主題：Jetico in ubuntu Way 之：牛刀小試
作者：ubuntu
版權(quán)聲明：本文采用GNU Free Documentation License 簡稱GFDL，在遵守GFDL，非商用以及保留作者和版權(quán)聲明的前提下，你可以任意轉(zhuǎn)載本文。將本文用于商業(yè)用途請先聯(lián)系作者，以獲得授權(quán)。作者不對讀者使用本文中軟件造成的損失承擔(dān)任何責(zé)任。
本文作者保留對違反本聲明的行為進(jìn)行法律訴訟的權(quán)利。
Jetico Personal Firewall 以后簡稱JPF。在我看來，它的規(guī)則設(shè)置并不復(fù)雜。無非是把已經(jīng)公認(rèn)的Network Rules和Aplication Rules用JPF自己的設(shè)置方式，重新設(shè)一遍而已。前提是你對TCP/IP協(xié)議和防火墻有點(diǎn)了解，對服務(wù)，對端口，對常用的程序有點(diǎn)認(rèn)識(shí)。起碼，你對照J(rèn)PF的log能寫出對應(yīng)的應(yīng)用程序規(guī)則。
嘿，看你說的那么容易，不能光說不練是吧。 那好，你看我怎么折騰的。
基本設(shè)置
設(shè)置JPF需要時(shí)間，耐心和細(xì)心，不具備以上條件的暫時(shí)不要裝JPF啦。
作者：ubuntu
版權(quán)聲明：本文采用GNU Free Documentation License 簡稱GFDL，在遵守GFDL，非商用以及保留作者和版權(quán)聲明的前提下，你可以任意轉(zhuǎn)載本文。將本文用于商業(yè)用途請先聯(lián)系作者，以獲得授權(quán)。作者不對讀者使用本文中軟件造成的損失承擔(dān)任何責(zé)任。
本文作者保留對違反本聲明的行為進(jìn)行法律訴訟的權(quán)利。
Jetico Personal Firewall 以后簡稱JPF。在我看來，它的規(guī)則設(shè)置并不復(fù)雜。無非是把已經(jīng)公認(rèn)的Network Rules和Aplication Rules用JPF自己的設(shè)置方式，重新設(shè)一遍而已。前提是你對TCP/IP協(xié)議和防火墻有點(diǎn)了解，對服務(wù)，對端口，對常用的程序有點(diǎn)認(rèn)識(shí)。起碼，你對照J(rèn)PF的log能寫出對應(yīng)的應(yīng)用程序規(guī)則。
嘿，看你說的那么容易，不能光說不練是吧。 那好，你看我怎么折騰的。
基本設(shè)置
設(shè)置JPF需要時(shí)間，耐心和細(xì)心，不具備以上條件的暫時(shí)不要裝JPF啦。
安裝之前的準(zhǔn)備：
1.斷開Internet。
2.卸載現(xiàn)有的防火墻，關(guān)閉XP自帶防火墻。
3.全盤掃描病毒，或者至少掃描系統(tǒng)盤和訪問網(wǎng)絡(luò)的軟件。
4.reboot
5.安裝JPF。最后一步，一定要選擇設(shè)置Trust Zone和Block Zone。
6.reboot
重啟，看到有JPF的彈出窗口，說明你安裝算是正常。JPF管這些彈出窗口叫學(xué)習(xí)模式，在我看來不是學(xué)習(xí)模式，是折騰模式，折磨模式。面對這一大堆窗口，好人也要掛掉。當(dāng)然了，在沒有規(guī)則模板，在不能由Log直接生成規(guī)則的情況下，那東西還是有用的。目前的情況是很多人只看排名，不看手冊，只好用折磨模式，然后得出結(jié)論：JPF很煩，窗口N多。
我要做的第一件事，就是任務(wù)欄右下角JPF圖標(biāo)，把Security policy 設(shè)成Allow all，然后升級殺毒軟件，開個(gè)瀏覽器如：Opera，把和JPF設(shè)置有關(guān)的網(wǎng)頁打開。然后，改成Block all。插一句，使用非IE內(nèi)核瀏覽器是個(gè)好習(xí)慣。
老有人說JPF記不住規(guī)則，那是你不會(huì)用，Option菜單和圖里一樣就可以啦。
