| 当前所在位置:FreeBSD使用大全>> |
| FreeBSD连载(77)：安全工具(2) |
|---|
| 作者:王波 |
ssh 由于网络上的数据传输是不安全，因此出现了S/key等方式来保护口令的安全。然而这些认证系统只是保证了口令等特别敏感信息的安全，而不能保证连接之后的传输数据安全性。为了保证数据传输的安全性，就必须先将数据加密之后再进行传输。 对传输加密可以从两个方面入手，一个是在网络低层进行加密，应用程序不需了解加密的细节，因此可以兼容现有的应用程序，这种考虑方式包括建立虚拟专用网（VPN）的各种协议，如PPTP、L2TP，以及以后将采用的IPSec 协议。另一种考虑方式是从网络应用程序入手，应用程序首先加密信息然后在进行传输，通过特定的服务程序和客户程序来建立安全连接，这种方式的代表就是ssh，此外还包括支持SSL（加密Socket层）的各个应用程序，如Telnet SSL，ApachSSL等。 SSL在FreeBSD下的实现为openssl，它是在FreeBSD之类的免费操作系统下安装其他基于SSL应用程序的基础。 PGP也是一个具备重要影响的加密程序，其本身虽然是为网络环境而设计的，但其程序本身不涉及网络。通常它和电子邮件的客户程序合作，构成安全的电子邮件系统。 这些加密程序一般要使用Ports Collection下载安装，而没有现成的二进制软件包，主要原因是这些软件使用的公开密钥算法在美国有专利限制，其专利属于RSA研究所，因此FreeBSD就不将它们作成二进制软件包，以避免法律纠纷。即使使用Ports Collection下载这些软件的时候，也需要设定一个环境变量USA_RESIDENT ，以区分是不是美国居民，make程序好决定从何处下载这些程序，当然，手工下载就不必顾及这些。RSA 算法在其他国家没有专利限制，因此可以随意使用。 如果需要反复安装这些加密工具，可以更改/etc/make.conf中的设置，使其自动设置这个变量，以方便安装过程。 在这些工具中，最重要的还是ssh，因为它提供了Unix系统最基本访问功能的安全实现，如终端访问、文件传输功能。当使用ssh访问服务器时，服务器首先发送自己的公用密钥，客户可以使用这个密钥加密自己产生的随机密码，此后客户和服务器使用这个密码，用传统的算法，如IDEA、DES等方法来加密通信数据。对于任何希望增强安全性的系统来讲，使用ssh来代替telnet,ftp以及rlogin,rsh,rcp等命令，都是最优先要考虑的措施。网络安全敏感的系统一般都要屏蔽telnet,rlogin等方式，而使用ssh提供远程访问。 ssh有两个不同的版本，ssh1和ssh2，这两个版本互不兼容。由于ssh1更为流行，在非Unix系统之外也拥有不同的客户程序，一般需要使用ssh1，否则就会遇到与其他ssh的服务器系统和客户软件不兼容的问题。ssh2 功能更为强大，然而其提供的额外功能一般不需要，ssh1提供的能力已经是绰绰有余的了。Ports Collection中这两个版本使用同样的安装位置，不能同时安装。 安装了ssh之后，ssh将自动产生它所使用的公用密钥，这个密钥和ssh的设置文件保存在/usr/local/etc/ 目录中，不需要改动这些设置，直接启动ssh守护进程sshd就可以正常提供ssh登录服务了。通过Ports Collection安装的ssh的sshd位置为/usr/local/sbin/sshd。启动sshd之后，ssh客户程序就能登录和使用这台系统，可以 立即使用命令ssh来连接本地系统。 bash-2.02$ ssh localhost wb@localhost's password: Last login: Wed May 19 08:14:13 1999 from 202.102.245.72 Copyright (c) 1980, 1983, 1986, 1988, 1990, 1991, 1993, 1994 The Regents of the University of California. All rights reserved. FreeBSD 3.1-RELEASE (wb) #6: Thu Apr 22 18:29:12 CST 1999 Welcome to FreeBSD! Ports Collection会在/usr/local/etc/rc.d目录下放置ssh的启动文件sshd.sh ，用以在系统启动时自动启动sshd。 sshd使用端口22来监听用户的连接请求，需要调整网络中防火墙系统的设置，打开对ssh服务器端口22的连接请求，以便让网络之外的客户能够发送请求并建立连接。由于ssh系统相当安全，不必担心这样作会带来安全问题。 当在低速网络上使用ssh的时候，就会希望网络连接的效率更高，可以在客户端启动ssh时使用压缩选项-C，这将使用与gzip相同的压缩算法对数据先进行压缩再传输，能用来提高传输非压缩数据的效率。 同样文件传输也能通过加密的方式进行，ssh提供了scp用于复制远程文件，它的参数与rcp使用的参数相同，用与email地址相似的方式标识远程主机及确定的用户，然后再是文件位置。 bash-2.02$ scp vpn.txt wb@remotehost:vpn.txt wb@mx's password: vpn.txt | 1 KB | 1.5 kB/s | ETA: 00:00:00 | 100% 对于使用Windows系统的客户，可以从Internet中下载运行在Windows下的ssh客户程序。支持ssh的仿真终端软件有： TTSSH http://www.zip.com.au/~roca/ttssh.html SecureCRT http://www.vandyke.com/ F-Secure http://www.DataFellows.com） ssh的另一项强大能力是可以在客户机和服务器之间建立加密传输通道，从而能将本地的数据转发到远端的服务器上。