• Azblink 系统快速安装
  • 快速设置步骤
  • 用户手册
01. 网络入门准备
02. 必备硬件设备
03. 快速安装及设置
04. 安装设置核认清单
05. SOFTWARE RAID
06. Q&A

选择DNS代管

在因特网上,想要建立可被大众存取的服务器,这是必要的准备步骤。以下我们先用图表再搭配文字说明,让您能一目暸然,只要按图操作,即可快速进入网络的世界。

选择DNS由托管DNS业者代管 ---取得固定IP地址、网域名(域名)、域名服务器及相关设置步骤

TOP

基本网络设置

在阅读本章前,请确认您已经阅读过【Azblink 系统快速安装】中的快速安装及设置

在此仅说明如何将系统连接上因特网。
在以光盘安装系统时,最后会出现设置主机IP地址的画面:

1 IP Address (IP地址):192.168.19.185
2 Netmask (子网掩码):255.255.255.0
3 Default Gateway (预设网关):192.168.19.1
4 Save Changes and Exit (储存更改并离开)
5 View Detected Ethernet Interface(s) (检视系统侦测到的网络接口)
6 Exit to Use DHCP by Default (直接离开并使用DHCP分派)

这个控制台设置接口里的操作,可以利用上下箭头键选择您所需要编辑的选项,然后按ENTER键来选定该选择项目,以作进一步设置。

系统有两种设置方式,您可以依您所偏好的方式,或是根据当时的网络环境,来决定该使用何种方式来设置,请选择A或B:

A. 已拥有固定IP的情况下设置的方式。如固接式网络或是原网络中有DHCP主机的存在。
B. 没有固定IP的情况下设置的方式。如浮动式网络PPPoE或有线电视网络CABLE。

 

选择A---

A-1. 利用选项1、2、3,将固定IP设置完毕,使用选项4储存离开此控制台设置画面。(如不清楚子网掩码及预设网关,可以参照您的ISP业者给予的竣工单)
1 IP Address (IP地址):____________________
2 Netmask (子网掩码):_____________________
3 Default Gateway (预设网关):___________________
4 Save Changes and Exit (储存更改并离开)

A-2. 将光盘取出,重新开机。

A-3. 用远程连接或是子网络来浏览系统的控制画面。您所拥有的固定IP是公共IP还是私有IP?
公共IP(Public IP),直接在一般拥有网络连接的PC浏览器上,输入http://Public_IP:8082即可连上
   系统第一次登入的设置画面。
私有IP(Private IP),请使用连结在与此台新设置主机相同网络中的PC,在浏览器的网址列中输入
   http://192.168.1.61:8082 (假设该新机器的私有 IP是指定为 192.168.1.61)或
   http://azstart:8082/(系统预设主机名),来连上系统第一次登入的设置画面。

选择B---

B-1. 选择选项6 Exit to Use DHCP by Default(直接离开并使用DHCP分派),离开控制台设置接口。

B-2. 将光盘取出,重新开机。

B-3. 您所安装系统的主机下,是否有连结其它主机?
是,请确认此主机为唯一之DHCP服务器(亦即此网域内不应再有其它DHCP存在,如IP分享器之属),
   再直接从B-5开始。
否,请将基本网络架构架设好。您可依B-4的提示,做好最基本的网络连接架构。

B-4. 首先将连接主机eth1端口之网络线的另一端连接到Hub上,再从Hub上接另一条网络线出来,连接到一台普通的客户端计算机。

B-5. 在系统主机底下所连结的子网域中,选择一台客户端主机。

B-6. 客户端主机(假设是Windows的主机)中打开命令提示字符,输入指令“ipconfig”后按Enter键,查看在区域连接中的Default Gateway是否为172.16.9.1?
是,可将命令提示字符视窗关闭,进到下一步。
否,输入指令“ipconfig/release”将计算机中原有的旧IP释放掉,再输入指令“ipconfig/renew”取得
   新的IP。(倘若此动作仍旧无法得到新的IP,请检查网络中是否还有其它DHCP存在,或是此客户端
   计算机TCP/IP不是设置自动取得IP地址的模式)

B-7. 开启浏览器,在网址列输入 http://172.16.9.1:8082 来连结。在第一次登入画面,您可以看到有4个字段;
Host Name(设置此主机的主机名):_________________
Admin Password(系统管理密码):系统预设密码为 admin123
New Admin Password(设置新的密码):________________
Confirm Password(再次确认新的密码):_________________

B-8. 进入系统画面后,点选System>>网络>>PPPoE,勾选启动PPPoE的选项,在填入ISP业者提供的帐号密码送出后,重新开机也就可以连上网络了。(如有相关问题可参阅快速安装手册的设置及Q&A)

