用Linux实现Internet冗余连接（下） （4）

OUTPU规则中还可以通过配置TOS(服务类型)标识来实现信息传输的先后次序。很多IPS都容易忽略TOS标识。事实上，由于CONFIG_IP_ROUTE_TOS内核选项判断信息流顺序时正是基于这一标识，所以这一标识非常有用。这就意味着，当一个交互式的应用程序(比如SSH)运行时，你可以让高带宽的应用程序(比如FTP)以最大的吞吐量运行，也不会使交互延迟。也就是说，可以让FTP不影响SSH连接的性能。

TOS标识在iptables防火墙mangle表中的PREROUTING和OUTPUT规则中设置。以下规则会让SSH数据包的延迟最小：

iptables -t mangle -A PREROUTING -j TOS 
--set-tos Minimize-Delay -p tcp --dport ssh 
iptables -t mangle -A OUTPUT -j TOS 
--set-tos Minimize-Delay -p tcp --sport ssh

OUTPUT规则还可以限制系统对各种ICMP信息的响应。使用以下的配置，我们可以允许ICMP响应ping和traceroute，而不响应时间戳：

# ACCEPT various ICMP messages 
for message in echo-reply destination-unreachable 
source-quench redirect echo-request 
time-exceeded parameter-problem; do 
ipchains -A OUTPUT -p icmp -s 0/0 $message -j ACCEPT 
done

防火墙的维护

要检查防火墙规则的效率，可以使用以下命令来执行防火墙脚本：

# ./firewall status

该命令输出的结果中，如果前两列是零，那么就意味着没有与规则相符的数据包。DENY和DROP规则的零意味着没有人试图得用特定的规则对你进行攻击。ACCEPT规则的零意味着没有接受符合该规则的信息。

如果想查找防火墙规则的错误，那么务必要要在ipchains命令后加上-l选项，这样就可把REJECT和DENY规则的信息写入/var/log/messages文件。Iptables防火墙脚本会创建一个特别的规则链DROPLOG，它将会记录被拒绝的数据包。做为管理员，应该经常查看这些信息，以发现潜在的攻击者。

结束语

以上说了那么多，你是不是有点犯晕，没关系，如果你在实际中，亲身实践一遍，你可能会说，不过如此。