这种功能最常用于将X Window的数据包进行转发，以便能在本地X服务器上通过ssh连接到远程，然后在ssh的连接终端上启动远程计算机上的X应用程序，但显示到本地X服务器上。此时X系统的通信数据是通过ssh建立的加密通道进行传输的，而不是普通情况下直接通过网络进行的传输，因此就保证了安全性。这种X11转发功能不需要任何设置，包括设置DISPLAY 环境变量或-dislay参数，因此同时兼具安全性和方便性。 bash-2.02$ ssh remotehost /usr/X11R6/bin/xterm wb@remotehost's password: Waiting for forwarded connections to terminate... The following connections are open: X11 connection from remotehost port 3979 此外，还可以使用ssh转发其他不同的TCP连接，这样就不必担心数据在通过不安全的网络部分时的安全问题了。这首先需要使用ssh的-L参数定义本地端口和要转发的远程服务器端口的对应关系。 bash-2.02$ ssh remotehost -L 1234:192.168.3.1:23 wb@remote's password: 如果使用上例建立ssh连接之后，任何对本地端口1234的连接请求，将首先转发给ssh，然后再由ssh服务器连接远端计算机的相应端口上。 使用ssh和ppp建立安全连接 由于ssh能在客户和服务器之间建立加密连接，因此它能和其他程序合作，如ppp，建立安全的网络通道。这种建立VPN的方式虽然不符合任何标准，然而却十分有效。对于FreeBSD系统之间，以及FreeBSD与其他Unix 系统之间，都可以使用这种方式建立虚拟专有网络连接。 无论使用ppp或者是pppd，都能用于和ssh协作建立VPN。然而ppp更易于使用和设置，FreeBSD 下，通常使用ppp程序建立ppp连接，因此这里就介绍使用ppp程序建立虚拟安全连接的方法。 在/etc/ppp/目录下的ppp缺省配置文件ppp.conf中，已经提供了一个和外部程序协作，建立安全ppp连接的基本例子。就是由ppp启动外部程序建立连接，通过认证之后自动在远端执行ppp服务器，从而建立ppp 连接。这种方法中ppp通过set device命令设置使用管道启动外部命令，但是这种管道方法不能和ssh很好的合作。因为进行认证的口令是ssh直接从终端设备上读取的，而在通道方式中ppp供应口令是通过标准输入/输出进行的，因此这些认证信息到达不了ssh中，就造成不能通过ssh认证建立连接。 为了修正这个问题，让ppp程序能够建立ssh加密连接，一个解决办法是使用外部拨号程序，首先使用外部程序首先进行ssh认证，认证之后再将标准输入输出交回ppp，而外部程序可以生成伪设备文件直接控制ssh进行验证，然而需要使用者进行一些编程工作，并使用这个伪设备文件作为通信设备。另一种方式是通过设置ssh系统信任，使其不需要进行标准方式的口令认证（可以使用事先分发的公开密钥进行认证），显然这不是一个简单且安全的解决办法。更好、更简单的办法是使用ssh的TCP/IP转发能力，结合ppp建立IP通道的能力，从而建立安全的专有连接。 为了建立ssh转发条件下的安全专有连接，首先回顾使用ppp建立IP通道的方法，这个方法在前面设置ppp 时介绍过。可以根据这些设置来设置客户端ppp配置文件ppp.conf，建立与本机的IP通道。 vpnclient: set timeout 0 set log phase chat connect lcp ipcp set dial set ifaddr 192.168.4.10 192.168.4.1 255.255.255.0 set device localhost:3333 上面vnpclient的拨号设备设置为本地端口3333，与建立标准IP通道时的设置是不同，这里设置的是本地计算机的端口。而服务器端的设置为： vpnserver: set timeout 0 set log phase lcp ipcp command set ifaddr 192.168.4.1 192.168.4.10 255.255.255.0 allow mode direct enable proxy 为了建立安全连接，与设置IP通道类似，服务器端也需要设置使用inetd之类的超级服务器程序来启动ppp 服务器，回应客户端的请求以在IP通道上建立PPP连接。需要修改/etc/services，增加启动ppp服务器的端口号。 ppploop 6671/tcp # loopback ppp daemon 然后修改/etc/inetd.conf文件，增加对ppp服务器启动的支持，并重新启动inetd。 ppploop stream tcp nowait root /usr/sbin/ppp ppp -direct vpnserver 但是，由于ppp客户是向本地计算机发送连接请求，而非直接将请求发送给PPP服务器，因此就需要启动ssh，并建立相应的数据包转发功能，将转发的目标端口设置为服务器上ppp监听的端口。 bash-2.02$ ssh remotehost -L 3333:remotehost:6671 wb@remotehost's password: 此后，可以在本地使用ppp连接本地的转发端口，直接建立安全连接。 bash-2.02# ppp -b vpnclient Working in background mode Using interface: tun0 PPP enabled. bash-2.02# ifconfig tun0 tun0: flags=8051 inet 192.168.4.10 --> 192.168.4.1 netmask 0xffffff00 未完，待续。。。 |
| 来源:http://freebsd.online.ha.cn/ |