IP Masquerade mini HOWTO
作者:AmbroseAuambrose@writeme.com
译者:AsdL.Chenasdchen@ms1.hinet.net
v1.20,10November1997翻译日期:19November1997
--------------------------------------------------------------------------------
这份文件描述如何在一台Linux主机上起动IPMasquerade功能，允许没有注册网际网路IP位址的连线电脑经由你的Linux机器连接网际网路．
--------------------------------------------------------------------------------
--------------------------------------------------------------------------------
1.简介
1.1简介
这份文件描述如何在一台Linux主机上起动IPMasquerade功能，允许没有注册网际网路IP位址的连线电脑经由你的Linux机器连接网际网路．你的机器可能是以乙太网路连接Linux,也可能是其它种类，像是拨接的点对点(ppp)连线．这份文件将会强调乙太网路连线的情况，因为这应该是最常见的案例．
这份文件倾向给使用2.0.x核心的使用者参考，不包含发展中的2.1.x核心．
1.2前言，回馈&参考资讯
我发现新手在较新的核心上，像是2.x核心，设定IPMasguerade时非常困惑．虽然有份常见问答集(FAQ)与邮递列表(mailinglist)，然而没有一份这方面的专门文件；而且在邮递列表上有些对於这样一份说明文件(HOWTO)的请求．所以，我决定撰写它给所有新手作为一个起点，并且希望能抛砖引玉，作为那些非常了解它的使用者建立文件的基础．如果你认为我做的不好，不要在意告诉我，这样我能把它做得更好．
这份文件很多是以原先KenEves的常见问答集以及IPMasquerade邮递列表里许多有帮助的讯息作为基础．特别感谢Mr.MatthewDriver在邮递列表中的讯息引发我设立IPMasquerade的灵感以及最後撰写了这份文件．
如果我的任何资讯有误或遗漏任何资讯，请别介意把任何回馈或意见寄到ambrose@writeme.com来．你的无价回馈将影响未来的这份说明文件!
这份说明文件是想作为让你的IPMasquerade能在最短时间内运作的快速指引．因为我不是一位专门作家，你可能会发现本文件的资讯并非如你想的那麽一般及客观．最新的消息以及资讯可以在我所维护的IPMasqueradeResource网页上找到．如果你有任何关於IPMasquerade的技术问题，请加入IPMasquerade邮递列表而别寄电子邮件给我，因为我的时间有限，而且IPMasquerade的发展者们更有能力回答你的问题．
这份文件最新的版本可以在IPMasqueradeResource上找到，里面也有HTML以及postscript的版本:
http://ipmasq.home.ml.org/
请参考IPMasqueradeResource映射站台列表以找到其它的映射站台．
1.3版权&宣告
这份文件版权属於AmbroseAu,而且是免费的文件．你可以在GNU的通用公开授权方式下散播它．
这份文件中的资讯跟其它内容都已经尽了我最大的努力．无论如何，IPMasquerade是实验性的，而且我也可能会犯些错误；所以你应该自己决定是不是要照著这份文件中的资讯做．
没有人会为使用这份文件中的资讯所造成的电脑损坏或其它损失负责．也就是说，
作者不对依照这份文件内容动作所造成的损害负责．
原文
Thisdocumentiscopyright(c)1996AmbroseAu,andit'safreedocument.YoucanredistributeitunderthetermsoftheGNUGeneralPublicLicense.
Theinformationandothercontentsinthisdocumentaretothebestofmyknowledge.However,ip_masqisexperimental,andthereischancethatImakemistakesaswell;soyoushoulddetermineifyouwanttofollowtheinformationinthisdocument.
Nobodyisresponsibleforanydamageonyourcomputersandanyotherlossesbyusingtheinformationonthisdocument.i.e.
THEAUTHORISNOTRESPONSIBLEFORANYDAMAGESINCURREDDUETOACTIONSTAKENBASEDONTHEINFORMATIONINTHISDOCUMENT.
--------------------------------------------------------------------------------
--------------------------------------------------------------------------------
2.背景知识
2.1什麽是IPMasquerade?
