이수준 외 BIT NETWORK 67 기
|
|||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||||
지난 호에서는 Linux Firewall을 구축하기 위한 방화벽과 라우팅 개념, 라우터, 베스천 호스트에 대해서 알아보았다. 이번 호는 계속해서 FWTK의 설치와 구성, 운영 방법 등에 대해 알아보기로 한다.
TIS Firewall Toolkit의 개요 TIS Firewall Toolkit은 하나의 통합된 방화벽 패키지가 아니라 방화벽 소프트웨어를 제작하는데 필요한 여러가지 도구들의 모음이다. TIS Firewall Toolkit으로 구축이 가능한 방화벽 호스트는 프락시(proxy)방식의 방화벽 호스트이다. 따라서 각각의 네트워크 서비스 별로 프락시를 두고 이 프락시들이 방화벽의 기능들을 수행하게 되는 것이다. TIS Firewall Toolkit이 제공하는 프락시들은 원격 로그인 프락시, 파일 전송 프락시, 전자 우편 프락시 등이 있으며, 아울러 다양한 형태의 사용자 인증을 위한 인증 서버를 별도로 두고 있다. 이 모든 응용 프로그램들은 소스 코드의 형태로 제공되므로 사용자가 약간의 프로그램 개발 경험만 있다면 쉽게 컴파일하여 사용할 수 있고, 아울러 사용자의 지식에 따라 새로운 형태의 기능을 추가로 개발하여 사용할 수 있다. TIS Firewall Toolkit은 fwtk.tar.Z의 단일 파일 형태로 배포되고 있다. 파일을 입수하고 압축을 해제한 후 유닉스의 tar 명령어를 이용하여 풀면 <그림 2.1>과 같은 형태의 디렉토리를 볼 수 있다. 물론 각각의 디렉토리 내에는 해당 프로그램이나 도구의 소스 파일이 존재
한다. TIS Firewall Toolkit은 여러가지의 프락시를 제공하고 있으며, 실제 방화벽을 구축할 때 이들 프락시를 선택적으로 설치할 수 있다. 여기서는 각 프락시들의 기능을 간단히 살펴보기로 하겠다.
접근 제어의 사용 netacl은 서버에서 사용되는 다양한 TCP 기반의 서비스에 대한 접근의 정도를 결정해 주는 네트워크 접근 제어 프로그램이다. 예를 들면, 만약 어떤 인가된 사용자에 대해 방화벽 시스템으로의 telnet접근을 허용하고 싶다면 netacl과 적당한 규칙을 적용하여 해당 기능을 가능토록 할 수 있다. 물론 ftp와 rlogin서비스에도 마찬가지로 적용할 수 있다.
telnet 프락시 telnet 프락시인 수-gw는 원하는 서버로의 telnet 서비스에 대한 유일한 경로를 제공하는데, 많은 네트워크 환경에서 시스템 관리자가 내부망으로 방화벽 호스트를 통한 telnet접근을 허용하지 않을 때 사용한다. netacl과는 다르게 telnet 프락시는 방화벽으로의 직접 접근을 제공하지 않는다. 즉, netacl을 경유하는 telnet은 방화벽 호스트로의 접근이 허용되지만 프락시를 경유하는 telnet은 단지 로깅 제어를 갖는 경로만을 제공받게 되는 것이다. 방화벽 시스템의 관리자는 종종 방화벽 호스트의 원격 관리를 위한 접근 경로와 프락시 telnet을 구축해야 하는 딜레마에 빠질 수가 있는데, 이는 /etc/services 파일과 /etc/inetd. Conf 파일을 수정하여 실제의 telnetd를 telnet의 표준 TCP포트와는 다르게 설정하고, 프락시를 telnet 의 표준 TCP포트에 설정함으로써 해결할 수 있다. 아울러, 이 경우에는 보안을 위해 netcal등의 접근 제어가 필요하다. tn-gw의 동작은 매우 간단하다. 방화벽 호스트로의 표주 telnet포트로 들어오는 telnet접근이 감지되면 tn-gw프로그램이 기동되며, tn-gw에서는 프락시로의 해당 접근이 혀용된 호스트로부터 온 것인지를 판별하여 허용/거부를 결정하게 된다.
rlogin 프락시 rlogin 프락시인 rlogin-gw는, telnet 서비스가 아닌, rlogin 서비스를 제공한다는 점을 제외하면 telnet 프락시와 동일한 동작 메커니즘을 가지고 있다. 그러나 일반적으로는, 방화벽 호스트를 통하는 접근의 경우에 rlogin 서비스를 허용하지 않는 것이 바람직하다. 이는 rlogin 서비스 자체가 많은 보안상의 허점을 내포하고 있기 때문이다. 따라서 방화벽 호스트로의 원격 로그인 서비스는 telnet으로 국한하도록 권한다.
