你们都知道仙人掌能吸收辐射吗?

现在很多人都买一两棵仙人掌放在电脑旁边

我也是一样,我一棵,女友一棵!

我这棵开花了~发出来给大家欣赏.

手机拍的,有点模糊.

由海珠生活网转来:http://www.haizhu.cc/bbs/viewthread.php?tid=990&extra=page%3D1

刚才去朋友家修电脑

刚开机就没怎么留意自检问题，就没理，等几秒后就出现网络连接（不知这个怎么表达……）

等了半天，还在连接网络……

没办法，不等了，冷启！进入BIOS里看一下，发现只有DVD光驱，其它啥也没有（没有硬盘）

我拖出主机看了看，有啊，串口的硬盘。拨出数据线（此时我第一感就是这接口松了，因为我还没出力就拨出来了）

重新插进硬盘数据线到硬盘，发现怎么觉得怪怪的，这么松的？

没法，插好开机，结果还是一样。

重新检察了一下串口线，当时很暗没留意硬盘的接口，又接了回去，发现我找不到串口的接口！！

找了半天，插进去了，还是一样松！

开机后效果还是一样！

没办法，把主机拖出来看一下硬盘！

这时才发现，这硬盘是IDE接口的硬盘！！！！

怎么能插的进串口线的？

没看过一个硬盘能插IDE和串口的硬盘。

没法，把DVD的数据线拨了插进硬盘。哇~可以开机了~~哇~~~~~~~~~是WINDOWS 98se！！！！！！！

我狂晕~~~

看到此时，我重启电脑，进BIOS看一下，硬盘只有10G大！！！

朋友说他一起在用XP的，不知为什么现在变成98系统了。

不用说，一定是给换了硬盘了！！！

还有谁换？就是他弟弟了！！

你们想想他的串口线是插在哪里？

大家慢慢猜！迟点公布答案！猜到的人都会偷偷的笑！

答案:跳线接口

今天早早吃完饭，还有两小时才上班。

无聊有点累，拿了三张椅子排一起睡大觉，爽~

倒下不够两分钟睡着了……

睡着睡着，生物时钟很准时，两点十五分就会响起。

我还以为自己已经醒了，在做其它事，但我发现自己做事好像没力一样

这时我发现我自己还没醒！！

我努力挣扎着自己要马上清醒起来，但是意志不够，还是醒不了！！

我一口咬一手臂上，晕，不痛的，因为我在做梦，还没醒过来！

挣扎好许久，我终于从睡梦中醒来了！

终于爬起来了！但发现自己头很重！

顶不住了，倒头一睡，趴在桌上又睡了20分钟~

这时发现同事在走来走去，没办法，打起精神吧~

真晕啊……好久没试过这种情况了！

今天我做错了

给领导批评几次了

心情比较down

哎……我们办公室好像天天都被人投拆，都是一些小事就被骂……

大家同在一个单位不能好好互相帮助吗？分的太细了吧？

今天放假,去拜山,看看老祖宗们.

拜山完后大人们都聚在一起打"牛麻",看着别人打几爽下,自己不敢去赌,谁知在看别人打的老爸也参加进去,第一局就来了一个"牛麻",翻三倍!

一个小时下来,俺老爸也赢了一百块,后来老爸打的不爽让我来,我也试一下吧.

谁知,我拿第一局就没"牛",第二局也没"牛",第三局也是没"牛"!!!一下输了十五块!完了~看来我的运气还是差的要命,老爸说这是命,看来你不能赌了!然后我让位给老爸,老爸运气还是一样好,最后还是赢了80大元!

真不爽~心情极不爽~回家路上太累,居然在车上睡着了!

回到家更不爽,打开电脑看了下EMAIL,没邮件,不爽,因为近来我在烦毕业设计的事,发了N封邮件给老师,还没回复,我看可能是放假了吧!哎.....毕业设计还有不到半个月就要到期了,还没做完.真烦,当时选这个题目也特难了吧!!!

希望老师给我通过吧!!

