<!DOCTYPE html PUBLIC "-//W3C//DTD XHTML 1.0 Transitional//EN" "http://www.w3.org/TR/xhtml1/DTD/xhtml1-transitional.dtd"> <html xmlns="http://www.w3.org/1999/xhtml"><head><meta http-equiv="Content-Type" content="text/html; charset=UTF-8" /><title>Анатомия Shorewall 4.0</title><link rel="stylesheet" href="html.css" type="text/css" /><meta name="generator" content="DocBook XSL Stylesheets V1.73.2" /></head><body><div class="article" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title"><a id="id257527"></a>Анатомия Shorewall 4.0</h2></div><div><div class="authorgroup"><div class="author"><h3 class="author"><span class="firstname">Tom</span> <span class="surname">Eastep</span></h3></div></div></div><div><p class="copyright">Copyright © 2007 Thomas M. Eastep</p></div><div><p class="copyright">Copyright © 2007 Russian Translation: Grigory Mokhin</p></div><div><div class="legalnotice"><a id="id257919"></a><p>Этот документ разрешается копировать, распространять и/или изменять при выполнении условий лицензии GNU Free Documentation License версии 1.2 или более поздней, опубликованной Free Software Foundation; без неизменяемых разделов, без текста на верхней обложке, без текста на нижней обложке. Копия лицензии приведена по ссылке “<span class="quote"><a class="ulink" href="GnuCopyright.htm" target="_self">GNU Free Documentation License</a></span>”.</p></div></div><div><p class="pubdate">2008/12/15</p></div></div><hr /></div><div class="toc"><p><b>Table of Contents</b></p><dl><dt><span class="section"><a href="#Products">Продукты</a></span></dt><dt><span class="section"><a href="#Shorewall">Shorewall-common</a></span></dt><dd><dl><dt><span class="section"><a href="#sbin">/sbin</a></span></dt><dt><span class="section"><a href="#share-shorewall">/usr/share/shorewall</a></span></dt><dt><span class="section"><a href="#shorewall">/etc/shorewall</a></span></dt><dt><span class="section"><a href="#init">/etc/init.d или /etc/rc.d (зависит от дистрибутива)</a></span></dt><dt><span class="section"><a href="#var">/var/lib/shorewall</a></span></dt></dl></dd><dt><span class="section"><a href="#Shorewall-shell">Shorewall-shell</a></span></dt><dt><span class="section"><a href="#Shorewall-perl">Shorewall-perl</a></span></dt><dt><span class="section"><a href="#Shorewall-lite">Shorewall-lite</a></span></dt><dd><dl><dt><span class="section"><a href="#sbin-lite">/sbin</a></span></dt><dt><span class="section"><a href="#init-lite">/etc/init.d или /etc/rc.d (зависит от дистрибутива)</a></span></dt><dt><span class="section"><a href="#shorewall-lite">/etc/shorewall-lite</a></span></dt><dt><span class="section"><a href="#share-lite">/usr/share/shorewall-lite</a></span></dt><dt><span class="section"><a href="#var-lite">/var/lib/shorewall-lite</a></span></dt></dl></dd></dl></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="Products"></a>Продукты</h2></div></div></div><p>В состав Shorewall 4.0 входят следующие четыре пакета. </p><div class="orderedlist"><ol type="1"><li><p><span class="bold"><strong>Shorewall-common</strong></span>. Этот пакет необходимо установить хотя бы в одной системе в вашей сети. В этой системе также должны быть установлены Shorewall-shell и/или Shorewall-perl. </p></li><li><p><span class="bold"><strong>Shorewall-shell</strong></span>. Этот пакет содержит прежний компилятор конфигурации Shorewall, написанный на Bourne Shell. Этот компилятор работает в большинстве систем, но он медленный, и его сопровождение стало затруднительным.