9.7 本章習題 · 鳥哥的Linux私房菜：服務器架設篇第三版

## 9.7 本章習題 * 為什么我架設了防火墻，我的主機還是可能中毒？防火墻不是萬靈丹，他還是可能被病毒或者是木馬程序所入侵的！此外，如果你的主機本身就已經提供了多個網絡服務，則當該網絡服務的軟件有漏洞時，防火墻仍然無法克服該服務的漏洞的！因此仍然需要持續的進行主機的監視與后端分析工作 * 請說明為何架設了防火墻，我的主機還是可能被入侵？入侵的依據可能是什么方法？因為防火墻僅是抵擋某些不受歡迎的封包，如果你有開放 WWW 的服務時，則要求你主機 port 80 的封包將可直接進入你的主機，萬一 WWW 套件有漏洞時，那么就可能被入侵了！所以軟件的更新很重要！ * 我們知道核心為 2.6 的 Linux 使用的防火墻機制為 iptables ，請問，如何知道我的 Linux 核心版本？利用 uname -r 可以查得！ * 請列出 iptables 預設的兩個主要的 table ，以及各個 table 里面的 chains 與各個 chains 所代表的意義；filter 為預設的 Table，里頭預設的鏈有： * INPUT：為來自外部，想要進入主機的封包； * OUTPUT：為來自主機，想要離開主機的封包； * FORWARD：為主機內部網域與外部網域的封包(不論進或者出)，但該封包不會進入主機。還有 nat 這個 table： * PREROUTING：進行路由之前的封包傳送過程 * OUTPUT：離開主機的封包傳送過程； * POSTROUTING：已經經過路由了，然后才進行的過濾規則。 * 什么是 iptables 的預設政策 (Policy)？若我要針對 filter 的 INPUT 做成 DROP 的默認政策，指令如何下達？當封包的所有屬性都不在防火墻的規則當中時，那么這個封包能否順利的通過防火墻，則以 Policy 作為這個封包的最終動作了！ iptables -P INPUT DROP * 假設今天我的 Linux 僅是作為 Client 之用，并沒有對 Internet 進行任何服務，那么你的防火墻規劃應該如何設定比較好？既然沒有對 Internet 提供任何服務，那么(1)請將所有的對外埠口先關閉吧！(2)防火墻規則當中，最重要的是 INPUT 的 Policy 一定要 DROP ，然后將『 iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT 』即可！ * 我要將來自 192.168.1.50 這個 IP 來源的封包，只要是向我的 21~23 埠口要求的封包，就將他抵擋，應該如何下達 iptables 指令？iptables -A INPUT -p tcp -s 192.168.1.50 --dport 21:23 -j DROP * 我要將我自己主機 ping 的響應功能取消，應該如何下達 iptables 的指令？因為 ping 能否響應用的是 icmp 的 type 8 (請參考網絡基礎內的 ICMP 相關內容)，所以我可以這樣做： iptables -I INPUT -p icmp --icmp-type 8 -j DROP * 請說明為何這個指令是錯誤的？『iptables -A INPUT -p udp --syn -s 192.168.0.20 -j DROP』？因為只有 TCP 封包才會具有 SYN 的標志， UDP 并沒有 SYN 的標志啊！所以上面的指令是錯誤的 * DNS 的要求是必須的，那么我該如何設定我的主機可以接受要求 DNS 的響應呢？因為 DNS 的來源是 port 53 ，因此要接受來自 port 53 的封包就成為了： iptables -A INPUT -p udp --sport 53 -j ACCEPT iptables -A INPUT -p tcp --sport 53 -j ACCEPT * 如何取消 iptables 在我的系統上面？先要清除規則后，才能夠將 iptables 移除！不過，我們主要將規則清除即可！ iptables -F; iptables -X; iptables -Z iptables -t nat -F; iptables -t nat -X; iptables -t nat -Z * 如何儲存目前的防火墻機制，以及如何將上次儲存下來的機制回復到目前的系統中？請利用 iptables-save 以及 iptables-restore 這兩個指令，配合命令重導向即可！也可以使用 /etc/init.d/iptables save 來儲存喔！ * 如果你的區網當中有個 PC 使用者老是連上 Internet 亂搞，你想要將他的 IP 鎖住，但他總是有辦法修改成其他 IP 來連外，那你該怎么辦？讓他無法繼續連外？可以利用封鎖網絡卡卡號 MAC 來處理！ * * *