路由器增加以下设置：

route add -net 192.168.1.0 netmask 255.255.255.0 gw 192.9.200.2
arp -i eth1 -Ds 192.168.1.1 eth1 pub

防火墙的设置为：

route add default gw 192.168.1.1
route add -host 192.168.1.1 gw 192.168.1.2
route add -net 192.169.1.0 netmask 255.255.255.0 gw 192.168.1.3 eth1

停火区主机的网关设为防火墙的网卡eth1地址192.168.1.3。
外部主机的网关设为路由器的外网卡eth0地址10.0.0.1。
内部主机的网关设为路由器的内网卡eth2地址168.1.1.1。
步骤3：建立规则 在防火墙上创建如下脚本并运行之。

#!/bin/sh ######## default firewall rules-deny all ########
iptables -P INPUT DROP
iptables -P OUTPUT DROP
iptables -P FORWARD DROP
###############################################
# Rules between EXTERNAL LAN and INTERNAL LAN #
###############################################
######## masquerade INTERNAL Address to xx.xx.xx.xx when going out ########
iptables -t nat -A POSTROUTING -s 168.1.1.0/24 -d 10.0.0.0/24 -o eth0 -j SNAT --to xx.xx.xx.xx ######## deny all from EXTERNAL LAN to INTERNAL LAN directly ########
iptables -t nat -A PREROUTING -s 10.0.0.0/24 -d 168.1.1.0/24 -i eth0 -j DROP
######################################
# Rules between DMZ and INTERNAL LAN #
######################################
######## allow INTERNAL LAN to DMZ ########
iptables -A FORWARD -p icmp -s 168.1.1.0/24 -d 192.168.1.0/24 -m limit --limit 1/s --limit-burst 10 -j ACCEPT
iptables -A FORWARD -s 168.1.1.0/24 -d 192.168.1.0/24 -i eth2 -j ACCEPT ######## forbid DMZ to INTERNAL LAN except following instance ########
iptables -A FORWARD -p tcp -s 192.168.1.0/24 -d 168.1.1.0/24 ! --syn -i eth1 -j ACCEPT
iptables -A FORWARD -p tcp -s 192.168.1.0/24 --sport 20 -d 168.1.1.0/24 -i eth1 -j ACCEPT
iptables -A FORWARD -p icmp --icmp-type 0 -s 192.168.1.0/24 -d 168.1.1.0/24 -m limit --limit 1/s --limit-burst 10 -j ACCEPT
iptables -A FORWARD -p udp -s 192.168.1.0/24 -d 168.1.1.0/24 --sport 53 -j ACCEPT
######################################
# Rules between EXTERNAL LAN and DMZ #
######################################
### allow EXTERNAL LAN to DMZ but deny all from EXTERNAL LAN to DMZ directly ###
iptables -t nat -A PREROUTING -s 10.0.0.0/24 -d 192.168.1.0/24 -i eth0 -j DROP ### REAL_XX is real address of XX server in DMZ ###
### MASQ_XX is the masquaded address of REAL_XX supplied to EXTERNAL LAN ### ######## allow DNS service ########
iptables -t nat -A PREROUTING -p udp -d MASQ_DNS -s 10.0.0.0/24 --dport 53 -i eth0 -j DNAT --to REAL_DNS
iptables -A FORWARD -p udp -s 10.0.0.0/24 -d REAL_DNS -i eth0 --dport 53 -j ACCEPT
iptables -A FORWARD -p udp -d 10.0.0.0/24 -s REAL_DNS -i eth1--sport 53 -j ACCEPT
iptables -t nat -A PREROUTING -p tcp -d MASQ_DNS -s 10.0.0.0/24 --dport 53 -i eth0 -j DNAT --to REAL_DNS
iptables -A FORWARD -p tcp -s 10.0.0.0/24 -d REAL_DNS -i eth0 --dport 53 -j ACCEPT
iptables -A FORWARD -p tcp -d 10.0.0.0/24 -s REAL_DNS -i eth1 --sport 53 ! --syn -j ACCEPT ######## allow HTTP service ########
iptables -t nat -A PREROUTING -p tcp --dport 80 -d MASQ_HTTP -s 10.0.0.0/24 -i eth0 -j DNAT --to REAL_HTTP
iptables -A FORWARD -p tcp -s 10.0.0.0/24 -d REAL_HTTP -i eth0 --dport 80 -j ACCEPT
iptables -A FORWARD -p tcp -d 10.0.0.0/24 -s REAL_HTTP -i eth1 --sport 80 ! --syn -j ACCEPT ######## allow FTP service ########
iptables -t nat -A PREROUTING -p tcp --dport 21 -d MASQ_FTP -s 10.0.0.0/24 -i eth0 -j DNAT --to REAL_FTP
iptables -A FORWARD -p tcp -s 10.0.0.0/24 -d REAL_FTP -i eth0 --dport 21 -j ACCEPT
iptables -A FORWARD -p tcp -s REAL_FTP -d 10.0.0.0/24 -i eth1--sport 20 -j ACCEPT
iptables -A FORWARD -p tcp -d 10.0.0.0/24 -s REAL_FTP -i eth1--sport 21 ! --syn -j ACCEPT
．．．．．．
### You can add other services in DMZ here such as TELNET、SMTP、 POP3 & IMAP etc. ###
．．．．．．
######## deny DMZ to EXTERNAL LAN except to external smtp server ########
iptables -t nat -A POSTROUTING -p tcp --dport 25 -d 10.0.0.0/24 -s REAL_SMTP -o eth0 -j SNAT --to MASQ_SMTP
iptables -A FORWARD -p tcp -s REAL_SMTP -d 10.0.0.0/24 -i eth1 --dport 25 -j ACCEPT
iptables -A FORWARD -p tcp -d REAL_SMTP -s 10.0.0.0/24 -i eth0--sport 25 ! --syn -j ACCEPT

