가정용 네트워크를 위한 인터넷 게이트웨이로서 레드햇 리눅스 6.X 활용Paul Ramsey <pramsey@refractions.net>2000년 6월 22일레드햇 6 및 관련된 다른 종류의 리눅스를 소규모 가정용 또는 사무실 네트워크에 인터넷 게이트웨이로 운영하도록 구성하는 데 대한 간단한 튜토리얼. 다루어진 주제는 매스커레이딩(masquerading), DNS, DHCP, 기초 수준의 보안을 포함한다. 1. 소개이 페이지는 레드햇 6.X를 가정용 네트워크 또는 소규모 사무용 네트워크를 위한 인터넷 게이트웨이로 설정하기 위한 간단한 설명서를 포함한다. 지시는 매우 간략화 되었는데, 어떠한 특정 경우도 논의하지 않을 것이고, 어떤 네트워크 주소가 사용되는지에 대한 몇 가지 가정을 제시할 것이다. 매우 중요한 가정은 다음과 같다:
만일 여러분이 이러한 가정의 어느 하나라도 만족시키지 않으면 이 문서는 아마도 여러분한테 소용이 없을 것이다. 설치 과정 동안 해야 하는 특별한 것이 있는 것은 아니다. 여러분이 쉽게 이해하고 성취 가능한 지시를 단순히 선택하라. 이 문서는 무(無)에서부터 네트워킹을 처리하기 위해 필요한 모든 것을 설치하는 길잡이 역할을 한다. 설치하는 동안 설치하거나 구성해야 하는 것에 대해 어떤 가정도 전제로 하지 않는다. 그러한 것들이 작동함을 보장하고 무슨 정보가 어디로 가는지에 대해 혼동하지 않도록 모든 구성은 레드햇과 함께 재공되는 GUI 구성 도구를 사용하기 보다는 시스템 구성 파일을 직접 편집하게 될 것이다. 한편으로는, 이것이 좀 더 힘들 것이다. 또 한편으로는, (가령, X가 작동하지 않는, 또는 헤드리스 서버(headless server)를 설정하는 경우에) 여러분은 상이한 배포본과 상황에 훨씬 더 수월하게 전이할 수 있는 지식을 얻게 될 것이다. 1.1 버전이 문서의 최종 버전은 HTML 버전용으로 http://www.coastnet.com/~pramsey/linux/homenet.html, SGML 버전용으로 http://www.coastnet.com/~pramsey/linux/homenet.sgml에서 언제나 구할 수 있다.
1.2 저작권저작권 ©2000, Paul Ramsey. 이 문서는, 다음과 같은 제한 사항을 적용하여, 무료로, 전체로 또는 부분적으로 재생산될 수 있다:
이러한 규정에 대한 예외가 학문적인 목적을 위해서 인정된다: 저자한테 편지를 써서 요청하라. 이러한 제한 사항은, 학생과 교육자인 여러분을 제한하는 것은 아니라, 우리를 저자로서 보호하고자 함이다. 2. 꽂기여러분이 허브를 사용하고 있는지 아닌지에 따라서 네트워크 토폴로지(network topology)는 조금이라도 다를 것이다. 저자는 오로지 RJ45 케이블 연결을 사용한 네트워킹을 다룰 것이다. 동축 케이블(thin coax)을 다루지 않는다. 동축 케이블을 사용하면 허브를 갖추지 않고서도 다수의 컴퓨터를 네트워크를 구성할 수 있다. 하지만, 연결 끝을 마무리하는 등과 같이 더욱 조심스러워야 한다. 여러분이 이미 네트워킹을 알고 있다면 이들 지시는 대개가 중복되는 것일 것이다. 2.1 허브를 가진 경우만일 여러분이 허브를 가지고 있다면, 여러분의 네트워크는 이것과 같이 보일 것이다. 리눅스 박스에 있는 리눅스 박스에 있는 2.2 허브가 없는 경우만일 여러분이 허브를 가지지 않았다면, 크로스오버 케이블을 사용하여, 컴퓨터 한 대를 여전히 리눅스 박스에 연결할 수 있다. 여러분의 토폴로지는 이것과 같이 보일 것이다. 리눅스 박스에 있는 2.3 네트워크 카드가 하나만 있는 경우이는 바람직한 구성은 아니다. (이 구성에서는 여러분의 내부 및 외부 네트워크이 동일한 물리적 네트워크에 있고, 때문에 이론적으로는 크래킹을 쉽게 허용하게 된다. 실제로, 위험은 아마도 매우 낮다.) 하지만, 받아들여질 수 있다. 여러분의 이정은 가지각색일지 모른다. 리눅스 커널은 "IP 알리어싱" 지원을 포함한다. 이는 하나의 이더넷 카드가 동시에 두 개의 상이한
