حق چاپ ، توزيع و تغيير اين سند تحت شرايط و مفاد و جواز مستند سازي GNU FREE ، نسخه يك عملي است . و اين جا بخش هاي غير متغير مقدمه هستند و بخش هاي زيرين با متون Front - Cover مىتوانند اطلاعات محقق Oskar Andreasson را بيان كنند و متون Back - Cover استفاده نشده اند نسخه اي از اين جواز در بخش جواز مستند سازي GNU FREE آمده است .

تمام دست نوشته ها در اين آيين نامه با جواز عمومي GNU طراحي شده اند اين دست نوشته ها منبع آزاد دارند . شما مىتوانيد مجدد آنها را توزيع كنيد و تحت شرايط جواز كلي GNU تغيير دهيد همان طور در نهاد نرم افزاري FREE نسخه 2 جواز ديده شد. اين دست نوشته ها با اين اميد توزيع مىشوند كه مفيد واقع شوند ولي شماتتي در اين جا وجود ندارد . بدون مجوز توانايي تجاري و يا تناسب اهداف خاص به اين هدف دست مىيابيد . جهت جزئيات بيشتر به جواز عمومي GNU مراجعه كنيد .

شما بايد نسخه اي از اين جواز را در اين آيين نامه بيابيد كه تحت بخش جواز عمومي GNU آمده است . در غير اين صورت با موسسه به آدرس زير تماس بگيريد .

اهداهاي مربوطه

ابتدا مىخواهم اين سند را به دوست دختر خود Ninel اهدا كنم . او بيش از آنچه كه تصور مىكردم حامي من بود . من اميدوارم كه بتوانم با اين اهدا شما را نيز خوشحال كنم . دوم آنكه مايل هستم اين اثر را به تمام موسسه دهندگان linux تقديم كنم . اين افراد سيستم عامل جالب را طراحي كرده اند .

فهرست مطالب:

در مورد مولف چگونگي خواندن

شرط لازم نهادهاي مورد استفاده در سند

1- مقدمه 1-1 : چرا اين سند نوشته شد 2-1 : چگونگي نوشتن آن

3-1 : اصطلاحات مورد استفاده 2-آماده سازي

1-2 : درك جا iptables را بدست آوريم 2-2 : نصب kernel

3-2 : نصب در محل كاربر

1-3-2 : كامپايل برنامه هاي كاربر 2-3-2 : نصب بر RED HOT 7/1

3- جستجوي جداول و زنجيره ها 1-3 : كليات 2-3 : جدول Mangle

3-3 : جدول فيلتر 4- ماشين حالت

1-4 : مقدمه 2-4 : ورودي Conntrack

3-4 : حالات محل كاربر 4-4 : اتصالات TCP

5-4 : اتصالات UDP 6-4 : اتصالات ICMP

7-4 : اتصالات پيش فرض 8-4 : رديابي اتصال و پروتكل پيچيده

در مورد محقق

من داراي كامپيوترهاي فراوان هستم . من يك كامپيوتر LAN دارم و تمام ماشين ها بر اينترنت وصل هستند ولي بايد LAN ايمن حفظ شود . iptables جديد يك نسخه ارتقا يافته از ipchain مىتوانيد يك شبكه ايمن بسازيد و اين امر با حذف بسته هاي آتي عملي است . با اين وجود FTP انفعالي و يا DGE در TRC مسائلي به دنبال دارند . مسائل دندانه اي كردن در كد iptables در سطح آغازين حل نشده اند . امروزه هر كس را كه از آنها استفاده مىكند به سوي نسخه توليد كامل راهنمايي مىكنم و ipfwadm را ارتقا دارم . اين كه فعلي مىتواند در صورت نياز استفاده شود .

چگونگي خواندن :

اين سند به درستي نوشته شده است . بنابراين مىتوانيد به نكات جالب iptables پي ببريد . اين به معناي اطلاعات خاصي در مورد اشكالات ايمني خاص در iptables يا Netfilter نيست اگر اشكالات خاص و رفتارهايي را در iptables و هر زير مولف يافتيد با ليت پست Netfilter تماس بگيريد و سپس خواهيد توانست اشكالات واقعي را بشناسيد و حل كنيد اشكالات ايمني واقعي در iptable و Netfilter فراوان هستند و يك يا دو اشكال در آن واحد گزارش شده است . آنها در صفوف اصلي Netfilter آمده اند بايد اطلاعات را در مورد موضوع ارائه كنند .

مىتوان گفت مجموعه قوانين موجود در اين سند پيرامون اشكالات واخل Netfilter نمىباشند . هدف اصلي توصيف چگونگي نصب قوانين در يك حالت ساده است به طوري كه بتوان مسائل داخل كرد به عنوان مثال اين سند نشان نمىدهد كه چگونه HTTP PORT به دلايل مفاد بسته مي‌شود آنطور كه Apache در نسخه 12-2-1 گزارش كرد. اين سند براي هر كس قابل استفاده است و مىتواند نشان دهد كه چگونه با iptable مىتوان كار را آغاز كرد ولي در آن واحد يك روند تكامل را نيز پيچيده است . اين جا اهداف و هماهنگي ها در patch - matic بيان نمىشوند . ارتقا نياز است . اگر اطلاعات بيشتر در مورد اين ارتقا لازم داريد بايد patch - matic و ديگر اسناد را در صفوف اصلي Netfilter مطالعه كنيد .

شرط لازم :

اين سند به معلومات در مورد linux linux ، دست نوشته لايه اي ، و چگونگي كامپايل كردن kernel و بخش دروني آن نياز دارد .

من سعي كرده ام تا تمام شرايط را قبل از توصيف اين سند بررسي كنم ولي نمىتوان تمام اطلاعات قبلي را مطرح كرد .