IPMasquerade是Linux发展中的一种网路功能．如果一台Linux主机使用IPMasquerade功能连线到网际网路上，那麽接上它的电脑（不论是在同一个区域网路上或藉由数据机连线）也可以接触网际网路，即使它们没有获得正式指定的IP位址．
这使得一些电脑可以隐藏在闸道(gateway)系统後面存取网际网路而不被发现，看起来就像只有这个系统在使用网际网路．突破设定良好的伪装(masquerade)系统之安全防护应该会比突破良好的封包过滤式防火墙(packetfilterfirewall)来得更加困难（假设两者之中都没有错误）．
2.2现况
IPMasquerade仍然在实验阶段．无论如何，核心从1.3.x开始已经内建这项支援．许多个人甚至公司正在使用它，而有满意的结果．
浏览网页以及远端签入(telnet)已经有回报表示可以在IPMasquerade上运作．档案传输(FTP)，网路交谈(IRC)以及聆听RealAudio现在可以载入某些模组配合．其它的网路资料流音讯(streamingaudio)像是TrueSpeech以及InternetWave也能运作．一些邮递列表中的使用夥伴甚至还尝试过视讯会议软体．Ping现在配合新近可以取得的网际网路控制讯息协定(ICMP)修补档也能运作．
更完整的支援软体列表请参考4.3节．
IPMasquerade在数种不同的作业系统及平台上与'客户端机器'配合良好．成功的案例有使用Unix,Windows95,WindowsNT,WindowsforWorkgroup(withTCP/IPpackage),OS/2,MacintoshSystem'sOSwithMacTCP,MacOpenTransport,DOSwithNCSATelnetpackage,VAX,AlphawithLinux,甚至AmigawithAmiTCP或AS225-stack的系统．
2.3谁可以从IPMasquerade中获益?
如果你有台连接网际网路的Linux主机，而且
如果你有一些执行TCP/IP连接到Linux机器的电脑在区域网路上，以及/或是
如果你的Linux主机有一个以上的数据机并且作为PPP或SLIP伺服器连接其它电脑，它们
这些其它机器没有正式指定的IP位址．（这些机器从这里开始以後就称为其它机器）
而且当然，如果你希望这些其它机器不必花额外的费用就能连上网际网路:)
2.4谁不需要IPMasquerade?
如果你的机器是单独一台(stand-alone)连接网际网路的Linux主机，那麽执行IPMasquerade没什麽意义，或者
如果你的其它机器拥有正式指定的IP位址，那麽你就不需要IPMasquerade
而且当然，如果你不喜欢免费使用(freeride)这个主意的话．
2.5IPMasquerade是如何运作的?
节自Keneves的IPMasqueradeFAQ:
这是大部分简单的设定草图:
SLIP/PPP+------------++-------------+
toprovider|Linux|SLIP/PPP|Anybox|
<----------modem1||modem2-----------modem||
111.222.333.444||192.168.1.100||
+------------++-------------+
上面的草图中一台安装并执行ip_masquerading的Linux
机器使用modem1经由SLIP/or/PPP连接网际网路．它有一个
指定的IP位址111.222.333.444．它设定modem2允许拨接者
签入并起始SLIP/or/PPP连结．
第二个系统（不必是执行Linux的系统）拨接进入Linux
机器并起始SLIP/or/PPP连结．它在网际网路上并没有指定的
IP位址所以它使用192.168.1.100．（参阅下述）
配合ip_masquerade及适当递送配置(routingconfigured)
Anybox这台机器可以跟网际网路交流就如同它真的连在上面般
（除了少数例外）．
节录PaulineMiddelink:
别忘记提到ANYBOX应该把Linux机器当作它的闸道（无论是
预设递送路径或只是个子网路都没关系）．如果ANYBOX不能够
这样设，Linux机器应该为所有要递送的位址做代理位址解析
析协定(proxyarp)服务，但代理位址解析的设定超过这份文件
的□围．
下面节录自comp.os.linux.networking的一篇布告并且稍加编辑以
符合上述□例的用词:
。我告诉ANYBOX这台机器跑slip的linux机器是它的闸道．
。当一个封包从ANYBOX进入linux机器时，它会指定新的来源埠
号(sourceportnumber)，把它自己的ip位址塞入封包的标头并
储存原来的．然後它将会藉由SLIP/or/PPP界面把修改过的封包
送上网际网路．
。当一个封包从网际网路来到linux机器时，如果埠号是上面指定
的其中一个，它将会取出原来的埠号以及ip位址，把它们放回封
包的标头，并且把封包送往ANYBOX．
。送出封包的主机将永远不知道其中的差别．
一个IPMasquerading的例子:
下面的图示是典型的例子:-
+----------+
||Ethernet
|abox|::::::
||2:192.168.1.x
+----------+:
:+----------+PPP
+----------+:1|Linux|link
||::::|masq-gate|::::::::://Internet
|bbox|::::::||
||3:+----------+
+----------+:
:
+----------+:
||:
|cbox|::::::
||4
+----------+
<-InternalNetwork->