</p></li><li><p><span class="bold"><strong>Shorewall-perl</strong></span>. Этот компилятор заменяет Shorewall-shell и написан на языке Perl. Он работает на всех платформах Unix, поддерживающих Perl (включая Cygwin), и рекомендуется для всех систем, где Shorewall устанавливается заново. </p></li><li><p><span class="bold"><strong>Shorewall-lite</strong></span>. В Shorewall предусмотрена возможность централизованного управления несколькими системами файрволов. Для этого применяется пакет Shorewall lite. Полностью продукт Shorewall, включая Shorewall-shell и/или Shorewall-perl, устанавливается в центральной административной системе, где генерируются сценарии Shorewall. Эти сценарии копируются в системы файрволов, где они выполняются под управлением Shorewall-lite. </p></li></ol></div></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="Shorewall"></a>Shorewall-common</h2></div></div></div><p>Пакет Shorewall-common включает много файлов, которые устанавливаются в каталоги /<code class="filename">sbin</code>, <code class="filename">/usr/share/shorewall</code>, <code class="filename">/etc/shorewall</code>, <code class="filename">/etc/init.d</code> и <code class="filename">/var/lilb/shorewall/</code>. Они описаны далее. </p><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="sbin"></a>/sbin</h3></div></div></div><p>Программа <code class="filename">/sbin/shorewall</code> взаимодействует с Shorewall. См. <a class="ulink" href="manpages/shorewall.html" target="_self">shorewall</a>(8).</p></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="share-shorewall"></a>/usr/share/shorewall</h3></div></div></div><p>Здесь устанавливаются основные файлы Shorewall. </p><div class="itemizedlist"><ul type="disc"><li><p><code class="filename">action.template</code> - файл шаблонов для создания <a class="ulink" href="Actions.html" target="_self">действий</a>.</p></li><li><p><code class="filename">action.*</code> - стандартные действия Shorewall. </p></li><li><p><code class="filename">actions.std</code> - в этом файле перечислены стандартные действия. </p></li><li><p><code class="filename">configfiles</code> - в этом каталоге содержатся файлы конфигурации, при копировании которых создается <a class="ulink" href="CompiledPrograms.html#Lite" target="_self">каталог экспорта Shorewall-lite.</a></p></li><li><p><code class="filename"><code class="filename">configpath</code></code> - здесь содержится информация о путях, которая зависит от дистрибутива. </p></li><li><p><code class="filename">firewall</code> - эта программа обрабатывает команды <span class="command"><strong>add</strong></span> и <span class="command"><strong>delete</strong></span> (см. <a class="ulink" href="manpages/shorewall.html" target="_self">shorewall</a>(8)). Кроме того, она обрабатывает команды <span class="command"><strong>stop</strong></span> и <span class="command"><strong>clear</strong></span>, если в системе нет текущего скомпилированного сценария файрвола. </p></li><li><p><code class="filename">functions</code> - ссылка на <code class="filename">lib.base</code>, предусмотренная для совместимости с прежними версиями Shorewall.</p></li><li><p><code class="filename">init</code> - ссылка на сценарий инициализации (обычно это - <code class="filename">/etc/init.d/shorewall</code>).</p></li><li><p><code class="filename">lib.*</code> - библиотеки функций оболочки, используемые другими программами. </p></li><li><p><code class="filename">macro.*</code> - стандартные <a class="ulink" href="Macros.html" target="_self">макросы</a> Shorewall.</p></li><li><p><code class="filename">modules</code> - файл, управляющий загрузкой модулей Netfilter ядра. Его можно переопределить в файле <code class="filename">/etc/shorewall/modules</code>.</p></li><li><p><code class="filename">version</code> - файл, в котором указана текущая установленная версия Shorewall.</p></li><li><p><code class="filename">wait4ifup</code> - программа, которую могут использовать <a class="ulink" href="shorewall_extension_scripts.htm" target="_self">сценарии расширения</a> для ожидания готовности сетевого интерфейса. </p></li></ul></div></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="shorewall"></a>/etc/shorewall</h3></div></div></div><p>В этом каталоге содержатся файлы конфигурации, настраиваемые пользователем. </p></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="init"></a>/etc/init.d или /etc/rc.d (зависит от дистрибутива)</h3></div></div></div><p>Здесь устанавливается сценарий инициализации. В зависимости от дистрибутива, он называется <code class="filename">shorewall</code> или <code class="filename">rc.firewall</code>.