IP 주소를 다루는 것을 허용한다. 레드햇과 맨드레이크와 함께 선적된 표준적인 커널은 기본적으로
IP 알리어싱을 위한 지원을 포함한다. 오로지 한 장의 이더넷 카드만으로 게이트웨이를 설정하기
위해서는 다음에 보이는 모든 코드 예제에서 간단히 단일 카드 상황에서, DHCP 서버를 구동하는 것은 바람직하지 않다. 모든 장비와 케이블 모뎀 또는 ADSL 박스를 허브에 꽂아라. 행운을 빌고, 계속하라. 3. 네트워킹 구성하기자, 지금까지 여러분은 게이트웨이 컴퓨터에 리눅스를 설치했다. 여러분은 네트워크 카드 중 하나를 구성했고, 인터넷에 접속을 설정했다. 그렇지만, 우리는 무에서부터 시작할 것이고 어떤 것도 전혀 구성되지 않았다고 가정할 것이다.
리눅스 커널은 두 장의 이더넷 카드를 자,
eth0 Link encap: Ethernet HWaddr 00:60:67:4A:02:0A
inet addr:0.0.0.0 Bcast:0.0.0.0 Mask:255.255.255.255
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:466 errors:0 dropped:0 overruns:0 frame:0
TX packets:448 errors:0 dropped:0 overruns:0 carrier:0
collisions:85 txqueuelen:100
Interrupt:10 Base address:0xe400
만일 커널이 네트워크 카드를 인식하지 못한다면 이와 같은 것을 보게 될 것이다:
eth0: error fetching interface information: Device not found. 3.1 네트워크 드라이버를 구성하기만일 카드를 둘 다 찾았으면 다음 섹션으로 넘어 가라. 아니면, 이 섹션을 읽어라. 자, 이미 아는 바와 같이 카드가 하나 혹은 둘 모두가 커널에 의해 인식되지 않는다. 실제로, 이것은 문제가 되지 않는다. 반드시 해야 할 것은 카드를 찾는 방법을 커널에 좀 더 명시적으로 알리는 것이다. 여기에는 우여곡절이 많고, 그 모두를 다루지는 않을 것이다. 현행의 것이 어려워질 때 Ethernet HOWTO로 바꾸어라. 여기에 몇 가지 요약된 조언이 있다.
이제, 여러분은 구성 파일을 편집할 때다! 편집하게 될 파일은
alias parport_lowlevel parport_pc alias eth0 ne options ne io=0x300 irq=10 alias eth1 via-rhine 나의
여러분은 두 개의 카드를 위해 여러분이 두 개의 동일한 네트워크 카드그래서, 여러분은 진짜로 진짜로 현명하였고, 여러분의 리눅스 게이트웨이를 위해
동일한 네트워크 카드를 두 개 샀다. 여러분이 그것들을 함께 작동하도록 할 수 없다면?
걱정하지 마라. 그것들이 공존하도록 하는 것은
alias eth0 ne alias eth1 ne options ne io=0x330,0x360 irq=7,9 The addressing options are all given on the same line, and the first number
for each addressing type is for 3.2 내부 네트워크를 구성하기"내부 네트워크"는 여러분의 모든 가정/사무실 장비가 통하게 되는 네트워크이다. "외부 네트워크"는 리눅스 박스의 다른 쪽에 있는 대규모의 무시무시한 인터넷이다. 대체로, 내부 네트워크는 리눅스 박스에 의해 외부 네트워크로부터 완전히 격리될 것이다. 이는 중간 정도의 강력한 방화벽으로서 운용될 것이다. 네트워크 장치여러분의 드라이버가 작동하고 있고 여러분의 내부 네트워크는 개인용 네트워크가 될 것이고, 이를 위해서 내부 네트워크 연결을 위해
예약된 특정한 네트워크에 있게 될 것이다: 우선 네트워킹이 가능한 상태인지 확인할 필요가 있다.