在这个例子中我们考虑四台电脑系统（想必遥远的右方还有些东西让你到网际网路的IP连线能够连接，以及一些（远超过这一页）在网际网路上你有兴趣交换资讯的东西）．这个Linux系统masq-gate是abox,bbox,cbox内部网路机器连接网际网路的伪装闸道．内部网路使用指定的私用(private)网路位址，在这个案例中是classC网路192.168.1.0,Linux机器拥有位址192.168.1.1而其它系统也拥有此网路上的位址．
这三台机器abox,bbox以及cbox(它们可以执行任何作业系统－像是Windows95,MacintoshMacTCP或甚至是另一台Linux机器，只要它们能了解IP)可以连线到网际网路上的其它机器去，然而这个伪装系统闸道masq-gate转换它们所有的连线所以这些连线看起来像是原本即从伪装闸道masq-gate本身发出的，而且还安排伪装连线传回的资料转回原先的系统－所以在内部网路上的系统看到的是直接通往网际网路的递送路径而且不知道他们的资料被伪装过．
2.6在Linux2.x上使用IPMasquerade的需求
**请参考IPMasqueradeResource以获得最新资讯，因为经常更新这份HOWTO是满困难的．**
核心2.0.x的原始程式码可以从这里取得ftp://ftp.funet.fi/pub/Linux/kernel/src/v2.0/
(是的，你将得配合加入一些支援来编译你的核心....建议最新的稳定版本)
可载入核心模组，最好是2.0.0或更新的版本，可以从这里取得http://www.pi.se/blox/modules/modules-2.0.0.tar.gz
(至少需要modules-1.3.57)
设定良好的TCP/IP网路
涵盖於LinuxNET-2HOWTO及网路管理者指引(NetworkAdministrator'sGuide)NetworkAdministrator'sGuide
你的Linux主机的网际网路连线
涵盖於LinuxISPHookupHOWTO,LinuxPPPHOWTO以及LinuxPPP-over-ISDNmini-HOWTO
Ipfwadm2.3或更新的版本可以从这里取得
ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz在LinuxIpfwadm网页上有更多关於版本的资讯LinuxIpfwadmpage
你可以选择性地加上一些IPMasquerade修补档以增加其它功能．从这里可以取的更多资讯，IPMasqueradeResources(这些修补档适用於所有的2.0.x核心)
--------------------------------------------------------------------------------
--------------------------------------------------------------------------------
3.IPMasquerade的设定
如果你的私用网路里有任何重要的资讯，在使用IPMasquerade之前请三思．这可能成为你通往网际网路的闸道，反之亦然，也可能成为另一边的世界进入你私用网路的途径．
3.1编译核心加入IPMasquerade的支援
**请参考IPMasqueradeResource以获得最新资讯，因为经常更新这份HOWTO是满困难的．**
首先，你需要核心的原始程式码(最好是稳定的2.0.0版或以上的核心)
如果这是你第一次编译核心，不要害怕．事实上，这非常容易而且涵盖於LinuxKernelHOWTO
使用指令:tarxvzflinux-2.0.x.tar.gz-C/usr/src把核心的原始程式码解至/usr/src/，其中x是2.0之後的修补层级
(确定有个称为linux的目录或符号链结)
加上适当的修补．因为新的修补档不断出来，所以细节不会包含在这里．最新的资讯请参考IPMasqueradeResources
有关编译核心更进一步的介绍请参考KernelHOWTO以及核心原始程式码目录里的README档案
这里是你要编译进去的选项:
下列选项要回答YES:
*Promptfordevelopmentand/orincompletecode/drivers
CONFIG_EXPERIMENTAL
-这将让你能选择把实验性的IPMasquerade程式码编译到核心里去
*Enableloadablemodulesupport
CONFIG_MODULES
-让你能够载入模组
*Networkingsupport
CONFIG_NET
*Networkfirewalls
CONFIG_FIREWALL
*TCP/IPnetworking
CONFIG_INET
*IP:forwarding/gatewaying
CONFIG_IP_FORWARD
*IP:firewalling
CONFIG_IP_FIREWALL
*IP:masquerading(EXPERIMENTAL)
CONFIG_IP_MASQUERADE
-这虽然是实验性的，但却是*必须*的
*IP:ipautofwmasqueradesupport(EXPERIMENTAL)
CONFIG_IP_MASQUERADE_IPAUTOFW
-建议使用
*IP:ICMPmasquerading
CONFIG_IP_MASQUERADE_ICMP
-支援ICMP封包伪装，可选用
*IP:alwaysdefragment
CONFIG_IP_ALWAYS_DEFRAG
-高度建议使用
*Dummynetdriversupport
CONFIG_DUMMY
-建议使用
注意:这些只是IPMasquerade所需要的，你还需选择其它任何你的设定需要的选项．
编译核心之後，你应该编译并安装模组:
makemodulesmodules_install
然後你应该在/etc/rc.d/rc.local(或任何你认为合适的档案)里加上几行以便每次启动时自动载入/lib/modules/2.0.x/ipv4/里所需的模组:
.
