حق چاپ ، توزیع و تغییر این سند تحت شرایط و مفاد و جواز مستند سازی GNU FREE ، نسخه یک عملی است .
و این جا بخش های غیر متغیر مقدمه هستند و بخش های زیرین با متون Front - Cover مىتوانند اطلاعات محقق Oskar Andreasson را بیان کنند و متون Back - Cover استفاده نشده اند نسخه ای از این جواز در بخش جواز مستند سازی GNU FREE آمده است .
تمام دست نوشته ها در این آیین نامه با جواز عمومی GNU طراحی شده اند این دست نوشته ها منبع آزاد دارند .
شما مىتوانید مجدد آنها را توزیع کنید و تحت شرایط جواز کلی GNU تغییر دهید همان طور در نهاد نرم افزاری FREE نسخه 2 جواز دیده شد.
این دست نوشته ها با این امید توزیع مىشوند که مفید واقع شوند ولی شماتتی در این جا وجود ندارد .
بدون مجوز توانایی تجاری و یا تناسب اهداف خاص به این هدف دست مىیابید .
جهت جزئیات بیشتر به جواز عمومی GNU مراجعه کنید .
شما باید نسخه ای از این جواز را در این آیین نامه بیابید که تحت بخش جواز عمومی GNU آمده است .
در غیر این صورت با موسسه به آدرس زیر تماس بگیرید .
اهداهای مربوطه
ابتدا مىخواهم این سند را به دوست دختر خود Ninel اهدا کنم .
او بیش از آنچه که تصور مىکردم حامی من بود .
من امیدوارم که بتوانم با این اهدا شما را نیز خوشحال کنم .
دوم آنکه مایل هستم این اثر را به تمام موسسه دهندگان linux تقدیم کنم .
این افراد سیستم عامل جالب را طراحی کرده اند .
فهرست مطالب:
در مورد مولف چگونگی خواندن
شرط لازم نهادهای مورد استفاده در سند
1- مقدمه 1-1 : چرا این سند نوشته شد 2-1 : چگونگی نوشتن آن
3-1 : اصطلاحات مورد استفاده 2-آماده سازی
1-2 : درک جا iptables را بدست آوریم 2-2 : نصب kernel
3-2 : نصب در محل کاربر
1-3-2 : کامپایل برنامه های کاربر 2-3-2 : نصب بر RED HOT 7/1
3- جستجوی جداول و زنجیره ها 1-3 : کلیات 2-3 : جدول Mangle
3-3 : جدول فیلتر 4- ماشین حالت
1-4 : مقدمه 2-4 : ورودی Conntrack
3-4 : حالات محل کاربر 4-4 : اتصالات TCP
5-4 : اتصالات UDP 6-4 : اتصالات ICMP
7-4 : اتصالات پیش فرض 8-4 : ردیابی اتصال و پروتکل پیچیده
در مورد محقق
من دارای کامپیوترهای فراوان هستم .
من یک کامپیوتر LAN دارم و تمام ماشین ها بر اینترنت وصل هستند ولی باید LAN ایمن حفظ شود .
iptables جدید یک نسخه ارتقا یافته از ipchain مىتوانید یک شبکه ایمن بسازید و این امر با حذف بسته های آتی عملی است .
با این وجود FTP انفعالی و یا DGE در TRC مسائلی به دنبال دارند .
مسائل دندانه ای کردن در کد iptables در سطح آغازین حل نشده اند .
امروزه هر کس را که از آنها استفاده مىکند به سوی نسخه تولید کامل راهنمایی مىکنم و ipfwadm را ارتقا دارم .
این که فعلی مىتواند در صورت نیاز استفاده شود .
چگونگی خواندن :
این سند به درستی نوشته شده است .
بنابراین مىتوانید به نکات جالب iptables پی ببرید .
این به معنای اطلاعات خاصی در مورد اشکالات ایمنی خاص در iptables یا Netfilter نیست اگر اشکالات خاص و رفتارهایی را در iptables و هر زیر مولف یافتید با لیت پست Netfilter تماس بگیرید و سپس خواهید توانست اشکالات واقعی را بشناسید و حل کنید اشکالات ایمنی واقعی در iptable و Netfilter فراوان هستند و یک یا دو اشکال در آن واحد گزارش شده است .
آنها در صفوف اصلی Netfilter آمده اند باید اطلاعات را در مورد موضوع ارائه کنند .