FTP 프락시 FTP 프락시인 ftp-gw는, 방화벽 호스트를 통과하는 사설 네트워크 또는, 공용 네트워크로의 FTP 트래픽을 허용하는데, telnet 프락시와 마찬가지로 방화벽으로 표준 FTP포트를 경유하는 FTP 접근이 감지되면 프락시의 수행이 시작된다. 방화벽 호스트로 사용되는 시스템이 FTP 서비스를 제공하게 하는 것은 별로 좋지 않은 생각이다. 가장 좋은 방법은 별도의 FTP 서버를 운용하는 것이지만, 시스템의 원격 관리를 위해 FTP 서비스가 필요할 경우, telnet 서비스의 경우와 마찬가지로 /etc/services 파일과 /etc/inetd.conf 파일을 수정하여 실제의 ftpd를 FTP의 표준 TCP 포트에 설정하여 사용할 수 있다. 물론, 이 경우에도 netcal등의 접근 제어가 필요하다.
sendmail 프락시 방화벽 호스트르 메일의 올바른 전송을 위해서는 smap과 smapd로 불리는 2개의 프락식 필요하다. 이중에 smap은 SMTP의 최소 버전만을 구현한 클라이언트의 기능을 담당하게 되는데, 네트워크로부터 메시지를 받아들여 이를 디스크에 저장함으로서 후에 smapd가 메시지를 받아들여 이를 디스크에 저장함으로서 후에 smapd가 저장된 메시지를 재전송하도록 하는 역할을 수행한다. 프락시로 동작되는 smap은, chroot된 상태에서 non-privileged프로세스로 수행되도록 설계되어 있으므로 일반적인 privileged 메일러에 비해 높은 수준의 보안성을 제공하게 된다. Smapd 데몬은, smap에 의해 저장된 메일의 저장 영역을 주기적으로 검사하여 수집된 메일의 수신자에게 해당 메일을 전달하도록 하는 역할을 수행하게 되는데, 이 때 메일의 전송은 sendmail이라는 MAT(Mail Transfer Agent)에 의해 이루어지며 전송이 완료된 메일 메시지는 삭제된다. 만일 메일전송이 불가능할 경우 smapd는 메일이 저장되어 있는 영역을 재구성하여 후에 있을 재 전송에 대비하게 된다.
HTTP 프락시 HTTP 프락시인 http-gw는, 방화벽 호스트를 통과하는 HTTP요구에 대해, 보다 간략화된 메커니즘을 제공한다. 또한 Gopher나 Gopher+등의 Gopher 클라이언트들에 대한 요구를 지원하며, Gopher 클라이언트로부터의 FTP요구와 WWW 클라이언트로부터 전달된 HTTP, Gopfer, Gopher+ 및 FTP 요구를 지원한다. HTTP 프락시는 또한 넷스케이프나 익스플로러등의 프락시옵션이 있는 웹 브라우져를 지원할 수 있다. 만약 프락시 옵션을 제공하지 않는 웹 브라우져를 사용할 때는 사용자의 URL설정시 프락시를 경유하도록 하여야만 한다.
X Windows 프락시 x-gw 는, tn-gw와 rlogin-gw 접근 제어하에서 사용자-레벨의 X Windows 인터페이스를 가능케하는 X-Windows 프락시이다. 따라서 x-gw는 단독 실행이 불가능하며 반드시 tn-gw나 rlogin-gw를 통해 방화벽 호스트로의 접근이 허용되었을 경우에만 사용할 수 있다.