.
.
/sbin/depmod-a
/sbin/modprobeip_masq_ftp
/sbin/modprobeip_masq_raudio
/sbin/modprobeip_masq_irc
(以及其它像是ip_masq_cuseeme,ip_masq_vdolive等模组，如果你有加上适当的修补)
.
.
.
注意:你也可以在使用ip_masq之前手动地载入它，但是不要使用kerneld来载入，这是不行的!
3.2指定私用网路的IP位址
因为所有其它机器都没有正式指定的位址，必须有个正确的方式来分配位址给这些机器．
节自IPMasqueradeFAQ:
有份RFC(#1597)是有关没有与外界连线的网路该使用什麽IP位址．有三个数字区块是特别为这个目的而保留的．其中一个我使用的是192.168.1.n到192.168.255.n之间的255Class-C子网路．
节自RFC1597:
第三节:私用位址空间
网际网路位址指定当局(IANA:InternetAssignedNumbersAuthority)
已经保留下列三个区块的IP位址空间给私用网路:
10.0.0.0-10.255.255.255
172.16.0.0-172.31.255.255
192.168.0.0-192.168.255.255
我们将称第一个区块为"24位元区块"，第二个为"20位元区块"，
而第三个则称为"16位元区块"．注意到第一个区块就只是个
classA网路号码，第二个区块则是连续的16个classB网路
号码，而第三个区块是一组255个连续的classC网路号码．
所以，如果你要使用一个classC网路的话，那麽你的机器应该以192.168.1.1,192.168.1.2,192.168.1.3,...,192.168.1.x来名之．
192.168.1.1通常是闸道这台机器，在此即你连上网际网路的Linux主机．注意192.168.1.0以及192.168.1.255分别为网路以及广播位址，是保留的．避免在你的机器上使用这些位址．
3.3配置其它机器
除了为每台机器设定适当的IP位址之外，你也应该设定适当的闸道．一般说来，这是非常直接了当的．你只需简单地输入Linux主机的位址(通常是192.168.1.1)作为闸道位址．
关於领域名称服务，你可以加入任何DNS系统．最可能的应该是你Linux使用的那一个．你也可以选择性地加上任何网域字尾(domainsuffix)．
在你重新配置这些IP位址之後，记得重新启动适当的服务或是重新开机．
下面的配置□例假设你使用一个ClassC网路并且以192.168.1.1作为Linux主机的位址．请注意192.168.1.0及192.168.1.255是保留的．
配置Windows95
如果你还没有安装网路卡以及界面驱动程式，现在做．
到'控制台/网路'里去．
如果你的网路配置里没有'TCP/IP协定'则加进去．
在'TCP/IP内容'中，选择'IP位址'并且把IP位址设定为192.168.1.x,(1在'通讯闸'中加入192.168.1.x作为你的闸道．
在'DNS配置'/'DNS伺服器'下加入你的Linux主机使用的DNS(通常可以在/etc/resolv.conf里找到)．你可以选择性地加入适当的网域字尾搜寻顺序．
不要变更原先的其它设定，除非你知道自己在做什麽．
在所有的对话盒中按下'确定'并且重新启动系统．
测试网路连线，Ping你的linux主机:从'开始/执行'，输入ping192.168.1.1
(这只是区域网路连线测试，你现在还不能ping外面的世界．)
你可以在windows目录下选择性地建立一个HOSTS档案，如此你可以使用区域网路里的机器名称．在windows目录里有个称为HOSTS.SAM的□例．