※网络中有DHCP,但若在查看当前系统值时,发现eth0显示伪IP 1.2.3.4,请检查网络线是否有接错(eth0、eth1两者对调),或是其它网络设备有问题(可参阅本系统手册中的Q&A)

TOP

防御

垃圾及病毒邮件是电子邮件系统所面临最严重的问题之一。虽然现在一般企业的网络都有防火墙来为安全把关,但是在系统软件日趋复杂的情况下,很多恶意软件专钻旁门左道,却也往往会防不胜防。透过良好的侦测机制来进行防御是安全的重要观念之一,侦测攻击就如同侦测火灾或是其它灾害一样,若能够越早侦测并防御它,就越容易将之消灭或降低损失。

动态屏除

有几种直截了当的方法可以用来避免因垃圾邮件重压而导致的邮件服务器超载现象。例如,如果邮件服务器上没有对应的接收者,该邮件便不会再经病毒扫描或内容分析,而是直接被拒。然而,这可能会引起垃圾邮件者用冗长的用户名单(所谓的字典攻击)去逐一探测存在于系统中的有效用户名。所以,有时,人们只能选择沉默地接受或是丢弃它们,而不能将任何有关于系统是否接受的提示传回给垃圾邮件者。

许多垃圾邮件来自不具备完全合格域名的主机;或是来自于在反向DNS查询中没有任何记录的IP地址。它们可被用来掩护垃圾邮件。但我们应小心,这样简单的判别也可能会杀掉“正常邮件”。

例如,出于私人原因,很多人并不将他们的IP地址置于反向DNS的记录中,以此来避免人们直接使用IP地址来搜集域名信息。某些人仅将他们的邮件主机名以“A 纪录”形式置于DNS服务器,而非“ MX 纪录 ”,以求该邮件服务器不会被垃圾邮件者当作目标。或者,某些人的规划中使用不同的SMTP主机来收发邮件,或是需要经由邮件中继。针对那些例外的情形,您必须用白名单列表来补救之;当服务器在被垃圾邮件攻击时,对于您已获知的人们不会去接受邮件的那些来源,您最好将它们放入黑名单。

当垃圾邮件量超出“病毒扫描”和“内容过滤”的处理能力时,我们可能要在那些邮件被处理之前就封锁掉SMTP连接。在Email >> 防御 >> 动态屏除 处操作时,您会看到有几个复选框。

停止SMTP网络联接

意即直接拒绝邮件的存取。在遭受大量恶意邮件攻击时,为避免网络因而瘫痪,这是最直接也是最迫不得已的处理方式。

抛弃所有处理中之邮件

一般邮件在送进邮件服务器后,邮件服务器会有分发派信的处理动作,但若在遭受大量恶意邮件攻击时,突然涌进的大量邮件会让邮件服务器太过忙碌而无法响应,所以当察觉邮件服务器有异常状况无法响应时,可暂时先抛弃此阶段充塞阻挡在邮件服务器里所有处理中之邮件,好让邮件服务器能尽速恢复正常运作。

用名单决定拒绝或接受SMTP网络联接

选择此条件须搭配画面右方之“SMTP预设名单”,您可依此功能建立黑名单与白名单,让系统依此名单去筛选邮件。

拒绝没有注册于 DNS之对方主机名SMTP网络联接

垃圾邮件通常多利用xDSL的环境和网络营销软件来作为垃圾邮件的传送管道。此条件会让邮件服务器在收信的同时,反查对方邮件服务器的域名是否在网络名称服务器(DNS)中有注册,若在网络名称服务器中查无此域名,它会判断此为垃圾邮件而予以拒收。

拒绝主机名与IP地址不一者

同上,垃圾邮件通常多利用xDSL的环境和网络营销软件来作为垃圾邮件的传送管道。假若邮件服务器在收信的同时,还能够反查对方邮件服务器的IP 地址是否在网络名称服务器(DNS)中有注册,并比对与寄件者的域名是否有一致,倘若比对不一致,它就会认定这是经由xDSL 的发信软件所发出,判断此为垃圾邮件而予以拒收。不过,在网络世界中,绝大部分的邮件服务器皆无在DNS中设置反向查询,意即您如果选用此屏除条件,将得承担可能漏失重要邮件的风险,故不建议使用。



正如指出的那样,那些行为也会封锁掉您本来想要接受的邮件。为补救之,您需将那些主机或它们的IP地址填入“SMTP 预设名单”并将之标识为“OK”。对于那些显然是您不愿意从之接收邮件的主机,将它们标识为“DISCARD”就可以了。当与SMTP 预设名单相关的复选框被选定时,“SMTP 预设名单”即会被使用。

但我们怎样搜集这个要封锁的列表呢?这需要一些分析。请记住:没必要用这个方法去封锁掉所有的垃圾邮件;我们做的只是将处理量降至“病毒扫描”和“内容过滤”可以应付的水平。

