使用Jail和ipfilter结合构建高安全服务器【原创】

三轮车夫

1. 
   
2. 使用Jail和ipfilter结合构建高安全服务器
   
3. 作者信息:
   
4.                 三轮车夫(★可乐∮,EasyPP,Easy2go)
   
5.                 MSN:easy2go@msn.com   QQ:223480         Mail:postmaster@easy2go.org
   
6. 版权声明:
   
7.         本文档版权归三轮车夫(★可乐∮,EasyPP,Easy2go)所有！如需转载，请保留该声明，谢谢！       
   
8. 前言:
   
9.         以前写过一份《使用jail构建安全的Vsftpd》的文章(见[url]www.cnfug.org[/url])！对jail的使用有了一个初步的了解！这篇文章应该是上一篇文章的姐妹篇吧！闲话少说！步入正题！
   
10.         上一篇文章只是通过jail来chroot一个服务（vsftpd）以实现服务的安全管理！这篇文章着重点在jail一个独立的系统！构建的网络大体的拓扑结构如下！
    
11. 
    
12.         具体实现方法：通过Jail做一个独立的系统，在该系统上面提供一些网络服务，然后在该FreeBSD系统上通过ipfilter构建一个防火墙，同时通过ipnat对jail的系统做相应的端口映射！
    
13. 
    
14.         系统配置参数：
    
15.                 OS:FreeBSD 4.8 Stable
    
16.                 IP: fxp0 10.0.1.1 192.168.1.201
    
17.                 Dns:10.0.0.251
    
18.                 Defaultrouter:10.0.1.1
    
19.         ifconfig显示的信息:
    
20. /**
    
21. fxp0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
    
22.         inet 10.0.1.1 netmask 0xff000000 broadcast 10.255.255.255
    
23.         inet 192.168.1.201 netmask 0xffffff00 broadcast 192.168.1.255
    
24.         ether 00:00:e2:2d:8b:a5
    
25.         media: Ethernet autoselect (100baseTX <full-duplex>)
    
26.         status: active
    
27. lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
    
28.         inet 127.0.0.1 netmask 0xff000000
    
29. **/
    
30. 实现步骤：
    
31.         一：建立jail环境：(安装系统的全部源代码)
    
32.                 mkdir –p /jail/Jail-A/
    
33.                 建立一个shell脚本jail.sh，内容如下：
    
34.                 D=/jail/Jail-A
    
35. cd /usr/src
    
36. mkdir -p $D
    
37. make world DESTDIR=$D
    
38. cd etc
    
39. make distribution DESTDIR=$D -DNO_MAKEDEV_RUN
    
40. cd $D/dev
    
41. sh MAKEDEV jail
    
42. cd $D
    
43. ln -sf dev/null kernel
    
44.                 编辑/etc/make.conf将一些不需要的东西去掉！(可以根据你具体情况进行设定)
    
45.                         CPUTYPE=i686
    
46. COPTFLAGS= -O –pipe
    
47. INSTALL=install –C
    
48. NO_CVS= true    # do not build CVS
    
49. NO_BIND=        true    # do not build BIND
    
50. NO_FORTRAN=     true    # do not build g77 and related libraries
    
51. NO_I4B= true    # do not build isdn4bsd package
    
52. NO_LPR= true    # do not build lpr and related programs
    
53. NO_MAILWRAPPER=true     # do not build the mailwrapper(8) MTA selector
    
54. NO_SENDMAIL=    true    # do not build sendmail and related programs
    
55. NO_SHAREDOCS=   true    # do not build the 4.4BSD legacy docs
    
56. NO_X=           true    # do not compile in XWindows support (e.g. doscmd)
    
57. NOGAMES=        true    # do not build games (games/ subdir)
    
58. NOINFO= true    # do not make or install info files
    
59. NOLIBC_R=       true    # do not build libc_r (re-entrant version of libc)
    
60. NOMAN=          true    # do not build manual pages
    
61. NOUUCP= true    # do not build uucp related programs
    
62. 执行jail.sh,开始建立jail的基本环境
    
63.                 #sh jail.sh
    
64. 执行完毕以后进行如下操作:
    
65.                 #ifconfig fxp0 alias 192.168.1.201 netmask 255.255.255.0
    
66.                 或者在/etc/rc.conf中加入:
    
67.                 ifconfig_fxp0_alias0="inet 192.168.1.201  netmask 255.255.255.0"
    
68.                 #mkdir –p /jail/Jail-A/stand
    
69.                 #cp /stand/sysinstall /jail/Jail-A/stand/
    
70.                 #touch /jail/Jail-A/etc/fstab
    
71.                 #vi /jail/Jail-A/etc/rc.conf 加入如下内容：
    
72.                         sendmail_enable=”NONE”
    