NETWORKING=yes FORWARD_IPV4=yes 첫 번째 행은 부트(boot) 시에 네트워크 장치가 불려 오도록 리눅스한테 알린다. 두 번째 행은 IP 전달(IP forwarding)을 가능케 하도록 리눅스한테 알린다. 섹션 4에서 매스커레이딩을 구성하는 것을 시작할 때 이것이 필요하다. 래드햇 6.2 주의: IP 전송과 매스커레이딩을 적절하게 지원하기 위해서 레드햇 6.2는
net.ipv4.ip_forward = 1 net.ipv4.ip_always_defrag = 1 레드햇과 레드햇 파생품을 위한 모든 네트워크 인터페이스 설정은
DEVICE=eth1 IPADDR=192.168.1.1 ONBOOT=yes 이 코드는 부트 시에 eth1을 구성하고 개별적인 IP 주소를 주도록 네트워크 스크립트한테
알린다. 다음과 같은 명령어와 함께 새 설정을 사용하여 여러분의 네트워크를 활성화 하라:
DHCP 서버DHCP 서버는 IP 주소를 가지는 내부 가정용 네트워크 상의 장치를 자동적으로 구성할 것이다. 이것은 랩톱을 가진 사람들을 위해 매우 유용하다. 그들이 자신들의 장비를 간단히 꼽기만 하면 즉시 적절하게 구성될 수 있다. 만일 여러분이 내부 네트워크 상에서 DHCP 서버를 원하지 않는다면 다음 섹션으로 넘어 가라. 우선 여러분은 DHCP 서버가 설치되었는지 확인할 필요가 있다. 리눅스 CD를 마운트하고
subnet 192.168.1.0 netmask 255.255.255.0 {
range 192.168.1.2 192.168.1.60;
default-lease-time 86400;
max-lease-time 86400;
option routers 192.168.1.1;
option ip-forwarding off;
option broadcast-address 192.168.1.255;
option subnet-mask 255.255.255.0;
}
만일 여러분이 리눅스 박스를 캐슁 도메인 네임 서버(caching domain name server)로 설정하고자 한다면, 다음과 같은 옵션을 추가하라:
option domain-name-servers 192.168.1.1; If you know your outside DNS addresses and you are not going to use the Linux box for DNS, insert the following option, where x.x.x.x and y.y.y.y are IP numbers of the DNS servers: 만일 여러분이 외부의 DNS 주소를 알고 있고 DNS를 위해 리눅스 박스를 사용하지 않을 것이라면, 다음과 같은 옵션을 추가하라. 여기서, x.x.x.x와 y.y.y.y는 DNS 서버의 IP 번호이다.
option domain-name-servers x.x.x.x, y.y.y.y; 만일 여러분이 윈도우즈(Windows) 컴퓨터를 위해 리눅스 박스에 삼바(Samba) 파일 공유를 실행할 것이라면, 리눅스 박스를 기본적인 WINS와 브라우징(browsing) 서버로 사용하도록 다음과 같은 옵션을 추가하라:
option netbios-name-servers 192.168.1.1; option netbios-dd-server 192.168.1.1; option netbios-node-type 8; option netbios-scope ""; 삼바와 WINS를 구성하는 것은 이 문서의 범위를 벗어난다. 만일 몇 가지 지침이 필요하다면 SMB HOWTO로 시작하고, 거기서부터 계속하라. 아직도 두 서너 단계가 더 남아 있다. 다음에,
/sbin/route add -host 255.255.255.255 dev eth1 윈도우즈 DHCP 클라이언트는 DHCP 응답에 있어 특이한 브로드캐스트 주소를 필요로 하고,
이 명령은 리눅스/TCP 스택이 그것을 만들어 내도록 한다. 만일 여러분이 파일에서 그 행을 찾을 수 없으면
추가하라. 만일 여러분이 그런것과 같은 행을 찾는다면 그것이 참조하는 장치가 다음 단계는 기본 장치로서
daemon /usr/sbin/dhcpd 을
daemon /usr/sbin/dhcpd eth1 으로 대체하라.
이제 DHCP를 시동할 준비가 됐다. 우선 명령을 사용하여 DHCP 서버를 시작한다:
마지막으로, DHCP 서버가 리부트(re-boot) 시에 시작할 것인지 확인하여야 한다.
DHCP 서버의 어떤 RPM 패키지는 매번 서버가 시작하는 것을 보증하는 지시를 포함하지 않는다.
