科技行者

行者学院 转型私董会 科技行者专题报道 网红大战科技行者

知识库

知识库 安全导航

至顶网安全频道使用Linux构建无线网关/防火墙

使用Linux构建无线网关/防火墙

  • 扫一扫
    分享文章到微信

  • 扫一扫
    关注官方公众号
    至顶头条

本文介绍的是无线局域网的一种扩展应用,一个严重的问题是安全问题,此前,B大厦的网络持续受到来自Internet的攻击,经过论证,我们决定增加一台或两台防火墙机器来抵御黑客攻击。当时Linux 2.2系列内核……

作者:51CTO.COM 2008年4月14日

关键字: Linux 无线网关 防火墙 安全带宽 无线收发设备 单用户模式

  • 评论
  • 分享微博
  • 分享邮件

    安全与带宽的危机

  某企业大厦网络(以下简称B大厦)受到了带宽和安全问题的困扰,为此,网络中心开始酝酿网络的升级改造。

  B大厦内有研究院、集团、公司等单位。大厦内所有的计算机使用某大学(以下简称A大学)校园网分配的真实Internet IP,共有7个24位掩码网段,下面又进一步划分了不同掩码长度的子网,计有近500台计算机,运行Windows NT、Windows 9x、Solaris、AIX、IRIX等多种操作系统。中心交换机为IBM 8274,安装了两个百兆交换模块。中心服务器(Web、FTP、文件共享、光盘库、Exchange Server、SMS、LotusNotes Domino、NT PDC/BDC、DNS、WINS、Proxy)使用PC/Alpha平台,全部直接连至8274的百兆交换端口。4个楼层各有一个百兆交换机分别使用3Com 3800(3C16910)、Intel E550T等型号,全部为三层可管理并支持VLAN。每个楼层交换机都上行至8274的百兆端口。内部网络运行稳定,速度基本上能够满足要求。

  B大厦的网络通过无线网络设备和A大学办公楼相连,两端相距7km各有一台运行NetWare 3.x的无线网关机器,两台机器各装有一块AT&T WaveLan无线网卡,通过楼顶的高增益天线对连,连接速率为2Mbps。办公楼的主干网络是由4台Digital 900EF路由器组成的FDDI双环。其中一台900EF连接到A大学校园网作为Internet出口,另外3台各自接到不同的部门,有一台接到无线网关。

  当时,B大厦内已经有员工400多人。2Mbps的Internet接入带宽远远跟不上需求。从网络结构上看,FDDI环通过10兆交换以太网端口接入A大学校园网,B大厦的主干网络为百兆以太网,因此整个网络的瓶颈为无线网。

  为了解决带宽问题,我们探讨了多种方案,首先是敷设光纤。因为牵涉到市政等多方面的因素,敷设光纤的费用颇高,是我们无法承受的。而租用专线首先速度不能满足要求,费用也不低,没有必要,因此我们决定仍然使用无线网的方式,使用新的快速无线网技术对旧有设备进行升级。

  另一个严重的问题是安全问题,此前,B大厦的网络持续受到来自Internet的攻击,包括MailSpam、PoD、大规模的端口扫描等,多次造成Exchange服务器宕机和Internet访问中断,影响了企业的日常运作。当时采用的安全措施是在FDDI环的第一台900EF上进行IP访问限制,而900EF属于已经过时的设备,仅支持简单的包过滤。早已不能满足网络安全的需要。另一方面,B大厦的内部网对外几乎完全没有设防,从外部可以很容易地窃取内部网未经严格设置的员工机器上的信息。必须采取措施防止这类问题的发生。

  经过论证,我们决定增加一台或两台防火墙机器来抵御黑客攻击。当时Linux 2.2系列内核刚发布不久,2.2.x中全新的IPChains代替了从BSD中移植来的ipfw,在性能和配置方面得到了各方的好评,因此我们初步决定采用Linux系统配置IPChains来作为新的包过滤防火墙。

  此外,还有IP的浪费问题也引起了我们的注意,因为两台无线网关占用了整整两个24位掩码网段。这是由于NetWare 3.x使用早期的RIP协议,不支持子网的进一步划分。我们也希望通过升级来省出IP,以便适应日益增长的网络规模的需要。

    • 评论
    • 分享微博
    • 分享邮件
    邮件订阅

    如果您非常迫切的想了解IT领域最新产品与技术信息,那么订阅至顶网技术邮件将是您的最佳途径之一。

    重磅专题
    往期文章
    最新文章