基于路由策略的IP地址控制

转载 2006年05月22日 10:57:00

作者:白金

最近做了一套路由策略,觉得LINUX真的太强大了!于是心潮澎湃,写了这个文档!!!

一、背景描述
如图,LINUX是一台网关服务器,内有3块网卡
eth1绑定172.17.0.0/16的IP,该网段IP可以通过172.17.1.1上网
eth0绑定192.168.10.0/24的IP,该网段IP可以通过192.168.10.1上网
eth2绑定192.168.1.1,是内网用户的网关

二、需求分析
内网用户应该走172.17.1.1这个路由上网
但由于工作需要,部分用户应该有访问图中“专用网络”的权限
也就是说,应该走192.168.10.1这个路由

另外一点,所有人应该可以访问FTP服务器,这个服务器的IP是192.168.10.xx
也就是说,走172.17.1.1路由的人,也应该能访问192.168.10.xx,且可以上网

三、解决方案
要解决这个问题,用到了一下几个命令,具体使用方法需要另查资料
ip route
ip rule
arp
注:关于ip命令的用法,请查阅ip中文手册,www.google.com上有

1、绑定IP
ifconfig eth1 172.17.3.x netmask 255.255.0.0
ifconfig eth0 192.168.10.2 netmask 255.255.255.0
ifconfig eth2 192.168.1.1 netmask 255.255.255.0
然后分别修改/etc/sysconfig/network-script/ifcfg-ethx文件,以使计算机启动自动设置IP地址

2、创建特殊路由表
vi /etc/iproute2/rt_table


#
# reserved values
#
255     local
254     main
253     default
0       unspec
 
200     NET10
#
# local
#
#1      inr.ruhep


上面那个200 NET10为新添加,自定义编号为200,名字为NET10

3、向NET10路由中添加它自己的默认路由


ip route add default via 192.168.10.1 table NET10


注意,这个table NET10一定不要忘了写,否则写到了主路由表中

4、创建特殊路由规则
用ip rule可以看到计算机当前的路由规则
引用:
0:      from all lookup local
32766:  from all lookup main
32767:  from all lookup default


可以看到,规则中走了3个路由表,local、main、default
我们平常用route看到的,实际是路由表main
这些规则是按序号大小顺序走的,一个不同,则走下一个,知道通路或走完为止

开始添加我们自己的路由NET10到路由表中


ip rule add from 192.168.1.222 pref 10000 table NET10


这个意思是说,如果来自IP地址为192.168.1.222的访问,则启用NET10的路由表中的路由规则
而NET10的路由规则是什么呢?上面已经设置了,走的是192.168.10.1的网段
接下来,使LINUX可以NAT(这里不再细说HOW TO了)

5、让所有人可以访问192.168.10.xx(这个IP不便说出来)
因为其余人都走了172.17.1.1这个路由,所以他们是无法访问192.168.10.xx的
怎么才能实现呢?再添加个策略就可以了!


ip rule add to 192.168.10.xx pref 10001 table NET10


这句话的意思是说,所有人,如果目的IP是192.168.10.xx,则临时使用NET10的路由表
这样做,安全会不会有安全问题呢?路由变了,他们会不会访问到专用网络呢?
不会的,因为路由规则是to 192.168.10.xx,也就是目标是 xx 时,才该路由的,访问别的网站还是走原来的路由。
如果说访问到专用网络的机器,也就只有10.xx这一台而已。
这里,我们还可以做一个小技巧,不告诉别人192.168.10.xx的地址,只告诉他们网关192.168.1.1上有这个服务
iptables -t nat -A PREROUTING -d 192.168.1.1/32 --dport 21 -j DNAT --to 192.168.10.xx

6、防止其他人篡改IP地址而获得特殊权限
arp有个静态功能CM,不是C,大家可能知道
如果给一个IP地址强行绑定一个非他自己的MAC,会怎么样呢?双方会话将会失败!
好,我们来利用这一点!

首先,我写了一个文件iproute.c


#include <stdlib.h>;
#include <stdio.h>;
main ()
{
        int i;
        for(i=2;i<255;i++)
                printf("192.168.1.%d/t/t00:00:00:00:00:00/n",i);
}


gcc iproute.c -o iproute
将编译出一个可执行文件
注:不应该包括主机IP地址本身,所以从2循环到254(255是广播)

其次,生成一个C的IP地址和全为00的MAC地址


# ./iproute >; /etc/ethers

 

tips: 上面的方法写于不会 shell 时候的我,利用 bash 的特性可以很简单的将上面步骤简化为


# 修改于 2005.10.24
# for((i=2;i<=254;i++));do echo -e "192.168.1.$i/t00:00:00:00:00:00";done >; /etc/ethers

 

再次,修改IP-MAC匹配列表
vi /etc/ethers
具体怎么该我就不用细说了,相信大家都会

最后,做静态IP-MAC绑定
arp -f

7、为了安全,建立防火墙,修改main路由表
默认的路由表应该有192.168.10.0/24和172.17.0.0/16网段的内容,为了安全,可以去掉
另外,如果是AS3的话,还会有169.254.0.0/16的路由,具体为什么我不知道,去掉
然后写一个防火墙教本,利用iptables,把你的机器变得更加坚固!

相关文章推荐

基于目的地址的策略路由

  • 2013-04-07 19:33
  • 894KB
  • 下载

zigbee树形路由中分布式地址分配策略浅析

ZIGBEE 网络层的功能主要包括组建网络,加入网络,离开网络,路由建立,数据传输等;树形网络中,每一个全功能设备都可以成为父节点,精简功能设备只能作为子节点。树形网络常采用树形路由机制。树形路由机制...

ip命令及Linux下的策略路由

http://hi.baidu.com/imyerik/item/3642d1acc5ce04208819d343 一、ip命令基础  # rpm -qf $(which ip)  ...

什么是IP地址、子网掩码、路由和网关

什么是IP地址、子网掩码、路由和网关 什么是IP地址、子网掩码、路由和网关?经常有朋友问我,的确这些术语常常被我们看到,今天就给大伙说说这几个术语的意思: 1.IP地址:   IP...
  • wz_hua
  • wz_hua
  • 2015-08-19 22:39
  • 2630

linux(Ubuntu/Centos) iproute 路由IP地址等命令集合

ip地址管理 1.显示ip地址 ip a ip address show ip addr show dev eth0 ip a sh eth0 2.增加删除地址 ip addr...

IP地址,子网掩码,子网划分,路由汇总,VLSM,CIDR

IP地址分类: IP地址什么基本概念就不重复了,大致说下IP地址的分类. A类地址: 1.A类地址第1个字节为网络地址,其它3个字节为主机地址.  2.A类地址范围:1.0.0.0...
内容举报
返回顶部
收藏助手
不良信息举报
您举报文章:深度学习:神经网络中的前向传播和反向传播算法推导
举报原因:
原因补充:

(最多只允许输入30个字)