构建Linux系统下U盘路由器、防火墙

作者: 曹江华 文章来源: 天极

TCP/IP协议是在Unix上发展起来的，并在Linux系统中得到了很好地继承，这使TCP/IP成为Linux系统不可分割的组成部分。因为Linux系统中TCP/IP栈的实现尤为成熟，Linux更是号称拥有业界最强的路由功能，加之其灵活、容易定制的优点，所以深受资深网管和高水平用户的青睐。用户都是通过网关连接到互联网。网关多数是专用的路由器和交换机。目前，Linux的通用性越来越强，经过适当地配置之后，它完全可以担当互联网的物理基石——路由器这一重要角色。互联网上的高水平开发者对Linux进行精简和定制后，推出了Linux软件coyote Linux（北美土狼）是一款非常小巧方便的软件路由器和防火墙软件，它以一张软盘为载体，可以使用一些古老的机器做为代理防火墙，而它的功能却很强大，本文简要介绍一些coyote Linux的安装及配置使用。

　　它可以仅通过一张软盘来运行，有效降低了对硬件资源的要求，并提高了工作效率。coyote Linux声称可以在486以上的PC机上顺畅运行，而且只需8MB以上的内存。它的用途和设计思路与嵌入式系统非常类似。和另外一个Linux路由器/防火墙软件——LRP相比，它们的工作原理基本一致，不同之处在于LRP的配置方法相对比较原始，每一步都需要命令行或修改配置文件来进行，而coyote Linux了交互式的选单向导配置程序，更易于操作。另外一个其中比较常见、配置简单的是BBIagent，但是现在已经不是免费的了，每台路由器的软件注册费为 36 美元。已经完全背离开源道路。

　　coyote Linux 官方网址：http://www.vortech.net/ 最新版本是2005年6月24日推出的2.24。主要功能：

　　1.支持静态IP地址连接方式，支持普通调制解调器拨号方式，支持PPPOE也就是ADSL的连接方式;

　　2. 程序内建DHCP服务器功能;

　　3. 防火墙，包括七层过滤；

　　4. IP自动转发，支持令牌回环，也就是俗称双通，能实现端口映射，将内部服务器发布出去。 5. 远程管理支持中文。

　　6. 可以设置为DNS服务器。

　　7. 可以配置为无线接入点或者打印服务器。

　　系统要求

　　作为路由器的计算机需要具有486以上的中央处理器、16MB以上的内存、软驱、连接局域网的网卡和连接互联网的网络设备，该设备可以是连接XDSL的网卡，也可以是线缆调制解调器（Cable Modem）或普通的调制解调器。支持以下网卡：

　　3com509 Modul:3c509
　　3com900 Modul:3c59x
　　Intel Ethernet Pro 100 Modul:eepro100
　　3com590 Modul:3c59x
　　RTL8139 Modul:8139cp eller8139too

　　下面详细介绍coyote Linux的安装及配置使用的步骤：

　　将安装coyote Linux软件的计算机加入局域网，如果是用ADSL/Cable调制解调器方式连接互联网，需要两块网卡，一块接入局域网，一块连接ADSL/Cables设备。笔者网络拓扑见图1。

图1 网络拓扑结构

步骤一：

　　软件下载安装：现在从http://www.coyotelinux.com/ 上可以下载到Linux版和Windows版的制作程序，为了体现开源精神我选择了Linux版本：

　　按照提示选择1。

　　步骤二：选择接入互联网方式

　　下面系统会自动工具检测到的网络设备，确定连接互联网所使用的协议类型。如果是安装了ADSL或线缆调制解调器，选择2;如果是专线选择1；如果是普通调制解调器拨号上网，则要使用3。以下操作是1为例。

　　步骤三：设置网络参数：

　　这个需要根据自己内部ip地址的分配情况进行设置。例如：如果内部网的ip是192.168.0.1/24，这里就要把ip设置成192.168.0.X。而其他的机子要将网关设置成这个地址。以上三个步骤选项见图2。

图2 相关配置选项

步骤四：选择是否把coyote Linux设置为dhcp服务器给其他的机器分配ip地址。可以根据自己的实际情况决定用还是不用。缺省设置是把它配置为dhcp服务器，IP分配地址：192.168.0.100－192.168.0.200。

　　步骤五：是否将coyote Linux构建“Demilitarized Zone”（DMZ）的区域。缺省设置是否。最简单的情况是直接将防火墙放置在外网和企业网络之间，所有流入企业网络的数据流量都将通过防火墙，使企业的所有客户机及服务器都处于防火墙的保护下。然而这种结构毕竟比较简单，企业中有许多服务器、客户机等资源需要保护，不同的资源对安全强度的要求也不同。不能用对待客户机的安全级别来对待服务器，这样服务器将会很危险；同样，也不能用对待服务器的安全级别来对待客户机，这样用户会感觉很不方便。针对不同资源提供不同安全级别的保护，可以考虑构建一个叫做“Demilitarized Zone”（DMZ）的区域。DMZ可以理解为一个不同于外网或内网的特殊网络区域。DMZ内通常放置一些不含机密信息的公用服务器，这样来自外网的访问者可以访问DMZ中的服务，但不可能接触到存放在内网中的公司机密或私人信息等。许多防火墙产品都提供了DMZ的接口。硬件防火墙由于使用专门的硬件芯片，所以在性能和流量上有绝对的优势。

　　步骤六：设置DNS服务器选项

　　为局域网内计算机提供域名服务代理，加快主机名对应IP地址的查找，从而提高访问网页的速度，可自设主机名称和IP地址的解析。

　　步骤七：选择WEB管理语言。中文一般情况下选择CHN 。coyote Linux支持11国家的语言。见图3。

图3 语言设置选项

　　步骤八，选择日志服务器的地址，日志对于安全来说非常重