مىتوان گفت مجموعه قوانین موجود در این سند پیرامون اشکالات واخل Netfilter نمىباشند .
هدف اصلی توصیف چگونگی نصب قوانین در یک حالت ساده است به طوری که بتوان مسائل داخل کرد به عنوان مثال این سند نشان نمىدهد که چگونه HTTP PORT به دلایل مفاد بسته میشود آنطور که Apache در نسخه 12-2-1 گزارش کرد.
این سند برای هر کس قابل استفاده است و مىتواند نشان دهد که چگونه با iptable مىتوان کار را آغاز کرد ولی در آن واحد یک روند تکامل را نیز پیچیده است .
این جا اهداف و هماهنگی ها در patch - matic بیان نمىشوند .
ارتقا نیاز است .
اگر اطلاعات بیشتر در مورد این ارتقا لازم دارید باید patch - matic و دیگر اسناد را در صفوف اصلی Netfilter مطالعه کنید .
شرط لازم : این سند به معلومات در مورد linux linux ، دست نوشته لایه ای ، و چگونگی کامپایل کردن kernel و بخش درونی آن نیاز دارد .
من سعی کرده ام تا تمام شرایط را قبل از توصیف این سند بررسی کنم ولی نمىتوان تمام اطلاعات قبلی را مطرح کرد .
نهادهای مورد استفاده در این سند : این نهادهای در سند زمان دستورات ، فایل و دیگر اطلاعات خاص استفاده مىشوند .
گلچین کد و خروجی دستور این چنین است و تمام خروجی ها در فونت پهنای ثابت و دستور مکتوب کاربر به صورت bold هستند: تمام دستورات و نام های برنامه در این سند در حالت bold هستند: تمام item سیستم مانند سخت افزار و مولف درونی kernel و item سیستم انژای مانند روابط حلقه ای که در حالت italic آمده اند خروجی کامپیوتر به شکل this way در متن ظاهر مىشوند .
نام فایل و مسیر در سیستم فایل به شکل ….
فصل 1 : مقدمه 1-1 : چرا این سند نوشته شد : من فضای خالی بزرگی را در HOW TOS یافتم و در آنجا اطلاعات در مورد iptable و نقش Netfilter در linux 1/4x kernel جدید کافی نبود .
در بین آنها مىخواهم به سوالاتی پاسخ دهم که در مورد احتمال جدید مانند مطابق حالت بوده اند .
بخش اعظم آن به صورت فایل rc….
است که در دست نوشته etc….
آمده است .
این فایل اصولاً بر اساس ارتقای idowt.
است .
یک دست نوشته کوچک در مورد اجرای برنامه و راه اندازی سیستم به صورت rc….
در دسترس است .
2-1 : چگونگی نوشتن : من با مارک باکر و دیگران در سیستم Netfilter مشورت کردم .
بسیاری از آنها در این اثر مستند به من کمک نموده اند و در این جا سعی کرده ام از سایت Fr.zentux.Net خود استفاده کنم .
این سند فرآیند نصب را مرحله به مرحله نشان مىدهد و در مورد طرح iptables است .
من مثالهای فایل re.Firewall و مثالهای یادگیری استفاده از iptables را نیز ارائه کرده ام در این جا باید تابع زنجیره های اصولی باشید و آنها را در کنار هم قرار دهید .
به این ترتیب سند مىتواند آماده شود و روش منطقی تر را نشان دهد .
هر زمان که این درک مشکل باشد به این سند مراجعه کنید .
3-1 : اصطلاحات مورد استفاده در سند : این سند دارای اصطلاحاتی است که به تشریح نیاز دارند قبل از اینکه آنرا مطالعه کنید .
در این بخش توصیف آنها و چگونگی انتخاب آنها در سند آمده است .
ترجمه آدرس شبکه مقصد - DNAT - روش ترجمه آدرس IP مقصد در بسته اشتاره دارد و یا تغییر آنرا نشان مىدهد .
این با SNAT استفاده شد و به کاربرها در به اشتراک گذاری آدرس IP اینترنت کمک مىکند و خدمات سرویس دهنده را ارائه مىنماید.
این روند با تعیین port متفاوت با آدرس IP عملی است و مسیر linux را برای ارسال ترافیک نشان مىدهد .
جریان- این اصطلاح به روابط ارسال و دریافت بسته ها در رابطه با روش جدید اشاره دارد .