</p></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="var"></a>/var/lib/shorewall</h3></div></div></div><p>Shorewall не устанавливает никаких файлов в этот каталог. Он используется для хранения данных во время выполнения. Этот каталог можно перенести командой <a class="ulink" href="manpages/shorewall-vardir.html" target="_self">shorewall-vardir</a>(5).</p><div class="itemizedlist"><ul type="disc"><li><p><code class="filename">chains</code> - если в <a class="ulink" href="manpages/shorewall.conf.html" target="_self">shorewall.conf</a>(5) задан DYNAMIC_ZONES=Yes, то в этом файле содержится информация для команд <span class="command"><strong>add</strong></span> и <span class="command"><strong>delete</strong></span> (см. <a class="ulink" href="manpages/shorewall.html" target="_self">shorewall</a>(8)).</p></li><li><p><code class="filename">.iptables-restore-input </code>- этот файл передается программе iptables-restore для инициализации файрвола в ходе выполнения последней команды <span class="command"><strong>start</strong></span> или <span class="command"><strong>restart</strong></span> (см. <a class="ulink" href="manpages/shorewall.html" target="_self">shorewall</a>(8)).</p></li><li><p><code class="filename">.modules</code> - содержимое файла модулей, использованного последними командами <span class="command"><strong>start</strong></span> или <span class="command"><strong>restart</strong></span> (см. <a class="ulink" href="manpages/shorewall.html" target="_self">shorewall</a>(8)).</p></li><li><p><code class="filename">.modulesdir</code> - параметр MODULESDIR (<a class="ulink" href="manpages/shorewall.conf.html" target="_self">shorewall.conf</a>(5)) в ходе выполнения последней команды <span class="command"><strong>start</strong></span> или <span class="command"><strong>restart.</strong></span></p></li><li><p><code class="filename">nat</code> - в этом файле (с неудачным именем) записаны IP-адреса, добавленные при включенных опциях ADD_SNAT_ALIASES=Yes и ADD_IP_ALIASES=Yes в <a class="ulink" href="manpages/shorewall.conf.html" target="_self">shorewall.conf</a>(5).</p></li><li><p><code class="filename">proxyarp</code> - записи arp, добавленные элементами <a class="ulink" href="manpages/shorewall-proxyarp.html" target="_self">shorewall-proxyarp</a>(5).</p></li><li><p><code class="filename">.refresh</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>refresh</strong></span>. </p></li><li><p><code class="filename">.restart</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>restart</strong></span>. </p></li><li><p><code class="filename">restore</code> - программа по умолчанию, выполняющая команды <span class="command"><strong>restore</strong></span>. </p></li><li><p><code class="filename">.restore</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>refresh, restart</strong></span> или <span class="command"><strong>start</strong></span>. </p></li><li><p><code class="filename">save</code> - файл, созданный командой <span class="command"><strong>save</strong></span> и используемый для восстановления динамического чёрного списка в ходе выполнения команд <span class="command"><strong>start/restart</strong></span>.</p></li><li><p><code class="filename">.start</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>start</strong></span>. </p></li><li><p><code class="filename">state</code> - здесь записано текущее состояние файрвола. </p></li><li><p><code class="filename">zones</code> - здесь записано текущее состояние зон.</p></li></ul></div></div></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="Shorewall-shell"></a>Shorewall-shell</h2></div></div></div><p>Все файлы продукта Shorewall-shell устанавливаются в каталоге /usr/share/<code class="filename">shorewall-shell</code>.