방화벽과 패킷 계정(accounting) 개요 11.. �타맒스뵀크� 대부분의 사용(private) 네트워크는 보안상의 이유로 인터넷에 직접 연결되지 않습니다. 그래서 공중망과 개인네트워크간의 라우터 역할을 하는 머신으ㄴ 방화벽이라 불립니다. 방화벽이란 자동차에서 엔진부위에서의 화재로부터 승객을 보호하기 위한 부품입니다. IP 네트워크에서 이 용어가 유추(analogy)되어 사용되는 이유는 _�_�_�_�_�_鳧� "뜨거운", 때때로 과도하게 뜨거운, 장소라는 사실로부터 유래합니다. _�_�_�_�_�_鳧막觀壙� 당신의 사용 네트워크로의 충격(impact)을 제한하는 것이 좋습니다. 22.. �패斤킷� �필脚터拷링� 패킷 필터링은 당신의 컴퓨터로 하여금 IP 패킷을 다음의 기준에 의하여 철회하거나 허용토록 합니다. o 출발지. o 목적지. o 수신되는데 사용된 인터페이스. 출발지와 목적지는 다음의 정보로부터 제한됩니다.: o IP 넘버. o 포크 번호. o 프로토콜. 33.. �양濚방戀향� �규敦칙� 당신이 입력하는 규칙들은 양방향성을 갖습니다. 하나의 화면에서, 당신은 출발지로부터 목적지로의 패킷 필터링을 제한합니다. 이것은 이것이 당신이 인터페이스를 두번 지정하도록 허용하는 이유입니다. 44.. BBlloocckkiinngg �규敦칙� 수신 시점에서 당신의 컴퓨터에 의하여 허용되는 패킷을 제어할 수 있습니다. Blocking 규칙은 수신 시점에서 일부 패킷을 버릴 수 있도록 허용합니다. 55.. �포殆워緻팅�((ffoorrwwaarrddiinngg)) �규敦칙� 당신의 컴퓨터로부터 출발하는 패킷을 제어할 수 있습니다. 당신은 전달 시점에서 패킷을 버릴 수 있습니다. 대부분의 방화벽은 blocking 규칙을 이용하여 설치될 수 있습니다. 포워딩 규칙중의 한가지 특별한 경우는 masquerading 규칙입니다. 이것은 같은 사용자 인터페이스에서 다루어집니다(간단한 채크 박스로) 66.. �전渙반鳧적岵으막로�((gglloobbaallllyy)) �혹ㅐ은� �선궈택쳄적岵으막로� �규敦칙♣을� �활갸성뵌화� 당신은 어느 한가지 규칙 혹은 모든 규칙을 삭제함이 없이도 비활성화 시킬 수 있습니다. 이것은 첫째로 방화벽 기능을 시험해 보기에 편리하고, 그리고 스위칭 가능한 정책을 수립하기에 편합니다. 각각의 규칙은 활성화시키기 위한 체크 박스를 가지고 있습니다. 모든 blocking 규칙과 모든 포워딩 규칙을 일시에 활성화 또는 비활성화 시킬 수 있는 하나의 화면이 제공됩니다. 77.. �모醍든� �것痼이� �잘� �못� �될� �경嚥우荑에〈는� _�_�_�_�_�_봇【�의 방화벽이 작동하지 않을 수 있습니다. 부적절한 구성(configuration)은 시스템을 절름발이로 만들 수 있습니다. 이중에 당신의 하루를 보상해 줄 수 있는 명령어 한 가지는 netconf --resetfw 이 명령어는 모든 방화벽 규칙을 비활성화 시킵니다. 이것은 구성(configuration)에 영향을 주지 않고, 단지 현재 활성화된 규칙들에만 적용됩니다. netconf --update 은 규칙들을 재활성화 시킵니다. 당신은 이들 두가지 명령어들을 당신의 방화벽 규칙들에 의하여 네트워크에 오작동이 발생하였는지를 점검하는데 이용할 필요가 있을 것입니다. 88.. LLiinnuuxxccoonnff�에【서��의� �방捐화��벽� �논磁리�((llooggiicc)) _�_�_�_�_�_봇【�의 방화벽은 매우 융통성 있는 것이며 매우 복잡합니다. _L_i_n_u_x_c_o_n_f는 방화벽 규칙을 간단하게 작성하기 위한 간단한 논리를 제시합니다. 이 논리가 방화벽을 생성하고 유지하는 것을 돕는 반면에, 일부 구성(configuration)은 linuxconf로 생성되지 않습니다. 여기에 그 논리(logic)가 있습니다. 88..11.. �적兮극蔓적� �논磁리�((PPoossiittiivvee llooggiicc)) 당신이 3 가지 방화벽 시스템(input, forward, output) 중의 하나를 활성화시킬 때, _L_i_n_u_x_c_o_n_f는 기본 정책(policy)을 _�_�_�_�_(_d_e_n_y_)로 설정할 것입니다. 당신이 입력하는 모든 규칙들은 사실상 방화벽의 구멍, 혹은 틈새가 될 것입니다. 당신이 아무런 규칙도 입력하지 않는다면, 당신의 머신은 전혀 대답하지 않는 매우 고립된 시스템일 것입니다. 88..22.. �미見리� �처낱방役된� �방捐화��벽� �해晩법� 여기에 간단한 네트워크의 예가 있습니다. 대부분, 당신은 eth0로 지역(local) 네트워크를 지시할 것입니다. 이 네트워크에는 외부로부터 어떤 것도 도달할 수 없어야 합니다. eth1은 인터넷 상의 라우터를 지시합니다. 88..22..11.. BBlloocckkiinngg �규敦칙�:: �모醍든� iiccmmpp �패斤킷뗌을� �허施용� 프로토콜 icmp -----------From--------------- 호스트 혹은 네트워크 0.0.0.0 네트마스크 포트 범위 다른 포트 인터페이스 eth1 -----------To----------------- 호스트 혹은 네트워크 eth1 네트마스크 포트 범위 다른 포트 인터페이스 Any 88..22..22.. BBlloocckkiinngg �규敦칙�:: DDNNSS �패斤킷떳만맛을� �허施용� 최종적으로 허용되는 포트(Ultimatly only port) 프로토콜 udp -----------From--------------- 호스트 혹은 네트워크 0.0.0.0 네트마스크 0.0.0.0 포트 범위 다른 포트 인터페이스 eth1 -----------To----------------- 호스트 혹은 네트워크 eth1 네트마스크 포트 범위 다른 포트 인터페이스 Any 99.. LLiinnuuxxccoonnff �에【서��의� �방捐화��벽� �지熾원� �상纘태� 최근 들어 방화벽은 핫 토픽(hot topic)이며 마술(black art)과 같은 것입니다. _L_i_n_u_x_c_o_n_f는 이것을 보다 알맞게 잘 다듬고자 합니다. 저자는 이 토픽에 대하여 많은 코멘트를 기대합니다.