اصولاً این اصطلاح برای یک نوع ارتباط به کار مىرود که دو یا چند بسته را در دو جهت ارسال مىکند .
در TCP این به معنای ارتباطی است که یک SYN را ارسال مىکند و سپس با SYN/ACK جواب مىدهد ولی ارتباط ارسالی SYN و جواب میزبان ICMP نیز مهم است .
به عبارت دیگر از این اصطلاح به خوبی استفاده نمی‌کنم .
SNAT - ترجمه آدرس شبکه منبع این اصطلاح به روش ترجمه آدرس منبع به دیگری اشاره دارد .
این برای چندین میزبان وجه اشتراک گذاری آدرس IP اینترنت به کار میرود زیرا نقص آدرس IP در IP 74 مطرح است ( IP 74 این را حل مىکند ) حالت - این اصطلاح بحالت بسته طبق پروتکل کنترل انتقال RFC 793 اشاره دارد و در Netfilter/iptable به کار مىرود .
توجه کنید که حالات درونی و خارجی تابع ویژگی RFC 793 است .
دلیل اصلی آن است که Netfilter باید چندمین فرضیه در مورد ارتباط و بسته ها ارائه کند .
فضای کاربر - این اصطلاح به هر چیز که در خارج kernel روی دهد اشاره دارد به عنوان مثال تحریک iptable-h در خارج kernel است ولی iptable - A Forward p - tcp jAce Ept در kernel است زیرا قانون جدید به مجموعه قوانین اضافه میشود .
فضای kernel - این نکاتش برخلاف فضای کاربر است این اقدامات را در kernel نشان مىدهد و همه در خارج آن .
قلمرو کاربر - به فضای کاربر مراجعه کنید .
فصل 2 : آماده سازی : این فصل توصیف درک نقش Netfilter و iptable در linux است .
در این جا باید کار با آزمایش آغاز شود و نصب عملی شود .
با زمان کافی مىتوانید آنرا دقیقاً اجرا کنید .
1-2 : کجا به iptable دست یابیم : بسته فضای کاربر iptables مىتواند از آدرس زیر down load شود : http……….
این بسته iptable تسهیلات خاص فضای kernel را نشان مىدهد که در طی تولید سیستم طراحی شده اند مراحل لازم به تفصیل بررسی خواهند شد .
2-2 :نصب kernel : برای اجرای اساس iptable باید گزینه ها در kernel راه اندازی شوند و سیستم با دستورات مربوط آماده شود .
CONFIG- PAKET- این گزینه تولید برنامه را برای ارتباط کاری سیستم با ابزار شبکه نشان مىدهد .
نمونه ها به صورت tcpdump و snort است .
CONFIG- PAKET- یک نیاز برای عملکرد iptable نیست بلکه دارای موارد استعمال فراوان است .
در این جا باید طرح در نظر گرفته شود .
اگر آنرا نخواهید حذف مىکنید .
CONFIG - NETFILER - این گزینه در صورتی نیاز است که بخواهید از کامپیوتر به عنوان ورود به اینترنت استفاده کنید .
به عبارت دیگر این روند برای هر چیز در سند نیاز است زیرا طرح اصولی هستند .
البته باید ابزار درست برای رابط اضافه شوند مانند آداپتور اینترنت ، ppp و رابط SLIP .
این موارد اصول iptable هستند .
شما نمىتوانید چهارچوب را به kernel اضافه کنید .
اگر از گزینه ها در iptable استفاده کنید باید نصب سیستم را در kernel انجام دهید .
در این جا گزینه ها در kernel 9-4-2 آمده اند.
CONFIG -NF - FTP - این مدل در صورتی نیاز است که بخواهید ارتباط را بر FTP برقرار کنید .
جون ارتباطات FTP به راحتی در موارد طبیعی اجرا نمی‌شوند باید از helper استفاده کنید .
اگر این مدل را اضافه نکنید .
نمىتوانید FTP را به درستی اجرا کنید .
CONFIG- IP - NF - FPTAHLE - این گزینه در صورتی نیاز است که یک نوع Filter یا NAT نیاز باشد .
در این جا چهارچوب شناخت iptable به kernel اضافه میشود .
بدون این امر نمىتوانید با iptable کاری کنید .
CONFIG -IP- NF - MATCH - LIMIT - این مدل دقیقاً نیاز نیست ولی در مثالهای rcopir….
آمده است این گزینه هماهنگی LIMIT را نشان مىدهد .
