日本免费全黄少妇一区二区三区-高清无码一区二区三区四区-欧美中文字幕日韩在线观看-国产福利诱惑在线网站-国产中文字幕一区在线-亚洲欧美精品日韩一区-久久国产精品国产精品国产-国产精久久久久久一区二区三区-欧美亚洲国产精品久久久久

  1. 首頁 > 云知道 > >

用ipfilter實(shí)現(xiàn)透明代理( 四 )

云知道


好在RealPlayer提供與防火墻兼容的模式, 可以設(shè)置為只使用TCP Port
7070, 7071, 554 三個(gè)端口連接Server, 與我們的防火墻正好吻合. 在防火墻工作正常后, RealPlayer 8 的設(shè)置方法是:





啟動(dòng)RealPlayer

選擇菜單 View -> Perferences -> Transport

選擇Auto-Configure, RealPlayer可以自動(dòng)為你設(shè)置為TCP
Only的方式. 也可以手工設(shè)置, 去除UDP的方式, 只用TCP的方式.


其他版本的設(shè)置方法, 請(qǐng)參照 target=_blank>http://service.real.com/firewall/adminfw.html



QQ的問題


網(wǎng)上有關(guān)QQ問題談得很多, 我使用的是MSN,
因才對(duì)QQ不是很了解, 只能做一下簡(jiǎn)單的分析. 理論上講, 通過服務(wù)器轉(zhuǎn)發(fā)或向外發(fā)送一般是沒有什么問題的, 問題一般出現(xiàn)在無法正常收到對(duì)方以UDP方式發(fā)送的消息,
該消息無法通過我們的防火墻.
不過這種說法對(duì)防火墻來講不公平, 增加一條規(guī)則允許該UDP的包通過非常簡(jiǎn)單. 問題實(shí)際是在NAT上, 我們使用了192.168.0.0/16這樣的內(nèi)部地址. 當(dāng)QQ向服務(wù)器注冊(cè)時(shí), 實(shí)際使用的是Gateway的地址, 但是如果內(nèi)部有多個(gè)人使用QQ,
服務(wù)器也會(huì)把這些QQ號(hào)碼連接到這個(gè)IP上, 其他用戶根據(jù)服務(wù)器提供的地址從外部發(fā)送UDP包到了Gateway,
Gateway就不知道應(yīng)該把消息轉(zhuǎn)發(fā)給誰. 因此這并不是一個(gè)簡(jiǎn)單的允許數(shù)據(jù)包通過的問題. 與此相同的問題還有netmeeting. 解決的方法, 一是允許用戶全部通過服務(wù)器轉(zhuǎn)發(fā), 防火墻能夠很好地處理這樣的問題. 我相信MSN就是這么做的. 但這需要QQ
service provider的合作, 而且對(duì)他們的服務(wù)器會(huì)有更高的要求. 另一種方法是類似ftp client的解決方式, 在Gateway上增加proxy. 我沒有QQ的資料, 不能妄下結(jié)論.



FTP的問題


FTP協(xié)議



這是一個(gè)由于FTP協(xié)議所造成的問題, 讓我們先看一下FTP協(xié)議.
FTP一般需要使用兩個(gè)端口, 端口21只是一個(gè)命令端口, 真正傳送數(shù)據(jù)的時(shí)候, 還需要另外一個(gè)數(shù)據(jù)端口. 問題就出現(xiàn)在第二個(gè)數(shù)據(jù)端口上.
打開這個(gè)數(shù)據(jù)端口的時(shí)候有兩種方式, 一種是passive(PASV command)方式, 由FTP Server端提供一個(gè)連接的IP/Port, FTP
Client連接到這個(gè)IP/Port上進(jìn)行數(shù)據(jù)傳輸. 另一種是active(PORT command)方式, 由FTP Client提供IP/Port,
再由FTP Server回叫至Client提供的地址. 具體采用哪一種方式, 是由FTP
Client決定的, Client通過PASV或PORT命令通知Server采用什么方式. 正是這樣的握手方式, 給Server端和Client端都造成了麻煩. 這個(gè)問題的具體描述詳見
target=_blank>http://www.daemonnews.org/200109/ftpnat.html



FTP Server



Server端一般不希望使用passive方式, 這種方式要求防火墻動(dòng)態(tài)地打開PASV的端口.
而active方式對(duì)于Server的防火墻沒有什么特殊的要求. 但是FTP
Server是不能選擇的, 除非聲明不支持passive方式. 一般的解決方法是, 在防火墻上固定地打開一些端口, 如 15001-19999, 每次通信, FTP
Server軟件可以從這些端口中選擇一個(gè)作為PASV的端口通知FTP Client. 如果你的FTP
Server不支持指定passive端口范圍, 你應(yīng)該考慮更換FTP Server了. 這種方式防火墻需要增加規(guī)則



pass in quick on tun0 proto tcp from any to 0/32 port 15000>< 20000
flags S keep state keep frags



FTP Client



根據(jù)上面的協(xié)議規(guī)則, 如果FTP Client采用passive方式, 對(duì)于防火墻來講沒有什么特殊的要求, 我們可以把問題留給FTP Server.



好消息是，一般的FTP Client軟件都支持passive方式, 我使用的網(wǎng)絡(luò)螞蟻(netant), 網(wǎng)際快車(FlashGet)默認(rèn)方式都是passive,
WS_FTP是可以設(shè)置的, 這樣防火墻就不需要特殊處理了. Unix下需要設(shè)置



FTP_PASSIVE_MODE=yes; export FTP_PASSIVE_MODE



壞消息是, 瀏覽器的FTP使用的是active方式, 而且好像還不能更改. 不過現(xiàn)在直接使用瀏覽器FTP的人已經(jīng)是很少了

推薦閱讀