网络技巧：GNOME 与您

通常，您配置为充当网络设备或服务器的任何计算机都不应运行 X Window 系统，这出于性能和安全方面的考虑。但是，如果出于某种原因（例如测试），您想在 Ubuntu 10.04 Desktop（或任何其他基于 GNOME 的发行版）上设置桥接，则需要注意一些事项。

传统上，Ubuntu 和其他 Debian 衍生发行版将网络接口配置存储在文件 /etc/network/interfaces 中。但是，GNOME 的网络管理器系统会自动配置该文件中未明确描述的任何接口。

从理论上讲，这应该意味着如果您在 /etc/network/interfaces 中指定接口和桥接配置，则无需担心网络管理器覆盖或以其他方式与这些设置冲突。但在实践中，至少在我自己在 Ubuntu 10.04 上的经验中，如果您想在 /etc/network/interfaces 中设置持久桥接设置，最好禁用网络管理器，方法是在“系统”→“首选项”→“启动应用程序”小程序中禁用。

要完全禁用网络管理器，您还需要打开“系统”→“首选项”→“网络连接”控制面板，并删除“有线”选项卡下的所有连接配置文件。即使网络管理器作为启动服务被禁用，Ubuntu 也会读取此控制面板设置的网络配置信息，从而导致与 /etc/network/interfaces 发生奇怪的交互。

在我的测试系统中，即使在禁用网络管理器服务、按照清单 1 所示设置 /etc/network/interfaces 以及停止并重新启动 /etc/init.d/networking 之后，eth2 仍然在我的路由表中显示，并且具有与 br0 相同的 IP 地址，即使 br0 应该是唯一具有 任何 IP 地址（更不用说路由）的接口。清除网络连接中 eth2 的条目并再次重新启动网络解决了问题。

要终止正在运行的网络管理器进程，请首先使用以下命令找到其进程 ID：ps auxw |grep nm-applet然后，执行sudo kill -9 [PID]（当然，将 [PID] 替换为进程 ID）以关闭网络管理器。这是通过编辑 /etc/network/interfaces 手动配置网络的好时机（sudo vi /etc/network/interfaces）。最后，通过输入以下命令重新启动网络：sudo /etc/init.d/networking restart.

清单 1. /etc/network/interfaces

auto lo
iface lo inet loopback
address 127.0.0.1
netmask 255.0.0.0

auto br0
iface br0 inet static
  address 10.0.0.253
  netmask 255.255.255.0
  pre-up ifconfig eth1 down
  pre-up ifconfig eth2 down
  pre-up brctl addbr br0
  pre-up brctl addif br0 eth1
  pre-up brctl addif br0 eth2
  pre-up ifconfig eth1 0.0.0.0
  pre-up ifconfig eth2 0.0.0.0
  post-down ifconfig eth1 down
  post-down ifconfig eth2 down
  post-down ifconfig br0 down
  post-down brctl delif br0 eth1
  post-down brctl delif br0 eth2
  post-down brctl delbr br0

清单 2. 自定义 iptables 启动脚本

#! /bin/sh
### BEGIN INIT INFO
# Provides:          iptables_custom
# Required-Start:    $networking
# Required-Stop:
# Default-Start:
# Default-Stop:      0 6
# Short-Description: Custom bridged iptables rules
### END INIT INFO

PATH=/sbin:/bin
IPTABLES=/sbin/iptables
LOCALIP=10.0.0.253
LOCALLAN=10.0.0.0/24
WEBPROXY=10.0.0.111

. /lib/lsb/init-functions

do_start () {
      log_action_msg "Loading custom bridged iptables rules"

      # Flush active rules, custom tables
      $IPTABLES --flush
      $IPTABLES --delete-chain

      # Set default-deny policies for all three default tables
      $IPTABLES -P INPUT DROP
      $IPTABLES -P FORWARD DROP
      $IPTABLES -P OUTPUT DROP

      # Don't restrict loopback (local process intercommunication)
      $IPTABLES -A INPUT -i lo -j ACCEPT
      $IPTABLES -A OUTPUT -o lo -j ACCEPT

