝新系統(tǒng)為中心的。在安裝最新防火墻規(guī)則來解決問題，應用新產品和業(yè)務部門的過程中，我們經常會遺忘防火墻也是企業(yè)安全協(xié)議的物理執(zhí)行者。每項規(guī)則都應該重新審核來確保它能符合安全協(xié)議和任何法規(guī)協(xié)議的內容和精神，而不僅是一篇法律條文。
四、當服務過期后從防火墻規(guī)則中刪除無用的規(guī)則。
規(guī)則膨脹是防火墻經常會出現(xiàn)的安全問題，因為多數(shù)運作團隊都沒有刪除規(guī)則的流程。業(yè)務部門擅長讓你知道他們了解這些新規(guī)則，卻從來不會讓防火墻團隊知道他們不再使用某些服務了。了解退役的服務器和網絡以及應用軟件更新周期對于達成規(guī)則共識是個好的開始。運行無用規(guī)則的報表是另外一步。黑客喜歡從來不刪除規(guī)則的防火墻團隊。
RedHat Linux下防火墻配置技巧是什么相關文章：