我下面要做的是添加幾條規(guī)則，阻止對135和445端口的訪問。為什么？ 因?yàn)椋腥苏fJPF默認(rèn)開放135和445端口，這是不對的。JPF的默認(rèn)規(guī)則寫的很專業(yè)，嚴(yán)謹(jǐn)且簡潔。經(jīng)過我在Shields Up和[url]http://scan.sygate.com的測試，這兩個(gè)端口是Block/Stealth的，只要是默認(rèn)規(guī)則。對于135和445的TCP訪問，在JPF中是用ask，而不是用reject，所以會(huì)有對話框彈出，并且無論你是允許還是阻止都能通過測試。JPF同樣處理的端口還有137－139。所以用不到上述端口的人，可以和我一樣處理，加幾條reject規(guī)則，避免窗口的騷擾。關(guān)于這幾個(gè)端口的作用，大家可以谷歌。
不需要DCOM-RPC服務(wù)的，可以關(guān)閉135端口。撥號上網(wǎng)，不使用局域網(wǎng)的可以像我這樣關(guān)閉137-139，445。局域網(wǎng)要使用NetBios服務(wù)，如果要訪問的網(wǎng)段在Trusted Zone應(yīng)該也可以關(guān)閉上述端口。
NetBIOS 使用下列端口：
UDP/137（NetBIOS 名稱服務(wù)）
UDP/138（NetBIOS 數(shù)據(jù)報(bào)服務(wù)）
TCP/139（NetBIOS 會(huì)話服務(wù)）
137，138是udp端口。當(dāng)通過網(wǎng)絡(luò)鄰居傳輸文件的時(shí)候就是通過這個(gè)2個(gè)端口.139端口是netbios提供服務(wù)的tcp端口。
在Root-->Application Table-->Ask User 加一條屏蔽inbound connection 135-139端口的規(guī)則，如圖：
Description：Block svchost port 135-139
Condition：
Application：c:\windows\system32\svchost.exe
Event：inbound connection
Protocol：TCP/IP
Local address：any
Local Port: from 135:139
Remote address：any
Remote Port：any
Action：reject
SMB 使用下列端口：
TCP/139
TCP/445
在Root-->Application Table-->Ask User 最上面加一條屏蔽inbound connection 445端口的規(guī)則，如圖：
Description：Block System port 445
Condition：
Application：System
Event：inbound connection
Protocol：TCP/IP
Local address：any
Local Port : single port 445
Remote address：any
Remote Port：any
Action：reject
Block System inbound 139
Block System inbound 445
我為什么這樣寫規(guī)則。因?yàn)镴PF手冊里規(guī)則由Condition和Action組成，并且我加入了Description。
我建議以后其它人回答有關(guān)規(guī)則問題的時(shí)候，也使用相同的格式或者附圖。
有興趣的可以把上面的幾條規(guī)則clone一下，將Event改為receive datagrams ，可以Block receive datagrams。
以上，只是展示下，Jetico怎么寫規(guī)則，這叫第一印象。只是給新人看看而已，關(guān)于這些端口，還有更高效的組織規(guī)則的方式，那是以后的事。
Table入門篇
Jetico一個(gè)很重要的特點(diǎn)是：Rule Table。下面的很多內(nèi)容都是圍繞Table展開的。
接下來是瀏覽器Opera
用Opera的有?？挥肙pera的也不要擔(dān)心，規(guī)則是一樣的。
JPF難得有幾個(gè)預(yù)設(shè)規(guī)則，包括瀏覽器Web Browser和郵件客戶端Mail Client。Opera強(qiáng)吧，又是瀏覽器，又是郵件客戶端，還能BT。。。 其它IE，F(xiàn)F只能是瀏覽器。
直接修改Web Browser
如圖：加一條允許瀏覽器ftp下載的規(guī)則，不喜歡的可以不加。你還可以加入81-83,3128，8080之類的。
要避免彈出提示窗口，加一條reject規(guī)則，可以不加。
Root-->Application Table-->Ask User 右邊規(guī)則區(qū) 右鍵-->New Application rule加入Opera的規(guī)則，使用預(yù)設(shè)的Web Browser Table 如圖：