通过以上步骤，具有DMZ的防火墙达到了以下目标：
1．内部通讯区可以无限制的访问外部通讯区以及DMZ，但访问外部通信区时防火墙进行了源地址转换。
2．外部通讯区可以通过对外公开的地址访问DMZ的服务器，由防火墙完成对外地址到服务器实际地址的转换。
3．外部通讯区不能访问内部通讯区以及防火墙。
4．DMZ不可以访问内部通讯区。
5．除外部通讯区邮件服务器外，DMZ不能访问外部通讯区

近期我都在泡 海珠生活网|海珠论坛 这个BBS,是大学师兄开的BBS

http://www.haizhu.cc/

上了一个多月班,难得连放三天假,可是2号和9号的休息时间又要补回去,真无引~~

清明节了,后天就要去拜山啦,看看老祖宗们去.

最近还是烦着毕业设计的事情,还没做好,自己又懒的做,哎.....

发现自己好懒呀...

ipchains 和 iptables 有什么区别和联系

1. 在 ipchains 中，诸如 input 链，是使用小写的 chains 名，在 iptables 中，要改用大写 INPUT。
2. 在 iptables 中，要指定规则是欲作用在那一个规则表上(使用 -t 来指定，如 -t nat)，若不指定，则预设是作

用在 filter 这个表。
3. 在 ipchains 中， -i 是指介面(interface)，但在 iptables 中，-i 则是指进入的方向，且多了 -o，代表出去

的方向。
4. 在 iptables 中，来源 port 要使用关键字 --sport 或 --source-port
5. 在 iptables 中，目的 port 要使用关键字 --dport 或 --destination-port
6. 在 iptables 中，"丢弃" 的处置动作，不再使用 DENY 这个 target，改用 DROP。
7. 在 ipchains 的记录档功能 -l，已改为目标 -j LOG，并可指定记录档的标题。
8. 在 ipchains 中的-y，在 iptables 中可用 --syn 或 --tcp-flag SYN,ACK,FIN SYN
9. 在 iptables 中，icmp messages 型态，要加上关键字 --icmp-type，如：
iptables -A OUTPUT -o eth0 -p icmp -s $FW_IP --icmp-type 8 -d any/0 -j ACCEPT
10. 支持的版本不同：ipchains > 2.2 ； iptables > 2.4
11. 功能：iptables提供更多的feature
12. 效率：iptables的机制更合理,效率更高
13. 易用性：ipchains配置简单一些
14. ipchains 和 iptables 都使用在 Liunx 内核中运行的规则 chain，并根据指定的规则或规则集合来进行数

据包过滤。但是，iptables 提供了更大范围的数据包过滤功能，系统管理员可以对数据包过滤有更大的控制权。
15. 在使用 iptables 时，每个被过滤的数据包只使用一个 chain 中的规则，而不是使用多个 chain 中的规则