그래서, 이 명령으로 인해 레드햇은 클라이언트 컴퓨터만일 여러분이 DHCP를 설정하였다면, 클라이언트 컴퓨터를 구성하는 것은 매우 쉽다: 단지 DHCP 구성을 가능케만 한다. 윈도우즈 컴퓨터에 대해 이것은 "제어판", 그 다음에 "네트워크" 옵션을 여는 것을 포함한다. "TCP/IP" 프로토콜을 찾고, "구성"하도록 선택한다. "자동으로 IP 주소를 받기"에 해당하는 박스를 체크하고, 변경을 적용하고, 리부트 한다. 리부트 하기 전에 다음과 같은 명령을 입력해 보고 싶을지 모르겠다: 만일 여러분이 DHCP를 설정하지 않았다면, 구성은 역시 상당히 쉽다. 다시 "제어판"으로부터 "네트워크" 옵션을 열고, TCP/IP 프로토콜을 구성하기 위해 선택한다. 여러분은 클라이언트 컴퓨터한테 192.168.1.0(네트워크 주소), 192.168.1.255(브로드캐스트 주소) 또는 192.168.1.1(여러분의 리눅스 서버)를 제외한 192.168.1.0 네트워크 내의 어떤 주소든지 할당할 수 있다. 결코 두 대의 컴퓨터한테 동일한 주소를 부여해서는 안 된다. "게이트웨이" 주소를 192.168.1.1에 설정하라. 그래서, 외부로 나가는 트래픽(traffic)이 리눅스 게이트웨이를 통해 보내진다. The IP Masquerading HOWTO has very detailed information on client configuration in the Configuration Section. IP Masquerading HOWTO는 Configuration Section에 클라이언트 구성에 관해 매우 상세한 정보를 가진다. 일반적으로, 클라이언트 컴퓨터를 구성하기 위해서 DHCP 구성을 가능케 하거나 192.168.1.1의 게이트웨이를 가지는 192.168.1.X 네트워크에서 주소를 수동으로 할당한다. 만일 여러분이 캐슁 DNS 서버(아래를 보라)를 구동하거나 DNS를 네트워크 제공자에 의해 할당된 주소로 돌린다면 DNS 서버는 둘 다 192.168.1.1이 되도록 한다. DNS 서버리눅스 박스를 캐싱 DNS 서버로 설정하는 것은 넷서핑 속도를 (조금) 향상시킬 것이다. 대개 사용되는 DNS 주소는 여러분의 네트워크 내부에서 캐쉬 되어지고 외부로부터 가져올 필요가 없기 때문이다. 만일 여러분이 완전한 기능을 갖춘 DNS에 관심이 있다면 복잡한 것들을 수많이 배워야 한다. DNS HOWTO가 이용 가능하고, DNS and BIND책은 좋은 (그리고 매우 이해력이 좋은) 참고 문서이다. 여러분의 클라이언트 장비들을 캐슁 서버로 이용하기 위하여 리눅스 게이트웨이를 그것들의 주 DNS 서버로 사용하도록 반드시 구성되어져야 한다. 섹션 3.2.2에서 보여진 DHCP 지시자는 이를 성취하는 한 가지 방법이다. 만일 여러분이 클라이언트 컴퓨터를 직접 손수 구성하고 있다면, 장비의 IP 주소를 지정하기 위해 사용한 동일한 콘트롤 탭으로 DNS 구성을 변경 가능하다. DNS 서버를 설치하기 위하여 먼저 설치됨에 따라, 캐슁 서버는 제대로 작동할 것이다. 그러나 만일 여러분이 인터넷 제공자의 DNS
서버의 IP 주소를 안다면,
forwarders { x.x.x.x; y.y.y.y; };
이 변경은 여러분의 DNS 서버가 주어진 주소의 검색에 있어 인터넷을 샅샅이 뒤지기 전에 우선적으로 ISP의 DNS 서버를 조회하도록 한다. ISP 서버는 종종 DNS 정보를 충분히 캐쉬 하고, 여러분의 서버가 할 수 있는 것보다 훨씬 빠른 응답을 제공한다.
