如同建築物中的防火牆試著要防止火勢蔓延,電腦的防火牆也要試著防止電腦受到電腦病毒的入侵以及阻止未經授權的使用者存取您的電腦。 防火牆介於您的電腦與網路之間,它決定網路上的遠端使用者可以存取您電腦中的那些服務。 一個妥善設定的防火牆可以大大地增加系統的安全性。 在此建議您為任何擁有網際網路連線的 Red Hat Enterprise Linux 系統設定一個防火牆。
在 Red Hat Enterprise Linux 安裝過程中的 『防火牆設定』 畫面,您可以選擇啟用一個基本的防火牆,以及允許特定的裝置、外來的服務以及連接埠等。
在安裝完成後,您可以使用 安全等級設定工具 來變更系統的安全等級。
如要啟動該應用程式,請選擇面板上的 『主選單按鈕』 => 『系統設定』 => 『安全等級』,或在 shell 提示符號下(如 XTerm 或 GNOME 終端機)輸入 redhat-config-securitylevel 指令。
![]() | 請注意 |
---|---|
安全等級設定工具 只設定一個基本的防火牆,假如系統需要 允許或拒絕特定連接埠的存取或者是系統需要更複雜的規則,請參考 Red Hat Enterprise Linux 參考手冊 以取得關於設定特定 iptables 規則的詳細資訊。 |
請選取下列的其中一種選項:
停用防火牆 — 停用防火牆的設定提供了完全存取您的系統, 而且不做任何的安全性檢驗。 安全性檢驗就是用來停止存取某些服務。 如果您的系統在 一個信任的網路環境內(非網際網路),或打算往後再設定防火牆,您才應該選擇這個選項。
![]() | 警告 |
---|---|
假如您有設定一個防火牆,或在 /etc/sysconfig/iptables 檔案中有任何的防火牆規則,而您選取 『停用防火牆』,再點選 完成 來儲存變更,該檔案將會被刪除。 |
『啟用防火牆』 — 這個選項將設定系統拒絕對於內部要求 沒有回應的外來連線,例如 DNS 回應或 DHCP 要求。 假如需要存取在這部機器執行的服 務,您可以選擇允許特定的服務通過防火牆。
假如您連線您的系統到網際網路,但不打算執行一個伺服器,這是一個最安全的選擇。
選取任何的 『信任裝置』 將允許從該裝置存取系統的所有流量;它將不受限於防火牆的規則。 如果您正在執行一個區域網路,不過是經由一個 PPP 撥號連接至網際網路,您可以選取 eth0,如此將會允許所有來自於區域網路的流量。 選取 eth0 當作信任裝置表示允許所有來自這個乙太網路的流量,而且將 ppp0 仍然放置在防火牆中。 如果您想限制某一介面的流量,請讓它保持沒有選取的狀態。
在此不建議您設定任何連線至公開網路(例如網際網路)的裝置為一個 『信任裝置』。
藉由啟用 『信任服務』 清單中的選項將會允許所指定的服務通過防火牆。
HTTP 通訊協定是由 Apache (以及其他的網頁伺服器)使用來伺服網頁。 如果您打算使您的網頁伺服器可公開存取,請啟用這個選項。 這個選項對於本機上瀏覽網頁或開發網頁並不需要。 如果您想要伺服網頁,您將需要安裝 httpd 套件。
啟用 WWW (HTTP) 不會開啟一個連接埠給 HTTPS(SSL 版本的 HTTP)。
FTP 通訊協定是用來在網路上的機器間傳輸檔案。 假如您打算讓您的 FTP 伺服器可公開存取,請啟用這個選項。 為了要使用這個選項,您必須安裝 vsftpd 套件。
Secure Shell (SSH) 是一套工具用來在遠端機器登入與執行指令。 如果您打算使用 SSH 工具通過防火牆來存取您的機器,請啟用這個選項。 為了要使用 SSH 工具遠端存取您的 電腦,您將需要安裝 openssh-server 套件。
Telnet 是一種用來登入遠端電腦的通訊協定。 Telnet 的連線是未加密的,並且不提供對於網路竊聽的安全性保護。 在此並不建議允許 Telnet 存取的流入。 如果您真的要允許流入 Telnet 的存取,您將需要安裝 telnet-server 套件。
如果您想允許流入的郵件傳送通過您的防火牆,使遠端的主機就可以直接連線至您的機器來傳送郵件,請啟用這個選項。 如果您是使用 POP3 或 IMAP 從您的 ISP 伺服器下載郵件或者是您使用一種工具,例如 fetchmail,您則不需要啟用這個選項。 請注意,一個錯誤設定的 SMTP 伺服器會允許遠端機器使用您的伺服器來傳送垃圾郵件。
點選 確定 來儲存變更並且啟用或停用防火牆,假如選取了 『啟用防火牆』,所選取的選項會轉譯為 iptables 指令,並且寫入到 /etc/sysconfig/iptables 檔案中。 iptables 服務也同時啟動,使得防火牆在儲存選取選項後立即啟動。 假如選取了 『停用防火牆』,將會移除 /etc/sysconfig/iptables 檔案,而且 iptables 服務也將立即停止。
所選取的選項也會寫入到 /etc/sysconfig/redhat-config-securitylevel 檔案,使得下次啟動應用程式時可以回復設定。 請勿手動編輯這個檔案。
即使防火牆已經立即啟動,iptables 服務並未設定為開機時自動啟動, 請參考 第 20.2 節 以取得詳細資訊。