From 6ef8d4c49b66e211c71f4e12bd03b883532a2326 Mon Sep 17 00:00:00 2001 From: teastep Date: Sun, 4 Dec 2005 23:18:09 +0000 Subject: [PATCH] Get read Russian translation git-svn-id: https://shorewall.svn.sourceforge.net/svnroot/shorewall/trunk@3119 fbd18981-670d-0410-9b5c-8dc0c1a9a2bb --- Shorewall-docs2/standalone_ru.xml | 557 ++++++++++++++++++++++++++++++ 1 file changed, 557 insertions(+) diff --git a/Shorewall-docs2/standalone_ru.xml b/Shorewall-docs2/standalone_ru.xml index e69de29bb..db9268af8 100644 --- a/Shorewall-docs2/standalone_ru.xml +++ b/Shorewall-docs2/standalone_ru.xml @@ -0,0 +1,557 @@ + + +
+ + + + Одиночный файервол + + + + Tom + + Eastep + + + + 2005-11-02 + + + 2002-2005 + + Thomas M. Eastep + + + + Permission is granted to copy, distribute and/or modify this + document under the terms of the GNU Free Documentation License, Version + 1.2 or any later version published by the Free Software Foundation; with + no Invariant Sections, with no Front-Cover, and with no Back-Cover + Texts. A copy of the license is included in the section entitled + GNU Free Documentation + License. + + + +
+ Введение + + Установка Shorewall на отдельной Linux системе очень проста, если Вы + понимаете основы и следуете данной документации. + + Это руководство не пытается познакомить Вас со всеми особенностями + Shorewall. Оно более сфокусировано на том, что требуется для + конфигурирования Shorewall в одной из его наиболее общих + конфигураций: + + + + Linux система + + + + Один внешний IP адрес + + + + Соединение через кабельный модем, DSL, ISDN, Frame Relay, + dial-up... или есть соединение с LAN и Вы просто хотите защитить Вашу + Linux систему от других систем в этой LAN. + + + +
+ Требования + + Shorewall требует, чтобы у Вас был установлен пакет + iproute/iproute2 (на RedHat, этот пакет называется + iproute). Вы можете определить установлен ли этот + пакет по наличию программы ip на Вашем + файерволе. Как root, Вы можете использовать команду which + для проверки наличия этой программы: + + [root@gateway root]# which ip +/sbin/ip +[root@gateway root]# +
+ +
+ Перед тем как начать + + Я рекомендую Вам прочитать все руководство для первоначального + ознакомления, а лишь затем пройти его снова, внося изменения в Вашу + конфигурацию. + + + Если Вы редактируете Ваши файлы конфигурации на Windows системе, + Вы должны сохранить их как Unix файлы в том случае, если Ваш редактор + поддерживает эту возможность, иначе Вы должны пропустить их через + программу dos2unix перед тем как использовать их. Аналогично, если Вы + копируете конфигурационный файл с Вашего жесткого диска с Windows на + дискету, Вы должны воспользоваться dos2unix для копии перед ее + использованием с Shorewall. + + + Windows + версия dos2unix + + Linux версия + dos2unix + + +
+ +
+ Соглашения + + Места, в которых рекомендуется вносить изменения, отмечены + . +
+
+ +
+ PPTP/ADSL + + + + Если У Вас есть ADSL модем и Вы используете PPTP для взаимодействия + с сервером на этом модеме, Вы должны сделать изменения рекомендуемые здесь в дополнение к тем, что описаны в последующих + шагах. ADSL с PPTP наиболее распространен в Европе, особенно в + Австрии. +
+ +
+ Концепции Shorewall + + + + Конфигурационные файлы Shorewall находятся в директории /etc/shorewall -- в случае простой установки + Вам необходимо иметь дело только с немногими из них, как описано в этом + руководстве. После того как Вы установили + Shorewall, Вы можете найти Примеры файлов настроек в следующих + местах: + + + + Если Вы при установке использовали RPM, примеры будут находится + в поддиректории Samples/one-interface/ директории с документацией + Shorewall. Если Вы не знаете где расположена директория с + документацией Shorewall, Вы можете найти примеры используя + команду: + + ~# rpm -ql shorewall | fgrep one-interface +/usr/share/doc/packages/shorewall/Samples/one-interface +/usr/share/doc/packages/shorewall/Samples/one-interface/interfaces +/usr/share/doc/packages/shorewall/Samples/one-interface/policy +/usr/share/doc/packages/shorewall/Samples/one-interface/rules +/usr/share/doc/packages/shorewall/Samples/one-interface/zones +~# + + + + Если Вы установили Shorewall из tarball'а, примеры находятся в + директории Samples/one-interface внутри tarball'а. + + + + Если же Вы пользовались пакетом .deb, примеры находятся в + /usr/share/doc/shorewall/examples/one-interface. + + + + + Замечание для пользователей + Debian + + Если Вы при установке пользовались .deb, Вы обнаружите, что + директория /etc/shorewall пуста. + Это сделано специально. Поставляемые шаблоны файлов конфигурации Вы + найдете на вашей системе в директории /usr/share/doc/shorewall/default-config. + Просто скопируйте нужные Вам файлы из этой директории в /etc/shorewall и отредактируйте + копии. + + Заметьте, что Вы должны скопировать /usr/share/doc/shorewall/default-config/shorewall.conf + и /usr/share/doc/shorewall/default-config/modules в /etc/shorewall даже если Вы не будете + изменять эти файлы. + + + По мере того как мы будем знакомится с каждым файлом, я надеюсь, что + Вы просмотрите реальный файл на вашей системе -- каждый файл содержит + детальное описание конфигурационных инструкций и значений по + умолчанию. + + Shorewall видит сеть, в которой он работает, как состоящую из набора + зон(zones). В случае примера конфигурации с одним + интерфейсом, только две зоны определены: + + #ZONE TYPE OPTIONS IN OUT +# OPTIONS OPTIONS +fw firewall +net ipv4 + + Зоны Shorewall описаны в файле /etc/shorewall/zones. + + Заметьте, что Shorewall рассматривает систему файервола как свою + собственную зону. Имя зоны файервола (fw + в примере выше) храниться в переменной shell $FW, + которая может использоваться во всей конфигурации Shorewall для ссылки на + сам файервол. + + Правила о том какой трафик разрешен, а какой запрещен выражаются в + терминах зон. + + + + Вы отражаете Вашу политику по умолчанию для соединений из одной + зоны в другую в файле/etc/shorewall/policy. + + + + Вы определяете исключения из политики по умолчанию в файле + /etc/shorewall/rules. + + + + Для каждого запроса на соединение входящего в файервол, запрос + сначала проверяется на соответствие файлу + /etc/shorewall/rules. Если в этом файле не найдено + правил соответствующих запросу на соединение, то применяется первая + политика из файла /etc/shorewall/policy, которая + соответсвует запросу. Если есть общее действие (common + action) определенное для политики в файле + /etc/shorewall/actions или + /usr/share/shorewall/actions.std, тогда это действие + выполняется перед тем как . + + Файл /etc/shorewall/policy входящий в пример с + одним интерфейсом имеет следующие политики: + + #SOURCE ZONE DESTINATION ZONE POLICY LOG LEVEL LIMIT:BURST +$FW net ACCEPT +net all DROP info +all all REJECT info + + Политики приведенные выше будут: + + + + разрешать все запросы на соединение из файервола в + Internet; + + + + отбрасывать (игнорировать) все запросы на соединение из Internet + на Ваш файервол; + + + + отвергать все другие запросы на соединение (Shorewall требует + наличия такой политики, применимой для всех запросов). + + + + В данный момент Вы можете отредактировать ваш файл + /etc/shorewall/policy и внести изменения, какие Вы + считаете необходимыми. +
+ +
+ Внешний интерфейс + + Файервол имеет один сетевой интерфейс. Если соединение с Internet + осуществляется при помощи кабельного или DSL Модема, the + Внешним интерфейсом будет ethernet-адаптер (eth0), который подсоединен к этому + Модему, если же Вы + соединены посредством протокола Point-to-Point Protocol over + Ethernet (PPPoE) или Point-to-Point Tunneling + Protocol (PPTP), то в этом случае Внешним + интерфейсом будет ppp0. Если + Вы подсоединены через обычный модем, Вашим Внешним + интерфейсом будет также ppp0. + Если Вы соединяетесь используя ISDN, Внешним + интерфейсом будет ippp0. + + + + Пример конфигурации Shorewall для одного интерфейса подразумевает, + что Внешний интерфейс + - eth0. Если Ваша конфигурация + отличается, Вам необходимо изменить файл примера /etc/shorewall/interfaces + соответственно. Пока Вы здесь, Вы возможно захотите просмотреть список + опций, специфичных для интерфейса. Несколько подсказок: + + + Если Ваш внешний интерфейс ppp0 + или ippp0, Вы можете заменить + detect(обнаружить) во втором столбце на + -. + + + + Если Ваш внешний интерфейс ppp0 + или ippp0 или Вы имеете статический IP + адрес, Вы можете удалить dhcp из списка опций. + +
+ +
+ IP адреса + + Перед тем как идти дальше, мы должны сказать несколько слов о IP + адресах. Обычно, Ваш ISP назначает Вам один IP адрес. Этот адрес может + быть назначен статически, при помощи Dynamic Host Configuration Protocol + (DHCP), в процессе установки Вами коммутированного соединения, или при + установке Вами другого типа PPP соединения (PPPoA, PPPoE и т.д.). + + RFC 1918 резервирует несколько Частных + (Private) IP диапазонов адресов для использования в частных + сетях: + + 10.0.0.0 - 10.255.255.255 +172.16.0.0 - 172.31.255.255 +192.168.0.0 - 192.168.255.255 + + На эти адреса иногда ссылаются как на + немаршрутизируемые потому, что магистральные + маршрутизаторы Internet не переправляют пакеты, адреса назначения которых + зарезервированы RFC 1918. Хотя в некоторых случаях, ISPs назначающие эти + адреса, используют затем Преобразование Сетевых Адресов (Network + Address Translation) для перезаписи заголовков пакетов при + перенаправлении в/из Internet. + + + + Перед запуском Shorewall, Вы должны взглянуть + на IP адрес Вашего внешнего интерфейса и, если он принадлежит одному из + указанных выше диапазонов, Вы должны удалить опцию + norfc1918 из записи в + /etc/shorewall/interfaces. +