配置WindosforWorkgroup3.11
如果你还没有安装网路卡以及界面驱动程式，现在做．
如果你还未安装TCP/IP32b套件的话就装吧．
在'Main'/'WindowsSetup'/'NetworkSetup',按下'Drivers'．
将'NetworkDrivers'里的'MicrosoftTCP/IP-323.11b'反白，按下'Setup'．
设定IP位址於192.168.1.x(1<x<255),然後设定SubnetMask为255.255.255.0以及DefaultGateway为192.168.1.1．
不要开启'AutomaticDHCPConfiguration'并在'WINSServer'中放入任何东西，除非你在一WindowsNT网域中而且你知道你在做什麽．
按下'DNS',填入在3.3.1小节中步骤六提到的资讯，然後在你完成後按下'OK'钮．
按下'Advanced',如果你使用类似3.3.1小节步骤十中提到主机档案，勾选'EnableDNSforWindowsNameResolution'及'EnableLMHOSTSlookup'．
在所有对话盒中按'OK'并重新启动系统．
Ping一下你的Linux主机以测试网路连接:在'File/Run'输入:ping192.168.1.1
(这只不过是区域网路的连接测试，你还不能ping到外面的世界)．
ConfiguringWindowsNT
如果你还没有安装网路卡以及界面驱动程式，现在做．
到'Main'/'ControlPanel'/'Network'．
如果你还没装TCP/IP服务的话从'AddSoftware'选单中加入TCP/IP协定及相关的部份．
在'NetworkSoftwareandAdapterCards'里将'InstalledNetworkSoftware'选择盒中的'TCP/IP协定'反白．
在'TCP/IPConfiguration'，选择适当的界面驱动程式，例如，[1]NovellNE2000Adapter．然後设定IP位址於192.168.1.x(1<x<255)，然後设定SubnetMask为255.255.255.0以及DefaultGateway为192.168.1.1．
不要开启'AutomaticDHCPConfiguration'并在'WINSServer'中放入任何东西，除非你在一WindowsNT网域中而且你知道你在做什麽．
按下'DNS',填入在3.3.1小节中步骤六提到的资讯，然後在你完成後按下'OK'钮．
按下'Advanced',如果你使用类似3.3.1小节步骤十中提到主机档案，勾选'EnableDNSforWindowsNameResolution'及'EnableLMHOSTSlookup'．
在所有对话盒中按'OK'并重新启动系统．
Ping一下你的Linux主机以测试网路连接:在'File/Run'输入:ping192.168.1.1
(这只不过是区域网路的连接测试，你还不能ping到外面的世界)．
配置UNIX系列的系统
如果你还未安装你的网路卡并以适当的界面驱动程式重新编译你的核心，现在就做吧．
安装TCP/IP网路，像是nettools套件，如果你还没装的话．
将IPADDR设为192.168.1.x(1<x<255),然後将NETMASK设为255.255.255.0,GATEWAY设为192.168.1.1,以及BROADCAST设为192.168.1.255．
例如，在RedHatLinux系统上你可以编辑/etc/sysconfig/network-scripts/ifcfg-eth0，或直接从ControlPanel里做．
(在SunOS,BSDi,SlackwareLinux,等中都不相同...)