인증 서버 TIS Flrewall Toolkit는 광범위한 사용자 인증 메커니즘을 포함하고 있다. TIS인증 서버는 두가지 컴푸넌트로 구성되어 있는데, 첫번째가 실제 서버 그 자체이며 두번째가 인증서버를 구성하고 인증 서버와 상호 동작을 하는 사용자 인증 관리자이다. authsrv로 불리는 인증 서버는, 내부 사용자 데이터베이스를 가지면서 다양한 종류의 사용자 인중 프로세스를 지원하도록 설계되어 있는데, 사용자 정보를 가지고 있는 사용자 데이터 베이스는 다음과 같은 내용으로 구성된다. ① 사용자의 로그인 ID 패스워드로는 내부 사용자를 위한 plaintext
형식과 그 외 사용자를 위한 암호화된 형식을 모두 사용할 수 있는데,
plaintext형식의 패스워드는 내부의 허가된 사용자들만이 사용해야
하며, 외부망 등 인가되지 않은 네트워크로부터의 사용자들에게
의해서는 사용되지 않는 것이 바람직하다. 따라서 방화벽 시스템
관리자는 외부 네트워크의 사용자들에게는 암호화된 패스워드만을
제공하여 네트워크 스니핑 등의 공격으로부터 내부 망을 보호해야
할 것이다. ① 내장 plaintext 패스워드 위의 인증 도구들 중, Plaintext 패스워드와 Bellcore사의 S/Key 는 현재 별도의 하드웨어 추가 없이도 무료로 사용 할 수 있다.
기타 서비스를 위한 프락시 일반적으로 네트워크 트래픽의 80% 이상이 위에서
언급된 서비스 (telnet 과 rlogin, FTP, sendmail 및 HTTP)로 이루어져
있다. 그러나 여기에 언급되지 않은 Network News Transfer Protocol(NNTP)과
Post Office Protocol(POP)등의 서비스는 어떻게 처리해야 할까?
TIS Firewall Toolkit의 입수 먼저 http://www.tis.com/에 접속하면 다운로드 방법을 비롯하여 TIS Firewall Toolkit 을 다운로드 받으려 할 경우에 send라는 단어를 내용으로 한 메일을 fwtk-request@tis.com 에게 보내라는 내용의 안내글이 나오 있으므로 그대로 따르기 바란다. 하루나 이틀 후에 TIS Firewall Toolkit을 다운로드 받을 수 있는 FTP 사이트와 디렉토리를 알려주는 전자 메일이 TIS 사로부터 전송되어 도착되므로, 해당 사이트와 디렉토리로 FTP 로그인하여 파일을 받아오면 TIS Firewall Toolkit을 입수할 수 있다. 이와 함께 TIS에서는 TIS Firewall Toolkit과 관련된 문서들을 모아 fwtk-doc-only_tar.tar.Z라는 별도의 파일로 제공하고 있다. 보통의 경우, 이 문서 파일도 프로그램 파일과 동일한 디렉토리 상에서 압축을 풀고 tar를 해제하여 사용에 참조하게 된다.
베스천 호스트의 구축
베스천 호스트 사용자 계정의 삭제 꼭 필요한 경우가 아니면 베스천 호스트 내의 사용자 계정은 모두 삭제시켜야 한다. 사용자 계정이 존재하지 않는 베스천 호스트가 보다 높은 수준의 보안 수준을 제공할 수 있기 때문인데, 이에 대한 이유는 다음과 같다. ① 계정 자체가 보안상의 취약성을 내포하고
있다.
베스천 호스트의 구축 순서 일반적인 운영체제를 사용하는 베스천 호스트를 구축은 다음의 순서에 따라 이루어 진다. ① 머신의 자체 보안 수준을 높인다.
방화벽 환경 구축을 위한 준비 방화벽 환경 구축을 위한 첫번째 단계는, 앞서 언급된 바와 같이 불필요한 서비스를 중지시키는 것이다. ① /etc/inetd.conf 파일을 수정
