多种方法管理Opensolais 防火墙 (100种管理方法)

【.com独家特稿】对于连接互联网上的 服务器 系统，不管是什么情况都要明确一点：网络是不安全的。因此，虽然创建一个防火墙并不能保证系统100％安全，但却是绝对必要的（王文文：去年底的时候甲骨文说要加大对OpenSolaris的投入，也不知道他们说话算不算数，不过我们到现在都没看见Opensolaris的新版本出来。即使他们说话不算数，Solaris以及Opensolaris强大的功能和久经考验的Unix特性都将继续影响技术人群）。

一、使用命令行管理Opensolais 防火墙

1.查看IPFilter包过滤防火墙运行情况

◆OpenSolaris上IPFilter 的启动和关闭是由 SMF 管理的, IP 过滤防火墙随操作系统一起安装。但是，缺省情况下已经启用包过滤。使用以下命令查看。

# svcs |grep ipf
4:36:28 svc:/network/ipfilter:default

2.查看网卡接口

# ifconfig -a
lo0: flags=2001000849mtu 8232 index 1inet 127.0.0.1 netmask ff000000
nfo0: flags=1100843mtu 1500 index 2inet 192.168.0.17 netmask ffffff00 broadcast 192.168.0.255ether 8:0:27:60:d7:88
lo0: flags=2002000849mtu 8252 index 1inet6 ::1/128

可以看到网卡接口是nfo0。

3 编辑一个防火墙规则

打开服务器22 端口允许ssh远程登录。系统管理员通常使用进行ssh远程登录，所以必须开放22端口。在IPFilter配置文件/etc/ipf/ipf.conf添加一行：

pass in log quick from any to any port = 22

IPFilter配置文件/etc/ipf/ipf.con 缺省情况下只有一些说明文件，没有任何规则。

4 启动服务

#svcadm refresh network/ipfilter

5. 重新引导计算机，使用命令：“reboot”

6.从客户端计算机测试

下面从一台和Opensorlaris连接的windows 计算机使用PuTTY工具进行ssh连接检测，如图-1。

图 -1从客户端计算机进行ssh操作 #p#

二、使用Webmin 管理防火墙

1 Webmin简介

大多数人在配置Unix的各种服务时都会感到头痛，因为Unix下的服务太多，而且每种服务看起来都不容易配置。熟悉Windows环境下配置网络服务的人对Unix下手工编写配置文件一般都很不习惯，在Unix下，可以安装一种可以通过浏览器对Unix服务器上的各项服务器进行配置的工具——Webmin。Webmin是一款优秀的远程Unix/Linix服务器的管理软件，通过控制面版(支持各种语言，包括简体中文)，它可以让用户轻松地配置Unix下的各种服务器，甚至可以远程配置目前Unix上运行的所有服务，默认端口是10000，支持SSL加密。它还可以让用户使用远端电脑上的浏览器，直接修改服务器里的使用者帐号、Apache、DNS和文件分享等设定。Webmin的管理工作是通过Web页面的方式来实现的，所有操作简单而且直观，非常适合初学者。Webmin目录下的 os_list.txt列出了当前Webmin 支持的UNIX系统。

相对于其他GUI管理工具而言，Webmin具有如下显著优点

◆Web管理方式使得Webmin同时具有本地和远程管理的能力； 

◆插件式结构使得Webmin具有很强的扩展性和伸缩性。目前Webmin提供的标准管理模块几乎涵盖了常见的Unix管理，而且第三方的管理模块也被不断地被开发出来； 

◆访问控制和SSL支持为远程管理提供了足够的安全性； 

◆国际化支持，提供多国语言版本

除了管理Unix系统外，Webmin还提供了管理Webmin本身的模块。对Webmin本身的管理主要包括：

◆模块管理：这一部分包括插入一个模块、删除一个模块、复制一个模块和重新设置模块所在的类别等。另外Webmin还提供了直接从Internet上升级的功能。 

◆界面风格管理：Webmin提供多种界面风格，0.91版中提供了KDE和Caldera两种界面风格。Webmin的界面风格实际上也是一个模块，你可以插入一个新的界面风格。除此之外，你还可以修改Webmin的一些界面参数，如页面背景颜色、表格背景颜色等。 ◆国际化支持：Webmin的一个很大特色是提供多国语言支持。目前Webmin支持的语言有：英、法、德、意、中、日、韩等语言。 