نهادهاي مورد استفاده در اين سند : اين نهادهاي در سند زمان دستورات ، فايل و ديگر اطلاعات خاص استفاده مىشوند .

- گلچين كد و خروجي دستور اين چنين است و تمام خروجي ها در فونت پهناي ثابت و دستور مكتوب كاربر به صورت bold هستند:

- تمام دستورات و نام هاي برنامه در اين سند در حالت bold هستند:

- تمام item سيستم مانند سخت افزار و مولف دروني kernel و item سيستم انژاي مانند روابط حلقه اي كه در حالت italic آمده اند

- خروجي كامپيوتر به شكل this way در متن ظاهر مىشوند .

- نام فايل و مسير در سيستم فايل به شكل ….

فصل 1 : مقدمه

1-1 : چرا اين سند نوشته شد :

من فضاي خالي بزرگي را در HOW TOS يافتم و در آنجا اطلاعات در مورد iptable و نقش Netfilter در linux 1/4x kernel جديد كافي نبود . در بين آنها مىخواهم به سوالاتي پاسخ دهم كه در مورد احتمال جديد مانند مطابق حالت بوده اند . بخش اعظم آن به صورت فايل rc…. است كه در دست نوشته etc…. آمده است . اين فايل اصولاً بر اساس ارتقاي idowt. است .

يك دست نوشته كوچك در مورد اجراي برنامه و راه اندازي سيستم به صورت rc…. در دسترس است .

2-1 : چگونگي نوشتن :

من با مارك باكر و ديگران در سيستم Netfilter مشورت كردم . بسياري از آنها در اين اثر مستند به من كمك نموده اند و در اين جا سعي كرده ام از سايت Fr.zentux.Net خود استفاده كنم . اين سند فرآيند نصب را مرحله به مرحله نشان مىدهد و در مورد طرح iptables است . من مثالهاي فايل re.Firewall و مثالهاي يادگيري استفاده از iptables را نيز ارائه كرده ام در اين جا بايد تابع زنجيره هاي اصولي باشيد و آنها را در كنار هم قرار دهيد . به اين ترتيب سند مىتواند آماده شود و روش منطقي تر را نشان دهد . هر زمان كه اين درك مشكل باشد به اين سند مراجعه كنيد .

3-1 : اصطلاحات مورد استفاده در سند :

اين سند داراي اصطلاحاتي است كه به تشريح نياز دارند قبل از اينكه آنرا مطالعه كنيد . در اين بخش توصيف آنها و چگونگي انتخاب آنها در سند آمده است .

ترجمه آدرس شبكه مقصد - DNAT - روش ترجمه آدرس IP مقصد در بسته اشتاره دارد و يا تغيير آنرا نشان مىدهد . اين با SNAT استفاده شد و به كاربرها در به اشتراك گذاري آدرس IP اينترنت كمك مىكند و خدمات سرويس دهنده را ارائه مىنمايد. اين روند با تعيين port متفاوت با آدرس IP عملي است و مسير linux را براي ارسال ترافيك نشان مىدهد .

جريان- اين اصطلاح به روابط ارسال و دريافت بسته ها در رابطه با روش جديد اشاره دارد . اصولاً اين اصطلاح براي يك نوع ارتباط به كار مىرود كه دو يا چند بسته را در دو جهت ارسال مىكند . در TCP اين به معناي ارتباطي است كه يك SYN را ارسال مىكند و سپس با SYN/ACK جواب مىدهد ولي ارتباط ارسالي SYN و جواب ميزبان ICMP نيز مهم است . به عبارت ديگر از اين اصطلاح به خوبي استفاده نمي‌كنم .

SNAT - ترجمه آدرس شبكه منبع اين اصطلاح به روش ترجمه آدرس منبع به ديگري اشاره دارد . اين براي چندين ميزبان وجه اشتراك گذاري آدرس IP اينترنت به كار ميرود زيرا نقص آدرس IP در IP 74 مطرح است ( IP 74 اين را حل مىكند )

حالت - اين اصطلاح بحالت بسته طبق پروتكل كنترل انتقال RFC 793 اشاره دارد و در Netfilter/iptable به كار مىرود . توجه كنيد كه حالات دروني و خارجي تابع ويژگي RFC 793 است . دليل اصلي آن است كه Netfilter بايد چندمين فرضيه در مورد ارتباط و بسته ها ارائه كند . فضاي كاربر - اين اصطلاح به هر چيز كه در خارج kernel روي دهد اشاره دارد به عنوان مثال تحريك iptable-h در خارج kernel است ولي iptable - A Forward p - tcp jAce Ept در kernel است زيرا قانون جديد به مجموعه قوانين اضافه مي‌شود .

فضاي kernel - اين نكاتش برخلاف فضاي كاربر است اين اقدامات را در kernel نشان مىدهد و همه در خارج آن .

قلمرو كاربر - به فضاي كاربر مراجعه كنيد .

فصل 2 : آماده سازي : اين فصل توصيف درك نقش Netfilter و iptable در linux است . در اين جا بايد كار با آزمايش آغاز شود و نصب عملي شود . با زمان كافي مىتوانيد آنرا دقيقاً اجرا كنيد .

1-2 : كجا به iptable دست يابيم :

بسته فضاي كاربر iptables مىتواند از آدرس زير down load شود :

http……….

اين بسته iptable تسهيلات خاص فضاي kernel را نشان مىدهد كه در طي توليد سيستم طراحي شده اند مراحل لازم به تفصيل بررسي خواهند شد .

2-2 :نصب kernel :

براي اجراي اساس iptable بايد گزينه ها در kernel راه اندازي شوند و سيستم با دستورات مربوط آماده شود .