네트워크 허용 테이블 방화벽 소프트웨어가 정상적으로 설치되었을 경우,/usr/local/etc/netperm-table 의 파일로 존재하는 네트워크 허용 테이블 (Network Permission Table)은, TIS Firewall Toolkit 기반 방화벽 프로그램의 요소들(neactl, smap, smapd, ftp-gw, tn-gw 및 plug-gw등)을 위한 중요한 환경 구성 파일이다. TIS Firewall Toolkit의 프락시가 동작을 시작하면, 네트워크 허용 테이블로부터 환경 구성과 접근 허용 정보를 읽어와, 메모리에 데이터베이스 형태로 저장하고 이후 사용에 대비한다. 접근 허용/구성 파일은 접근 규칙에 따라 만들어지는데, 각각의 접근 규칙들은 해당 규칙이 적용되는 어플리케이션 프락시로 명명되며, "어플리케이션 프락시명: 접근 규칙"과 같이 콜론(:)을 사용하여 표시한다. 또한 동일한 접근 규칙이 적용되는 여러 어플리케이션 프락시들은 "어플리케이션 프락시명 1, 어플리케이션 프락시명 2: 접근 규칙"과 같이 콤마(,)를 사용하여 한꺼번에 표시할 수도 있고 "*"등의 기호도 사용이 가능하다. 특정 어플리케이션 프락시가 환경 정보를 추출할 경우에는, 자신에게 해당되는 규칙만을 추출하여 순서대로 적용하게 되는데, 다음의 리스트에 smap과 smapd에 적용되는 접근 규칙의 예를 보여주고 있다. # sample rules for smap 어플리케이션 프락시가 자신을 위한 접근 규칙을 발견하면, 해당 규칙은 내부적으로 공백 문자 단위의 문자열로 구분되어 이후 사용에 대비한다. 일반적으로 첫번째 단어가 규칙을 나타내고, 다음에 이어지는 단어들이 해당 규칙에 적용되는 옵션 파라미터를 나타낸다. 앞의 smap 클라이언트와 smapd서버의 예를 보면, userid 항목은 해당 어플리케잇ㄴ이 실행될 때의 사용자 ID를 나타내며, directory 항목은 파일의 위치를, 그리고 timeout 항목은 최대 대기 시간을 나타내게 된다. 접근 규칙을 나타내는 문자열에는 여러가지의 다양한 의미들이 적용 가능한데, 한 예로 permit-hosts혹은 deny-host로 시작할 경우에는 접속을 허용, 혹은 거부할 호스트의 IP어드레스가 동반되며 여기에 해당하는 호스트들은 접속을 허용, 혹은 거부하도록 운용 된다. # sample rules for netacl 네트워크 허용 테이블을 만들 때 고려되어야 할 약속들이 몇 개 있는데, 이러한 약속들은 파일의 일관성을 약속하며, 보다 더 이해하기 쉽고 관리가 편한 규칙 목록을 만들 수 있도록 도와준다. 이해를 쉽게 하기 위해, 규칙에 호스트의 이름이나 발신지 호스트의 IP 어드레스가 설정되고 패턴 매칭에 따른 허용 호스트를 판단하는 경우를 예로 들어 보자. netaci-in.ftpd: permit-hosts 202.30.113.5 -exec/usr/sbin/in.ftpd 위와 같은 규칙이 적용된 상태에서 접속 요구가 들어오게 되면, 규칙의 부합 여부를 판단하기 위해 원격 머신의 IP어드레스가 사용될 것이다. 다음은 도메인 이름으로 허용 규칙을 작성하였을 경우를 살펴보자. netaci-in.ftpd: permit-hosts*.nca.or,kr -exec/usr/sbin/in.ftpd 접근 규칙에 원격 머신의 IP 어드레스가 아닌 도메인 이름이 사용된 경우, DNS 스푸핑(spoofing)의 가능성에 의해 방화벽 호스트의 보안성이 취약해질 수 있으므로 사용을 남용하지 않도록 권고한다. 어플리케이션 프락시가 IP 어드레스를 도메인 이름으로 바꾸기 위한 리버스 룩업(reverse lookup)시도가 실패하는 경우 호스트 이름은 "unknown"으로 설정되며, 이외의 경우 원격 시스템의 호스트 이름을 반환받게 된다. 아울러 도메인 이름 찾기가 방화벽 호스트에 의해 수행될 경우, 리버스 룩업에 의해 반환되는 도메인 이름을 알아내기 위한 작업은 안전을 보장받을 수 있게 되며, 이러한 환경 구성으로 DNS 스푸핑을 막을 수 있다. 만일 IP 어드레스가 DNS시스템 내에 위치할 수 없다면, 호스트 이름은 "unknown"으로 설정 되고 경고가 로그되는데, 이와 같이 방화벽은 유효한 DNS 매핑을 가지지 않은 호스트에 대해서도 동작하는 규칙을 허용한다. 즉, 인터넷 상에서 어떤 호스트도 방화벽을 통과하도록 한다거나, 혹은 리버스 DNS 어드레싱이 잘 구성되어 있을 경우 특정 서비스에 접근 하도록 하는 것이 가능하다는 뜻이 될 수 있다.
