Linux IP Masquerade mini HOWTO 中译版 作者: Ambrose Au, [1]ambrose@writeme.com; David Ranch, [2]dranch@trinnet.net 译者: [3]黄志伟 [4]cwhuang@linux.org.tw v1.50, 7 February 1999 翻译日期: 17-31 March 1999 _________________________________________________________________ 这份文件描述如何在一台 Linux 主机上起动 IP Masquerade 功能，允许没有注 册网际网路 IP 位址的连线电脑经由你的 Linux 机器连接网际网路。 _________________________________________________________________ 1. 简介 * 1.1 简介 * 1.2 前言，回馈 & 参考资讯 * 1.3 版权 & 宣告 2. 背景知识 * 2.1 什麽是 IP Masquerade? * 2.2 现况 * 2.3 谁可以从 IP Masquerade 中获益? * 2.4 谁不需要 IP Masquerade? * 2.5 IP Masquerade 是如何运作的? * 2.6 在 Linux 2.2.x 上使用 IP Masquerade 的需求 * 2.7 在 Linux 2.0.x 上使用 IP Masquerade 的需求 3. IP Masquerade 的设定 * 3.1 编译核心加入 IP Masquerade 的支援 * 3.2 指定私用网路的 IP 位址 * 3.3 配置其它机器 * 3.4 配置 IP 转送(Forwarding)的方式 * 3.5 测试 IP Masquerade 4. 其它 IP Masquerade 的问题及软体支援 * 4.1 IP Masquerade 的问题 * 4.2 进入系统的服务(incoming services) * 4.3 已支援的客户端软体以及其它设定方面的注意事项 * 4.4 IP 防火墙管理 (ipfwadm) * 4.5 IP 防火墙链 (ipchains) * 4.6 IP Masquerade 以及需求式拨接(Demand-Dial-Up) * 4.7 IPautofw 封包转送程式 * 4.8 CU-SeeMe 与 Linux IP-Masquerade 的简短说明 * 4.9 其它相关工具 5. 常见问题解答 * 5.1 IP Masquerade 能否和动态配置的 IP 共同运作? * 5.2 我能使用数据机，DSL, 卫星连线等来连接网际网路并使用 IP Masquerade 吗? * 5.3 IP Masquerade 支援什麽应用程式? * 5.4 我如何在 Redhat, Debian, Slackware 等使用 IP Masquerade 呢? * 5.5 我升级到 2.2.x 的核心，为什麽 IP Masquerade 不能用了? * 5.6 我已经升级到 2.0.30 後的核心，为什麽 IP Masquerade 还不能用? * 5.7 我无法让 IP Masquerade 运作! 有 Windows 平台的选择吗? * 5.8 我检查过我所有的设定了，仍无法让 IP Masquerade 工作。我该怎麽 办? * 5.9 我如何加入 IP Masquerade 通信论坛? * 5.10 我想协助 IP Masquerade 的发展。我该怎麽做? * 5.11 在那里可找到更多 IP Masquerade 的资讯? * 5.12 我想翻译本文件成其它语言，我该怎麽做? * 5.13 这文件有点过时了，你还有在维护吗? * 5.14 我终於让 IP Masquerade 能动了，好棒! 我想谢谢你们，我该怎麽 做? 6. 其它 * 6.1 有用的资源 * 6.2 Linux IP Masquerade 资源 * 6.3 感谢 * 6.4 参考资料 _________________________________________________________________ 1. 简介 1.1 简介 这份文件描述如何在一台 Linux 主机上起动 IP Masquerade 功能，允许没有注 册网际网路 IP 位址的连线电脑经由你的 Linux 机器连接网际网路。你的机器可 能是以乙太网路连接 Linux, 也可能是其它种类，像是拨接的点对点(ppp) 连线 。这份文件将会强调乙太网路连线的情况，因为这应该是最常见的案例。 这份文件目的是给 2.2.x 及 2.0.x 稳定版核心的使用者参考。旧版的核心如 1.2.x 并不包含在内。 1.2 前言，回馈 & 参考资讯 我发现新手在较新的核心上，像是 2.x 核心，设定 IP Masquerade 时非常困惑 。虽然有份常见问答集(FAQ) 与通信论坛(mailing list)，然而没有一份这方面 的专门文件；而且在通信论坛上有些对於这样一份说明文件(HOWTO) 的请求。所 以，我决定撰写它给所有新手作为一个起点，并且希望能抛砖引玉，作为那些非 常了解它的使用者建立文件的基础。如果你认为我做的不好，不要在意告诉我， 这样我能把它做得更好。 这份文件很多是以原先 Ken Eves 的常见问答集以及 IP Masquerade 通信论坛里 许多有帮助的讯息作为基础。特别感谢 Mr. Matthew Driver 在通信论坛中的讯 息引发我设立 IP Masquerade 的灵感以及最後撰写了这份文件。 如果我的任何资讯有误或遗漏任何资讯，请别介意把任何回馈或意见寄到 [5]ambrose@writeme.com 及 [6]dranch@trinnet.net 来。你的无价回馈将影响 这份说明文件的未来! 这份说明文件是想作为让你的 IP Masquerade 能在最短时间内运作的快速指引。 因为我不是一位专门作家，你可能会发现本文件的资讯并非如你想的那麽一般及 客观。 最新的消息以及资讯可以在我所维护的 [7]IP Masquerade Resource 网 页上找到。 如果你有任何关於 IP Masquerade 的技术问题，请加入 IP Masquerade 通信论坛而别寄电子邮件给我，因为我的时间有限，而且 IP Masquerade 的发展者们更有能力回答你的问题。 这份文件最新的版本可以在 [8]IP Masquerade Resource 上找到，里面也有 HTML 以及 postscript 的版本: * [9]http://ipmasq.cjb.net/ * [10]http://ipmasq2.cjb.net/ * 请参考 [11]IP Masquerade Resource 映射站台列表 以找到其它的映射站台 。 1.3 版权 & 宣告 这份文件版权属於 Ambrose Au 1999, 而且是免费的文件。你可以在 GNU 的通用 公开授权方式下散播它。 