باید احتمال کنترل بسته ها در نظر گرفته شود و قانون توسعه یابد .
به عنوان مثال m.limit- lin 3 / lin.ld یک هماهنگی 3 بسته را در هر دقیقه نشان می‌دهد .
این مدل مىتواند برای جلوگیری از علامت انکار خدماتی استفاده شود.
CONFIG - IP - NF - MATCH- MAC - این گزینه هماهنگی بسته را بر اساس آدرس MAC نشان مىدهد .
هر آداپتور اینترنت دارای آدرس MAC خاص خود است .
ما بسته های بلوکی در آدرس MAC داریم و از بلوک خاص برای آدرس MAC استفاده مىکنیم .
ما از این گزینه در نمونه dc.fire….
استفاده نمىکنیم .
CONFIG - IP - NF…..
- این گزینه در استفاده از تطابق MARK مفید است .
به عنوان مثال اگر از MARK هدف برای بسته ها استفاده شود بسته به این که آیا بسته ها در جدول هستند یا خیر مىتوانیم هماهنگی را برقرار کنیم .
این گزینه هماهنگی واقعی MARK است و مىتواند توصیف هدف واقعی MARK باشد .
CONFIG - IP - NF - MATCH - MULTIPORT - این روش به ما در تطابق بسته ها با یک سری port مقصد و منبع کمک مىکند .
این ویژگی غیرممکن است ولی هماهنگی برقرار خواهد شد .
CONFIG -IP - NF- MATCH- TOP - با این هماهنگی مىتوان بسته ها را بر اساس فیلد TOS در تطابق قرار دارد .
TOP به type of service اشاره دارد TOS مىتواند با قوانین خاص در جدول قرار گیرد و از طریق دستور ipltc اجرا شود .
CONFIG - IP- NF -MATCH- TCP MSS- این گزینه احتمال هماهنگی بسته های TCP را در فیلد MSS نشان مىدهد .
CONFIG - IP- NF-MATCH - STALE - این یکی از بزرگترین اخبار در مقایسه با ipchain است .
با این مدل مىتوان هماهنگی بسته ها را عملی ساخت .
به عنوان مثال اگر شاهد ترافیک در دو بعد ارتباط TCP هستیم بسته به صورت ESTABLISHED ظاهر میشود .
این مدل در مثال rc….
استفاده میشود .
CONFIG- IP- NF- MATCH- UNCLEAN - این مدل احتمال هماهنگی IP ، TCP، UDP ، ICMP را نشان مىدهد و تطابق با یک نوع اعتبار ندارد .
ما مىتوانیم این بسته ها را حذف کنیم ولی نمىدانیم که آیا این کار درست است .
توجه کنید که این هماهنگی تجربی است و نمىتوان در تمام موارد کامل باشد.
CONFIG - IP - NF - FILTER - این مدل اساس جدول Filter است و مىتواند فیلتر IP را انجام دهد در این فیلتر مىتوان زنجیره Forward , Input و Output را یافت .
این مدل در صورتی نیاز است که طراحی بسته برای ارسال و دریافت انجام شود .
CONFIG - IP - NF- TARGET - REJECT - این هدف به شما کمک مىکند تا مشخص کنید که پیام خطای ICMP باید در پاسخ نسبت به بسته‌های بعدی ارسال شود در این جا حذف مهم است .
در خاطر داشته باشید که روابط TCP برخلاف ICMP , UDP مىتوانند انکار با بسته TCPRSS باشند.
CONFIG -IP -NF- TARGET- MIRROR - این به بسته ها در برگشت به موسسه با بسته کمک مىکند .
به عنوان مثال اگر یک هدف MIRROR بر مقصد HTTP نصب شود و یا زنجیره INPUT مشخص گردد دسترسی به port عملی است و باید بسته ها دوباره به صفوف home برگردند و در آنجا رویت شوند .
CONFIG - IP - NF- NAT - این مدل به ترجمه آدرس شبکه یا NAT در اشکال متفاوت کمک مىکند این گزینه دسترسی به iptable را عملی می‌سازد .
این گزینه در صورتی نیاز است که بخواهیم ارسال و تغییر port را انجام دهیم.
توجه کنید که این گزینه برای Firealling و ارسال LAN نیاز نیست بلکه باید در اختیار باشد مگر اینکه بتوانیم آدرس خاص IP را برای تمام میزبان ها ارسال کنیم .