。
例如，到一个使用 ipchains 系统的 FORWARD 数据包要通过 INPUT、FORWARD 和 OUTPUT chain 后才可以继续被发

送，而当使用 iptables 时，如果数据包的目标地址是本地系统时，它只被发送到 INPUT chain；如果数据包是本地

产生的，它只被发送到 OUTPUT chain。因此，您需要把规则放置在实际处理这个数据包的 chain 中。
16. DENY target 已经被改为 DROP。 在 ipchains 中，与一个 chain 中的一条规则匹配的数据包可以被发送

到 DENY target。在 iptables 中，这个 target 被改为 DROP。
17. 在 iptables 中，规则选项的顺序是非常重要的。 在 ipchains 中，规则选项的顺序是不相关的。
18. iptables 命令对语法有更严格的限制。iptables 命令需要在源或目的端口前指定使用的协议（ICMP、TCP

或 UDP）。

Netfilter 和iptables 有什么区别和联系

Netfilter
      Linux操作系统2.4以后的版本采用Netfilter作为实现数据包过滤/数据包处理/NAT等的功能框架。Netfilter

为每种网络协议（IPv4、IPv6等）定义一套钩子函数（IPv4定义了5个钩子）。内核的任何模块可以对每种协议的一个

或多个钩子进行注册，实现挂接，这样当某个数据包被传递给Netfilter框架时，内核能检测是否有任何模块对该协议

和钩子函数进行了注册。若注册了，则调用该模块的注册时使用的回调函数，这样这些模块就有机会检查(可能还会修

改)该数据包、丢弃该数据包及指示Netfilter将该数据包传入用户空间的队列。
      Netfilter是Linux 核心中一个通用架构，它提供了一系列的"表"(tables)，每个表由若干"链"(chains)组成

，而每条链中可以有一条或数条规则(rule)组成。内核模块可以注册一个新的规则表(table)，并要求数据报流经指定

的规则表。这种数据报选择用于实现数据报过滤(filter表)，网络地址转换(Nat表)及数据报处理(mangle表)。
    
iptable
      数据报选择系统iptables基于Netfilter框架，是一个管理内核包过滤的工具，可以加入、插入或删除核心包过

滤表格(链)中的规则。实现对所有的ip表进行处理，当前包括filter，nat及mangle三个表格，及以后扩展的表模块。

支持插件来支持新的匹配参数和目标动作。因此对netfilter的任何扩展都非常的简单。
      iptables可以根据IP地址和端口等进行包过滤，可以实现NAT，端口映射等网关及防火墙的功能。通过配置

iptables的配置文件就可以实现这些功能。配置文件的方式可以通过webmin等系统管理工具实现。

简单的说就是，iptables像一个命令一样，把我输入的东西传给netfilter，netfilter属于内核的，把iptables的东

西做处理。
netfilter/iptables IP包过滤系统被称为单个实体，但实际上它是由两个组件netfilter和iptables组成的
netfilter组件是内核的一部分：由一些包过滤表组成
iptables组件是一种工具：它是用户空间的一部分，它用来维护包过滤表中的规则，包括包过滤规则的插入、修改和删

除。

静态包过滤和动态包过滤有什么区别

在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤

”。
第一代静态包过滤类型防火墙
这类防火墙几乎是与路由器同时产生的，它是根据定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤

规则匹配。过滤规则基于数据包的报头信息进行制订。报头信息中包括IP源地址、IP目标地址、传输协议(TCP、UDP、

ICMP等等)、TCP/UDP目标端口、ICMP消息类型等。

第二代动态包过滤类型防火墙
这类防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。这种技术后来发展成为包状态监测

(Stateful Inspection)技术。采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地

在过滤规则中增加或更新条目。
包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也

是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过

滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过

滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不

能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议

本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。

包过滤防火墙和应用层防火墙有什么区别

包过滤防火墙是最简单的一种防火墙，它在网络层截获网络数据包，根据防火墙的规则表，来检测攻击行为。包过滤防

火墙一般作用在网络层（IP层），故也称网络层防火墙（Network Lev Firewall）或IP过滤器（IP filters）。数据

包过滤（Packet Filtering）是指在网络层对数据包进行分析、选择。通过检查数据流中每一个数据包的源IP地址、

目的IP地址、源端口号、目的端口号、协议类型等因素或它们的组合来确定是否允许该数据包通过。在网络层提供较低

级别的安全防护和控制。
包过滤防火墙优点：价格较低；性能开销小，处理速度较快 
包过滤防火墙缺点：定义复杂，容易出现因配置不当带来问题；允许数据包直接通过，容易造成数据驱动式攻击的潜在