这份文件中的资讯跟其它内容都已经尽了我最大的努力。无论如何，IP Masquerade 是实验性的，而且我也可能会犯些错误；所以你应该自己决定是不是 要照著这份文件中的资讯做。 没有人会为使用这份文件中的资讯所造成的电脑损坏或其它损失负责。也就是说 ， 作者及维护者不对依照这份文件内容动作所造成的损害负责。 原文 This document is copyright(c) 1996 Ambrose Au, and it's a free document. You can redistribute it under the terms of the GNU General Public License. The information and other contents in this document are to the best of my knowledge. However, ip_masq is experimental, and there is chance that I make mistakes as well; so you should determine if you want to follow the information in this document. Nobody is responsible for any damage on your computers and any other losses by using the information on this document. i.e. THE AUTHOR AND MAINTAINERS ARE NOT RESPONSIBLE FOR ANY DAMAGES INCURRED DUE TO ACTIONS TAKEN BASED ON THE INFORMATION IN THIS DOCUMENT. 2. 背景知识 2.1 什麽是 IP Masquerade? IP Masquerade 是 Linux 的一项网路功能。如果一台 Linux 主机使用 IP Masquerade 功能连线到网际网路上，那麽接上它的电脑（不论是在同一个区域网 路上或藉由数据机连线）也可以接触网际网路，即使它们没有获得正式指定的 IP 位址。 这使得一些电脑可以隐藏在闸道(gateway) 系统後面存取网际网路而不被发现， 看起来就像只有这个系统在使用网际网路。突破设定良好的伪装(masquerade)系 统之安全防护应该会比突破良好的封包过滤式防火墙(packet filter firewall) 来得更加困难（假设两者之中都没有错误）。 2.2 现况 IP Masquerade 已经发展多年而趋於成熟，因此已正式并入 Linux 2.2.x 的核心 中。 从 1.3.x 版的核心开始已经内建这项支援。许多个人甚至公司正在使用它 ，而有满意的结果。 浏览网页以及远端签入(telnet)已经有回报表示可以在 IP Masquerade 上运作。 档案传输(FTP)，网路交谈(IRC) 以及聆听 Real Audio 现在可以载入某些模组配 合。其它的网路资料流音讯 (streaming audio) 像是 True Speech 以及 Internet Wave 也能运作。一些通信论坛中的使用夥伴甚至还尝试过视讯会议软 体。 Ping 现在配合新近可以取得的网际网路控制讯息协定(ICMP)修补档也能运 作。 更完整的支援软体列表请参考 4.3 节。 IP Masquerade 在数种不同的作业系统及平台上与 '客户端机器' 配合良好。 成 功的案例有使用 Unix, Windows95, Windows NT, Windows for Workgroup (with TCP/IP package), OS/2, Macintosh System's OS with Mac TCP, Mac Open Transport, DOS with NCSA Telnet package, VAX, Alpha with Linux, 甚 至 Amiga with AmiTCP 或 AS225-stack 的系统。 这列表还在不断增加当中。重 点就是，只要你的系统使用 TCP/IP 协定，它就应该能和 IP Masquerade 一起工 作。 2.3 谁可以从 IP Masquerade 中获益? * 如果你有台连接网际网路的 Linux 主机，而且 * 如果你有一些执行 TCP/IP 连接到 Linux 机器的电脑在区域网路上，以及/ 或是 * 如果你的 Linux 主机有一个以上的数据机并且作为 PPP 或 SLIP 伺服器连 接其它电脑，它们 * 这些其它机器没有正式指定的 IP 位址。（这些机器从这里开始以後就称为 其它机器） * 而且当然，如果你希望这些其它机器不必花额外的费用就能连上网际网路 :) 2.4 谁不需要 IP Masquerade? * 如果你的机器是单独一台(stand-alone) 连接网际网路的 Linux 主机，那麽 执行 IP Masquerade 没什麽意义，或者 * 如果你的其它机器拥有正式指定的 IP 位址，那麽你就不需要 IP Masquerade * 而且当然，如果你不喜欢免费使用(free ride) 这个主意的话。 2.5 IP Masquerade 是如何运作的? 节自 Ken eves 的 IP Masquerade FAQ: 这是大部分简单的设定草图: SLIP/PPP +------------+ +-------------+ to provider | Linux | SLIP/PPP | Anybox | <---------- modem1| |modem2 ----------- modem | | 111.222.333.444 | | 192.168.1.100 | | +------------+ +-------------+ 上面的草图中一台安装并执行 ip_masquerading 的 Linux 机器使用 modem1 经由 SLIP/or/PPP 连接网际网路。它有一个 指定的 IP 位址 111.222.333.444。它设定 modem2 允许拨接者 签入并起始 SLIP/or/PPP 连结。 第二个系统（不必是执行 Linux 的系统）拨接进入 Linux 机器并起始 SLIP/or/PPP 连结。它在网际网路上并没有指定的 IP 位址所以它使用 192.168.1.100。（参阅下述） 配合 ip_masquerade 及适当递送配置(routing configured) Anybox 这台机器可以跟网际网路交流就如同它真的连在上面般 （除了少数例外）。 节录 Pauline Middelink: 别忘记提到 ANYBOX 应该把 Linux 机器当作它的闸道（无论是 预设递送路径或只是个子网路都没关系）。如果 ANYBOX 不能够 这样设， Linux 机器应该为所有要递送的位址做代理位址解析 析协定(proxy arp) 服务，但代理位址解析的设定超过这份文件 的□围。 