여러분의 DNS 서버가 부트 시에 시작할 것인지 확인한다: 자, 이제 여러분은 DNS 서버를 시작할 수 있다: 내부 네트워크를 시험하기외부 네트워크를 구성할 때까지는 (인터넷 상에서 다른 DNS 서버와 연결되어야 하기 때문에)
DNS 서비스는 작동하지 않을 것이다. 그러나, 여러분의 클라이언트 컴퓨터 중 한 대에서 터미널 (MSDOS) 창을 열고,
3.3 외부 네트워크를 구성하기이제 기꺼이 외부 네트워크를 구성할 수 있다. 인터넷 제공자가 리눅스를 얼마나 제대로 지원하는지에 따라, 때때로 이것은 어려울 것이다. ADSL 이슈를 다소 자세히 취급하는 ADSL mini-HOWTO이 있다. 만일 내가 Cable Modem HOWTO를 찾을 수 있으면, 또한 그것을 링크로 만들겠다. 대부분의 외부 연결에 관한 주요 문제는 IP 주소를 얻는 것이다.
어떤 인터넷 제공자는 케이블 또는 ADSL 가입자한테 정적인 IP 주소를 나누어 준다.
그 경우에 구성은 쉽다. 하지만, 대부분의 제공자들은 DHCP를 통한 동적인 구성으로
바꾸었다. 이것은 여러분의 리눅스 컴퓨터가 여러분의 Additionally, many providers have taken to providing their services in specialized non-standard ways which assume their customers will be using Windows. Some of those cases will be discussed at the end of section 3.3.2. 게다가, 많은 제공자들은 그들의 고객들이 윈도우즈를 사용 중일 것이라고 가정하는 특수화된 표준이 아닌 방식으로 서비스를 제공하는 것에 따르고 있다. 그런 경우들의 몇 가지는 섹션 3.3.2의 끝 부분에서 논의될 것이다. 정적인 IP를 가진 경우만일 여러분의 인터넷 제공자가 여러분한테 정적인 IP 주소를 할당한다면 여러분은
유리한 처지에 있다. 먼저, 새로운 인터페이스 구성 파일을 생성하고,
DEVICE=eth0 IPADDR=x.x.x.x NETMASK=y.y.y.y ONBOOT=yes 여러분의 인터넷 제공자에 의해 주어진 값으로 x.x.x.x와 y.y.y.y를 채우기만 한다.
이제
search provider_domain_here nameserver n.n.n.n nameserver m.m.m.m provider_domain은 인터넷 제공자에 의해 공급되어야 한다. 또한, 주 DNS 서버와
보조 DNS 서버를 n.n.n.n과 m.m.m.m 행에 입력한다. 만일 여러분이 리눅스 박스를
DNS 서버로 설정하였다면 다른 네임서버 기입사항 이전에 하나의 행을 추가한다:
DHCP를 사용하는 경우만일 인터넷 제공자가 DHCP 구성을 사용한다면, 새로운 인터페이스 구성 파일을
생성하고,
DEVICE=eth0 BOOTPROTO=dhcp ONBOOT=yes 이제 dhcpcd 클라이언트 데몬이 여러분의 시스템에 설치되었는지 확인한다.
리눅스 CD로 가서 여러분의 새로운 네트워크 구성을 시험할 때이다. 기발함과 예외들여러분의 상황은 위에서 기술된 매우 간단한 상황과는 다를지 모른다. 여기에 가지각색의 차이에 관한 몇 가지 간결한 견해와 좀 더 믿을만한 자원이 있다. 링크와 이 섹션을 추가하도록 자극을 제공한 데 대해 John Mellor한테 감사한다. 이더넷 상에서 PPP (PPPoE)다수의 ADSL 제공자들(예를 들어, Bell Atlantic)은 새로운 고객은 " PPP over Ethernet" 프로토콜 (PPPoE)을 사용하여 서비스에 연결하여야 한다고 강조하고 있다. 이 목적을 위해 그들은 윈도우즈 클라이언트 프로그램을 제공하지만, 리눅스 사용자들한테는 그다지 유용하지 못하다. 다행스럽게도, PPoE는 간단한 프로토콜이고, 리눅스 하에서도 지원하기 위해 다수의 노력이 진행 중에 있다.