بنابراین این گزینه برای دست نوشته rc.fire….
به کار مىرود و در ثورتی شبکه مشخص خواهد شد که توانایی آدرس IP از بین برود.
CONFIG- IP - NF - TARGET - MASQUERAD - این گزینه هدف MASQUERAD را اضافه مىکند.
به عنوان مثال اگر ندانید که IP چه باید انجام دهد بهتر است که آنرا بدست آورید و از DNAT یا SNAT استفاده کنید .
به عبارت دیگر اگر از PPP , DHCP یا SLIP یا دیگر روابط تعیین کننده IP استفاده مىکنید باید از این هدف به جای SNAT استفاده شود Masquerading بارباراتر را بر کامپیوتر نسبت به NAT نشان مىدهد ولی باید IP آدرس را از قبل نشان دهد .
CONFIG-IP-NF-TARGET-NEPIRECT - این هدف با prong برنامه مفید است .
به جای این که بسته عبور کند باید به جعبه داخلی ببریم .
به عبارت دیگر احتمال prong شفاف وجود دارد .
CONFIG-IP-NF-TARGET-LOG - این برنامه هدف LOGو نقش آنرا به iptables اضافه مىکند .
از این گزینه برای LOG بسته های خالی استفاده میشود و باید دید در بسته چه اتفاقی مىافتد این برای و شکای زدایی دست نوشته که آنرا مىنویسیم نیاز است .
CONFIG- IP- NF- TARGET- TCPMSS - این گزینه مىتواند برای شمارش ارائه دهنده خدماتی اینترنت و سرویس دهنده هایی استفاده شود که بسته های تجزیه ICMP را کاهش داده اند این خود باعث میشود صفحات وب در دسترس قرار گیرند .
پت کوچک نیز با بخش بزرگتر عملی است مانند SCP بعد از اینکه طرح معرفی شد ما از هدف TCPMSS برای غلبه بر این مسئله استفاده خواهیم کرد و باید MSS ( اندازه قطعه ماکزیمم ) به DMTU اضافه شود ( واحد انتقال ماکزیمم مسیر ) .
این روش مىتواند کنترل Netfilter را نشان دهد و تابع ISP و سرویس دهنده خدماتی در سیستم kernel فراخوانی شود .
CONFIG- IP- NF- COMPAT- IPCHAINS - این گزینه یک مد سازگاری را با ipchains اضافه مىکند .
به این مورد توجه نکنید و راه حل بلند مدت را در حل حرکت از linux 2/2 به 2/4 ارائه کنید .
این جا kernel 2/6 استفاده خواهد شد .
همان طور که مىتوان دید یک سری گزینه معرفی شده است .
در این جا باید دید چه نوع رفتارهای مازادی از مدلها حاصل مىشوند اینها تنها گزینه ها در linux 2,4,9, kernel هستند .
اگر بخواهید به این گزینه ها توجه کنید باید تابع patch - o- matic در Netfilter را در نظر داشته باشید و به گزینه ها در kernel توجه کنید .
تثبیت POM نیز مىتواند در kernel عملی شود و باید بتوان به kernel دست یافت .
این توابع باید در آینده اضافه شوند ولی هنوز ساخته نشده اند .
این خود دلایل متفاوت دارد مانند مسیر غیر ثابت به linux torvalds که نمىتواند حفظ شود و یا مسیر به kernel جریان اصلی که هنوز آزمایشی است .
شما به گزینه های زیر به صورت کامپایل در kernel نیاز دارید تا دست نوشته rc….
را اجرا کنید .
اگر به گزینه هایی نیاز دارید که در دیگر دست نوشته ها نیاز هستند به بخش دست نوشته زیر مراجعه کنید .
برنامه در میزان حداقل باید از دست نوشته rc.Firewall.txt استفاده شود .
در دیگر مثالها نشان مىدهم که چه نوع شرطی در این بخش نیاز است .
اکنون باید دست نوشته اصلی مورد مطالعه در نظر باشد .
3-2 : نصب محل کاربر : اول از همه باید دید که چگونه بسته های iptable کامپایل مىشوند باید دید که در بیشتر سیستم ها و کامپایل iptable باید سیستم و کامپایل kernel صورت گیــــرد .
تــــوزیع خاص نیز در بسته iptable عملی است و یکی از آنها RED HAT است .
با این وجود RED HAT در هر پیش فرضی غیر فعال است .