+ +
+ Разрешение других соединений + + Shorewall включает коллекцию макросов, которые могут использованы + для быстрого разрешения или запрещения служб. Вы можете найти список + макросов включенный в Вашу версия Shorewall при помощи команды ls + /usr/share/shorewall/macro.*. + + Если Вы хотите разрешить соединения из Internet на Ваш файервол и Вы + нашли соответствующий макрос в + /etc/shorewall/macro.*, то общий формат правила в + /etc/shorewall/rules такой: + + #ACTION SOURCE DESTINATION PROTO DEST PORT(S) +<macro>/ACCEPT net $FW + + + Вы хотите запустить Web сервер и IMAP сервер на Вашем + файерволе: + + #ACTION SOURCE DESTINATION PROTO DEST PORT(S) +Web/ACCEPT net $FW +IMAP/ACCEPT net $FW + + + Вы можете также указать Ваше правило непосредственно, без + использования предопределенного макроса. Это будет необходимо в случае, + если нет предопределенного макроса соответствующего Вашим требованиям. В + этом случае общий формат правила в + /etc/shorewall/rules такой: + + #ACTION SOURCE DESTINATION PROTO DEST PORT(S) +ACCEPT net $FW <protocol> <port> + + + Вы хотите запустить Web сервер и IMAP сервер на Вашем + файерволе: + + #ACTION SOURCE DESTINATION PROTO DEST PORT(S) +ACCEPT net $FW tcp 80 +ACCEPT net $FW tcp 143 + + + Если Вы не знаете какой порт и протокол использует определенное + приложение, смотрите здесь. + + + Я не рекоммендую разрешать telnet в/из Internet потому, что он + использует открытый текст (даже для передачи имени и пароля!). Если Вы + хотите иметь доступ к командному интерпретатору Вашего файервола из + Internet, используйте SSH: + + #ACTION SOURCE DESTINATION PROTO DEST PORT(S) +SSH/ACCEPT net $FW + + + + + В этом месте, отредактируйте + /etc/shorewall/rules для добавления необходимых + соединений. +
+ +
+ Запуск и останов Вашего файервола + + + + Процедура установки конфигурирует + Вашу систему для запуска Shorewall при загрузке системе, но начиная с + Shorewall версии 1.3.9 запуск отключен, так что система не будет пытаться + запустить Shorewall до полного завершения конфигурирования. Как только Вы + полностью завершите конфигурирование Вашего файервола, Вы можете включить + запуск Shorewall путем удаления файла + /etc/shorewall/startup_disabled. + + + Пользователи пакета .deb должны + отредактировать /etc/default/shorewall и установить + startup=1. + + + + Вы должны разрешить запуск путем + редактирования /etc/shorewall/shorewall.conf и установки + STARTUP_ENABLED=Yes. + + + Файервол запускается при помощи команды shorewall + start и останавливается при помощи + shorewall stop. Когда файервол + остановливается, маршрутизация разрешается на те хосты, которые указаны в + /etc/shorewall/routestopped. + Запущенный файервол может быть перезапущен при помощи команды + shorewall restart. Если Вы хотите + полностью удалить следы присутствия Shorewall из конфигурации Вашего + Netfilter, используйте shorewall + clear. + + + Если Вы подсоединены к Вашему файерволу из Internet, не + используйте команду shorewall stop + если Вы не добавили запись для IP адреса, с которого Вы подсоединены, в + /etc/shorewall/routestopped. + Также, я не рекоммендую использовать shorewall + restart; лучше создать альтернативную + конфигурацию и протестировать ее при помощи команды shorewall + try. + +
+ +
+ Дополнительно рекомендуемая литература + + Я особо рекоммендую просмотреть Вам страницу Особенностей Общих Фалов + Конфигурации -- она содержит полезную информацию об особенностях + Shorewall, делающую администрирование Вашего файервола проще. +
+ + + Обзор истории + + + + 2.0 + + 2005-09-12 + + TE + + More 3.0 Updates + + + + 1.9 + + 2005-09-02 + + CR + + Update for Shorewall 3.0 + + + + 1.8 + + 2005-07-12 + + TE + + Change reference to rfc1918 to bogons. + + + + 1.7 + + 2004-02-16 + + TE + + Move /etc/shorewall/rfc1918 to + /usr/share/shorewall. + + + + 1.6 + + 2004-02-05 + + TE + + Update for Shorewall 2.0 + + + + 1.5 + + 2004-01-05 + + TE + + Standards Changes + + + + 1.4 + + 2003-12-30 + + TE + + Add tip about /etc/shorewall/rfc1918 updates. + + + + 1.3 + + 2003-11-15 + + TE + + Initial Docbook Conversion + + + +
\ No newline at end of file