73.                         sshd_enable=”YES”  //这个一定需要！可以远程进行管理
    
74.                         inetd_enable=”YES”  //如果打开一定要添加下面一行
    
75.                         inetd_flags=”-wW –a 192.168.1.201”  //这个修改成你jail的系统的地址！
    
76.                         syslogd_enable=”YES”
    
77.                         syslogd_flags=”-ss”
    
78.   开始配置jail的系统:
    
79.                         #jail /jail/Jail-A/ powerbsd.org 192.168.1.201 /bin/csh
    
80.                         如果没有任何错误，执行：
    
81.                         #passwd root 修改root密码
    
82.                         #/stand/sysinstall ->Configure->
    
83.                                 选择: Time Zone 设置时区
    
84.                                 选择: Networking 配置网络的一些信息
    
85. 选择User Management 建立一个wheel组的帐号
    
86.                                 选择: Startup 配置需要的一些服务
    
87.                         退出，编辑/jail/Jail-A/etc/rc.conf去掉一些无用的信息！
    
88.                         可以参照如上的一些信息！
    
89.         测试启动jail的系统:
    
90.                 #jail /jail/Jail-A/ powerbsd.org 192.168.1.201 /bin/sh /etc/rc
    
91. 如下是我机器上面启动jail的信息！
    
92. /**
    
93. #jail /jail/Jail-A/ powerbsd.org 192.168.1.201 /bin/sh /etc/rc
    
94. Skipping disk checks ...
    
95. adjkerntz[662]: sysctl(set_disrtcset): Operation not permitted
    
96. Doing initial network setup:.
    
97. ifconfig: ioctl (SIOCDIFADDR): permission denied
    
98. lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
    
99. Additional routing options: TCP keepalive=YESsysctl: net.inet.tcp.always_keepalive: Operation not permitted
    
100. .Routing daemons:.
     
101. Additional daemons: syslogd.
     
102. Doing additional network setup:.
     
103. Starting final network daemons:.
     
104. ELF ldconfig path: /usr/lib /usr/lib/compat
     
105. a.out ldconfig path: /usr/lib/aout /usr/lib/compat/aout
     
106. Starting standard daemons: inetd cron sshd.
     
107. Initial rc.i386 initialization:.
     
108. Additional ABI support:.
     
109. Local package initialization:.
     
110. Additional TCP options:.
     
111. 2003年 7月14日 星期一 16时26分43秒 ICT
     
112. **/
     
113.         现在你可以通过ssh登陆到jail的系统了！为了测试方便，我通过inetd.conf提供了ftp和telnet的服务！
     
114. 下面是我通过ssh登陆到jail系统上面的一些信息:
     
115. /**
     
116. powerbsd# id
     
117. uid=0(root) gid=0(wheel) groups=0(wheel), 2(kmem), 3(sys), 4(tty), 5(operator), 20(staff), 31(guest)
     
118. powerbsd# uname -a
     
119. FreeBSD powerbsd.org 4.8-STABLE FreeBSD 4.8-STABLE #1: Mon Jul 14 14:27:53 CST 2003     [email]root@powerbsd.org[/email]:/usr/src/sys/compile/PowerBSD  i386
     
120. powerbsd# ifconfig
     
121. fxp0: flags=8843<UP,BROADCAST,RUNNING,SIMPLEX,MULTICAST> mtu 1500
     
122.         inet 192.168.1.201 netmask 0xffffff00 broadcast 192.168.1.255
     
123.         ether 00:00:e2:2d:8b:a5
     
124.         media: Ethernet autoselect (100baseTX <full-duplex>)
     
125.         status: active
     
126. lo0: flags=8049<UP,LOOPBACK,RUNNING,MULTICAST> mtu 16384
     
127. powerbsd# ps auxww
     
128. USER PID %CPU %MEM   VSZ  RSS  TT  STAT STARTED      TIME COMMAND
     
129. root  748  0.0  0.1   400  252  p1  R+J   4:30PM   0:00.00 ps auxww
     
130. root  709  0.0  0.3  1092  788  ??  IsJ   4:26PM   0:00.00 /usr/sbin/inetd -wW -a 192.168.1.201
     
131. root  711  0.0  0.3  1032  764  ??  SsJ   4:26PM   0:00.00 /usr/sbin/cron
     
132. root  713  0.0  0.8  2632 2080  ??  IsJ   4:26PM   0:00.12 /usr/sbin/sshd
     
133. root  727  0.0  0.9  5332 2296  ??  IJ    4:27PM   0:00.03 sshd: PowerBSD [priv] (sshd)
     