      # Block attempts at spoofed loopback traffic
      $IPTABLES -A INPUT -s $LOCALIP -j DROP

      # pass DHCP queries and responses
      $IPTABLES -A FORWARD -p udp --sport 68 --dport 67 -j ACCEPT
      $IPTABLES -A FORWARD -p udp --sport 67 --dport 68 -j ACCEPT

      # Allow SSH to firewall from the local LAN
      $IPTABLES -A INPUT -p tcp -s $LOCALLAN --dport 22 -j ACCEPT
      $IPTABLES -A OUTPUT -p tcp --sport 22 -j ACCEPT

      # pass HTTP and HTTPS traffic only to/from the web proxy
      $IPTABLES -A FORWARD -p tcp -s $WEBPROXY --dport 80 -j ACCEPT
      $IPTABLES -A FORWARD -p tcp --sport 80 -d $WEBPROXY -j ACCEPT
      $IPTABLES -A FORWARD -p tcp -s $WEBPROXY --dport 443 -j ACCEPT
      $IPTABLES -A FORWARD -p tcp --sport 443 -d $WEBPROXY -j ACCEPT

      # pass DNS queries and their replies
      $IPTABLES -A FORWARD -p udp -s $LOCALLAN --dport 53 -j ACCEPT
      $IPTABLES -A FORWARD -p tcp -s $LOCALLAN --dport 53 -j ACCEPT
      $IPTABLES -A FORWARD -p udp --sport 53 -d $LOCALLAN -j ACCEPT
      $IPTABLES -A FORWARD -p tcp --sport 53 -d $LOCALLAN -j ACCEPT

      # cleanup-rules
      $IPTABLES -A INPUT -j LOG --log-prefix "Dropped by default 
       ↪(INPUT):"
      $IPTABLES -A INPUT -j DROP
      $IPTABLES -A OUTPUT -j LOG --log-prefix "Dropped by default 
       ↪(OUTPUT):"
      $IPTABLES -A OUTPUT -j DROP
      $IPTABLES -A FORWARD -j LOG --log-prefix "Dropped by default 
       ↪(FORWARD):"
      $IPTABLES -A FORWARD -j DROP
}

do_unload () {
      $IPTABLES --flush
      $IPTABLES -P INPUT ACCEPT
      $IPTABLES -P FORWARD ACCEPT
      $IPTABLES -P OUTPUT ACCEPT
}

case "$1" in
  start)
        do_start
        ;;
  restart|reload|force-reload)
        echo "Reloading bridging iptables rules"
        do_unload
        do_start
        ;;
  stop)
        echo "DANGER: Unloading firewall's Packet Filters!"
        do_unload
        ;;
  *)
        echo "Usage: $0 start|stop|restart" >&2
        exit 3
        ;;
esac

• 本地 LAN 上的主机可以通过防火墙发送 DHCP 请求并接收其回复。

• 本地 LAN 上的主机可以使用安全 Shell 连接到防火墙。

• 只有本地 Web 代理可以发送 HTTP/HTTPS 请求并接收其回复。

• 本地 LAN 上的主机可以通过防火墙发送 DNS 请求并接收其回复。

清单 3. iptables_custom 的 Upstart 配置文件

# iptables_custom

description	"iptables_custom"
author		"Mick Bauer <mick@wiremonkeys.org>"

start on (starting network-interface
	  or starting network-manager
	  or starting networking)

stop on runlevel [!023456]

console output

pre-start exec /etc/init.d/iptables_custom start
post-stop exec /etc/init.d/iptables_custom stop

资源

Peter de Jong 的 upstart init 系统的 iptables 脚本可在 4pdj.nl/2010/01/11/custom-firewall-under-ubuntu-karmic-koala-with-upstart 找到。

另请参阅我的书：Bauer, Michael D. Linux 服务器安全，第二版。 Sebastopol, California: O'Reilly Media, 2005 年。第 3 章详细解释了 iptables，附录 A 包含两个完整的 iptables 脚本。尽管重点是“本地”（“个人”）防火墙，而不是 Internet 或 LAN 防火墙，但这些材料仍然应该对 iptables 初学者有所帮助。