ITPub博客

FreeBSD防火墙技术(转)[@more@] 　　将本地网络连接到Internet之后，Internet上的计算机就能自由访问本地网络中的计算机了。显然，由于本地网络属于同一个组织，本地网络中的计算机相互之间都可以信任，而外部Internet上的计算机可能来自任意地方，因此不可信任。如何给可信任的本地网络中的计算机提供资源，而不给其他Internet上的计算机提供访问或入侵的机会，同时又不妨碍本地网络中的计算机正常访问Internet，就成为了建立内部网络的一个要求。 　　当然，针对每个计算机进行设置，也可以达到屏蔽外部网络访问的目的。然而这样做一方

FreeBSD安全工具(转)[@more@] 　　虽然只使用FreeBSD基本系统提供的功能，就能将计算机系统设置为具有非常高的安全性的系统。然而网络上也存在各种用于增强或检查系统安全性的软件工具，有些工具是标准程序的更安全替代品，增强了系统安全性，有些是对系统或网络进行监视和检查的工具。使用这些工具，毫无疑问会进一步增强系统的安全性。FreeBSD的Packages Collection或Ports Collection通常将这些工具放在security子类中。 系统工具软件 　　虽然FreeBSD系统本身提供了对访问的认证、控制和记录，然而由于在Unix系统中，服务程序

FreeBSD设置基本系统(转)[@more@] 　　FreeBSD系统是一种安全性非常好的通用操作系统，在Internet上很少发生FreeBSD系统被攻击的报告，事实上最近一端时间内CERT的安全报告中几乎没有发生在FreeBSD系统上的安全报告。一方面是因为 FreeBSD安全性很好，另一方面也是由于FreeBSD用户对于系统安全比较了解的缘故。 　　与其他Unix系统相比，FreeBSD系统的传统味道更足一些，设计者以追求完美的态度去完成每一种设计，稳定性和安全性就是其中的重要因素。因此，初始安装好的FreeBSD系统已经具备比较高的安全性，一般用户不需要特别设置，便具

FreeBSD设置和使用ipfw/natd(转)[@more@] 　　通过设置，FreeBSD系统能够具备更高的安全性，防止外界入侵者进入系统，即使入侵者利用人为的问题进入系统，FreeBSD严密的保护也将使他们无所作为，不能对系统造成严重的破坏。然而，除了用于保护系统本身的能力之外，FreeBSD还能用于保护同一个网络内的其他计算机。此时这个FreeBSD系统就必须作为内部网络的缺省网关，担负将内部网络连接到外部网络的任务。 　　FreeBSD系统实现了包过滤能力与网络地址转换能力，如果仅将这些能力用作保护系统本身，显然不是这些功能的设计目的，保护本地系

FreeBSD构建防火墙(转)[@more@] 　　防火墙的主要目标是控制内部网络和外部Internet之间的连接，有限制的允许内部网络中的计算机访问Internet 上的服务，但限制外部网络访问内部计算机。为了实现这个目的，至少需要一个具有两个（或更多）网络界面的计算机，它的一个网络界面连接外部网络，另一个网络界面连接内部网络。然而如何实现限制网络访问的方法却有所不同，主要就可以分为基于IP数据包过滤的防火墙和基于代理的防火墙。ipfw/natd和ipfilter都是基于包过滤和网络地址转换的软件工具，而代理服务器通常通过代理服务器软件来实现。

FreeBSD超文本传输协议HTTP(转)[@more@] 　　由于能够提供图形、声音等多媒体数据，WWW已经成为Internet使用者最喜爱的访问方式，当前的大部分 Internet流量均是由WWW浏览产生的。由于这种多媒体浏览方式的帮助，Internet不再仅仅是由专业人员使用，对计算机了解不多的普通使用者也能进入Internet的世界，享受Internet带来的新鲜内容。 　　虽然WWW服务非常之流行，然而要建立一个WWW服务器以提供WWW服务却仍然属于专业领域的任务。当前能够提供WWW服务的软件有很多种，分别运行在不同的操作系统之上，其中有一些软件能够运行在个人使用

FreeBSD数据处理方式(转)[@more@] 　　当浏览器通过各种请求方法，试图从服务器获得数据的时候，服务器就必须将正确的数据返回给浏览器。浏览器并不关心服务器是如何进行处理的，服务器可以返回一个预先编辑好的HTML文档，也能根据请求动态生成返回的数据。而WW W的一大特点就是能用来传送多媒体数据，并且这些数据的传送是完全透明的，通过同样的HTTP连接，可以传送不同格式的声音、图象等数据。当服务器仅仅用于返回静态的HTML文档的时候，浏览器能够很容易的识别其数据类型，但当服务器不但用于返回静态的HTML文档，还可以动态返回各种