اکنون باید دید که چگونه این توزیعات در این فصل بررسی خواهند شد.
1-3-2 : کامپایل برنامه های قلمرو کاربر : نخست آنکه باید بسته های iptables آزاد شوند .
در این جا از iptables 1/26 a و vanilla 2/4 kernel استفاده میشود .
باز کردن بسته با استفاده از hzip 2 ,….
صورت مىگیرد (این مىتواند با tar - xjvf….
عملی شود که باید یک دستور مانند دستور اول داشته باشد و با این وجود این با نسخه tar دیده نشده است ).طرح باید به درستی در دایرکتوری به نام iptables….
قرار گیرد.
برای اطلاعات بیشتر باید iptables….
را بتوانید که حاوی اطلاعات مفید در مورد کامپایل و دسترسی به اجرای برنامه است .
بعد از این باید گزینه طراحی و نصب مدل اضافی برای kernel در نظر گرفته شود .
مرحله مورد توصیف کنترل و نصب بخش های استاندارد است که در kernel در نظر گرفته شده اند.
این روند با کمک طرح اجرای عملی است .
بعضی از این طرح ها آزمایشی هستند و مىتوانند برای نصب مفید باشند .
با این وجود باید هماهنگی جالب و اهداف در مرحله نصب صورت گیرد و این خود به روند خاص نیاز دارد برای انجام این مرحله باید این شکل از بسته iptables معرفی شود .
تولید patch فوریKERNEL- DIR/ USR/ SRC/ linux متغییر KERNEL- DIR باید به محل واقعی اشاره کند که منبع kernel شما در آن واقع است .
به طور طبیعی این به صورت usr/src… است ولی مىتواند متغییر باشد و شاید در این منبع kernel در اختیار باشد .
این خود patch خاص را در مورد ورود به kernel گزارش مىکند .
patch بیشتر نیز توسط توسعه دهنده Netfilter مىتواند به kernel اضافه شود .
این روند به طور واقعی انجام میشود یک روش نصب دستور زیر است .
برنامه دستور فوق در مورد نصب قطعات دنیای Netfilter است که patch - o- metic نام دارد ولی حذف patch اضافی نیز عملی است .
توجه کنید که این بدان علت است که این دستورات واقعی اجرا مىشوند آنها قبل از این که چیزی در منبع kernel تغییر کند مورد سوال قرار گیرند برای نصب تمام patch - o- metic باید دستور زیر اجرا شود .
برنامه فراموش نکنید که هر patch را بطور کامل قبل از روند اجرا مطالعه کنید .
بعضی از آنها patch دیگر را تخریب مىکنند ولی مابقی kernel را تخریب مىکنند در صورتی که با patch در patch - o- metic استفاده شوند.
نکته :شما مىتوانید مراحل فوق را نادیده بگیرد در صورتی که نخواهید kernel را جمع کنید و به عبارت دیگر لازم نیست موارد فوق را انجام دهید .
با این وجود چیزهای جالب در patch - o- metic وجود دارد که مىتوانید جستجو کنید .
بنابراین دستور اجرایی غلط نیز در نظر گرفته میشود .
بعد از این باید قطعه patch - o- metic نصب کامل شود و شما اکنون مىتوانید یک kernel جدید را کامپایل کنید و از patch جدید برای اضافه کردن به منبع استفاده کنید سیستم باید طراحی شود و در این جا باید گزینه ها اضافه شوند .
باید صبر کنید تا کامپایل کامل شود تا این که iptable برنامه اجرا شود.
کار را با کامپایل برنامه iptable ادامه دهید .
برای کامپایل iptable یک دستوری مشابه دستور زیر صادر میشود.
برنامه برنامه قلمرو کاربر باید به درستی کامپایل شود .
در غیر این صورت باید بتوانید در لیت پست Netfilter عضو شوید .
در این جا شانس کمک فراوان است .
چندین چیز اشتباه در مورد نصب iptable وجود دارد و بنابراین اگر اقدام صورت نمىگیرد نگران نباشید .
سعی کنید تا به روش منطقی اشکال را بشناسید و از کسی کمک بخواهید .
اگر همه چیز درست است آماده نصب هستند .
برای این کار باید دستور زیر ارسال شود .
برنامه همه چیز باید در برنامه اجرا شود .
برای استفاده از هر برنامه iptable باید اکنون نصب مجدد سیستم و kernel را انجام دهید در صورتی که قبلاً آن را انجام نداده اید .