바보같은 DHCP 트릭네트워크 제공자가 행하는, 특히 좋아하는 트릭들 중 하나는 여러분의 서비스를 고유한 호스트 명칭, 또는 심지어 고유한 네트워크 카드에 연관시키는 것이다. 이것은 허브를 사용하여 여러 대의 컴퓨터가 여러분의 이더넷 포트 내로 꽂는 것으로부터 여러분을 그럴 듯하게 보호한다. (물론, 여러분은 리눅스와 매스커레이딩을 사용함으로써 더 나은 보안을 가지는 동일한 효과를 얻게 될 것이고 케이블 회사는 어떤 방법으로도 알지 못한다!) 만일 제공자가 여러분한테 호스트 명칭을 부여하고 그들의 서비스를 사용하기 위해 여러분의 윈도우즈 박스를 그 명칭으로 설정할 것을 강조한다면, 여러분은 DHCP 서버로부터 주소를 요청할 때 여러분의 리눅스 박스가 그 호스트 명칭으로 전송하는지 확인하여야 할 것이다. 인터페이스 구성 파일에서 BOOTPROTO를 dhcp에 지정할 때 레드햇 DHCP 클라이언트가
호출된다. 그러나 호스트 명칭에 참조하지 않고 호출된다. 호스트 명칭을 사용하여 프로그램을
호출하기 위해서, 레드햇 6.1에서,
이를 판독하려면:
이것은 레드햇 변종의 어떤 것에서는 작동하지 않을 지도 모른다. 만일 작동하지 않으면,
Road RunnerRoad Runner 케이블 서비스는 서버가 사용될 수 있기 전에 반드시 실행되어야 하는 특수한 로그인 처리를 가진다. 다행스럽게도, 상세한 Linux Road Runner HOWTO가 이용 가능하다. 네트워크 엔트리를 보기이제 여러분의 작품에 감탄할지 모르겠다. 모든 구성된 장치를 보기 위해
eth0 Link encap:Ethernet HWaddr 00:60:67:4A:02:0A
inet addr:24.65.182.43 Bcast:24.65.182.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:487167 errors:0 dropped:0 overruns:0 frame:0
TX packets:467064 errors:0 dropped:0 overruns:0 carrier:0
collisions:89 txqueuelen:100
Interrupt:10 Base address:0xe400
eth1 Link encap:Ethernet HWaddr 00:80:C8:D3:30:2C
inet addr:192.168.1.1 Bcast:192.168.1.255 Mask:255.255.255.0
UP BROADCAST RUNNING MULTICAST MTU:1500 Metric:1
RX packets:284112 errors:0 dropped:0 overruns:0 frame:1
TX packets:311533 errors:0 dropped:0 overruns:0 carrier:0
collisions:37938 txqueuelen:100
Interrupt:5 Base address:0xe800
lo Link encap:Local Loopback
inet addr:127.0.0.1 Mask:255.0.0.0
UP LOOPBACK RUNNING MTU:3924 Metric:1
RX packets:12598 errors:0 dropped:0 overruns:0 frame:0
TX packets:12598 errors:0 dropped:0 overruns:0 carrier:0
collisions:0 txqueuelen:0
Kernel IP routing table Destination Gateway Genmask Flags Metric Ref Use Iface 255.255.255.255 * 255.255.255.255 UH 0 0 0 eth1 192.168.1.0 * 255.255.255.0 U 0 0 0 eth1 24.65.182.0 * 255.255.255.0 U 0 0 0 eth0 127.0.0.0 * 255.0.0.0 U 0 0 0 lo default 24.65.182.1 0.0.0.0 UG 0 0 0 eth0 여기서 외부 네트워크가 설정된 것을, 내부 네트워크가 설정된 것을, 로컬 장치가 설정된 것을, 특정한 255.255.255.255 브로드캐스트 주소가 설정된 것을, 기본 라우터가 인터넷 제공자 게이트웨이를 가리키도록 설정된 것을 볼 수 있다. 완벽하다! 이제 여러분은 외부 네트워크와 내부 네트워크를 가진다. 남은 전부는 둘 사이를 개통하는 것이다. 그렇지만, 먼저 어떤 괴물도 외부로부터 들어올 수 없어야 한다는 것을 확인한다. 3.4 보안ADSL 또는 케이블을 경유해 인터넷에 영구적으로 연결되는 것의 결점 중의 하나는 여러분의 컴퓨터가 일 주일 7 일간, 하루 24 시간 내내 잠재적인 보안 위협에 노출되어 있다는 것이다. 리눅스를 게이트웨이로 사용하는 것은 모든 다른 컴퓨터를 감추기 때문에 위험을 감소시킨다. 그 밖의 인터넷에 관한 한, 단지 여러분의 리눅스 박스만이 연결을 위해 사용 가능하다. 그래서, 이 시점에서, 여러분의 박스를 보다 더 안전하게 만들기 위한 기본적인 팁을 두 서너 개 알려 줄 것이다. 먼저, 모든 나쁜 놈들을 차단할 필요가 있다. 이것을 하기 위해
# # hosts.deny This file describes the names of the hosts which are # *not* allowed to use the local INET services, as decided # by the '/usr/sbin/tcpd' server. # # The portmap line is redundant, but it is left to remind you that # the new secure portmap uses hosts.deny and hosts.allow. In particular # you should know that NFS uses portmap! ALL: ALL 이것은 -- 들어오는 연결의 95%를 제어하는 -- "TCP wrappers"한테
모든 호스트로부터의 모든 연결을 거부하도록 알린다. 그것은 매우 훌륭한 규칙이다!
