为Solaris配置IP过滤防火墙 2009-05-11 22:38 IPFilter是目前比较流行的包过滤防火墙软件，它拥有多种平台的版本，安装配置相对比较简单。当前的版本是4.1.15，支持 FreeBSD、NetBSD、Solaris 10、Open Solaris、AIX 等操作系统平台。IPFilter是一个在引导时配置的可加载到内核的模块。这使得它十分安全，因为已不能由用户应用程序篡改。 一、 学会编写 IPFfilter 规则 通过使用 IPFfilter系统提供的特殊命令建立这些规则，并将其添加到内核空间特定信息包过滤表内的链中。关于添加、去除、编辑规则的命令，一般语法如下： action [in|out] option keyword, keyword... 参数说明： 1. 每个规则都以操作开头。如果包与规则匹配，则 Solaris IP 过滤器将操作应用于该包。以下列表包括应用于包的常用操作。 block ：阻止包通过过滤器。 pass ：允许包通过过滤器。 log ：记录包但不确定是阻止包还是传递包。使用 ipmon 命令可查看日志。 count ：将包包括在过滤器统计信息中。使用 ipfstat 命令可查看统计信息。 skip number ：使过滤器跳过 number 个过滤规则。 auth ：请求由验证包信息的用户程序执行包验证。该程序会确定是传递包还是阻止包。 preauth ：请求过滤器查看预先验证的列表以确定如何处理包。 2. 操作后面的下一个单词必须是 in 或 out。您的选择将确定是将包过滤规则应用于传入包还是应用于传出包。 3. 接下来，可以从选项列表中进行选择。如果使用多个选项，则这些选项必须采用此处显示的顺序。 log ：如果规则是最后一个匹配规则，则记录包。使用 ipmon 命令可查看日志。 quick ：如果存在匹配的包，则执行包含 quick 选项的规则。所有进一步的规则检查都将停止。 on interface-name ：仅当包移入或移出指定接口时才应用规则。 dup-to interface-name：复制包并将 interface-name 上的副本向外发送到选择指定的 IP 地址。 to interface-name ： 将 包 移 动 到 interface-name 上 的 外 发 队 列 。 4. 指 定 选 项 后 ， 可 以 从 确 定 包 是 否 与 规 则 匹 配 的 各 关 键 字 中 进 行 选 择 。必 须 按 此 处 显 示 的 顺 序 使 用 以 下 关 键 字 。 tos ： 基 于 表 示 为 十 六 进 制 或 十 进 制 整 数 的 服 务 类 型 值 ， 对 包 进 行 过 滤 。...