برای اطلاعات بیشتر در مورد نصب برنامه کاربر از منبع بر فایل INSTALL در منبع مراجعه کنید که حاوی اطلاعات خارجی در مورد موضوع نصب است .
2-3-2 : نصب بر Red Hat 7/1 Red Hat از قبل با یک kernel x2/4نصب میشود که دارای Netfilter و iptable کامپایل شده در آن است .
این طرح دارای تمام برنامه های کاربر و فایل سیستم برای اجرا است .
با این وجود افراد Red Hat همه چیز را با استفاده از سیستم ipchain هماهنگ ناتوان کرده اند .
برای رفع مشکل باید لیست متفاوت بستی در نظر گرفته شد.
و به این دلیل است که iptable عمل نمىکند بنابراین باید دید که سیستم ipchain چگونه عمل مىکند نصب iptable چگونه است .
نکته : امروزه نصب Red Hot 7/1 پیش فرض با نسخه قدیمی برنامه فضای کاربر عملی است و بنابراین ممکن است بخواهید تا نسخه جدید برنامه را کامپایل کنید و یک kernel کامپایل شده را نصب کنید قبل از این که به طور کامل از iptable استفاده شود.
ابتدا باید طرح ipchains را غیر فعال کنید .
بنابراین در آینده لجرا نمی‌شود برای این کار باید نام فایل را در ساختار دایرکتوری etc/rcod/ تغییر دهید .
دستور زیر باید استفاده شود .
برنامه به این ترتیب به روابط نرم و رسم کردن دست نوشته Htcl….
در k 92 ipchain اشاره دارند .
اولین مرحله که در هر پیش فرض 6 است اولین دست نشته را نشان مىدهد .
با تغییر این حالت به این k مىگوییم که خدمات را kill کنید و یا این که آنرا در صورتی که قبلاً اجرا نشده است اجرا نکنید .
اکنون این خدمات در آینده اجرا نخواهد شد .
با این وجود برای توقف خدمات از حالت اجرایی باید دستور دیگر را اجرا کنیم.
این یک دستور خدماتی است که مىتواند برای اجرای فعلی استفاده شود این دستور برای توقف خدمات ipchain ارائه میشود.
دستور در نهایت برای راه اندازی خدمات iptable اقدام خواهد شد .
ابتدا باید بدانیم کدام سطح اجرایی را مىخواهیم اجرا کنیم این خود در سطح 2، 3، 5 قرار مىگیرد این سطوح اجرایی برای موارد زیر استفاده مىشوند .
2 Multiuser بدون NFS و یا 3 در صورتی که شبکه وجود نداشته باشند .
3 مد چند کاربر کامل یعنی سطح اجرایی طبیعی xll 5 این در صورتی استفاده میشود که به طور خودکار در x windows باشید.
برای تولید iptable در این سطوح اجرایی به دستور زیر نیاز است : برنامه دستورات فوق به عبارت دیگر اجرای iptable را در سطح 2، 3، 5 باعث مىشوند .
اگر مایل هستید خدمات iptable در دیگر سطوح اجرا شوند باید که دستور صادر شود .
با این وجود هیچ یک از سطوح اجرایی استفاده نمىشوند و بنابراین نباید آنرا برای سطوح اجرایی فعال کرد .
سطح 1 برای حالت کاربر واحد است یعنی وقتی که یک جعبه نثبیت میشود سطح 4 باید غیر استفاده باشد و سطح 6 برای shut down کامپیوتر است.
برای فعال کردن خدمات iptable دستور زیر اجرا میشود.
دستور هیچ قانونی در دست نوشته iptable وجود ندارد .
برای اضافه کردن قوانین به یک جعبه Red Hot 7/1 دو روش وجود دارد .نخست آنکه باید دست نوشته etc/rc… را ویرایش کنید .
این اثر غیر مطلوب حذف تمام قوانین را دارد در صورتی که بسته iptable یا RPM ارتقا یافته باشد .
این روش به صورت 10 ad کردن مجموعه قوانین و ذخیره با دستور iptable- SNC است پس باید 10 ad خودکار یا rcod صورت گیرد.
ابتدا باید دید که چگونه نصب iptable با cut و past کردن iptable initod عملی است .
برای اضافه کردن قوانینی که زمان شروع خدمات کامپیوتر اجرا مىشوند باید آنها را تحت عنوان در تابع starto اضافه کنید .