下面节录自 comp.os.linux.networking 的一篇布告并且稍加编辑以 符合上述□例的用词: 。我告诉 ANYBOX 这台机器跑 slip 的 linux 机器是它的闸道。 。当一个封包从 ANYBOX 进入 linux 机器时，它会指定新的来源埠 号(source port number)，把它自己的 ip 位址塞入封包的标头并 储存原来的。然後它将会藉由 SLIP/or/PPP 界面把修改过的封包 送上网际网路。 。当一个封包从网际网路来到 linux 机器时，如果埠号是上面指定 的其中一个，它将会取出原来的埠号以及 ip 位址，把它们放回封 包的标头，并且把封包送往 ANYBOX 。 。送出封包的主机将永远不知道其中的差别。 一个 IP Masquerading 的例子: 下面的图示是典型的例子:- +----------+ | | Ethernet | abox |:::::: | |2 :192.168.1.x +----------+ : : +----------+ PPP +----------+ : 1| Linux | link | | ::::| masq-gate|:::::::::// Internet | bbox |:::::: | | | |3 : +----------+ +----------+ : : +----------+ : | | : | cbox |:::::: | |4 +----------+ <-Internal Network-> 在这个例子中我们考虑四台电脑系统（想必遥远的右方还有些东西让你到网际网 路的 IP 连线能够连接，以及一些（远超过这一页）在网际网路上你有兴趣交换 资讯的东西）。 这个 Linux 系统 masq-gate 是 abox, bbox, cbox 内部网路机 器连接网际网路的伪装闸道。 内部网路使用指定的私用(private) 网路位址，在 这个案例中是 class C 网路 192.168.1.0, Linux 机器拥有位址 192.168.1.1 而其它系统也拥有此网路上的位址。 这三台机器 abox, bbox 以及 cbox (它们可以执行任何作业系统 － 像是 Windows 95, Macintosh MacTCP 或甚至是另一台 Linux 机器，只要它们能了解 IP)可以连线到网际网路上的其它机器去，然而这个伪装系统闸道 masq-gate 转 换它们所有的连线所以这些连线看起来像是原本即从伪装闸道 masq-gate 本身发 出的，而且还安排伪装连线传回的资料转回原先的系统 － 所以在内部网路上的 系统看到的是直接通往网际网路的递送路径而且不知道他们的资料被伪装过。 2.6 在 Linux 2.2.x 上使用 IP Masquerade 的需求 ** 请参考 [12]IP Masquerade Resource 以获得最新资讯。** * 2.2.x 版核心的原始程式码可从 [13]http://www.kernel.org/ 取得。 (大部份现代的发行套件如 Red Hat 5.2 - 配备了 2.0.36 的核心 - 已有了 模组化的核心，且所有 IP Masquerade 所需的选项都已打开。 这种情形下 ，已没有必要再自行编译。如果你自己升级核心，你应注意你需要什麽，在 文件稍後会提到。) * 可载入的核心模组，最好是 2.1.121 或以後的版本 * 设定良好的 TCP/IP 网路 相关文件在 [14]Linux NET-3 HOWTO 及 [15]Network Administrator's Guide 也请参考 [16]Trinity OS Doc, 是一份非常完整的 Linux 网路参考指引。 * 将你的 Linux 主机连上网际网路 相关文件有 [17]Linux ISP Hookup HOWTO, [18]Linux PPP HOWTO, [19]Linux DHCP mini-HOWTO 及 [20]Linux Cable Modem mini-HOWTO * IP Chains 1.3.8 或更新的版本。可从 [21]http://www.rustcorp.com/linux/ipchains/ 取得。 版本需求的更多资讯也在 [22]Linux IP Firewalling Chains page。 * 其它的资讯，请见 [23]Linux IP Masquerade Resource 2.7 在 Linux 2.0.x 上使用 IP Masquerade 的需求 ** 请参考 [24]IP Masquerade Resource 以获得最新资讯。** * 核心 2.0.x 的原始程式码可以从这里取得 [25]http://www.kernel.org/ (大部份现代的发行套件如 Red Hat 5.2 - 配备了 2.0.36 的核心 - 已有了 模组化的核心，且所有 IP Masquerade 所需的选项都已打开。 这种情形下 ，已没有必要再自行编译。如果你自己升级核心，你应注意你需要什麽，在 文件稍後会提到。) * 可载入核心模组，最好是 2.0.0 或更新的版本，可以从这里取得 [26]http://www.pi.se/blox/modules/modules-2.0.0.tar.gz (至少需要 modules-1.3.57) * 设定好的 TCP/IP 网路 相关文件在 [27]Linux NET-3 HOWTO 及 [28]Network Administrator's Guide 也请参考 [29]Trinity OS Doc, 是一份非常完整的 Linux 网路参考指引。 * 将你的 Linux 主机连上网际网路 相关文件 [30]Linux ISP Hookup HOWTO, [31]Linux PPP HOWTO, [32]Linux DHCP mini-HOWTO 及 [33]Linux Cable Modem mini-HOWTO * Ipfwadm 2.3 或更新的版本可以从这里取得 [34]ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz 在 Linux Ipfwadm 网页上有更多关於版本的资讯 [35]Linux IPFWADM page * 你可以选择性地加上一些 IP Masquerade 修补档以增加其它功能。 从这里 可以取的更多资讯， [36]IP Masquerade Resources (这些修补档适用於所 有的 2.0.x 核心) 3. IP Masquerade 的设定 如果你的私用网路里有任何重要的资讯，在使用 IP Masquerade 之前请三思 。这可能成为你通往网际网路的闸道，反之亦然，也可能成为另一边的世界进 入你私用网路的途径。 3.1 编译核心加入 IP Masquerade 的支援 如果你的 Linux 发行套件已经将下面将提到的所需特性及模组编译进去的 话(大部份模组化的核心有你所需的东西)，那麽你不需要重新编译核心。 