實(shí)例體驗(yàn)自造DDOS硬件防火墻
在木馬和病毒日益泛濫的今天，DDOS攻擊的頻率也隨之增加，攻擊方式和攻擊資源不斷地成熟，網(wǎng)絡(luò)安全產(chǎn)品技術(shù)也不斷的在進(jìn)行革新。但是一款DDOS防御產(chǎn)品種類繁多，價(jià)格差異也很大，往往讓企業(yè)不知道該如何選擇。那作為企業(yè)網(wǎng)絡(luò)安全管理員，有沒(méi)有想過(guò)自己DIY一個(gè)DDOS硬件防火墻呢？
近日，本人機(jī)房持續(xù)遭受DDOS攻擊，也遭受了相同的困擾，在安裝了各種軟防均無(wú)法有效防御，硬防價(jià)格又過(guò)高無(wú)法承受，于是在網(wǎng)上搜索了一個(gè) DIY硬件防火墻的網(wǎng)站（www.chinaddos.com），抱著試試看的心態(tài)，下載了其提供的防火墻內(nèi)核，按要求準(zhǔn)備了相應(yīng)硬件，安裝配置好后，終于解決了一直困擾我的DDOS攻擊，現(xiàn)在把DIYDDOS硬件防火墻安裝和設(shè)置過(guò)程記錄如下，希望幫助更多和我同樣遭遇的朋友們的問(wèn)題早日解決。
第一步：準(zhǔn)備防火墻硬件平臺(tái)
按照DIY DDOS硬件防火墻網(wǎng)站上的要求，我準(zhǔn)備了如下硬件：
1、 電腦一臺(tái)，我選擇的是壓箱底的原來(lái)在淘寶淘到的IBM ThinkCentre S50準(zhǔn)系統(tǒng)一臺(tái)。這是我原來(lái)花760元淘到的。準(zhǔn)系統(tǒng)自帶了一片Intel的千兆網(wǎng)卡，正好用來(lái)接外網(wǎng)。
2、 CPU一片，我使用的是用來(lái)搭配IBM ThinkCentre S50的P4 2.4G的CPU.400元。
3、 內(nèi)存一條。我使用的是威剛1G的內(nèi)存條。
4、 128M DOM電子盤(pán)一個(gè)。我使用的是PQI的電子盤(pán)，沒(méi)有電子盤(pán)使用硬盤(pán)也行，容量>128M就可以了。注意：電子盤(pán)或硬盤(pán)要安裝到連接到主板的IDE1的MASTER位置，請(qǐng)參照你使用主板的說(shuō)明文檔。
5、 網(wǎng)卡一片。用來(lái)接內(nèi)網(wǎng)，因S50上已經(jīng)帶了一個(gè)千兆網(wǎng)卡用來(lái)接外網(wǎng)，因手頭上沒(méi)有更好的網(wǎng)卡，就隨便用了一片8139的網(wǎng)卡用來(lái)接內(nèi)網(wǎng)。
6、 刻錄光盤(pán)一片。用來(lái)刻錄網(wǎng)站上下載的內(nèi)核安裝文件。
7、 刻錄光驅(qū)一個(gè)。
安裝好后的防火墻硬件平臺(tái)：兩個(gè)網(wǎng)口分別用來(lái)一個(gè)接內(nèi)網(wǎng)（左上那個(gè)8139），一個(gè)接外網(wǎng)（下面那個(gè)S50自帶的Intel千兆網(wǎng)卡）。
這樣，防火墻硬件平臺(tái)就完全安搭建好了。
第二步：準(zhǔn)備內(nèi)核安裝光盤(pán)
防火墻硬件平臺(tái)準(zhǔn)備好后，我們就要著手準(zhǔn)備防火墻安裝光盤(pán)了。到ChinaDDOS網(wǎng)站上（http://www.chinaddos.com）下載最新版本的內(nèi)核鏡像文件，刻錄成光盤(pán)即可。具體步驟如下：
1、 打開(kāi)ChinaDDOS DIY硬防的內(nèi)核下載頁(yè)面：www.chinaddos.com/news/download.html，下載一個(gè)適合的版本，這里我下載的是V3.1BETA01的最新版本。
PS：本人一直比較喜歡最新的東西。
2、 將下載的RAR文件解壓縮，得到ISO光盤(pán)鏡像文件。
3、 將鏡像文件刻錄至光盤(pán)。
第三步：安裝防火墻內(nèi)核
將內(nèi)核安裝光盤(pán)準(zhǔn)備好后，確認(rèn)硬盤(pán)或電子盤(pán)連接到了IDE1的MASTER位置后，在防火墻平臺(tái)上連接好光驅(qū)，接通防火墻平臺(tái)電源，把上一步準(zhǔn)備好的內(nèi)核安裝光盤(pán)放入光驅(qū)。啟動(dòng)防火墻平臺(tái)。
1、 屏幕顯示如下圖，等待內(nèi)核安裝光盤(pán)引導(dǎo)一會(huì)后（屏幕上快速閃過(guò)整屏的英文），將停留在下圖的位置：
2、 按回車(chē)鍵繼續(xù)安裝，出現(xiàn)三個(gè)選擇項(xiàng)目：
① 安裝防火墻內(nèi)核，
② 開(kāi)始一個(gè)命令行，
③ 重新啟動(dòng)系統(tǒng)。#p#
3、 這里我們選擇1并回車(chē)。選擇一個(gè)內(nèi)核安裝源文件的位置。上面列表中紅色字部分標(biāo)記出了我的光驅(qū)安裝位置hdc，于是我鍵入hdc后回車(chē)。