FreeBSD对IP地址和域名的控制(转)[@more@] 　　 服务器的安全控制 　　Apache提供的各种特性非常丰富，主要是由于其采用的是模块化的结构，这样就很容易进行分布式开发。 Internet上的众多开发者为Apache提供了各种各样的能力，使其能具备其他的Web服务器不能与之相比的能力。在服务器所具备的众多特性中，安全控制的特性最为有用。 对IP地址和域名的控制 　　Apache服务器可以基于IP地址和基于用户对访问服务器进行控制。在设置文件httpd.conf（或 access.conf）中，这些访问控制的设置是放置在Directory、File和Location语句中

FreeBSD基于用户的访问控制(转)[@more@] 　　更严格、有效的控制方法还是基于用户和对应的口令对浏览客户进行控制。这使得对这个目录进行强制性的保护，浏览器用户必须输入合法的用户名和正确的口令才能浏览网页。如果要针对用户对访问服务器的客户进行控制，首先就要设置访问控制文件为对用户进行认证，因此要允许目录访问控制文件中具备AuthConfig的设置。 　　设置用户认证需要为这个目录指定AuthName、AuthType和AuthUserFile 指令，AuthUserFile定义一个口令文件，那么此后就可以使用require valid-user命令让客户输入名字和正确的

FreeBSD安全连接方式SSL(转)[@more@] 　　通常的连接方式中，通信是以非加密的形式在网络上传播的，这就有可能被非法窃听到，尤其是用于认证的口令信息。为了避免这个安全漏洞，就必须对传输过程进行加密。对HTTP传输进行加密的协议为HTTPS，它是通过SSL（安全Socket层）进行HTTP传输的协议，不但通过公用密钥的算法进行加密保证传输的安全性，而且还可以通过获得认证证书CA，保证客户连接的服务器没有被假冒。 　　使用公用密钥的方式可以保证数据传输没有问题，但如果浏览器客户访问的站点被假冒，这也是一个严重的安全问题。这个问题

FreeBSD CGI和SSI的安全性(转)[@more@] 　　允许根据用户的请求而在服务器上运行程序，本身就是一种安全漏洞，因此只有在必要时，才允许用户使用这些功能。 　　对于SSI，安全问题比较简单，可以将其设置为只分析普通标志，不执行外部程序，这必须在配置文件中使用 Options IncludesNOEXEC选项，而非Options Includes选项。就能满足对安全性的一般要求。 　　CGI程序的情况更为复杂。由于CGI可以用两种方式设置，一种为由ScriptAlias设置CGI程序的路径，另一种为通过设置CGI的后缀而设置的。通常只有在信任用户有能力创建没有（或很少）

FreeBSD基于NAT的负载均衡技术(转)[@more@] 　　网络地址转换为Internet网关的一个重要功能，它能将内部地址和外部地址进行转换，以使具备内部地址的计算机能访问外部网络。同样外部网络访问网关拥有的某一外部地址时，地址转换网关能将其转发到该地址映射的内部地址的计算机上。 　　因此，可以通过重新修改地址转换程序，使得地址转换网关能将请求均匀转换为内部的多个服务器的内部地址，此后外部网络中的计算机就各自与自己转换得到的内部服务器进行通信了。 　　要实现这个负载均衡软件，仍然需要更改原有的地址转换程序。然而，由

FreeBSD ULE调度器浅析(转)[@more@] 　　FreeBSD 5-CURRENT刚刚引入了一个名为ULE调度器的内核调度单元调度器。这个调度器在SMP系统中的效率要远好于FreeBSD以前版本的调度器(目前，那个调度器被称为4BSD调度器)。 　　新的ULE调度器的设计更像Solaris和Linux等操作系统的调度器。Solaris的SMP性能非常好这一点是它的卖点之一，其调度器采用的优秀算法就是一个很重要的原因。BSD派生系统，尽管由于系统整体设计的合理，以及操作系统其他部分的卓越性能弥补了它在SMP调度器上的不足，甚至尽管FreeBSD在绝大多数情况下的性能都超过 　　其