不 过仍十分建议你读一读此节，因为它包含了其它有用的资讯。 Linux 2.2.x 版核心 * 首先，你需要 2.2.x 版核心的原始程式码。 * 如果这是你第一次编译核心，不要害怕。 事实上，这非常容易而且涵盖於 [37]Linux Kernel HOWTO。 * 以这个指令: tar xvzf linux-2.2.x.tar.gz -C /usr/src 将核心原始码解 开至 /usr/src/, 其中 x 是 2.2 之後的修补层级(确定有一叫 linux 的目 录或符号连结)。 * 加上适当的修补。因为新的修补档不断出来，所以细节不会包含在这里。 最 新的资讯请参考 [38]IP Masquerade Resources。 * 有关编译核心更进一步的介绍请参考 Kernel HOWTO 以及核心原始程式码目 录里的 README 档案。 * 这里是你要编译进去的选项: 下列选项要回答 YES: * Prompt for development and/or incomplete code/drivers CONFIG_EXPERIMENTAL - 这将让你能选择把实验性的 IP Masquerade 程式码编译到核心里去 * Enable loadable module support CONFIG_MODULES - 让你能够载入 ipmasq 相关模组如 ip_masq_ftp.o * Networking support CONFIG_NET * Network firewalls CONFIG_FIREWALL * TCP/IP networking CONFIG_INET * IP: forwarding/gatewaying CONFIG_IP_FORWARD * IP: firewalling CONFIG_IP_FIREWALL * IP: masquerading CONFIG_IP_MASQUERADE * IP: ipportfw masq support CONFIG_IP_MASQUERADE_IPPORTFW - 建议加入 * IP: ipautofw masquerade support CONFIG_IP_MASQUERADE_IPAUTOFW - 可选用 * IP: ICMP masquerading CONFIG_IP_MASQUERADE_ICMP - 支援伪装 ICMP 封包，建议加入 * IP: always defragment CONFIG_IP_ALWAYS_DEFRAG - 高度建议使用 * Dummy net driver support CONFIG_DUMMY - 建议加入 * IP: ip fwmark masq-forwarding support CONFIG_IP_MASQUERADE_MFW - 可选用 注意: 这只不过是你跑 IP Masquerade 所需的项目，其它的按照你所需的来 选择。 * 在编译完核心之後，你需要编译及安装模组: make modules; make modules_install * 然後把下面几行加到你的 /etc/rc.d/rc.local 档案 (或其它你认为适当的 档案)中以便於每次重开机时自动载入位於 /lib/modules/2.2.x/ipv4/ 的模 组: . . . /sbin/depmod -a /sbin/modprobe ip_masq_ftp /sbin/modprobe ip_masq_raudio /sbin/modprobe ip_masq_irc (以及其它的模组如 ip_masq_cuseeme, ip_masq_vdolive, 如果你有加上这些修补的话) . . . 重要: IP 转送功能在 2.2.x 版核心中预设是关闭的，请确定你以此指令将 其打开: echo "1" > /proc/sys/net/ipv4/ip_forwarding 对於 Red Hat 的使用者来说，你可以把 /etc/sysconfig/network 中的 FORWARD_IPV4=false 改成 FORWARD_IPV4=true。 * 重新启动 Linux 主机。 Linux 2.0.x Kernels * 首先，你需要核心的原始程式码(最好是最新的 2.0.36 或以上的版本)。 * 如果这是你第一次编译核心，不要害怕。 事实上，这非常容易而且涵盖於 [39]Linux Kernel HOWTO。 * 以这个指令: tar xvzf linux-2.0.x.tar.gz -C /usr/src 将核心原始码解 开至 /usr/src/, 其中 x 是 2.0 之後的修补层级(确定有一叫 linux 的目 录或符号连结)。 * 加上适当的修补。因为新的修补档不断出来，所以细节不会包含在这里。 最 新的资讯请参考 [40]IP Masquerade Resources。 * 有关编译核心更进一步的介绍请参考 Kernel HOWTO 以及核心原始程式码目 录里的 README 档案。 * 这里是你要编译进去的选项: 下列选项要回答 YES: * Prompt for development and/or incomplete code/drivers CONFIG_EXPERIMENTAL - 这将让你能选择把实验性的 IP Masquerade 程式码编译到核心里去 * Enable loadable module support CONFIG_MODULES - 让你能够载入模组 * Networking support CONFIG_NET * Network firewalls CONFIG_FIREWALL * TCP/IP networking CONFIG_INET * IP: forwarding/gatewaying CONFIG_IP_FORWARD * IP: firewalling CONFIG_IP_FIREWALL * IP: masquerading (EXPERIMENTAL) CONFIG_IP_MASQUERADE - 这虽然是实验性的，但却是 *必须* 的 * IP: ipautofw masquerade support (EXPERIMENTAL) CONFIG_IP_MASQUERADE_IPAUTOFW - 建议加入 * IP: ICMP masquerading CONFIG_IP_MASQUERADE_ICMP - 支援伪装 ICMP 封包，可选用 * IP: always defragment CONFIG_IP_ALWAYS_DEFRAG - 高度建议使用 * Dummy net driver support CONFIG_DUMMY - 建议加入 注意: 这只不过是你跑 IP Masquerade 所需的项目，其它的按照你所需的来 选择。 * 在编译完核心之後，你需要编译及安装模组: make modules; make modules_install * 然後把下面几行加到你的 /etc/rc.d/rc.local 档案 (或其它你认为适当的 档案)中以便於每次重开机时自动载入位於 /lib/modules/2.0.x/ipv4/ 的模 组: . . . /sbin/depmod -a /sbin/modprobe ip_masq_ftp /sbin/modprobe ip_masq_raudio /sbin/modprobe ip_masq_irc (以及其它的模组如 ip_masq_cuseeme, ip_masq_vdolive, 如果你有加上这些修补的话) . . . 重要: IP 转送功能在 2.0.34 之後的核心中预设是关闭的，请确定你以此指 令将其打开: echo "1" > /proc/sys/net/ipv4/ip_forwarding 对於 Red Hat 的使用者来说，你可以把 /etc/sysconfig/network 中的 FORWARD_IPV4=false 改成 FORWARD_IPV4=true。 * 重新启动 Linux 主机。 3.2 指定私用网路的 IP 位址 因为所有其它机器都没有正式指定的位址，必须有个正确的方式来分配位址给这 些机器。 节自 IP Masquerade FAQ: 有份 RFC (#1597, 现在可能已过时了) 是有关没有与外界连线的网路该使用什麽 IP 位址。有三个数字区块是特别为这个目的而保留的。其中一个我使用的是 192.168.1.n 到 192.168.255.n 之间的 255 Class-C 子网路。 节自 RFC 1597: 第三节: 私用位址空间 网际网路位址指定当局(IANA: Internet Assigned Numbers Authority) 已经保留下列三个区块的 IP 位址空间给私用网路: 10.0.0.0 - 10.255.255.255 172.16.0.0 - 172.31.255.255 192.168.0.0 - 192.168.255.255 我们将称第一个区块为 "24位元区块"，第二个为 "20位元区块"， 而第三个则称为 "16位元区块"。注意到第一个区块就只是个 class A 网路号码，第二个区块则是连续的 16 个 class B 网路 号码，而第三个区块是一组 255 个连续的 class C 网路号码。 所以，如果你要使用一个 class C 网路的话，那麽你的机器应该以 192.168.1.1, 192.168.1.2, 192.168.1.3, ..., 192.168.1.x 来名之。 192.168.1.1 通常是闸道这台机器，在此即你连上网际网路的 Linux 主机。注意 192.168.1.0 以及 192.168.1.255 分别为网路以及广播位址，是保留的。避免在 你的机器上使用这些位址。 3.3 配置其它机器 除了为每台机器设定适当的 IP 位址之外，你也应该设定适当的闸道。一般说来 ，这是非常直接了当的。你只需简单地输入 Linux 主机的位址(通常是 192.168.1.1)作为闸道位址。 关於领域名称服务，你可以加入任何 DNS 系统。最可能的应该是你 Linux 使用 的那一个。你也可以选择性地加上任何网域字尾(domain suffix) 。 在你重新配置这些 IP 位址之後，记得重新启动适当的服务或是重新开机。 下面的配置□例假设你使用一个 Class C 网路并且以 192.168.1.1 作为 Linux 主机的位址。请注意 192.168.1.0 及 192.168.1.255 是保留的。 配置 Windows 95 1. 如果你还没有安装网路卡以及界面驱动程式，现在做。 2. 到 '控制台/网路' 里去。 3. 如果你的网路配置里没有 'TCP/IP 协定' 则加进去。 4. 在'TCP/IP 内容'中，选择'IP 位址'并且把 IP 位址设定为 192.168.1.x,(1 /proc/sys/net/ipv4/ip_forwarding * 你必须使用 [66]ipchains 来处理 IP 伪装及防火墙规则。 * 将整个设定配置的过程再做一次! 很多时候只是打错字或是你忽略了一个愚 蠢的错误。 5.6 我已经升级到 2.0.30 後的核心，为什麽 IP Masquerade 还不能用? 假设你的 Linux 主机已经适当地连上网际网路与你的内部网路，有几件事你必需 检查: * 确定你已编译并载入必要的特性与模组。参见前面章节的说明。 * 检查 /usr/src/linux/Documentation/Changes 并确定你安装了最低需求的 网路工具。 * 确定你打开了 IP 转送机制。试著执行 echo "1" > /proc/sys/net/ipv4/ip_forwarding * 你必须使用 [67]ipfwadm 来处理 IP 伪装及防火墙规则。要在 2.0.x 使用 ipchains 的话你必须加上修补。 * 将整个设定配置的过程再做一次! 很多时候只是打错字或是你忽略了一个愚 蠢的错误。 5.7 我无法让 IP Masquerade 运作! 有 Windows 平台的选择吗? 所以你要放弃一个可在最低硬体需求使用的免费，可靠，高效率的解决方案，而 想花钱在某个需要更高硬体，低效率且不可靠的未来? (嗯，是的，我真的遇过这 样的经验 ;-) ) 好吧，那是你的事。用搜寻引擎找找 MS Proxy Server, Wingate, 或看看 www.winfiles.com。 别说是我告诉你。 5.8 我检查过我所有的设定了，仍无法让 IP Masquerade 工作。我该怎麽办? * 冷静一下。给你自己一杯咖啡并休息一下，然後试试下面的建议。 * 看一下 [68]IP Masquerade Mailing List Archive, 大部份你要的答案已经 在等著你了。 * 把你的问题送到 IP Masquerade 通信论坛上，细节请看下一则问题。 请仅 有在你无法找到答案时才这麽做。 * 在 Linux 的网路相关讨论群中发问。 * 写信到 [69]ambrose@writeme.com 及 [70]dranch@trinnet.net。 同时送信 给我们你会有较佳的机会得到回应。David 回信的情况较佳，至於我的回应 时间嘛，不予置评。 * 再次检查你的设定 :-) 5.9 我如何加入 IP Masquerade 通信论坛? 要加入 IP Masquerade 通信论坛的话，写信到 [71]masq-subscribe@indyramp.com。 标题与信件内容将被忽略。这可使得你收到来自论坛的每一个讯息。 如果你需要 的话，欢迎你使用此方式。但如果可以的话，请改用精华区(digest)。 使用精华 区可减轻伺服器的负载。注意你只能使用你用来订阅的帐号/位址发送信件。 想得到更多指令的说明，写信到 [72]masq-help@tori.indyramp.com。 5.10 我想协助 IP Masquerade 的发展。