将你的名称伺服器及领域搜寻字尾加到/etc/resolv.conf．
依据你的设定你可能要更新你的/etc/networks档案．
重新启动适当的服务，或简单的重新开机．
发出ping指令:ping192.168.1.1以测试到你的gateway机器的连接性．
(这只不过是区域网路的连接测试，你还不能ping到外面的世界)．
配置使用NCSATelnet套件的DOS机器
如果你还没有安装网路卡，现在做．
载入适当的封包驱动程式．对於NE2000卡来说，如果你的卡设定为IRQ10及硬体位址於0x300，用nwpd0x60100x300．
建立一新目录，然後解开NCSATelnet套件:pkunziptel2308b.zip
使用文字编辑器打开config.tel档案．
设定myip=192.168.1.x(1<x<255),以及netmask=255.255.255.0．
在本例子中，你应该设定hardware=packet,interrupt=10,ioaddr=60．
你至少要有一单独的机器设定为gateway，也就是Linux主机:
name=default
host=yourlinuxhostname
hostip=192.168.1.1
gateway=1
还要有另外一个指定领域名称服务:
name=dns.domain.com;hostip=123.123.123.123;nameserver=1
注意:用你Linux主机使用的DNS的适当资讯来取代．
储存你的config.tel档案．
Telnet到你的Linux主机以测试网路连接:telnet192.168.1.1
配置执行MacTCP的MacOS机器
如果你还没为你的乙太网路转接器安装适当的驱动程式，最好现在就作．
打开MacTCPcontrolpanel，选择适当的网路驱动程式(Ethernet,而非EtherTalk)并按下'More...'钮．
在'ObtainAddress:',按'Manually'．
在'IPAddress:'下，从弹出选单中选择classC．忽略对话盒中的其它部份．
在'DomainNameServerInformation:'中填入适当资讯．
在'GatewayAddress:'中，填入192.168.1.1．
按下'OK'以储存设定．在MacTCPcontrolpanel的主视窗中，在'IPAddress:'盒中填入你Mac的IP位址(192.168.1.x,1<x<255)．
关闭MacTCPcontrolpanel.如果有的弹出视窗提醒你重新开机，那就做吧．
你可以ping一下你的Linux主来来测试网路连线．如果你有MacTCPWatcher免费程式，按下'Ping'钮，然後在弹出的对话盒中键入你的Linux主机的地址(192.168.1.1)．(这只不过是区域网路的连接测试，你还不能ping到外面的世界．)
你可选择性地在SystemFolder中建立一Hosts档案以便你可以使用你区域网路里机器的主机名称．这个档案可能已经存在於你的SystemFolder里，而且它应该会包含一些(注解掉的)□例项目而你可以根据你的需要来修改．
配置执行OpenTransport的MacOS系统
如果你还没为你的乙太网路转接器安装适当的驱动程式，最好现在就作．
打开TCP/IPControlPanel然後从Edit选单中选择'UserMode...'．确定使用者模式至少是'Advanced'然後按下'OK'钮．
从File选单中选择'Configurations...'．选择'Default'配置并按下'Duplicate...'钮．在'DuplicateConfiguration'对话盒中键入'IPMasq'(或是其它能让你知道这是个特殊配置的字眼)，它可能会说像是'Deafaultcopy'什麽的．然後按下'OK'钮，以及'MakeActive'钮．
从'Connectvia:'弹出式选单中选择'Ethernet'．
从'Configure:'弹出式选单选择适当的项目．如果你不知道应该选什麽，你可能应该重新选择你的'Default'配置然後离开．我用的是'Manually'．
在'IPAddress:'盒中输入你的Mac的IP位址(192.168.1.x,1<x<255)．
在'Subnetmask:'盒中输入255.255.255.0．
在'Routeraddress:'盒中输入192.168.1.1．
在'Nameserveraddr.:'盒中输入你的领域名称伺服器IP位址．
在'ImplicitSearchPath:'里的'Startingdomainname'输入你的网际网路领域名称(例如'microsoft.com')．
接下来的步骤是选择性的．不正确的值可能导致严重的错误行为．如果你不确定，最好留下空白，不要勾选．如果需要的话，除去那些栏位中的任何资讯．就我目前所知没有办法在TCP/IP对话视窗中告诉系统不要使用以前选过的另一"Hosts"档案．如果你知道的话，我很有兴趣了解．如果你的网路需要802.3框架的话勾选'802.3'．
