巧配通用代理程序plug-gw

巧配通用代理程序plug-gw

吴阿亭

---- 在复杂的网络环境中，FWTK的plug-gw是网络管理员不可或缺的重要工具，它是一个基于应用层的通用代理程序，代理各种基于连接的TCP协议服务。在我们需要允许Internet用户存取防火墙内部的POP3/SMTP/Web服务器时，就可以使用它来实现，而且这种在防火墙两端转发包的机制也能隔离外部用户直接存取内部机器,大大增加了系统的安全性。 笔者的操作系统为Redhat 7.2。

一、网络环境

---- A和B是局域网内2台POP3服务器，F为防火墙，接入Internet。F上有2块网卡，分别绑定2个IP地址，需要实现如下操作。

---- 1．当外部用户设置POP3服务器为1.2.3.4时，使用plug-gw将请求转发至POP3服务器A，且对服务器A来说，看到的连接请求来自于192.168.1.1。

---- 2．当外部用户设置POP3服务器为1.2.3.5时，使用plug-gw将请求转发至POP3服务器B，且对服务器B来说，看到的连接请求来自于192.168.1.2。

二、FWTK工具包的缺陷及修补

---- 在此我们讨论的FWTK是2.1版本，在此版本中，plug-gw仅能够绑定到某个特定端口号，这对于实际应用来说非常不方便， 必需进行修补。修补程序的下载地址为http://www.connetsys.com/products/ipbind/。有了ipbind，就可以实现完整的存取控制。用户可以指定防火墙上哪个IP地址和端口号对接受外部请求，在转发后由哪个IP地址为客户请求数据(ipbind修补后的新增参数“-connect-from”指定转发后的请求IP地址)。

三、所需文件下载

1. FWTK 2.1防火墙工具包 (http://www.fwtk.org/)
2. ipbind (http://www.connetsys.com/products/ipbind/)
3. gdbm (ftp://ftp.gnu.org/gnu/gdbm/gdbm-1.8.0.tar.gz)

四、编译及安装

---- 把下载所需文件放在/root目录中。
---- #cd /root
---- #for files in ./* ;do tar xvfz $files;done

---- 1．修补FWTK
---- #cd fwtk
---- #patch -p0 < ../ipbind-1.2/ipbind-1.2.path

---- 2．安装gdbm
---- #cd gdbm-1.8.0
---- #./configure
---- #make
---- #make install
---- #make install-comp

---- 3．编译FWTK
---- #cd /root
---- #tar xvfz fwtk2.1.tar.Z
---- #cd fwtk
---- #cp -f Makefile.config.linux Makefile.config
---- #vi Makefile.config (注意: 在Makefile.config文件中，确保“DBMLIB=-lgdbm”，并去掉“AUXLIB=-lcrypt”一行前面的注释。)
---- #make
---- #make install (安装所有程序在/usr/local/etc目录。)

---- 4．去掉程序中多余的符号，减少执行文件的大小。
---- #cd /usr/local/etc
---- #for files in ./* ;do strip $files;done

五、使用方法

---- 在/usr/local/etc/目录下,编辑文件netperm-table,并加下入面2行。
---- plug-gw-pop3a: port 110 * -plug-to 192.168.1.3 -port 110
---- plug-gw-pop3b: port 110 * -plug-to 192.168.1.4 -port 110

---- 然后用下面的命令启动plug-gw。
---- #/usr/local/etc/plug-gw -daemon 1.2.3.4:110 -name plug-gw-pop3a -connect-from 192.168.1.1

---- 注意: 此时指定源地址为任意地址，向1.2.3.4: 110发出请求，转发至192.168.1.3: 110，且由IP地址192.168.1.1向192.168.1.3请求数据，并转发给客户端PC。
---- #/usr/local/etc/plug-gw -daemon 1.2.3.5:110 -name plug-gw-pop3b -connect-from 192.168.1.2

---- 另外，检查进入请求命令为:
---- #/usr/sbin/tcpdump port 110