◆Webmin服务器群：Webmin还提供了发现和管理多个Webmin服务器的功能，这为同时管理多台UNIX服务器提供了极大的便利。 

◆活动日志：Webmin的活动日志主要用于审计系统的管理活动。

2 下载配置Webmin

◆使用IPS方式安装Webmin

◆使用脚本初始化Webmin

◆修改Webmin用户配置配置文件添加一个登录用户cjh

#gedit /etc/webmin/miniserv.users

◆修改Webmin访问控制文件/etc/webmin/webmin.acl

添加用户如下：

cjh: acl adsl-client apache at backup-config
bandwidth bind8 bsdexports burner cfengine change-user
cluster-copy cluster-cron cluster-passwd cluster-shell
cluster-software cluster-useradmin cluster-usermin
cluster-webmin cpan cron custom dfsadmin dnsadmin dovecot
exports fdisk fetchmail file filter firewall format frox
fsdump grub heartbeat hpuxexports htaccess-htpasswd idmapd
inetd init inittab ipfilter ipfw ipsec jabber krb5 ldap-client
lilo lpadmin lvm mailboxes mailcap majordomo man mon mount mySQL
net nis openslp pam passwd phpini postfix postgresql ppp-client
pptp-client pptp-server procmail proc proFTPd pserver qmailadmin
quota raid rbac samba sarg sendmail sentry servers sgiexports shell
shorewall smart-status smf software spam squid sshd status stunnel
syslog syslog-ng telnet time tunnel updown useradmin usermin vgetty webalizer
webminlog webmin wuftpd xinetd zones

◆重新启动Webmin服务

#svcadm restart webmin

◆使用webmin

在本地或其他相连主机的浏览器中输入主机名(或主机IP地址)及端口号，这里我们

输入，系统将打开Webmin的登录界面如图-2。

图-2 Webmin的登录界面

在Webmin的登录界面中，输入用户名(admin)和密码，单击Login按钮，系统将进入Webmin的主界面。

3初始化防火墙配置

打开Webmin网址选择网络配置下的“IPFilter Firewall”的“Reset Firewall”按钮进入防火墙初始化界面如图-3。

图-3 防火墙初始化界面

◆用Webmin配置防火墙和NAT服务，本质上是编辑和操作/etc/ipf/ipf.conf和/etc/ipf/ipnat.conf文件，所有配置结果都保存在以上两个文件。

Webmin 为防火墙预置了五种选择：

◆Allow all traffic

允许使用进出流量，相当于在/etc/ipf/ipf.conf 文件中只有两句：

pass out all

◆Do network address translation on external interface:

进行NAT 转换。

◆Block all incoming connections on external interface:

阻塞所有进入选定网卡的流量。相当于在/etc/ipf/ipf.conf 文件中有如下规则：

# Skip next rule for external interface
skip 1 in quick on e1000g0 all
# Allow all traffic on internal interface
pass in quick all keep state
# Accept responses to DNS queries
pass in quick proto udp from any to any port 1024 <> 1024 keep state
# Accept responses to our pings
pass in quick proto icmp all icmp-type echorep keep state
# Accept notifications of unreachable hosts
pass in quick proto icmp all icmp-type unreach keep state
# Accept notifications to reduce sending speed
pass in quick proto icmp all icmp-type squench keep state
# Accept notifications of lost packets
pass in quick proto icmp all icmp-type timex keep state
# Accept notifications of protocol problems
pass in quick proto icmp all icmp-type paramprob keep state
block in all
pass out all

◆Block all except SSH and IDENT on external interface:

阻塞所有进入选定网卡的流量。但是不包括SSH 和IDENT 连接。相当于在/etc/ipf/ipf.conf 文件中有如下规则：

# Skip next rule for external interface
skip 1 in quick on e1000g0 all
# Allow all traffic on internal interface
pass in quick all keep state
# Accept responses to DNS queries
pass in quick proto udp from any to any port 1024 <> 1024 keep state
# Accept responses to our pings
pass in quick proto icmp all icmp-type echorep keep state
# Accept notifications of unreachable hosts
pass in quick proto icmp all icmp-type unreach keep state
# Accept notifications to reduce sending speed
pass in quick proto icmp all icmp-type squench keep state
# Accept notifications of lost packets
pass in quick proto icmp all icmp-type timex keep state
# Accept notifications of protocol problems
pass in quick proto icmp all icmp-type paramprob keep state
# Allow connections to our SSH server
pass in quick proto tcp from any to any port = 22 keep state
# Allow connections to our IDENT server
pass in quick proto tcp from any to any port = 113 keep state
block in all
pass out all

◆Block all except SSH, IDENT, ping and high ports on interface:

阻塞所有进入选定网卡的流量。但是不包括SSH 和IDENT、ping 连接关闭1024 以上端口。

3 防火墙进阶配置

除了预置了五种选择，还可以在以上基础上进行进阶配置，以配置出更加符合每个人的实际需求的配置如图-4。

图-4 编辑防火墙规则

您可以在Rule comment 栏目直接输入防火墙配置规则进行进阶配置然后保存配置。

4 配置NAT

如果原来已经设置启用了中级或高级防火墙策略，那就必须注意在这里配置转发（Forwarded packets (FORWARD)）规则，允许NAT通信的有关协议、端口的流量由内向外通过，使NAT真正生效。配置界面如如图-5。

图-5 配置NAT

假如我们允许所有的通信通过，规则如下：

map e1000g0 192.168.0.11/24 -> 192.168.0.17/24

然后按“Save”按钮保存，再按“Apply Configuration”按钮，使规则即可生效。 #p#

三、使用GUI 工具管理防火墙

尽管IPFilter技术十分容易了解，并且对于在网络传输上设置具体的限制特别有用， —般而言，配置IPFilter防火墙存在一些缺点，因为防火墙配置涉及编写规则，常用规则语言的话法通常对于初学者（特别是Windows 初学者）难于理解，这样数据包过滤可能难于正确配置。当然如果您以前使用Freebsd 那么掌握IPFilter包过滤防火墙就非常简单了。

规则表很快会变得很大而且复杂，规则很难测试。随着表的增大和复杂性的增加，规则结构出现漏洞的可能 性也会增加。这种防火墙***的缺陷是它依赖一个单一的部件来保护系统。如果这个部件出现了问题，会使得网络大门敞开，而用户其至可能还不知道。在一般情况下，如果外部用户被允许访问内部主机，则它就可以访问内部网上的任何主机。包过滤防火墙只能阻止一种类型的IP欺骗，即外部主机伪装内部主机的IP，对于外部主机伪装外部主机的IP欺骗却不可能阻止，而且它不能防止DNS欺骗。虽然，包过滤防火墙有如上所述的缺点，但是在管理良好的小规模网络上，它能够正常的发挥其作用。一般情况下，人们不单独使用包过滤防火墙，而是将它和其他设备（如堡垒主机等）联合使用。事实上，如果读者们不是很熟悉IPFilter命令的使用方式，在这里介绍一个不错的图形管理程序，就是“System Firewall（系统防火墙）“ 。这是一个Opensolais 2010.03 发行版的一个新工具是Java 编写的。

System Firewall（系统防火墙）服务包括：

◆防火墙政策选择

◆默认设置防火墙策略

◆打开程序设置策略

◆对全系统防火墙策略设置覆盖

◆个性化服务的防火墙策略

System Firewall（系统防火墙）选项卡介绍:

1.系统的默认设置防火墙策略选项卡

如图-6

图-6 系统的默认设置防火墙策略

下面的操作支持默认选项卡：

◆启用基于主机的防火墙服务

◆设置全系统的政策，拒绝或允许来自特定主机，网络或接口访问。

◆添加一个主机，网络或接口的政策

◆编辑条目的政策

◆删除条目从政策

◆添加，编辑或删除异常的准入政策

◆选择不执行任何访问策略

◆选择使用自定义的策略文件

◆全系统所制定的政策在此选项卡可以更改为每个个性化服务的政策。

2 .打开程序设置选项卡

如图-7

图-7 打开程序设置选项卡

下面的操作支持打开程序设置选项卡：

◆从选项卡打开的程序，你可以：

◆使用添加按钮来定义一个端口，该端口的传输协议

◆选择编辑按钮更改端口或协议规范

◆使用删除按钮来删除一个端口

3.防火墙策略设置覆盖选项卡

如图-8 。

图-8 防火墙策略设置覆盖

系统政策中定义的替代选项卡。在覆盖政策不能改变一个人服务的政策。你可以选择：

◆强制执行安全政策

◆拒绝或允许来自特定主机，网络或接口访问。

◆添加一个主机，网络或接口的访问策略

◆编辑条目的访问策略

◆删除条目从准入政策

4.个性化服务的防火墙策略

如图-9 。

图-9 个性化服务的防火墙策略

从防火墙策略选择，你可以选择一个特定于服务的防火墙策略配置。这项服务的具体政策，采取了防火墙的默认全系统的政策优先，但不是全系统覆盖的政策。对于每个服务，您可以选择：

◆使用默认全系统准入政策> 

◆拒绝或允许来自特定主机，网络或接口访问。在选定的服务，特别是你可以：

◆添加一个主机，网络或接口的访问策略

◆编辑条目的访问策略

◆删除条目从准入政策

◆添加，编辑或删除异常的准入政策

◆选择不强制执行安全政策

5 更改用户

所有面板让您为不同的用户或角色的变化。若要使用不同的用户，请单击窗口顶部的右上角的锁图标，旁边的用户名。在出现的对话框提示您输入用户名和密码。如果你想使用一个角色，要提供角色名称和角色密码（用户名和已被授予这一作用还必须提供帐户密码）。如图-10 。

图-10更改用户

【编辑推荐】

怎样才能最好的维护好自己的电脑少种病毒

由于计算机病毒的传播方式多种多样，又通常具有一定的隐蔽性，因此，首先应提高全民对计算机病毒的防范意识，在计算机的使用过程中应注意下几点：（1）尽量不使用盗版或来历不明的软件。 （2）备份硬盘引区和主引导扇区数据，经常对重要的数据进行备份。 （3）养成经常用杀毒软件检查硬盘和每一张外来盘的良好习惯。 （4）杀毒软件应定期升级，一般间隔时间最好不超过一个月。 （5）安装了实时监控防病毒软件，当然这也不是一劳永逸的方法，防病毒软件不一定对所有的病毒都有效，而且病毒的更新速度也很快。 （6）随时注意计算机的各种异常现象，一旦发现，应立即用杀毒软件仔细检查。 杀毒软件是预防病毒感染的有效工具，应尽量配备多套杀毒软件，因为每个杀毒软件都有各自的特点。 （7）有些病毒的传播途径主要是通过电子邮件，被称为“邮件病毒”。 它们一般是通过邮件中“附件”夹带的方法进行扩散，你运行了该附件中的病毒程序，就使你的计算机染毒。 所以，不要轻易打开陌生人来信中的附件文件。 下面的都是完美破解版或免费版的，注意要及时升级杀毒软件的病毒库，最好在安全模式下杀毒，重启电脑时，按住F8就进入电脑的安全模式了瑞星杀毒软件2008版（内附序列号）是基于新一代虚拟机脱壳引擎、采用三层主动防御策略开发的新一代信息安全产品。 瑞星个人防火墙 2008 20.23.00附瑞星2008 20.23.40 增量包,简体中文标准版。 瑞星升级保姆 2.30e For2007本软件只是躲过ID验证，直接启动瑞星的升级程序,所有病毒库数据都是直接读取瑞星官方的，跟官方一秒不差。 。 这个软件会被瑞星当病毒查杀，其中原因你自己想想是为什么了瑞星升级宝宝 For瑞星2008 101a可以免ID无限次升级杀毒和防火墙,简体中文绿色免费版QQ医生 V1.5.6.201.0 是腾讯公司发布的针对QQ帐号密码被盗问题所提供的一款盗号木马查杀工具。 卡巴斯基(Kaspersky) KAV 7.0.1.321 MP1.附带可用KEY,麦田守望者汉化特别版卡巴斯基KIS V8.0.0.99 Beta全中文安装、支持中英文切换,麦田守望者汉化版。 木马克星2007 build 1230.反黑客杀木马工具，可以查杀8122种国际木马，1053种密码偷窃木马.病毒库更新至 安全卫士3.7.0.1005(1.0.1.1576). 拥有查杀流行木马、清理恶评及系统插件，管理应用软件，系统实时保护，修复系统漏洞等.木马杀客2007 V18.18.34简体中文绿色免费版 全新一代的木马杀客，能有效查杀最新流行的QQ木马、网络游戏木马、网页木马等。 NOD32国外很权威的防病毒软件评测给了NOD32很高的分数。 杀马(Defendio) V4.24.0.920. 添加了对大量新威胁的查杀,可快速杀除木马软件,简体中文绿色免费版。 USBkill U盘防火墙 V8.5.可强力清除病毒和设备安全移除,简体中文绿色免费版恶意软件清理助手 V2.77 Build 015用于清理流氓软件，清理引擎已更新至2.65，带广告简体绿色版专杀增强版 V2.10 采用自创的查杀分析引擎查杀,简体中文绿色免费版天网防火墙个人版 V3.0.0.1013已附带破解和最新规则数据包,破解版。 下载地址：╃安全软件区╃

