首页 新闻 | 职场培训 服务: 技术圈 | 论坛 | 博客 | 招聘 | 软件 | 辞典 | 网址 | 白皮书 | 教程 | 专题
文档: 前沿技术 | 组网 | 系统应用 | 安全 | 编程 | 存储 | 操作系统 | 数据库 | 服务器 | 案例库 | 产品
专栏: Java | 防病毒 | 路由 | 交换 | iSCSI | SAS | 刀片 | Cisco | Linux | Oracle | SQL | SOA | Solaris

在网络管理方面从事了多年的研究和实践工作，对Linux等操作系统有着深厚的功底。
现任某知名IT企业系统管理员，主要负责办公网络主干维护、业务系统的上线、全部业务系统的服务监控、网络接口流量监控、系统故障处理与恢复工作，为开发团队提供系统方面的技术支持。
访谈:Linux/Solaris服务器的安全配置

【活动目的】让51CTO的技术专家与网友更高效、更愉快的交流，一直是困扰51CTO兄弟们的问题。我们特别做了一个专家与用户之间互动活动的调查（调查详情请点击），此次调查我们发现网友希望与专家之间的交流是多方面的，包括：专家成长为CTO的经历、对各种IT培训的认识、IT技术人员的就业情况、企业对IT技术人员的具体要求、专家每天的主要技术工作………………。

点击进入第三期活动现场内容>>
以往访谈实录：
谈网管生活 聊职业规划
网络运营管理及网络设计、构架
Windows平台，企业网站漏洞的攻击和防御
专家观点
· 怎样同时关闭expn和vrfy？
· 如何在Linux下关闭p2p？
· 怎样关闭echo广播来防止ping攻击？
· solaris的安全配置应该从哪些方面入手？
· Linux做的DNS服务器跟Windows做的DNS服务器的性能跟安全有何区别？
· 关于solaris9限制ip访问的问题？
欢迎参与调查

您认为此次访谈是否对您有帮助？
受益匪浅
效果一般
没有帮助


您是否将一直关注51CTO.com社区的系列访谈？
持续关注
关注感兴趣的话题
不关注


论坛系列座谈进行中……
第四期访谈介绍


相关专题推荐
· 中小企业防病毒解决方案
· 信息安全等级保护专题		 · DDoS攻击防御与分析
· ARP攻击防范与解决方案		 · 脚本攻击和防范
· 打造安全服务器

Linux/Solaris服务器的安全配置本专题中全部内容均为个人访谈实录，并不代表51CTO观点
田逸发言
 田逸感言
给田逸留言
去田逸网上的家

大家好，很高兴能在"专家坐诊"这个栏目与大家见面，并共同探讨关于Linux/Solaris服务器的安全配置话题，大家平时在工作中遇到有什么疑难杂症可以发表出来一起研究，欢迎大家踊跃发言。


问题1
 请问专家如何拒绝sendmail的EXPN,同时也希望关闭VRFY,谢谢
给田逸留言
去田逸网上的家

如果要运行sendmail，请修改邮件发送配置文件（通常位于/etc/sendmail.cf)，将o privacyoptions=authwarnings改为o privacyoptions=authwarnings,novrfy,noexpn，这样可以关闭expn和vrfy的输出。


问题2
 如何在Linux下关闭p2p这样的协议呢,去deny一些电驴和BT呢?
给田逸留言
去田逸网上的家

可以使用协议分析工具——ethereal，ethereal是一个有名的网络端口探测器，是可以在linux、solaris、sgi等各种平台运行的网络监听软件一般说来，ethereal基本上是为破坏者所利用的工具，而对于网络管理员来说，也可以通过捕包分析，来确定一些异常的流量和局域网内部的非正常用户与外界的通信，比如说对于现在比较占用网络带宽的诸如bit torrent 等p2p应用软件流量，通过使用该软件确定这些流量，网络管理员就可以使用流量控制（tc）的方法来规范、合理的分配带宽资源，提高网络的利用率。
ethereal可以在 http://www.ethereal.com/download.html下载。

观点3
 使用FTP时,不能以root用户登录系统，应修改什么配置文件?
给田逸留言
去田逸网上的家

打开文件 ftpusers，如果有root，行首加#号注释掉就可以了。
solaris 10 ftpusers文件在/etc/ftpd目录下。


观点4
 能不能系统说一下solaris的安全配置应该从哪些方面入手？
给田逸留言
去田逸网上的家

安全是一个复杂的问题,不能以一两句话讲的清楚,下面谈谈我的一些想法:
1 先确定需要拿solaris干什么?需要什么样的安全级别?在实际的应用中,solaris大都运行在sun的专用服务器上,跑oracle这样的大型数据库,那么它一般是放在一个私有网络内,要访问它的应用服务器通过私有网络访问这个solaris服务器,但它本身并不对internet的用户提供访问.这样它就筑起了第一道安全防线.
2 安装系统是需要我们以定制的方式进行,安装尽可能少的软件包,安装完成后,需要安装它的各种系统补丁,然后根据要求修改某些内核参数(/etc/system).
3 启用solaris的防火墙工具ipf.根据具体的情况编写配置文件/etc/ipf/ipf.conf
4 其他措施.