按下'Options...'以确定TCP/IP有作用．我使用'Loadonlywhenneeded'选项．如果你执行并结束TCP/IP应用程式许多次而未重新启动你的机器，你将发现不选'Loadonlywhenneeded'会抑制/降低你机器的记忆体管理效能．不选此项目将使TCP/IP协定总是被载入便於使用．如果勾选了，TCP/IP协定会自动在需要时载入并在不需要时释放．载入与释放的过程可能使你机器的记忆体变的碎裂．
你可以ping一下你的Linux主来来测试网路连线．如果你有MacTCPWatcher免费程式，按下'Ping'钮，然後在弹出的对话盒中键入你的Linux主机的地址(192.168.1.1)．(这只不过是区域网路的连接测试，你还不能ping到外面的世界．)
你可以在SystemFolder中建立一Hosts档案以便你可以使用你区域网路里机器的主机名称．这个档案可能已经或还未存在於你的SystemFolder里．如果有的话，它应该会包含一些(注解掉的)□例项目而你可以根据你的需要来修改．如果还没有的话，你可以从一部正在运作MacTCP的系统中取回，或自己建一个(它遵循Unix的/etc/hosts档案格式，在RFC1035的第33页中描述)．一旦你建立了这个档案，打开TCP/IPcontrolpanel，按下'SelectHostsFile...'钮，然後打开Hosts档案．
关闭对话盒或从File选单中选择'Close'或'Quit'然後按下'Save'以储存你所做的改变．
这些改变会立刻生效，但重新开机也无害．
配置使用DNS的Novell网路
如果你还没为你的乙太网路转接器安装适当的驱动程式，最好现在就作．
从ftp.novell.com/pub/updates/unixconn/lwp5取回tcpip16.exe．
编辑c:\nwclient\startnet.bat
:(hereisacopyofmine)
SETNWLANGUAGE=ENGLISH
LHLSL.COM
LHKTC2000.COM
LHIPXODI.COM
LHtcpip
LHVLM.EXE
F:
编辑c:\nwclient\net.cfg
:(将驱动程式改为你的，i.e.NE2000)
LinkDriverKTC2000
ProtocolIPX0ETHERNET_802.3
FrameETHERNET_802.3
FrameEthernet_II
FRAMEEthernet_802.2
NetWareDOSRequester
FIRSTNETWORKDRIVE=F
USEDEFAULTS=OFF
VLM=CONN.VLM
VLM=IPXNCP.VLM
VLM=TRAN.VLM
VLM=SECURITY.VLM
VLM=NDS.VLM
VLM=BIND.VLM
VLM=NWP.VLM
VLM=FIO.VLM
VLM=GENERAL.VLM
VLM=REDIR.VLM
VLM=PRINT.VLM
VLM=NETX.VLM
LinkSupport
Buffers81500
MemPool4096
ProtocolTCPIP
PATHSCRIPTC:\NET\SCRIPT
PATHPROFILEC:\NET\PROFILE
PATHLWP_CFGC:\NET\HSTACC
PATHTCP_CFGC:\NET\TCP
ip_addressxxx.xxx.xxx.xxx
ip_routerxxx.xxx.xxx.xxx
最後建立
c:\bin\resolv.cfg
:
SEARCHDNSHOSTSSEQUENTIAL
NAMESERVER207.103.0.2
NAMESERVER207.103.11.9
我希望这些某些使用Novell网路的人有帮助．还有，这对Netware3.1x或4.x都有用．
配置OS/2Warp
如果你还没为你的乙太网路转接器安装适当的驱动程式，最好现在就作．
如果你还没装TCP/IP通讯协定的话现在就装．
开启Programms/TCP/IP(LAN)/TCP/IP设定
在'Network'栏位加上你的TCP/IP位址并设定你的netmask(255.255.255.0)
在'Routing'栏位按下'Add'.将Type栏位设定为'default'并在'RouterAddress'栏位中键入你的Linux主机的IP位址(192.168.1.1).
将'Hosts'栏位设定与你的Linux主机使用相同的DNS(名称伺服器)位址．
关闭TCP/IP控制台．在接下来的问题中回答yes.
重新启动你的系统
你可以ping你的Linux主机以测试网路配置．在'OS/2命令视窗'上键入'ping192.168.1.1'.如果收到ping封包一切就没问题．
配置其它系统
它们应该按照相同的理论来建立．查阅上述的小节．如果你有兴趣写关於其它的作业系统的配置，请送详细的建立指示到ambrose@writeme.com.