네트워크 접근 제어 TIS Firewall Toolkit 기반의 방화벽에서는 네트워크 접근제어의 기능을 위해 netacl이라 불리는 프로그램을 제공한다. Netacl프로그램은 inetd데몬에 의해 기동되게 되며, 원격 사용자/시스템으로부터의 서비스 요구를 허용하거나 거부하는 기능을 담당 한다. Inetd.conf파일에서 netacl을 설정할 경우에, netcal이 오직 하나의 인수를 취한다는 것은 매우 중요한데, 이 인수로는 시작하고자 하는 서비스의 이름이 사용된다. 아울러 이외의 인수들은 netcal이 기동하는 서비스가 사용하게 되는데, inetd.conf파일에 대한 아래의 예를 참조하시기 바란다. ftp stream tcp nowait root /usr/local/etc/netacl /usr/sbin/in.ftpd 위와 같이 구성되었을 경우, ftp 서비스 접속 요구가 inetd에 의해서 받아들여지게 되면, netcal 프로그램이 /usr/sbin/in.ftpd를 인수로 하여 동작을 시작하게 된다. ftpd 데몬이 시작되기 전에 netacl은, 해당 요구가 netperm-table 내 접속 규칙에 부합되는지를 검사하여 ftpd데몬의 실행 여부를 판단하게 된다. 통상적으로 규칙의 이름은 netacl- 과 해당 서비스의 이름을 조합하여 사용하게 되는데, 서비스가 in.ftpd일 경우에는 neta치-in.ftpd로 규칙의 이름을 설정되어야만 한다. netacl-in. ftpd: permit-hosts 202.30.113.5 -exec/usr/sbin/in.ftpd
위의 예에서는, 202.30.113.5의 IP 어드레스를 갖는 호스트만이 방화벽으로의 ftp 서비스를 위한 접근을 할 수 있다. 아울러 <표 3.1>에 netacl 을 위한 여러가지의 키워드 리스트가 표시되어 있으므로 이를 참조하여 접근 규칙을 설정하기 바란다. 요청 서비스의 수용과 거부는 syslog 데몬에 의해 다음과 같이 기록되므로 추후 방화벽 시스템 분석에 사용될 수 있을 것이다. Oct 31 00:12:30 firewall netacl[339]:
deny host=test.nca.or.kr/ 로그 리포트의 첫 번째 라인은 호스트 test.nca.or.kr이 요청한 ftp 서비스가 netacl에 의해 거부되었음을 알려 주고 있으며, 두번째 라인은 ftp 접속 요청이 허가 되었음을 알려 주고 있으며, 두번째 라인은 ftp 접속 용청이 허가되었음을 나타낸다. 그러나 접속을 요청한 사용자에 대해서는 아무런 정보도 보여주지 못하므로 불법 사용자의 추적에 한계가 있다고 볼 수 있다. 다음에 보여주는 netacl 규칙을 참조하여 필요한 접근 규칙을 만들어 사용하면 효과적으로 접근을 제어할 수 있다. netacl-in.telnetd: permit-hosts 198.53.64.*
-exec /usr/sbin/in.telnetd 위의 예에서, netacl이 특정 서브넷 상의 호스트에게만 telnet서비스가 허용되도록 구성되었고, 유효한 DNS 이름을 가지지 않은 시스템으로부터의 모든 FTP연결은 noftp.txt파일을 출력하도록 구성되었으며, 특정 서브넷 상의 호스트에게만 FTP 서비스가 허용되도록 구성되었다. 또한 위에서 언급된 호스트 이외의 모든 네트워크로부터의 FTP 서비스 요청은, 특정 디렉토리에 별도의 FTP 서버를 사용하도록 하였으므로, 별도의 FTP 서버에서 제공 서비스를 제한할 수 있다.