区域阻挡

如果您有机会看一下垃圾邮件所用的IP地址统计数据,您可能会觉得很惊讶,它们来自数以万计的不同IP。这种IP欺骗可以通过在IP标头伪造来源IP地址来做到。如今,大多数网关应该已经有“入口过滤”功能,它可以拒绝那些来源IP地址虽然在网络内但却是来自于外部的数据封包;或是有“出口过滤”功能,拒绝、丢弃那些在来源IP地址域拥有外部网络IP地址,但实际上却是源于内部的数据封包。如果是这样的话,我们可以假设那些垃圾邮件是从垃圾邮件者控制的公开的代理服务器或主机,以跳跃IP地址的形式发出的。

很多IP地址只被垃圾邮件者使用一次而已。所以,封锁某特定IP可能一点用都没有。因此,我们要尝试对这些搜集到的IP做反向DNS查询,以此来检查与之相关联的域名。

区域阻挡是利用进阶的筛选来达到有效封锁的目的。在列出 SMTP网络联接中经由反向DNS查询获得之网域名的画面中,按下‘显示’的按钮,便可利用邮件系统在收送邮件时所记录的日志信息来分析异常之邮件,不需要检视邮件内容而影响系统效能,同时也可达到异常邮件之侦测。

左侧列表框即是解析经由反向DNS查询获得之网域名的结果。于列表框中可看到文数字并列;数字所代表的是存取邮件服务器的次数,而文字则是表示网域名。

在了解列表框中文数字所代表的意义之后,我们看到,发送超过一定数量的邮件时,可判断其邮寄行为不属于正常邮寄模式;利用数据探勘的技术,从电子邮件日志文件中发掘其蕴含之邮件传送行为模式,进行关联组合属性分析,再配合探索式规则将其行为模式作属性归纳,针对大量异常与出现频率高的关联组合进行对照分析。在此部分总共可做三层的离析,离析的结果可作为管理者判断的参考指标,哪些是在现实中根本不相干的,可选择出来按下提交,随即就能将之列入到黑名单。

下面的图示展示了此方案的执行情况。“Level 0”、“Level 1”和“Level 2”展示了域名的不同层次。通过对信息进行分类,就可以容易地得知垃圾邮件的来源。可先排除掉最不可能的情况,如平时绝不会去接触到的冷僻的国家之代码,我们可仅用封锁“国家代码”来对付某些垃圾邮件,也就可以以此减轻些许工作负载。总之,您把那些可疑域名加进限制列表即可。



列表框中的第一栏由高到低展示了来自某特定域名的连接次数。如果来自某些域名的邮件中有99%被分类为垃圾邮件,那我们将那些域名加入列表,不必处理而直接丢弃即可。

然而,如果您有机会使用“Level 2”分析,很多IP地址并不能通过反向DNS查询来看到;它们会被标识为“unknown”。若将“反向DNS查询”当作拒收邮件的标准,那所有来自“unknown”的邮件都会被拒。正如我们此前提及的,这样做也会封锁掉合法的邮件服务器。所以,我们可能需要对“unknown”做更详细一些的分析。


网络阻挡

此处的功能用于分析那些通过反向DNS查找无法解决的IP地址。第一栏指出了来自某IP地址或网络的连接次数,也是由多至少排列的;第二栏是自上而下的累积值。所以,在最后一行,您应可以看到第二栏的总数。我们列举一例,在列出 SMTP网络联接中无法经由反向DNS查询获得网域名之IP的画面里,按下显示之后,出现的数字所代表的意思分别是 出现次数 累计次数 IP地址,以「102 784 211.189.18.108 」这一行数字来说,所告诉我们的讯息是,从211.189.18.108那一端的IP地址来存取我方邮件服务器之次数有102次,在所有‘unknown’离析出来的数据数据里之目前累计的次数总计784次。



请注意:如果您选择或键入“218.63”至SMTP限制列表,那将会封锁所有来自“218.63.*.*”的IP地址。



SMTP连接包括所有连接邮件服务器的尝试。人们送出邮件的行为,也是SMTP连接。所以,您将看到列表中呈现某些“私有IP地址”。有时,如果您看到某些特定IP地址从您的本地网络往外发送许多邮件,那就不是一个好信号。它可能意味着该机器感染了病毒。当SMTP连接使用帐号和密码来进行验证,SMTP限制列表则不会封锁它。要封锁之,应至 Border Control >> 基本设置 >> 更新封锁的主机 在防火墙黑名单中操作。

处理垃圾邮件的过程包括病毒扫描、内容分析后做标识,如果这些工作并不占用该机器太多的CPU处理时间,那可能没必要采用上述的方法。不过,在某些环境下,那些方法对减轻系统工作量是非常有帮助的。