FreeBSD VM内核内存管理(转)[@more@] 　　本文涉及到的源码是FreeBSD5.0Release，参考4.4BSD设计与实现相关章节，Matt Dillon的文章。 　　VM系统涉及的主要数据结构描述 　　1. vmspace 　　该结构用于描述一个进程的虚拟地址空间，其包含了平台无关性的vm_map结构和平台相关性的pmap结构，以及该进程内存使用的一些统计计量。 　　2. vm_map 　　该结构是描述与平台无关性的虚拟地址空间的最高层数据结构，其包含了一系列虚拟地址有效地址映射实体和这些映射的属性。 　　3. vm_map_entry 　　该结构描述了一段虚拟地址空间(sta

在FreeBSD中安装双网卡实例(转)[@more@] 　　当我们使用FreeBSD作网关或防火墙时，会要求在系统中安装两块网卡，分别跨越两个网络，一块卡用于外部网络，而另一块用于内部网络。好了，就象大家知道的那样，现在需要让系统支持这些新设备，而对于网络适配器，FreeBSD是通过定制内核来支持的。当然，首先要让内核了解设备所用的硬件资源，对于使用PCI接口的网卡，我只能说，拥有高科技真是幸福，因为这类网卡在PCI PnP BOIS的支持下，只要在内核中多添一个设备配置就可在新内核引导时自动检测并启动；而对于ISA的卡，就没有这样简单了，不过

FreeBSD上用IP Filter进行桥过滤(转)[@more@] 　　几年以前，我以前的一个大学老师准备利用Microsoft的一台大型赠品设备来组建一个实验室。希望把这个实验室建成某种供学生和职工使用的地方，让他们拥有学院系统（Faculty System）的系统管理员所给予他们的更高的权限。Internet编程（Web，分布式操作系统等）教学也计划在这里进行。这个老师的一个愿望就是不用防火墙将这个实验室进行隔离，从而使学生们可以访问全世界的站点。很明显 ，他不懂Internet安全。 　　在那段时间中，这个实验室简直就变成了一些学生（他们中的大多数已经离开

最简单FreeBSD网关方案(转)[@more@] 　　为了验证从Internet上安装FreeBSD，近两天做了一个实验，主要介绍如何最简单地使用FreeBSD来建立一个网关，针对的目标是现在大家普遍使用的PPPoE，本文不会涉及到传统的电话拨号、IPFW和IPfilter的内容，因为这部分内容较为复杂，而且已经有太多的文章可供参考。 　　一、设定： 　　1.本文操作环境是FreeBSD 4.8－RELEASE，使用系统默认内核。 　　2.视ADSL Modem只是一个拨号器，它不带任何附加功能（如路由）。使用FreeBSD自带的ppp来达到PPPoE拨号功能，实现最基本的目的是：供内部网络中所

采用FreeBSD IPSec Tunnel方式连接两个局域网络(转)[@more@] 　　在实际的工作中，经常遇到需要将处在不同地点的两个局域网络连接起来的要求。采用FreeBSD IPSec Tunnel方式可以方便的将两个局域网络连接起来，且具有很好的安全性。下面将用一个案例来讲述如何采用这种方式连接两个局域网络。 　　假设有如下的网络结构： 　　两台FreeBSD机器都分别配置为两个子网的防火墙，并对内核配置增加IPSec支持，相关的内核配置参数如下： 　　# IP security (crypto; define w/ IPSEC) 　　options IPSEC 　　options IPSEC_ESP 　　optio

FreeBSD-4.7下安装网络流量统计分析工具MRTG(转)[@more@] 　　原始URL:http://www.webrj.com/read.php?id=323 　　MRTG(MultiRouter Traffic Grapher, MRTG)是基于SNMP的典型网络流量统计分析工具,它耗用的系统资源很小,现在最新版本是2.9.25(mrtg-2.9.25.tar.gz),可从http://people.ee.ethz.ch/~oetiker/webtools/mrtg/pub/mrtg-2.9.25.tar.gz取得. 　　实践笔记由seelinux在2002-02-19整理，Email：seelinux@webrj.com URL:www.webrj.com 　　系统环境:FreeBSD-4.7 mini,hostname为(.com) 　　FreeBSD-4.7下安装网络流量统计分析工

freebsd PF的TARP补丁(转)[@more@] 　　功能： 　　当端口扫描时返回所有端口开放状态 　　系统： PF防火墙 　　FreeBSD 6-Current测试通过 　　OpenBSD 3.6未测试 　　安装方法： 　　1. 截取以下一段内容，建立新文件pf.c.diff ；或者在如下地址下载： 　　===============================================2858c2858,2859< !(th->th_flags & TH_RST)) {---> (!(th->th_flags & TH_RST) ||> !(th->th_flags & TH_FIN))) {2860c2861<--->2864c2865< ack++;---> return (PF_DROP);2867