我该怎麽做? 写信到 [73]masq-dev-subscribe@tori.indyramp.com (或是精华区形式，使用 [74]masq-dev-digest-subscribe@tori.indyramp.com)。 加入 IP Masquerading DEVELOPERS 的通信论坛并请教那边伟大的开发者。 别在那边询问与 IP Masquerade 发展无关的问题!!!! 5.11 在那里可找到更多 IP Masquerade 的资讯? 你可在 David 及我提过的 [75]Linux IP Masquerade Resource 找到更多 IP Masquerade 的资讯。参见 6.2 小节。 你也可在 Indyramp Consulting 维护的 [76]The Semi-Original Linux IP Masquerading Web Site 找到更多资讯。这也是提供 IP Masquerade 通信论坛的 地方。 5.12 我想翻译本文件成其它语言，我该怎麽做? 请先确定你想翻译的语言还没有其它人做过。 一份可取得的翻译文件列表可从 [77]Linux IP Masquerade Resource 得到。 写信给我到 [78]ambrose@writeme.com, 我会寄最新版的 SGML 原始档给你。 5.13 这文件有点过时了，你还有在维护吗?你能加进更多 ... 的资讯吗? 有任何改善的计 划吗? 是的，本文件有被维护。因为两份工作使我太忙而没有太多时间放在这边使我感 到内疚，我很抱歉。 然而，有了 David Ranch 加入本文件的维护，情况应有改 善。 如果你觉得某一主题应被加到文件中，请写信给我及 David。 最好你可以提供该 资讯。如果合适的话我及 David 会把这资讯加到文件中。非常感谢你的贡献。 我们也有一些新的点子与计划来改进这份文件，像是包含不同网路设定的案例探 讨， 更多关於安全性，ipchains 的使用，ipfwadm/ipchains 规则□例，更多的 常见问题与解答， 以及包含更多协定与埠号转送的工具像是 masqadmin 等等。 如果你觉得你可以帮忙的话，请尽管做。谢谢。 5.14 我终於让 IP Masquerade 能动了，好棒! 我想谢谢你们，我该怎麽做? 感谢这些发展者并感激他们所投入的时间与努力。写信给我们并让我们知道你有 多快乐。 向其它人介绍 Linux 并帮他们解决问题。 6. 其它 6.1 有用的资源 * [79]IP Masquerade Resource page 应有更多建立 IP Masquerade 的资讯。 * [80]IP masquerade mailing list archive 包含最近送到通信论坛上的信件 。 * 给核心 2.2.x 与 2.0.x 的 [81]Linux IP Masquerade mini HOWTO。 * 如果你用更旧的核心，请看 [82]IP Masquerade HOWTO for kernel 1.2.x * [83]IP masquerade FAQ 有某些一般的资讯。 * [84]Linux IPCHAINS HOWTO 及 [85]http://www.rustcorp.com/linux/ipchains/ 有许多关於 ipchains 使 用的资讯，并有 ipchains 的原始码及二进位执行档。 * [86]X/OS Ipfwadm page 包含 ipfwadm 套件的原始码，执行档，文件及其它 的资讯。 * 由 Lee Nevo 所维护的网页 [87]可与 Linux IP masquerading 运作的应用 程式 提供提示与技巧使得应用程式能与 IP Masquerade 运作。 * The [88]LDP Network Administrator's Guide 这是新手尝试设定网路的必 要资讯。 * [89]Trinity OS Doc, 一份关於 Linux 网路相当容易理解的指引。 * [90]Linux NET-3 HOWTO 也有许多关於 Linux 网路方面有用的资讯。 * [91]Linux ISP Hookup HOWTO 以及 [92]Linux PPP HOWTO 给你如何把 Linux 主机连上网际网路的相关资讯。 * [93]Linux Ethernet-Howto 有关设定执行乙太网路的区域网路很棒的资讯来 源。 * 你也可能对 [94]Linux Firewalling and Proxy Server HOWTO 有兴趣。 * [95]Linux Kernel HOWTO 将会指引你编译核心的过程。 * 其它的 [96]Linux HOWTOs 像是 Kernel HOWTO。 * 张贴到这个 USENET 新闻群组: [97]comp.os.linux.networking 6.2 Linux IP Masquerade 资源 [98]Linux IP Masquerade Resource 是一专门用来提供 Linux IP Masquerade 资讯的站台，也是由 David Ranch 及我来维护。 这边有关於 IP Masquerade 最 新的资讯，可能也有未包含在本文件的其它资讯。 你可在下列地点找到 Linux IP Masquerade Resource: * [99]http://ipmasq.cjb.net/, 主站台，重导至 [100]http://www.tor.shaw.wave.ca/~ambrose/ * [101]http://ipmasq2.cjb.net/, 第二分站, 重导至 [102]http://www.geocities.com/SiliconValley/Heights/2288/ 6.3 感谢 * David Ranch, dranch@trinnet.net 协助维护本文件及 Linux IP Masquerade 资源网页, ..., 族繁不及备载 :-) * Michael Owings, mikey@swampgas.com 提供关於 CU-SeeMe 的简短说明文件。 * Gabriel Beitler, gbeitler@aciscorp.com on providing section 3.3.8 (setting up Novel) * Ed Doolittle, dolittle@math.toronto.edu 建议在 ipfwadm 加上 -V 选项以增加安全性。 * Matthew Driver, mdriver@cfmeu.asn.au on helping extensively on this HOWTO, and providing section 3.3.1 (setting up Windows 95) * Ken Eves, ken@eves.com on the FAQ that provides invaluable information for this HOWTO * Ed. Lott, edlott@neosoft.com for a long list of tested system and software * Nigel Metheringham, Nigel.Metheringham@theplanet.net on contributing his version of IP Packet Filtering and IP Masquerading HOWTO, which make this HOWTO a better and technical in-depth document section 4.1, 4.2, and others * Keith Owens, kaos@ocs.com.au on providing an excellent guide on ipfwadm section 4.2 on correction to ipfwadm -deny option which avoids a security hole, and clarified the status of ping over IP Masquerade * Rob Pelkey, rpelkey@abacus.bates.edu on providing section 3.3.6 and 3.3.7 (setting up MacTCP and Open Transport) * Harish Pillay, h.pillay@ieee.org on providing section 4.5 (dial-on-demand using diald) * Mark Purcell, purcell@rmcs.cranfield.ac.uk on providing section 4.6 (IPautofw) * Ueli Rutishauser, rutish@ibm.net on providing section 3.3.9 (setting up OS/2 Warp) * John B. (Brent) Williams, forerunner@mercury.net on providing section 3.3.7 (setting up Open Transport) * Enrique Pessoa Xavier, enrique@labma.ufrj.br on the bootp setup suggestion * developers of IP Masquerade for this great feature + Delian Delchev, delian@wfpa.acad.bg + Nigel Metheringham, Nigel.Metheringham@theplanet.net + Keith Owens, kaos@ocs.com.au + Jeanette Pauline Middelink, middelin@polyware.iaf.nl + David A. Ranch, trinity@value.net + Miquel van Smoorenburg, miquels@q.cistron.nl + Jos Vos, jos@xos.nl + Paul Russell, Paul.Russell@rustcorp.com.au + 还有其它我忘了提的(请让我知道) * 所有送回馈及建议到通信论坛上的使用者，特别是那些报告文件上的错误以 及已支援与未支援的客户端的。 * 如果我没有包括某些使用者送给我的资讯我感到抱歉。有如此多的建议与想 法送到我这里，但我只是没有足够的时间去确定或者我不小心丢了。 我正尽 我最大的努力整合所有送给我的资讯到这份文件里。感谢你的辛劳，而我也 希望你能体谅我的情况。 6.4 参考资料 * Ken Eves 的 IP masquerade 常见问答集 * Indyramp Consulting 之 IP masquerade 通信论坛 * X/OS 的 Ipfwadm 网页 * 各个关於网路的 Linux HOWTOs References 1. mailto:ambrose@writeme.com 2. mailto:dranch@trinnet.net 3. http://www.phys.ntu.edu.tw/~cwhuang/pub/ 4. mailto:cwhuang@linux.org.tw 5. mailto:ambrose@writeme.com 6. mailto:dranch@trinnet.net 7. http://ipmasq.cjb.net/ 8. http://ipmasq.cjb.net/ 9. http://ipmasq.cjb.net/ 10. http://ipmasq2.cjb.net/ 11. http://ipmasq.cjb.net/index.html#mirror 12. http://ipmasq.cjb.net/ 13. http://www.kernel.org/ 14. http://metalab.unc.edu/mdw/HOWTO/NET-3-HOWTO.html 15. http://metalab.unc.edu/mdw/LDP/nag/nag.html 16. http://www.ecst.csuchico.edu/~dranch/LINUX/TrinityOS.wri 17. http://metalab.unc.edu/mdw/HOWTO/ISP-Hookup-HOWTO.html 18. http://metalab.unc.edu/mdw/HOWTO/PPP-HOWTO.html 19. http://metalab.unc.edu/mdw/HOWTO/mini/DHCP.html 20. http://metalab.unc.edu/mdw/HOWTO/mini/Cable-Modem.html 21. http://www.rustcorp.com/linux/ipchains/ 22. http://www.rustcorp.com/linux/ipchains/ 23. http://ipmasq.cjb.net/ 24. http://ipmasq.cjb.net/ 25. http://www.kernel.org/ 26. http://www.pi.se/blox/modules/modules-2.0.0.tar.gz 27. http://metalab.unc.edu/mdw/HOWTO/NET-3-HOWTO.html 28. http://metalab.unc.edu/mdw/LDP/nag/nag.html 29. http://www.ecst.csuchico.edu/~dranch/LINUX/TrinityOS.wri 30. http://metalab.unc.edu/mdw/HOWTO/ISP-Hookup-HOWTO.html 31. http://metalab.unc.edu/mdw/HOWTO/PPP-HOWTO.html 32. http://metalab.unc.edu/mdw/HOWTO/mini/DHCP.html 33. http://metalab.unc.edu/mdw/HOWTO/mini/Cable-Modem.html 34. ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.0.tar.gz 35. http://www.xos.nl/linux/ipfwadm/ 36. http://ipmasq.cjb.net/ 37. file://localhost/tmp/Kernel-HOWTO.html 38. http://ipmasq.cjb.net/ 39. file://localhost/tmp/Kernel-HOWTO.html 40. http://ipmasq.cjb.net/ 41. file://localhost/tmp/zh-sgmltools.18889/ftp.novell.com/pub/updates/unixconn/lwp5 42. mailto:ambrose@writeme.com 43. mailto:dranch@trinnet.net 44. http://metalab.unc.edu/mdw/HOWTO/IPCHAINS-HOWTO.html 45. http://152.19.254.81/mdw/linux.html 46. http://ipmasq.cjb.net/ 47. http://dijon.nais.com/~nevo/masq/ 48. http://ipmasq.cjb.net/ 49. http://dijon.nais.com/~nevo/masq/ 50. http://ipmasq.cjb.net/ 51. http://www.rustcorp.com/linux/ipchains/ 52. http://metalab.unc.edu/mdw/HOWTO/IPCHAINS-HOWTO.html 53. http://home.pacific.net.sg/~harish/diald.config.html 54. ftp://ftp.netis.com/pub/members/rlynch/ipautofw.tar.gz 55. mailto:mikey@swampgas.com 56. http://cu-seeme.cornell.edu/ 57. http://www.wpine.com/ 58. http://www.indyramp.com/masq/ 59. http://ipmasq.cjb.net/ 60. ftp://ftp.swampgas.com/pub/cuseeme/ip_masq_cuseeme.c 61. mailto:mikey@swampgas.com 62. http://www.swampgas.com/vc/vc.htm 63. mailto:ambrose@writeme.com 64. mailto:dranch@trinnet.net 65. http://dijon.nais.com/~nevo/masq/ 66. http://www.rustcorp.com/linux/ipchains/ 67. http://www.xos.nl/ 68. http://home.indyramp.com/lists/masq/ 69. mailto:ambrose@writeme.com 70. mailto:dranch@trinnet.net 71. mailto:masq-subscribe@indyramp.com 72. mailto:masq-help@tori.indyramp.com 73. mailto:masq-dev-subscribe@tori.indyramp.com 74. mailto:masq-dev-digest-subscribe@tori.indyramp.com 75. http://ipmasq.cjb.net/ 76. http://www.indyramp.com/masq/ 77. http://ipmasq.cjb.net/ 78. mailto:ambrose@writeme.com 79. http://ipmasq.cjb.net/ 80. http://www.indyramp.com/masq/list/ 81. http://ipmasq.cjb.net/ipmasq-HOWTO.html 82. http://ipmasq.cjb.net/ipmasq-HOWTO-1.2.x.txt 83. http://www.indyramp.com/masq/ip_masquerade.txt 84. http://metalab.unc.edu/mdw/HOWTO/IPCHAINS-HOWTO.html 85. http://www.rustcorp.com/linux/ipchains/ 86. http://www.xos.nl/linux/ipfwadm/ 87. http://dijon.nais.com/~nevo/masq/ 88. http://metalab.unc.edu/mdw/LDP/nag/nag.html 89. http://www.ecst.csuchico.edu/~dranch/LINUX/TrinityOS.wri 90. http://metalab.unc.edu/mdw/HOWTO/NET-3-HOWTO.html 91. http://metalab.unc.edu/mdw/HOWTO/ISP-Hookup-HOWTO.html 92. http://metalab.unc.edu/mdw/HOWTO/PPP-HOWTO.html 93. http://metalab.unc.edu/mdw/HOWTO/Ethernet-HOWTO.html 94. http://metalab.unc.edu/mdw/HOWTO/Firewall-HOWTO.html 95. http://metalab.unc.edu/mdw/HOWTO/Kernel-HOWTO.html 96. http://metalab.unc.edu/mdw/HOWTO/HOWTO-INDEX-3.html 97. news:comp.os.linux.networking 98. http://ipmasq.cjb.net/ 99. http://ipmasq.cjb.net/ 100. http://www.tor.shaw.wave.ca/~ambrose/ 101. http://ipmasq2.cjb.net/ 102. http://www.geocities.com/SiliconValley/Heights/2288/