그러나 그것은 여러분이 내부의 가정용 네트워크로부터 리눅스 박스에 연결되는 것도
역시 막게 될 것이다. 이는 곤혹스럽다. 그래서, 한 가지 예외를 만들 것이다.
# # hosts.allow This file describes the names of the hosts which are # allowed to use the local INET services, as decided # by the '/usr/sbin/tcpd' server. # ALL: 127.0.0.1 ALL: 192.168.1. This tells the "TCP wrappers" that they can allow connections to all services from the local device (127.0.0.1) and from your home network (192.168.1.). 이것은 "TCP wrappers"한테 로컬 장치(127.0.0.1)로부터 그리고 여러분의 가정용 네트워크(192.168.1.)로부터 모든 서비스에 연결을 허용할 수 있다는 것을 알린다. 강력한 맹꽁이 자물쇠를 사용하여 여러분은 이제 외부의 괴물을 막았다. 만일 여러분이 가로 빗장과 경보 시스템을 갖추기를 원한다면, 훨씬 더 많은 지식이 있어야 할 것이다. 만일 여러분이 안전한 리눅스 박스에 대해 더 많이 배우기를 원하면 Security HOWTO는 시작하기에 좋은 곳이다. 4. 매스커레이딩을 구성하기예비 단계는 지났다. 여기가 마술이 시작되는 곳이다. IP 매스커레이딩은 리눅스가 제공하는 참으로 마술과 같은 서비스의 하나이다. 동일한 것을 하는 윈도우즈를 위한 상품이 있지만, 도저히 효율적이지 않다: 오래된 386은 명확하게 IP 매스커레이딩 서비스를 전체적으로 중간 정도의 크기를 갖는 사무실에 제공한다. 그러나, 애드온(add on) 매스커레이딩 패키지는 말할 것도 없고, 윈도우즈 95를 실행조차 하지 못한다. (부록 삼아, 몇 가지 최근의 평가기사에서, 나는 윈도우즈 2000이 애드온 소프트웨어가 없이도 "연결 공유"를 지원할 것이라고 읽었다. 연결 공유 소프트웨어를 판매한 회사들이 마이크로소프트 사에 의해 "에워 싸이고 확장되는" 것처럼 보인다. 그렇지만, 나는 386 상에서 윈도우즈 2000 솔루션을 시도할 것을 추천하지 않겠다.) 리눅스는 대단히 기능이 풍부한 방화벽 능력을 가진다. 가장 간단하고 가장 조잡한 가능성 있는 방법으로 그것을 사용하게 될 것이다. 만일 여러분이 숙련자와 같은 방화벽을 구축하는 방법을 배우고 싶다면 이론의 이해를 위해 Firewalling HOWTO를, 리눅스 2.2.X(그리고 확장에 의해 레드햇 6.X)와 함께 선적되는 새로운 ipchains 방화벽 구축 도구에 관한 명령을 위해 IPChains HOWTO를 둘 다 모두 읽어야 한다. 또한 매스커레이딩에 관해 더 자세한 내용을 가지는 매우 훌륭한 IP Masquerading HOWTO를 이용 가능하다. 일단 여러분의 내부 및 외부 네트워킹이 사용 가능하다면, 간단한 매스커레이딩을 구성하는 것은
매우 매우 쉽다.