</p><div class="itemizedlist"><ul type="disc"><li><p><code class="filename">compiler</code> - компилятор конфигурации (программа shell). </p></li><li><p><code class="filename">lib.*</code> - библиотеки функций оболочки, используемые компилятором. Для уменьшения объема в встроенных системах могут быть установлены не все библиотеки. </p></li><li><p><code class="filename">prog.*</code> - фрагменты кода на shell, используемые компилятором. </p></li><li><p><code class="filename">version</code> - файл, в котором указана текущая установленная версия Shorewall-shell.</p></li></ul></div></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="Shorewall-perl"></a>Shorewall-perl</h2></div></div></div><p>Все файлы продукта Shorewall-perl устанавливаются в каталоге /usr/share/<code class="filename">shorewall-perl</code>.</p><div class="itemizedlist"><ul type="disc"><li><p><code class="filename">buildports.pl</code> - программа на Perl, которая компонует модуль Shorewall/Ports.pm во время установки. </p></li><li><p><code class="filename">compiler</code> - компилятор конфигурации (программа shell). </p></li><li><p><code class="filename">prog.*</code> - фрагменты кода на shell, используемые компилятором. </p></li><li><p><code class="filename">Shorewall</code> - каталог, содержащий модули Shorewall Perl, используемые компилятором. </p></li><li><p><code class="filename">version</code> - файл, в котором указана текущая установленная версия Shorewall-shell.</p></li></ul></div></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h2 class="title" style="clear: both"><a id="Shorewall-lite"></a>Shorewall-lite</h2></div></div></div><p>Файлы Shorewall-lite устанавливаются в каталогах /<code class="filename">sbin</code>, <code class="filename">/usr/share/shorewall-lite</code>, /etc/<code class="filename">shorewall-lite</code>, <code class="filename">/etc/init.d</code> и <code class="filename">/var/lilb/shorewall/</code>. Они описаны далее. </p><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="sbin-lite"></a>/sbin</h3></div></div></div><p>Программа <code class="filename">/sbin/shorewall-lite</code> взаимодействует с Shorewall lite. См. <a class="ulink" href="manpages/shorewall-lite.html" target="_self">shorewall-lite</a>(8).</p></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="init-lite"></a>/etc/init.d или /etc/rc.d (зависит от дистрибутива)</h3></div></div></div><p>Здесь устанавливается сценарий инициализации. В зависимости от дистрибутива, он называется <code class="filename">shorewall-lite</code> или <code class="filename">rc.firewall</code>.</p></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="shorewall-lite"></a>/etc/shorewall-lite</h3></div></div></div><p>В этом каталоге содержатся файлы конфигурации, настраиваемые пользователем. </p></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="share-lite"></a>/usr/share/shorewall-lite</h3></div></div></div><p>Здесь устанавливаются основные файлы Shorewall-lite. </p><div class="itemizedlist"><ul type="disc"><li><p><code class="filename"><code class="filename">configpath</code></code> - здесь содержится информация о путях, которая зависит от дистрибутива. </p></li><li><p><code class="filename">functions</code> - ссылка на <code class="filename">lib.base</code>, предусмотренная для совместимости с прежними версиями Shorewall.</p></li><li><p><code class="filename">lib.*</code> - библиотеки функций оболочки, используемые другими программами. Это копии соответствующих библиотек продукта Shorewall. </p></li><li><p><code class="filename">modules</code> - файл, управляющий загрузкой модулей Netfilter ядра. Его можно переопределить в файле <code class="filename">/etc/shorewall-lite/modules</code>.</p></li><li><p><code class="filename">shorecap</code> - программа, которая создает файл capabilities. См. <a class="ulink" href="CompiledPrograms.html#Lite" target="_self">документацию Shorewall-lite</a>.</p></li><li><p><code class="filename">version</code> - файл, в котором указана текущая установленная версия Shorewall.