توجه کنید که اگر تحت بخش start عمل کنید تابع starto اجرا میشود ویرایش بخش stop) ) تغییر مىتواند نشان دهد که کدام دست نوشته و در چه زمانی اجرا میشود و یا چه چیز وارد سطح اجرایی میشود که به iptables نیاز ندارد باید بخش restart و (ondrestarte) کنترل شود .
توجه کنید که تمام این اقدامات در صورتی کنترل مىشوند که دارای شبکه Red Hot خودکار برای ارتقای بسته‌ها باشید .
این مىتواند با ارتقا از بسته iptable RPM حاصل شود .
روش دوم :نصب مستلزم این موارد است : ابتدا باید یک مجموعه قانون در فایل دست نوشته لایه ای نوشته شود و با تصمیم در iptable نوشته شود که نیاز شما را برآورد این بار آزمایش را فراموش نکنید .
وقتی یک نصب بدون مسئله صورت گیرد همان طور که بدون اشکال دیده شد از دستور iptables - save استفاده کنید .
شما م/یتوانید از آن به طور طبیعی استفاده کنید و یا این که iptables - saves….
را استفاده کنید که ذخیره مجموعه قوانین در فایل etc/sy….
این فایل به طور خودکار توسط دست نوشته iptable rcd برای احیای مجموعه قوانین در آینده استفاده خواهد شد روش دیگر ذخیره دست نوشته با service iptable save خودکار etc/syscn….
است بعداً کامپیوتر دوباره راه اندازی میشود و دست نوشته iptable rcd از دستور iptable -restart برای ذخیره مجموعه قوانین از فایل save /etc/….
استفاده مىکند .
این دو روش را با هم ترکیب نکنید زیرا ممکن است به هم آسیب برسانند و سیستم Firewall را تبدیل کنند .
وقتی تمام این مراحل کامل شد مىتوانید نصب ipchain و بسته iptable را کنسل کنید .
این بدان علت است که نمىخواهید سیستم ما برنامه جدید iptable کاربر را با برنامه قدیمی از پیش نصب شده iptable ترکیب کند.
این مرحله در صورتی نیاز است که بخواهید iptable را از بسته منبع نصب کنید .غیر معمول نیست که بسته جدید و قدیم مخلوط شوند زیرا نصب مبنای rpm مىتواند بسته را در محل غیر استاندارد نصب کند و ما با نصب بسته iptable مىتوانیم عمل نوشتن را تکرار کنیم .
برای این کار از دستور زیر استفاده میشود .
برنامه چرا ipchains در صورتی که از آن استفاده نمىکنید در اطراف باقی مىماند .
حذف آن مانند روش بانیری های iptable است.
برنامه بعد از این که کار کامل شد با ارتقای بسته از منبع روبرو شده اید و دستوالعمل نصب منبع دنبال خواهد شد هیچ یک از بانیری های قدیمی ، کتابخانه ها و یا فایل شمول نباید در اهداف باشند .
فصل 3 : عبور از جداول و زنجیره ها در این فصل عبور بسته ها از زنجیره های متفاوت و با نظم خود توصیف خواهند شد همچنین نظم عبور جداول بررسی میشود و خواهیم دید که این روند بعداً تا چه حد با ارزش خواهد بود در صورتی که قوانین خاص را مىنویسیم.همچنین نقاط ورود مولف های وابسته به kernel به تصویر را بررسی خواهیم کرد تصمیمات ردیابی نیز بررسی مىشوند .
این امر در صورتی مهم است که بخواهیم قوانین iptable را که تغییر الگوی ردیابی را برای بسته ها نشان دهند بنویسیم .
باید دید که چرا و چگونه این بسته ها ردیابی مىشوند .
و نمونه های عالی DNAT و SNAT است بیت های Tos نباید فراموش شوند .
1-3 : کلیات : وقتی که بسته ها ابتدا وارد Firewall شود با سخت افزار برخورد مىکند و سپس وارد درایو وسیله مناسب در kernel میشود .
پس بسته از یک مجموعه مراحل در kernel عبور خواهد کرد قبل از این که به برنامه صحیح ارسال شود و یا به میزبان دیگر برود.
ابتدا بسته ای را بررسی مىکنیم که برای میزبان داخلی مفروض است .
از چندین نرحله باید عبور کرد قبل از اینکه به برنامه دریافت کننده برسیم .