# 1) Flush the rule tables. /sbin/ipchains -F input /sbin/ipchains -F forward /sbin/ipchains -F output # 2) Set the MASQ timings and allow packets in for DHCP configuration. /sbin/ipchains -M -S 7200 10 60 /sbin/ipchains -A input -j ACCEPT -i eth0 -s 0/0 68 -d 0/0 67 -p udp # 3) Deny all forwarding packets except those from local network. # Masquerage those. /sbin/ipchains -P forward DENY /sbin/ipchains -A forward -s 192.168.1.0/24 -j MASQ # 4) Load forwarding modules for special services. /sbin/modprobe ip_masq_ftp /sbin/modprobe ip_masq_raudio 마지막 두 행은 FTP와 RealAudio를 허용하는 커널 모듈이 내부 네트워크 상의 컴퓨터를 위해 작동하도록 추가한다. 만일 여러분이 필요하다면, 첨가 가능한 특정한 서비스를 위한 다른 모듈들이 있다:
이제 매스커레이딩을 시도한다. 5. Problems 문제점이와 같은 간단한 문서를 사용하여 잘못 될 수 있는 것들이 무수히 많이 있다. 특수한 경우가 많기 때문이다. 가능성 있는 문제점의 대다수가 내부 및 외부 네트워크 장치의 구성에 원인을 두고 있다. 내가 시도하고 문제점을 가진 사람들한테 응답할 것이다. 무엇이 잘못 되었는지 알아 내고, 특수한 경우의 문제점을 가진 사람들이 도움을 자세히 찾아낼 수 있도록 하기 위하여 이 아래에 링크를 추가할 것이다. pramsey@refractions.net로 나와 연락하는 것을 편하게 여겨라. 5.1 ICQ가 작동하지 않는다ICQ의 어떤 부분은 매스커레이딩 상에서 제대로 작동한다. 다른 부분은 전혀 작동하지 않는다.
그렇지만, 매스커레이딩 상에서 ICQ를 실행하는 데 부족한 어떤 (그러나 전체가 아닌) 것을 맡아 주는
개발 중인
beta quality ICQ module이 있다.
소스 코드 배포 파일에 포함된 README 파일은 모듈을 컴파일 하는 방법을 기술한다.
일단 여러분이 컴파일 하고 설치하였다면, 5.2 레드햇 6.X가 아닌 칼데라 2.X를 가지고 있다.알아 두어야 하는 몇 가지 중요한 변경 사항이 있다:
5.3 내부 장비 중의 한 대가 웹 서버가 되기를 바란다식은 죽 먹기와 같다! 그렇지만, 이렇게 쉬운 안내로 작동하기 위해서는 여러분은 정적인 IP 주소를 가져야 할 필요가 있다. 만일 여러분이 동적인 주소를 가진다면, 주소가 변경될 때 여러분의 IP 주소가 포트 전달 명령으로 갱신되어지는 것을 보장하도록 몇 가지 추가적인 스크립트를 조작할 필요가 있다. 명심하라, 외부 포트를 내부 장비로 전달하는 것은 여러분의 "내부" 장비를 이전보다
덜 "내부"적으로 만든다는 것을. 그러나 매우 명백하게 받아 들여질 수 있고, 거의 없거나
아예 없는 성능 degredation을 마치게 된다. 리눅스 커널에 있는 IP 매스커레이딩 코드의
부작용의 하나는 네트워크 레이어(network layer)에 당도할 때 패킷을 사용하여 몇 가지
상당히 재미있는 일을 하는 능력이다. 몇 가지 이유 때문에 일단 여러분이 RPM을 가지고, 설치하라. 그 다음에
/usr/sbin/ipmasqadm portfw -f /usr/sbin/ipmasqadm portfw -a -P tcp -L x.x.x.x 80 -R 192.168.1.x 80 첫 번째 명령은 포트 전달 규칙을 강제로 내보내고, 두 번째 명령은 외부 인터페이스 상의 포트 80으로부터 내부 장비 상의 포트 80으로 전달을 추가한다. 외부의 정적인 IP 주소는 x.x.x.x 자리에 들어 가고, 내부 장비 IP 주소는 192.168.1.x 자리에 들어간다. 이제 포트 80을 위한 외부의 요청은 명백하게 내부 장비의 포트 80으로 보내어질 것이다. 여러분은 내부 장비 중 한 대로부터 여러분의 게이트웨이의 포트 80에 텔넷을 하거나 연결하는 것으로는 이것을 시험하지 못한다는 것을 주의하라: 포트 전달자는 외부 인터페이스에서 들어오는 요청을 그저 이행할 뿐이다. |
To laugh at men of sense is the privilege of fools.    
|