如何用Python分析一篇文章的关键词？有什么相关的库或算法？

应该用Python的正则表达式模块re示例：# rewith open(,r) as txt: f = () print (正则表达式/关键词,f)#...具体可以多了解一下这个模块，查询有三种方法，一个是match匹配，也是比较常用的然后还有search和findall个人觉得这个人的正则表达式介绍文章还不错，推荐你参考：

重装系统后，上网安全防护，杀毒软件要安什么？最好是免费...

建议：①电脑安全在于“防”而不是“杀”②希望你能看一下我附带的——个人电脑安全防护策略

卡巴斯基单机版（Kaspersky Anti-Virus Personal）是俄罗斯著名数据安全厂商Kaspersky Labs专为我国个人用户度身定制的反病毒产品。 这款产品功能包括：病毒扫描、驻留后台的病毒防护程序、脚本病毒拦截器以及邮件检测程序，时刻监控一切病毒可能入侵的途径。 产品采用第二代启发式代码分析技术、iChecker实时监控技术和独特的脚本病毒拦截技术等多种最尖端的反病毒技术，能够有效查杀冲击波、Welchia、Sobig.F等病毒及其其他8万余种病毒并可防范未知病毒。 另外，该软件的界面简单、集中管理、提供多种定制方式，自动化程度高，而且几乎所有的功能都是在后台模式下运行，系统资源占有低。 最具特色的是该产品每天两次更新病毒代码，更新文件只有3-20Kb，对网络带宽的影响极其微小，能确保用户系统得到.最为安全的保护，是个人用户的首选反病毒产品. 瑞星对注册表的监控是不错，但是杀毒能力比较差32是全球排名第5的杀毒软件.杀毒功能强大，查杀速度快.占用资源少...另外，该软件的界面简单、集中管理、提供多种定制方式，自动化程度高，而且几乎所有的功能都是在后台模式下运行，系统资源占有低。 最具特色的是该产品每天两次更新病毒代码，更新文件只有3-20Kb，对网络带宽的影响极其微小，能确保用户系统得到最为安全的保护，是个人用户的首选反病毒产品下载

“买一赠一”：个人电脑安全防护策略（仅╯﹏╰逗你玩个人观点）

①杀（防）毒软件不可少 1、对待电脑病毒的关键不是“杀”，而是“防”； 2、软件要及时升级，要不就和没有安装一样（很重要）； 3、卡巴斯基（）免费杀毒软件。 4、系统安全漏洞不可不补！

②个人防火墙不可替代

③分类设置复杂密码

④防止网络 病毒 与 木马 和 间谍软件 1、不下载来路不明的软件及程序（不明邮件同样）； 2、应选择信誉较好的下载网站下载软件。

⑤警惕“网络钓鱼”

⑥补好个人电脑的漏洞（很重要）

⑦只在必要时共享文件夹 如果需要共享文件夹，则一定要将其设定为只读（很重要）。

⑧不要随意浏览黑客网站和非法网站 目前许多病毒、木马和间谍软件都来自于黑客网站和一些非法网站。

⑨定期备份重要文件和数据

⑩不可让U盘自动运行——这样能带动病毒自动运行（很重要）。..