134. PowerBSD 729  0.0  0.9  5332 2352  ??  SJ    4:27PM   0:00.03 sshd: PowerBSD@ttyp1 (sshd)
     
135. PowerBSD  730  0.0  0.4  1364  972  p1  IsJ   4:27PM   0:00.01 -csh (csh)
     
136. root  732  0.0  0.4  1368  972  p1  SJ    4:27PM   0:00.02 -su (csh)
     
137. root  702  0.0  0.3   992  664  ??  SsJ   4:26PM   0:00.00 /usr/sbin/syslogd -ss
     
138. powerbsd#
     
139. **/
     
140. 到现在为止，jail的基本系统已经配置完毕！
     
141. 现在开始配置ipfilter，来实现端口的映射!
     
142. 
     
143. 二．配置FreeBSD的ipfiter和ipnat
     
144.         #cd /sys/i386/conf
     
145.         #cp GENERIC PowerBSD
     
146.         在PowerBSD这个核心配置文件中加入:
     
147.                 options         IPFILTER                 #ipfilter support
     
148. options         IPFILTER_LOG            #ipfilter logging
     
149.         #config PowerBSD
     
150.         #cd ../../compile/PowerBSD/
     
151.         #make depend;make;make install
     
152.         vi /etc/rc.conf 在改文件中添加如下参数:
     
153.                 ipfilter_enable="YES"  //ipfilter
     
154.                 ipfilter_program="/sbin/ipf"
     
155.                 ipfilter_rules="/etc/ipf.rules"
     
156. ipnat_enable="YES"                //ipnat
     
157. ipnat_program="/sbin/ipnat -CF"
     
158. ipnat_rules="/etc/ipnat.rules"
     
159. ipmon_enable="YES"                  //ipfilter log
     
160. ipmon_program="/sbin/ipmon"
     
161. ipmon_flags="-Ds"
     
162. 建立ipfilter需要的文件:
     
163.         touch /etc/ipf.rules   
     
164. //因本篇文章重点不在ipfiter防火墙的建立，具体的信息可以参照/usr/share/example/ipfilter/中的文档
     
165.         touch /etc/ipnat.rules
     
166.         touch /var/log/ipflog
     
167. vi /etc/ipf.rules(如下规则是我测试的规则，不是很完善！具体请参照ipfilter的文档)
     
168.         pass out on fxp0 all
     
169. pass in on fxp0 all
     
170. pass out quick on lo0 all
     
171. pass in quick on lo0 all
     
172. block in proto icmp from any to 10.0.1.1
     
173. pass in quick on fxp0 proto tcp from any to any port = 22 flags S/SA keep state
     
174. pass in quick on fxp0 proto tcp from any to any port = 80 flags S/SA keep state
     
175. pass in quick on fxp0 proto tcp from any to any port = 23 flags S/SA keep state
     
176. pass in quick on fxp0 proto tcp from any to any port = ftp flags S/SA keep state
     
177. pass in quick on fxp0 proto tcp from any to any port = ftp-data flags S/SA keep state
     
178. pass out quick on fxp0 proto udp from any to any port = 53
     
179. block in log quick on fxp0 proto tcp form any to any port = 3306
     
180. block in quick all
     
181.         vi /etc/ipnat.rules 添加nat的规则
     
182.                 rdr fxp0 10.0.1.1/32 port 21 -> 192.168.1.201 port 21
     
183. rdr fxp0 10.0.1.1/32 port 23 -> 192.168.1.201 port 23
     
184. rdr fxp0 10.0.1.1/32 port 80 -> 192.168.1.201 port 80
     
185.         vi /etc/rc.local 在该文件中添加启动jail的代码
     
186.                 jail /jail/Jail-A/ powerbsd.org 192.168.1.201 /bin/sh /etc/rc
     
187.         注意不要忘记在/etc/rc.conf中添加:
     
188.                 ifconfig_fxp0_alias0="inet 192.168.1.201  netmask 255.255.255.0"
     
189. 三.最后重新启动你的系统，进行测试：
     
190. telnet 10.0.1.1
     
191. ftp –A 10.0.1.1
     
192. 如果成功，一切OK！
     
193. 总结：
     
194.         以上通过ipfilter的nat功能，结合jail强大的功能，可以构建非常安全的服务器系统！但是具体服务在jail下面执行的效率怎么样？我没有具体进行测试！希望测试过的朋友多多指点！如上只是记录我的一个测试过程！在整理的过程中难免会有一些错误！请发现的朋友告诉我，我进行修改！谢谢！
     
195.         如果你们在按照该文档配置过程中遇到什么问题，可以发邮件给我，邮件地址在这篇文档的刚开始已经说明！
     

复制代码