危险。
包过滤防火墙：包过滤防火墙不检查数据区，包过滤防火墙不建立连接状态表，前后报文无关，应用层控制很弱。

应用层防火墙（Application layer firewall）是一个操作在网络通信应用层的防火墙。通常，它是一个使用各种形

式的代理服务器来代理通信而不是路由它的主机。因为它在应用层发挥作用，因此，它可能检查这个运输的内容，阻塞

防火墙管理员认为是不适当的内容，例如，特定的网站，病毒，尝试攻击已知的在客户机软件上的逻辑瑕疵等等。
代理防火墙也叫应用层网关（Application Gateway）防火墙。这种防火墙通过一种代理（Proxy）技术参与到一个TCP

连接的全过程。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏

内部网结构的作用。这种类型的防火墙被网络安全专家和媒体公认为是最安全的防火墙。它的核心技术就是代理服务器

技术。
　　所谓代理服务器，是指代表客户处理在服务器连接请求的程序。当代理服务器得到一个客户的连接意图时，它们将

核实客户请求，并经过特定的安全化的Proxy应用程序处理连接请求，将处理后的请求传递到真实的服务器上，然后接

受服务器应答，并做进一步处理后，将答复交给发出请求的最终客户。代理服务器在外部网络向内部网络申请服务时发

挥了中间转接的作用。
    代理类型防火墙的最突出的优点就是安全。由于每一个内外网络之间的连接都要通过Proxy的介入和转换，通过专

门为特定的服务如Http编写的安全化的应用程序进行处理，然后由防火墙本身提交请求和应答，没有给内外网络的计算

机以任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。包过滤类型的防火墙是很难彻

底避免这一漏洞的。就像你要向一个陌生的重要人物递交一份声明一样，如果你先将这份声明交给你的律师，然后律师

就会审查你的声明，确认没有什么负面的影响后才由他交给那个陌生人。在此期间，陌生人对你的存在一无所知，如果

要对你进行侵犯，他面对的将是你的律师，而你的律师当然比你更加清楚该如何对付这种人。
　　代理防火墙 ：内置了专门为了提高安全性而编制的Proxy应用程序，能够透彻地理解相关服务的命令，对来往的数

据包进行安全化处理；速度较慢，不太适用于高速网（ATM或千兆位以太网等）之间的应用。
应用网关防火墙：不检查IP、TCP报头，不建立连接状态表，网络层保护比较弱。

ipchains 和 iptables 有什么区别和联系

1. 在 ipchains 中，诸如 input 链，是使用小写的 chains 名，在 iptables 中，要改用大写 INPUT。
2. 在 iptables 中，要指定规则是欲作用在那一个规则表上(使用 -t 来指定，如 -t nat)，若不指定，则预设是作

用在 filter 这个表。
3. 在 ipchains 中， -i 是指介面(interface)，但在 iptables 中，-i 则是指进入的方向，且多了 -o，代表出去

的方向。
4. 在 iptables 中，来源 port 要使用关键字 --sport 或 --source-port
5. 在 iptables 中，目的 port 要使用关键字 --dport 或 --destination-port
6. 在 iptables 中，"丢弃" 的处置动作，不再使用 DENY 这个 target，改用 DROP。
7. 在 ipchains 的记录档功能 -l，已改为目标 -j LOG，并可指定记录档的标题。
8. 在 ipchains 中的-y，在 iptables 中可用 --syn 或 --tcp-flag SYN,ACK,FIN SYN
9. 在 iptables 中，icmp messages 型态，要加上关键字 --icmp-type，如：
iptables -A OUTPUT -o eth0 -p icmp -s $FW_IP --icmp-type 8 -d any/0 -j ACCEPT
10. 支持的版本不同：ipchains > 2.2 ； iptables > 2.4
11. 功能：iptables提供更多的feature
12. 效率：iptables的机制更合理,效率更高
13. 易用性：ipchains配置简单一些
14. ipchains 和 iptables 都使用在 Liunx 内核中运行的规则 chain，并根据指定的规则或规则集合来进行数

