Linux下共享寬帶上網(wǎng)

徐 波

摘要：隨著Internet不斷的普及。越來越多的中小單位已經(jīng)通過各種方式把自己接入了Internet。方法有很多種，但基本上還是申請1個或幾個外網(wǎng)地址，然履局域網(wǎng)內(nèi)的用戶共享這個地址防問Interrret，大部分都是采用網(wǎng)關(guān)機加代理服務(wù)，用Windows系列作為操作系統(tǒng)。本文將介紹另外一種共享上網(wǎng)模式一Unux下的共享上網(wǎng)。

關(guān)鍵詞：Linux；共享Iptable網(wǎng)絡(luò)

現(xiàn)階段大部分中小單位采用寬帶通10-100M上網(wǎng)。如果使用硬件方式共享上網(wǎng)。雖然速度比較快。但投資較大。而如果采用軟件方式，用代理服務(wù)器類與網(wǎng)關(guān)類軟件實現(xiàn)(如WinRoute、WinGate、syrGate+windows操作系統(tǒng))。雖然也比較方便，但眾所周知的原因使得系統(tǒng)非常容易死機，造成大面積不能上網(wǎng)，系統(tǒng)管理員的工作非常被動。但如果使用Linux操作系統(tǒng)+iptables或PF，來共享寬帶上網(wǎng)，速度非?？欤瑢χ鳈C的要求也不高。特別稱道的是整個系統(tǒng)非常穩(wěn)定，長年開機，系統(tǒng)也不會死機，極大地減少了系統(tǒng)管理員的負(fù)擔(dān)。

1共享上網(wǎng)的原理機制

首先，給大家提一下這種機制的原理：一般來說，中小單位上網(wǎng)，只能申請到幾個真實的IP地址(其中一個來做WEB服務(wù)器)，而單位里往往有幾十臺，甚至上百臺計算機，由于沒有這么多真實的IP地址，它們只能使用私有IP地址(如10.0.0.0、192.168.1.0等)，因此它們是不能上網(wǎng)的，但是我們可以先通過有合法外網(wǎng)地址的主機，把內(nèi)網(wǎng)IP地址轉(zhuǎn)化為合法的外網(wǎng)IP地址，這也就是我們常說的網(wǎng)絡(luò)地址轉(zhuǎn)化(Network Address Translation)，簡稱NAT，所以在WIN2000下我們使用的代理服務(wù)器(如sygate或winroute等)都是通過這種機制來共享上網(wǎng)的，而在Linux下，使用IP偽裝(英文為masquerade)來共享上網(wǎng)，它比Windows下的那些代理軟件更好用、更快速。

IP偽裝，實際上是Linux系統(tǒng)的一種網(wǎng)絡(luò)功能，如果一臺Linux主機使用IP偽裝功能連接到互聯(lián)網(wǎng)上，那么其他計算機，只要連接到這個Linux主機上，就可以共享上網(wǎng)，即使它們沒有獲得正式指定的IP地址。這樣就可以將一些計算機隱藏在網(wǎng)關(guān)后面連接互聯(lián)網(wǎng)，而不被發(fā)現(xiàn)，看起來就像只有一臺Linux系統(tǒng)主機與互聯(lián)網(wǎng)相連。因此降低了上網(wǎng)費用，同時也增加了安全性。從某些方面來看，其功能像是一個防火墻，因為外界網(wǎng)絡(luò)無法連接非正式分配的IP地址。而其安全功能比數(shù)據(jù)包過濾式防火墻要強。隨著IP地址的減少。IP偽裝在網(wǎng)絡(luò)上的應(yīng)用會越來越廣泛。

假設(shè)你現(xiàn)在有一臺Unux主機已經(jīng)連接到Internet上，有自己的IP和域名。同時還與50臺工作站通過交換機連接，你現(xiàn)在完全可以通過IP偽裝來實現(xiàn)這50臺工作站同時上網(wǎng)。

2具體操作方法

現(xiàn)在我們看一下具體操作：

(1)找一臺普通的計算機，內(nèi)存大一點(最好2G以上)，硬盤不必太大(40G就可以了)，雙網(wǎng)卡(不要太生僻的網(wǎng)卡就可以，筆者使用的是D-LINK530TX)。其他通通沒有要求。正常安裝Linux(如redhat.安裝非常方便)。安裝的服務(wù)越少越好。但是對于組件iptables一定要安裝。

(2)配置好你的雙網(wǎng)卡，比如筆者的機器，ethO為外網(wǎng)網(wǎng)卡，IP為211.90.171.*(隱去)，子網(wǎng)掩碼為255.255.255.0.eth1為內(nèi)網(wǎng)網(wǎng)卡，IP為192.168.1.1，子網(wǎng)掩碼為255.255.255.0，下面各個辦公室的計算機為聯(lián)想啟天2800，IP為192.168.1.*(可以指定，也可以用DHCP來自動分配之)。

(3)具體配置如下：在這臺Linux主機下，我們進入到／etc／rc.d目錄下，我們使用vi下面的三條命令加在rc.local文件的最后，這樣只要一開機，機器就能自動執(zhí)行它，完成內(nèi)網(wǎng)地址到外網(wǎng)地址的轉(zhuǎn)化，這三條命令為：

echo 1＞／Droc／sys／net／ipv4／ip_forward ###打開轉(zhuǎn)發(fā)機制echo-F-tnat #@#清空nat表

iptables-t nat-A POSTROUTING-s 192.168.1.0／24-o etho _j SNAT-to-source 211.90.171.*(隱去)###關(guān)鍵命令，完成IP地址轉(zhuǎn)化

這樣，就完成了所有的設(shè)置工作，但有些文章把這個配置寫的過于復(fù)雜，我個人認(rèn)為在某些情況下完全沒有必要，因為這個配置越復(fù)雜，每一個包通過這臺Linux機器所消耗的時間就越多，那么上網(wǎng)的速度自然就會較慢，在要求速度，而不太關(guān)注安全的情況下，以上三條命令就非常好了。

對于單位中各個辦公室計算機的網(wǎng)絡(luò)配置，如果機器比較少，比如說10幾臺機器，可以指定每個計算機的IP地址，如果機器比較多，就可以在那臺Linux的eth1上開啟DHCP服務(wù)，自動分配給下面各個辦公室計算機的IP地址，這樣網(wǎng)絡(luò)管理員就比較省力了。下面的機器不用做任何配置就可以上網(wǎng)了。有關(guān)DHCP的配置請參考相關(guān)資料。