</p></li><li><p><code class="filename">wait4ifup</code> - программа, которую могут использовать <a class="ulink" href="shorewall_extension_scripts.htm" target="_self">сценарии расширения</a> для ожидания готовности сетевого интерфейса. </p></li></ul></div></div><div class="section" lang="en" xml:lang="en"><div class="titlepage"><div><div><h3 class="title"><a id="var-lite"></a>/var/lib/shorewall-lite</h3></div></div></div><p>Shorewall-lite не устанавливает никаких файлов в этот каталог. Он используется для хранения данных во время выполнения. Этот каталог можно перенести командой <a class="ulink" href="manpages/shorewall-lite-vardir.html" target="_self">shorewall-lite-vardir</a>(5).</p><div class="itemizedlist"><ul type="disc"><li><p><code class="filename">firewall</code> - скомпилированный сценарий, который устанавливается командой load или reload, выполняемой в административной системе (см. <a class="ulink" href="manpages/shorewall.html" target="_self">shorewall</a>(8)).</p></li><li><p><code class="filename">firewall.conf</code> - дайджест файла shorewall.conf, использованного для компиляции сценария файрвола в административной системе. </p></li></ul></div><div class="itemizedlist"><ul type="disc"><li><p><code class="filename">.iptables-restore-input </code>- этот файл передается программе iptables-restore для инициализации файрвола в ходе выполнения последней команды <span class="command"><strong>start</strong></span> или <span class="command"><strong>restart</strong></span> (см. <a class="ulink" href="manpages/shorewall-lite.html" target="_self">shorewall-lite</a>(8)).</p></li><li><p><code class="filename">.modules</code> - содержимое файла модулей, использованного последними командами <span class="command"><strong>start</strong></span> или <span class="command"><strong>restart</strong></span> (см. <a class="ulink" href="manpages/shorewall-lite.html" target="_self">shorewall-lite</a>(8)).</p></li><li><p><code class="filename">.modulesdir</code> - параметр MODULESDIR (<a class="ulink" href="manpages/shorewall.conf.html" target="_self">shorewall.conf</a>(5)) в ходе выполнения последней команды <span class="command"><strong>start</strong></span> или <span class="command"><strong>restart.</strong></span></p></li><li><p><code class="filename">nat</code> - в этом файле (с неудачным именем) записаны IP-адреса, добавленные при включенных опциях ADD_SNAT_ALIASES=Yes и ADD_IP_ALIASES=Yes в <a class="ulink" href="manpages/shorewall.conf.html" target="_self">shorewall.conf</a>(5).</p></li><li><p><code class="filename">proxyarp</code> - записи arp, добавленные элементами <a class="ulink" href="manpages/shorewall-proxyarp.html" target="_self">shorewall-proxyarp</a>(5).</p></li><li><p><code class="filename">.refresh</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>refresh</strong></span>. </p></li><li><p><code class="filename">.restart</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>restart</strong></span>. </p></li><li><p><code class="filename">restore</code> - программа по умолчанию, выполняющая команды <span class="command"><strong>restore</strong></span>. </p></li><li><p><code class="filename">.restore</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>refresh, restart</strong></span> или <span class="command"><strong>start</strong></span>. </p></li><li><p><code class="filename">save</code> - файл, созданный командой <span class="command"><strong>save</strong></span> и используемый для восстановления динамического чёрного списка в ходе выполнения команд <span class="command"><strong>start/restart</strong></span>.</p></li><li><p><code class="filename">.start</code> - программа, которая выполнила последнюю успешную команду <span class="command"><strong>start</strong></span>. </p></li><li><p><code class="filename">state</code> - здесь записано текущее состояние файрвола. </p></li><li><p><code class="filename">zones</code> - здесь записано текущее состояние зон.</p></li></ul></div></div></div></div></body></html>