据包过滤。但是，iptables 提供了更大范围的数据包过滤功能，系统管理员可以对数据包过滤有更大的控制权。
15. 在使用 iptables 时，每个被过滤的数据包只使用一个 chain 中的规则，而不是使用多个 chain 中的规则

。
例如，到一个使用 ipchains 系统的 FORWARD 数据包要通过 INPUT、FORWARD 和 OUTPUT chain 后才可以继续被发

送，而当使用 iptables 时，如果数据包的目标地址是本地系统时，它只被发送到 INPUT chain；如果数据包是本地

产生的，它只被发送到 OUTPUT chain。因此，您需要把规则放置在实际处理这个数据包的 chain 中。
16. DENY target 已经被改为 DROP。 在 ipchains 中，与一个 chain 中的一条规则匹配的数据包可以被发送

到 DENY target。在 iptables 中，这个 target 被改为 DROP。
17. 在 iptables 中，规则选项的顺序是非常重要的。 在 ipchains 中，规则选项的顺序是不相关的。
18. iptables 命令对语法有更严格的限制。iptables 命令需要在源或目的端口前指定使用的协议（ICMP、TCP

或 UDP）。

Netfilter 和iptables 有什么区别和联系

Netfilter
      Linux操作系统2.4以后的版本采用Netfilter作为实现数据包过滤/数据包处理/NAT等的功能框架。Netfilter

为每种网络协议（IPv4、IPv6等）定义一套钩子函数（IPv4定义了5个钩子）。内核的任何模块可以对每种协议的一个

或多个钩子进行注册，实现挂接，这样当某个数据包被传递给Netfilter框架时，内核能检测是否有任何模块对该协议

和钩子函数进行了注册。若注册了，则调用该模块的注册时使用的回调函数，这样这些模块就有机会检查(可能还会修

改)该数据包、丢弃该数据包及指示Netfilter将该数据包传入用户空间的队列。
      Netfilter是Linux 核心中一个通用架构，它提供了一系列的"表"(tables)，每个表由若干"链"(chains)组成

，而每条链中可以有一条或数条规则(rule)组成。内核模块可以注册一个新的规则表(table)，并要求数据报流经指定

的规则表。这种数据报选择用于实现数据报过滤(filter表)，网络地址转换(Nat表)及数据报处理(mangle表)。
    
iptable
      数据报选择系统iptables基于Netfilter框架，是一个管理内核包过滤的工具，可以加入、插入或删除核心包过

滤表格(链)中的规则。实现对所有的ip表进行处理，当前包括filter，nat及mangle三个表格，及以后扩展的表模块。

支持插件来支持新的匹配参数和目标动作。因此对netfilter的任何扩展都非常的简单。
      iptables可以根据IP地址和端口等进行包过滤，可以实现NAT，端口映射等网关及防火墙的功能。通过配置

iptables的配置文件就可以实现这些功能。配置文件的方式可以通过webmin等系统管理工具实现。

简单的说就是，iptables像一个命令一样，把我输入的东西传给netfilter，netfilter属于内核的，把iptables的东

西做处理。
netfilter/iptables IP包过滤系统被称为单个实体，但实际上它是由两个组件netfilter和iptables组成的
netfilter组件是内核的一部分：由一些包过滤表组成
iptables组件是一种工具：它是用户空间的一部分，它用来维护包过滤表中的规则，包括包过滤规则的插入、修改和删