4、 屏幕出現(xiàn)綠色done字樣，表示安裝光盤(pán)識(shí)別成功。又提示安裝的目標(biāo)驅(qū)動(dòng)器。上面列表中紫色字部分標(biāo)記出了系統(tǒng)自動(dòng)識(shí)別的目標(biāo)安裝位置had，這里如果系統(tǒng)沒(méi)有自動(dòng)識(shí)別到硬盤(pán)或電子盤(pán)，請(qǐng)檢查電子盤(pán)或硬盤(pán)是不是正確安裝到了IDE1的MASTER位置。我鍵入had后回車(chē)。
5、 鍵入had后，屏幕提示"正在將防火墻內(nèi)核從hdc安裝到had……"，這里需要等待2分鐘左右。安裝工作正在進(jìn)行。
6、直到屏幕上出現(xiàn)"Installcompleted！"字樣，表示安裝已結(jié)束。這時(shí)按回車(chē)鍵返回。
7、重新回到選擇菜單后，選擇3重新啟動(dòng)防火墻平臺(tái)，記得將光盤(pán)從光驅(qū)中取出。這樣，防火墻的安裝就完成了。
第四步：?jiǎn)?dòng)并配置防火墻
在防火墻安裝完成之后，便可以啟動(dòng)防火墻并進(jìn)行防火墻配置工作了。仔細(xì)閱讀了在ChinaDDOS網(wǎng)站中下載的"操作手冊(cè)"，我按如下步驟進(jìn)行了防火墻配置：
1、啟動(dòng)防火墻。ChinaDDOS防火墻是應(yīng)該是使用更專門(mén)改過(guò)的Linux系統(tǒng)作為防火墻操作系統(tǒng)的。啟動(dòng)防火墻時(shí)需等待一小會(huì)，直到聽(tīng)到喇叭發(fā)出清脆的音樂(lè)，表示防火墻已啟動(dòng)完畢。防火墻啟動(dòng)完畢后，防火墻顯示器上顯示"OK?。蹋铮纾椋?quot;字樣，由于網(wǎng)站和手冊(cè)中均未提供控制臺(tái)登陸的密碼，因此我們只能通過(guò)Ｗｅｂ界面對(duì)防火墻進(jìn)行管理了。至此，用于防火墻安裝的光驅(qū)和顯示器不再需要了。
2、將防火墻連接至網(wǎng)絡(luò)，在任意一臺(tái)連通內(nèi)網(wǎng)的電腦瀏覽器中輸入防火墻的初始ＩＰ和管理端口：Http://192.168.1.27：81，輸入初始用戶名admin和密碼123456即可打開(kāi)防火墻的管理界面。
3、啟動(dòng)防火墻內(nèi)核模塊。單擊"安全分析中心"，在出現(xiàn)的菜單中選擇"運(yùn)行信息"。
在界面中點(diǎn)擊"啟動(dòng)防火墻模塊"，內(nèi)核模塊運(yùn)行狀態(tài)將變?yōu)?quot;啟用"，信息窗口中將出現(xiàn)不斷刷新的防火墻內(nèi)核運(yùn)行信息。如果點(diǎn)擊"啟用防火墻模塊"，內(nèi)核模塊運(yùn)行狀態(tài)一直不變?yōu)?quot;啟用"，可能是你的內(nèi)存沒(méi)有1G導(dǎo)致的，筆者在初次試用時(shí)被這個(gè)問(wèn)題困擾了很久。
4、單擊"網(wǎng)絡(luò)參數(shù)配置"，查看防火墻注冊(cè)狀態(tài)。在配置界面的左下角，查看防火墻的注冊(cè)狀態(tài)，我現(xiàn)在的注冊(cè)狀態(tài)是"未注冊(cè)用戶".未注冊(cè)用戶無(wú)法啟動(dòng)防火墻的防御功能。
5、注冊(cè)防火墻。將上面的認(rèn)證字復(fù)制下來(lái)，打開(kāi)ChinaDDOS的用戶防火墻管理平臺(tái)：http://www.chinaddos.com/members.沒(méi)有用戶的需要先注冊(cè)一個(gè)用戶，這里我就不說(shuō)明注冊(cè)步驟了，相信大家都會(huì)，只是如果希望防火墻的攻擊告警功能起作用，需要填寫(xiě)正確的手機(jī)號(hào)碼。
6、注冊(cè)并登陸之后，點(diǎn)擊"注冊(cè)防火墻管理"，在彈出的防火墻管理界面中添加一個(gè)新的防火墻。
7、在"新增防火墻"窗口中，任意取一個(gè)名字，IP地址也可以任意填寫(xiě)，但認(rèn)證字填寫(xiě)第5步中復(fù)制下來(lái)的認(rèn)證字，完成后確定即可。注冊(cè)類型不可更改，保存后便是注冊(cè)用戶了，不知道有什么其他作用沒(méi)有。
8、完成后，重啟DDOS硬件防火墻并加載內(nèi)核模塊，即可看到防火墻的注冊(cè)類型為"已注冊(cè)防火墻".不過(guò)似乎這個(gè)驗(yàn)證只有在公網(wǎng)上才能成功進(jìn)行，在內(nèi)網(wǎng)無(wú)法驗(yàn)證成功，所以一定要放在網(wǎng)關(guān)的前面。
系統(tǒng)配置完成后，就要進(jìn)行詳細(xì)的防御功能配置了，ChinaDDOS防火墻提供的防御功能太多，篇幅原因無(wú)法向各位一一說(shuō)明，有興趣請(qǐng)參考網(wǎng)站上提供的使用說(shuō)明。
【編輯推薦】