프락시 서버의 운용
1). telnet 프락시 TIS Firewall Toolkit 기반의 방화벽에서는 telnet서비스를 위한 tn-gw라 불리는 telnet프락시를 제공한다. tn-gw프로그램도 inted 데몬에 의해 기동되는데, 다음과 같이 /etc/inetd.conf 파일을 수정하여 원하는 프락시 동작을 구현할 수 있다. telnet stream tcp nowait root /usr/local/etc/tn-gw tn-gw
이러한 환경 구성에서, telnet 포트로의 접속 시도가 발생되면 tn-g가 동작을 시작하게 되며, tn-gw는 요청 호스트가 프락시 접속이 허용된 호스트인지를 검사하게 된다. tn-gw의 경우도 netacl의 경우와 마찬가지로 netperm-table에 설정되어 있는 접근 규칙에 따라 접속 허용 여부를 판별한다. tn-gw를 위하여 netperm-table에 다음과 같이 접근 규칙이 설정되어 있을 경우를 예로 들어 보자. tn-gw: denial-msg /usr/local/etc/tn-deny.txt 이 경우, 202.30.113.*이외의 사이트로부터 접속을 시도하는 사용자는 접속이 거부되지 않고 원하는 서비스의 이용이 불가능하게 된다. 접속이 허용된 호스트로 판명되었을 경우 tn-gw 프로그램은 명령어 대기 루프로 동작을 시작하게 되는데, 이 경우에 사용이 가능한 명령어들은 <표 4.2>에 표시된 것과 같다. 허가된 호스트가 프락시로 접속하게 되면, tn-gw옵션에 따라 접속 환영 파일의 내용을 처음 접하게 된 후 명령어 프롬프트 상태로 들어가게 된다. 프롬프트상에서는 <표 4.1>에 표시된 명령어만을 사용할 수 있다. telnet 프락시에 대한 접근 허용 및 거부 규칙은
몇가지 추가 옵션에 의해 변경될 수 있다. tn-gw: deny-hosts unknown 이 규칙이 적용되게 되면, 도메인 이름을 DNS에서
발견할 수 없을 경우, 접속이 거부되며, 202.30.113및 192.94.12네트워크로부터의
접근만을 허용하게 된다. 앞서 적용된 규칙을 다시 한번 살펴보기로
하자.
tn-gw: permit-hosts 202.30.113.* -dest* .nca.or.kr -dest ! * -passok-xok 이 경우, 202.30.113 네트워크로부터 요구된 접속 중 nca.or.kr로의 접속만을 허용하고 이외의 접속 요구는 모두 거부하게 된다. 추가의 옵션은 하이픈과 함께 사용될 수 있는데, -dest 옵션은 접속을 허용하는 대상 시스템을 의미하며, !와 함께 사용될 경우에는 허가되지 않은 시스템을 나타낸다. 아울러 추가 사용 옵션에 대한 설명이 <표 4.3>에 주어져 있다.
2). FTP 프락시 FTP 프락시인 ftp-gw 프로그램도 inetd 데몬에 의해 기동되게 되는데, 다음과 같이 /etc/inetd.conf 파일을 수정하여 원하는 프락시 동작을 구현할 수 있다. ftp stream tcp nowait root/usr/local/etc/ftp-gw ftp-gw 이러한 환경 구성에서, FTP 포트로의 접속 시도가 발생되면 ftp-gw가 동작을 시작하게 되
며, ftp-gw는 요청 호스트가 프락시 접속이 허용된 호스트인지 검사하게 된다. ftp-gw의 경우도 tn-gw의 경우와 마찬가지로 netperm-table 에 설정되어 있는 접근 규칙에 따라 접속 허용 여부를 판별하게 되는데, <표 4.4>에 ftp-gw를 위한 키워드 리스트가 표시되어 있으므로 이를 참조하여 접근 규칙을 설정하기 바란다. ftp-gw를 위하여 netperm-table에 다음과 같이 접근 규칙이 설정되어 있을 경우를 예로 들어 보자. ftp-gw: denial-msg /usr/local/etc/ftp-deny.txt FTP프락시에 대한 접근 허용 및 거부 규칙은 몇가지 추가 옵션에 의해 변경될 수 있다. ftp-gw: deny-hosts unknown 이 규칙이 적용되게 되면, 도메인 이름을 DNS에서 발견할 수 없을 경우 접속이 거부되며, 202.30.113 및 192.94.12네트워크로부터의 접근만을 허용하게 된다. 아울러 추가 사용 옵션에 대한 설명이 <표 4.5>에 주어져 있다. FTP 프락시를 통한 접속이 이루어지게 되고 허가된 호스트로 판명되면 접근 규칙에 따라 사용자 인증이 요구될 수 있다. 사용자 인증이 사용된 경우의 netperm-table의 내용은 다음과 같다. ftp-gw: permit-hosts 202.30.63.* -authall -log { retr stor }
정리된 sytem file들
netperm-table의 예
inetd.conf 파일의 예
services 파일의 예
나가는 말 이번달에는 TIS FWTK에 대한 전반적인 사항과 그 사용법에 대해 알아보았다. tn-gw, ftp-gw외 다른 프락시 서버에 대한 내용은 지면상 다 쓰지 못함을 아쉽게 생각하며, 다본 프로젝트에서 추가했던 내용과 기타 사항에 대해서 언급하기로 하겠다. 본 기사 외에 더 추가된 원문은 다음달 내에 소스코드와 함께 모두 공개하기로 한다. |