除。

静态包过滤和动态包过滤有什么区别

在整个防火墙技术的发展过程中，包过滤技术出现了两种不同版本，称为“第一代静态包过滤”和“第二代动态包过滤

”。
第一代静态包过滤类型防火墙
这类防火墙几乎是与路由器同时产生的，它是根据定义好的过滤规则审查每个数据包，以便确定其是否与某一条包过滤

规则匹配。过滤规则基于数据包的报头信息进行制订。报头信息中包括IP源地址、IP目标地址、传输协议(TCP、UDP、

ICMP等等)、TCP/UDP目标端口、ICMP消息类型等。

第二代动态包过滤类型防火墙
这类防火墙采用动态设置包过滤规则的方法，避免了静态包过滤所具有的问题。这种技术后来发展成为包状态监测

(Stateful Inspection)技术。采用这种技术的防火墙对通过其建立的每一个连接都进行跟踪，并且根据需要可动态地

在过滤规则中增加或更新条目。
包过滤方式的优点是不用改动客户机和主机上的应用程序，因为它工作在网络层和传输层，与应用层无关。但其弱点也

是明显的：过滤判别的依据只是网络层和传输层的有限信息，因而各种安全要求不可能充分满足；在许多过滤器中，过

滤规则的数目是有限制的，且随着规则数目的增加，性能会受到很大地影响；由于缺少上下文关联信息，不能有效地过

滤如UDP、RPC（远程过程调用）一类的协议；另外，大多数过滤器中缺少审计和报警机制，它只能依据包头信息，而不

能对用户身份进行验证，很容易受到“地址欺骗型”攻击。对安全管理人员素质要求高，建立安全规则时，必须对协议

本身及其在不同应用程序中的作用有较深入的理解。因此，过滤器通常是和应用网关配合使用，共同组成防火墙系统。

包过滤防火墙和应用层防火墙有什么区别

包过滤防火墙是最简单的一种防火墙，它在网络层截获网络数据包，根据防火墙的规则表，来检测攻击行为。包过滤防

火墙一般作用在网络层（IP层），故也称网络层防火墙（Network Lev Firewall）或IP过滤器（IP filters）。数据

包过滤（Packet Filtering）是指在网络层对数据包进行分析、选择。通过检查数据流中每一个数据包的源IP地址、

目的IP地址、源端口号、目的端口号、协议类型等因素或它们的组合来确定是否允许该数据包通过。在网络层提供较低

级别的安全防护和控制。
包过滤防火墙优点：价格较低；性能开销小，处理速度较快 
包过滤防火墙缺点：定义复杂，容易出现因配置不当带来问题；允许数据包直接通过，容易造成数据驱动式攻击的潜在

危险。
包过滤防火墙：包过滤防火墙不检查数据区，包过滤防火墙不建立连接状态表，前后报文无关，应用层控制很弱。

应用层防火墙（Application layer firewall）是一个操作在网络通信应用层的防火墙。通常，它是一个使用各种形

式的代理服务器来代理通信而不是路由它的主机。因为它在应用层发挥作用，因此，它可能检查这个运输的内容，阻塞

防火墙管理员认为是不适当的内容，例如，特定的网站，病毒，尝试攻击已知的在客户机软件上的逻辑瑕疵等等。
代理防火墙也叫应用层网关（Application Gateway）防火墙。这种防火墙通过一种代理（Proxy）技术参与到一个TCP

连接的全过程。从内部发出的数据包经过这样的防火墙处理后，就好像是源于防火墙外部网卡一样，从而可以达到隐藏

内部网结构的作用。这种类型的防火墙被网络安全专家和媒体公认为是最安全的防火墙。它的核心技术就是代理服务器

技术。
　　所谓代理服务器，是指代表客户处理在服务器连接请求的程序。当代理服务器得到一个客户的连接意图时，它们将

核实客户请求，并经过特定的安全化的Proxy应用程序处理连接请求，将处理后的请求传递到真实的服务器上，然后接

受服务器应答，并做进一步处理后，将答复交给发出请求的最终客户。代理服务器在外部网络向内部网络申请服务时发

挥了中间转接的作用。
    代理类型防火墙的最突出的优点就是安全。由于每一个内外网络之间的连接都要通过Proxy的介入和转换，通过专

门为特定的服务如Http编写的安全化的应用程序进行处理，然后由防火墙本身提交请求和应答，没有给内外网络的计算

机以任何直接会话的机会，从而避免了入侵者使用数据驱动类型的攻击方式入侵内部网。包过滤类型的防火墙是很难彻

底避免这一漏洞的。就像你要向一个陌生的重要人物递交一份声明一样，如果你先将这份声明交给你的律师，然后律师

就会审查你的声明，确认没有什么负面的影响后才由他交给那个陌生人。在此期间，陌生人对你的存在一无所知，如果

要对你进行侵犯，他面对的将是你的律师，而你的律师当然比你更加清楚该如何对付这种人。
　　代理防火墙 ：内置了专门为了提高安全性而编制的Proxy应用程序，能够透彻地理解相关服务的命令，对来往的数