那些沒有Mail Client的瀏覽器就不用設(shè)置Mail Client啦?；蛘哌x擇自己的Mail Client設(shè)置。記住要加到ask前面。
所以呀，要避免彈啊彈的，就要先設(shè)置模板規(guī)則，或者導(dǎo)入別人的設(shè)置，最好的辦法就是參考以前防火墻的規(guī)則來設(shè)啦，比如OP論壇有一篇文章不錯(cuò)，我以后就參考它設(shè)置。
當(dāng)然啦學(xué)習(xí)模式，無法避免，我們接下來看看通過對話框設(shè)置規(guī)則。
把Security policy 設(shè)成Optimal Protection，升級下殺毒軟件，比如NOD32，首先，彈出如下窗口。兩部分，一個(gè)是對事件的描述，程序名，事件，協(xié)議，規(guī)則所在的Table，是否記錄日志，程序Hash；一個(gè)是如何處理事件，允許，阻止，用預(yù)設(shè)的規(guī)則處理，自定義規(guī)則，記住我的選擇。
記住啦，要JPF記住規(guī)則的話，Remember my answer的勾要打上。 第一個(gè)事件，access to network如圖處理。
第二個(gè)事件是outbound connection 到升級服務(wù)器的80端口，如圖處理。
NOD32規(guī)則完成。
Table實(shí)戰(zhàn)篇
那我的殺毒軟件是KAV，Ewido，瑞X，金X或者其它的話，難到還要一個(gè)一個(gè)窗口和程序的去添加嘛？有沒有偷懶的辦法。當(dāng)然有。
我們需要建立一個(gè)AntiVirus的Table，就像預(yù)設(shè)的Web Browser一樣，不過是殺毒軟件的通用規(guī)則而已。
右鍵Root-->Insert table，右鍵New table-->rename-->AntiVirus
左鍵AntiVirus，發(fā)現(xiàn)只有一條默認(rèn)規(guī)則 continue。
Root-->Application Table-->Ask User，把NOD32的兩條規(guī)則拖到Antivirus，記住左鍵拖是移動(dòng)，右鍵拖是復(fù)制，我們用左鍵移動(dòng)。
如圖修改規(guī)則，把Application留空，這樣就變成了通用規(guī)則。如果升級要用到ftp的話加一條Allow ftp的規(guī)則。
下面就可以到Ask User里添加一條NOD32規(guī)則
或者重新升級NOD32，在對話框里如圖操作。
接下來，重復(fù)把其它殺毒軟件都加進(jìn)去。
通過學(xué)習(xí)模式設(shè)置IE
一般用下圖：
使用Table的話是這樣的：
小結(jié)：
為什么要用Table呢？ 我直接在學(xué)習(xí)模式里一個(gè)一個(gè)設(shè)置，不是也挺好的。
我們可以假設(shè)一下：如果一個(gè)AntiVirus程序有10條規(guī)則，如果有10個(gè)這樣類型的程序，就要100條規(guī)則。還不累死你。如果用了Antivirus Table的話，只需要20條規(guī)則，工作量是1:5。另外，JPF搜索規(guī)則的速度顯然也會(huì)加快。還有，好多人說，一旦程序升級，JPF會(huì)讓你把所有規(guī)則重新設(shè)置一遍，太麻煩了。顯然，這些人還沒入門，根本不懂得Table是干什么的。比如我的Opera升級啦，因?yàn)槲沂褂昧薟eb Browser Table，我當(dāng)然不用把什么80，443,8080之類的再設(shè)一遍，我只要把Ask User里的那條Opera的規(guī)則里的Application重設(shè)一下，讓它用新的Hash就可以了。
JPF規(guī)則包的最高境界就是規(guī)則基本上由通用的Table組成，并且盡量不使用Trusted Zone。
再加個(gè)QQ，算是完成了一個(gè)自己的基本JPF 規(guī)則。
要想繼續(xù)折騰的，自己多摸索吧。
It's Jetico in Ubuntu Way!
本文所有規(guī)則僅供參考，由于個(gè)人情況不同，切勿完全模仿。
本文系作者原創(chuàng)，轉(zhuǎn)載請保留原文地址：
http://my.opera.com/bloodmelon/blog/show.dml/284354