观点5
 Linux做的DNS服务器跟Windows做的DNS服务器的性能跟安全有何区别？
给田逸留言
去田逸网上的家

linux/unix的dns多用bind来做,windows的dns基本原理不太清楚.安全和性能方面的比较应该从操作系统本身这方面来考虑.
unix/linux的dns大都采用bind这个工具，windows的dns底层的东西不太清楚。windows的dns相对于linux的bind配置要容易和方便很多。但个人认为bind比windows的dns安全性和稳定性好，要不怎么internet大部分dns是基于linux/unix的bind呢


观点6
 怎样关闭echo广播来防止ping攻击？
给田逸留言
去田逸网上的家

修改下面的内核参数:
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses
echo 63 > /proc/sys/net/ipv4/icmp_echoreply_rate
echo 61 > /proc/sys/net/ipv4/icmp_timeexceed_rate
echo 62 > /proc/sys/net/ipv4/icmp_paramprob_rate
echo 1 > /proc/sys/net/ipv4/icmp_echo_ignore_broadcasts
echo 1 > /proc/sys/net/ipv4/icmp_ignore_bogus_error_responses

或者使用 iptables -i input -t icmp -j drop 干脆把它丢弃


观点7
 本人刚接手管理一台solaris服务器，发现那服务器是限制ip访问的，维护服务器上的oracle数据库带来很大麻烦，请问该如何重新设置限制呢？
给田逸留言
去田逸网上的家

建议设置私有地址或者只允许少数几台服务器访问.
看/etc/ssh/sshd_config文件有没有allowhosts这样的行.看有没有ipf进程,如有,修改配置文件/etc/ipf/ipf.conf符合你的要求,然后重新加载 ipf -f /etc/ipf/ipf.conf


观点8
 怎么样来设置访问策略?
给田逸留言
去田逸网上的家

我有一篇这样的文章 http://sery.blog.51cto.com/blog/10037/5555


观点9
 怎样实现UNIX系统管理员在离开系统之前忘记注销root账户，系统会自动注销。
给田逸留言
去田逸网上的家

在unix系统中root账户是具有最高特权的。如果系统管理员在离开系统之前忘记注销root账户，那将会带来很大的安全隐患，应该让系统会自动注销。通过修改账户中“TMOUT”参数，可以实现此功能。TMOUT按秒计算。编辑你的profile文件（vi /etc/profile）,在"HISTFILESIZE="后面加入下面这行：
TMOUT=300
300，表示300秒，也就是表示5分钟。这样，如果系统中登陆的用户在5分钟内都没有动作，那么系统会自动注销这个账户。你可以在个别用户的“.bashrc”文件中添加该值，以便系统对该用户实行特殊的自动注销时间。
改变这项设置后，必须先注销用户，再用该用户登陆才能激活这个功能。

观点10
 Solaris我还比较有兴趣,哈哈.看看今天的内容怎么样,是不是能学到一些东西,比如讲讲iptables
给田逸留言
去田逸网上的家

solaris 里是ipf，linux是iptables.
ipf的配置文件 /etc/ipf/ipf.conf.用命令man ipf.conf查配置语法，下面给一个例子
block in log quick all with short
#block in log quick all with ipopts
block in on xl0 proto tcp from any to any port = 135
block in on xl0 proto tcp from any to any port = 139
block in on xl0 proto tcp from any to any port = 4444
block in on xl0 proto tcp from any to any port = 445
block in on xl0 proto tcp from any to any port = 67
block in on xl0 proto tcp from any to any port = 79
block in on xl0 proto tcp from any to any port = 16881
block in on xl0 proto udp from any to any port = 135
block in on xl0 proto udp from any to any port = 139
block in on xl0 proto udp from any to any port = 4444
block in on xl0 proto udp from any to any port = 445
block in on xl0 proto udp from any to any port = 67
#only kongzhong corp's mail server is allowed
block in on xl0 proto tcp from any to any port = 25
pass in on xl0 proto tcp from any to 61.135.154.8 port = 25
pass in on xl0 proto tcp from any to 61.135.154.50 port = 25
pass in on xl0 proto tcp from any to 61.135.154.185 port = 25
pass in on xl0 proto tcp from any to 218.247.170.213 port = 25
block in on xl0 proto tcp from any to any port = 3128

策划、制作：赵毅 日期：2006/11/23