据包进行安全化处理；速度较慢，不太适用于高速网（ATM或千兆位以太网等）之间的应用。
应用网关防火墙：不检查IP、TCP报头，不建立连接状态表，网络层保护比较弱。

一想到毕业就想起还没有完成毕业设计，就烦了……

都怪自己懒惰，一拖再拖……

现在工作了，更没时间去做毕业设计了……

我的毕业设计题目是《linux防火墙配置》

毕业论文（设计）要求：
1. 描述各类防火墙的原理和优缺点，以及今后防火墙技术的发展方向。
2. 分析华软校园网，并画出网络拓扑图。
3. 根据网络特点和实际要求，构建防火墙规则。
4. 测试防火墙实际效果，写出测试过程报告。

2008来了，要过新年了，要毕业了……

原来自己将要进入社会混了，要开始养家了……

找工作是人生必上的一堂课，可是自己却无动于衷……

谁也想找一份高薪水的工作，但问题是自己能胜任这工作吗？

现在最想做的事就是，啥也不想了，睡觉吧～

前些时间笔记本电脑坏了，我就拆了N次了！

现在没拿去修，扔在角落等生锈了！

以下是其中的一些图片，在相册里有全部的相片！

想起昨天过的真快，昨天在广州过的太没趣了，不过还好，考证还是考完了，合不合格再算了；

昨天一大早六点半就起床了，吃了妈做的早餐就去坐车去总站，谁知，等车等了N久才来，去到车站已经差不多八点了，我买了七点四十分的车直接去广州大厦，去到广州大厦就刚好九点了，没办法，飞的过去考试的地方法，飞了我十一块钱！

好不容易来到了考场，发现加上我才八个人，我看了看那些考试的人，有几个在华软看过，打了招呼聊天了两句，然后有个老师跑进来点人数，还差一对情侣没到，哈哈……原来不是我最迟！

等了不久，那对最后来的情侣终于出现了，原来他们也是我校的学生，我问了一下不识的同学，原来这十人都是华软的，而且这次培训只有十人培训，真是大吃一惊！上次培训都有超过二十人呢，我看是因为这次不是连续培训的原因。

开始考试了，才三张比A4纸还要小的试题，看了看题目，傻了……全是路由啊，交换机之类的问题，问题是我没去上课，N多不会做，后来我问了一下监考老师能不能看书，他说是开卷的！晕……还好可以看书，要不吃蛋了！

做完了几十道选择题，最后做五题操作题，都是做路由的设置，哎……好多不会做，就记得第一题为路由改名字是最简单不过了，hostname R1，就是这样简单，其他的哦，忘记了命令了，看书才记起来~！

考完了，走人了，本来想去二手市场买张显卡，走着走着走错路了！不买了！

在石牌路吃了个饭，回家了！没心情进大平洋电脑城了，因为心情很复杂，没心情去溜溜了。直接走到广州大厦搭车回家。

当天朋友叫我去爬山，我去不了，不就是因为这个嘛！

今天一回家，就留了一下信箱，但是空荡荡的；

进到屋里，问了一下妈妈有没有收到我的信件；

妈妈说我去学校后两后收到一封全英文的信件；

妈妈看也看不明这到底是什么东东就拆开来看；

里面就有一个光盘和几个Ubuntu的标志贴纸；

妈妈怕有人乱搞什么东东，想扔掉这个信件的；

但后来又没有扔掉，幸好没扔掉呢，要不就晕；

因为我早在一个月前到ubuntu的官方网站申请；

过了漫长的一个月才等到这个原版的光盘光临；

这光盘是完全免费的，只要去申请八成都会有；

这个光盘是来于荷兰的，呵呵，手上拿着光盘爽；

视频照的，效果不太好！

此方法我也是在下载windows server web 2008时找到了，那个网页我也不记得了。

安装好2008后，在运行里分别输入以下两步就可以激活了，不需要CDKEY了。不过这个方法只能在RC1的英文版本里测试正常。其它版本不能正常的话我也不办法了！

1.
cscript ndir%\system32\slmgr.vbs -skms

2.
cscript C:\windows\system32\slmgr.vbs -ato