3.4配置IP转送(Forwarding)的方式
到目前为止，你应该已经安装好核心以及其它需要的套件，也载入了你的模组．同时，其它机器的IP位址，闸道，以及DNS也该全都设定完成．
现在，唯一剩下要做的事是使用ipfwadm转送适当的封包给适当的机器:
**这可以用许多不同的方式来达成．下列的建议与例子对我来说能用，但你可能有不同的主意，详节部份请参考4.4节及ipfwadm的线上手册．**
ipfwadm-F-pdeny
ipfwadm-F-am-Syyy.yyy.yyy.yyy/x-D0.0.0.0/0
其中x视你的子网路而定，为下列数字之一，而yyy.yyy.yyy.yyy则是你的网路位址．
netmask|x|Subnet
~~~~~~~~~~~~~~~~|~~~~|~~~~~~~~~~~~~~~
255.0.0.0|8|ClassA
255.255.0.0|16|ClassB
255.255.255.0|24|ClassC
255.255.255.255|32|Point-to-point
例如，如果我是在一个classC子网路上，我得输入:
ipfwadm-F-pdeny
ipfwadm-F-am-S192.168.1.0/24-D0.0.0.0/0
因为bootp请求封包没有合法的IP's，客户端并不知道它的位址，对於在伪装/防火墙上执行bootp伺服器的人必须在deny之前执行下列指令:
ipfwadm-I-aaccept-S0/068-D0/067-Wbootp_clients_net_if_name-Pudp
你也可以分别对每台机器设定．例如，如果我想让192.168.1.2及192.168.1.8能够存取网际网路，但不允许其它机器使用的话，我得输入:
ipfwadm-F-pdeny
ipfwadm-F-am-S192.168.1.2/32-D0.0.0.0/0
ipfwadm-F-am-S192.168.1.8/32-D0.0.0.0/0
另外，你可以输入网路遮罩以取代该值，例如192.168.1.0/255.255.255.0
常见的错误是像这样的第一行指令
ipfwadm-F-pmasquerade
不要把你的预设方式(policy)定为伪装(masquerading)－否则可以操控他们的递送路径(routing)的人将能够直接穿过(tunnel)你的闸道，以此伪装他们的身分!
再一次，你可以把这些加入/etc/rc.local档案，任何一个你比较喜欢的rc档案，或是在每次你需要IPMasquerade时手动执行之．
请阅读4.4节有关Ipfwadm的详细指引．
3.5测试IPMasquerade
在这些工作完成後，现在是试试看的时候了．确定你的Linux主机到网际网路的连线是通的．
你可以在其它机器上试著浏览一些'网际网路!!!'上的网页，看是否能见到．我建议第一次尝试时使用IP位址而不要用主机名称，因为你的DNS设定有可能并不正确．
例如，你可以使用http://152.2.254.81/mdw/linux.html来存取Linux文件计画网页http://sunsite.unc.edu/mdw/linux.html．
如果你看见那漂亮的帆船(译注:LDP网页好像没有帆船?:P)，那麽恭喜!它可以运作了!接著你可以使用主机名称试试看，然後是telnet,ftp,RealAudio,TrueSpeech，以及任何IPMasquerade支援的东西．
到目前为止，我还不曾在上面的设定上发生过问题，而那些花下时间让这个绝妙功能运作的人完全同意这些设定．
--------------------------------------------------------------------------------
--------------------------------------------------------------------------------
4.其它IPMasquerade的问题及软体支援
4.1IPMasquerade的问题
某些协定现在无法配合masquerading使用，因为它们不是假设有关埠号的一些事情，就是在位址及埠号的资料流里编码资料－後面这些协定需要在masquerading程式码里建立特定的代理程式使它们能运作．
4.2进入系统的服务(incomingservices)
Masquerading完全不能处理外界的服务请求(incomingservices)．只有极少方法能允许它们，但这完全与masquerading无关，而且实在是标准的防火墙方式．
如果你并不要求高度的安全性那麽你可以简单地重导(redirect)这些埠．有几种不同的方法可以做这件事－我使用一只修改过的redir程式(我希望这只程式很快就能从sunsite及其mirrors取得)．如果你希望能够对外界进入系统的服务请求有某种程度的身分验认(authorisation)那麽你可以在redir的顶层(0.7orabove)使用TCPwrappers或是Xinetd来允许特定IP位址通过，或使用其它的工具．TIS防火墙工具集是寻找工具及资讯的好地方．
更多的详节可在IPMasqueradeResource找到．
4.3已支援的客户端软体以及其它设定方面的注意事项
**下面的列表将不再被维护了．可经由LinuxIPmasquerading运作的应用程式请参考这里和IPMasqueradeResource以取得进一步的细节．**
一般说来，使用传输控制协定(TCP)或是使用者定义资料协定(UDP)的应用程式应该都能运作．如果你有任何关於应用程式与IPMasquerade相容的建议，提示或问题，请拜访由LeeNevo维护的可与LinuxIPmasquerading运作的应用程式网页．
可以使用的客户端软体
一般客户端软体
HTTP
所有有支援的平台，浏览网页
POP&SMTP
所有有支援的平台，电子邮件软体
Telnet
所有有支援的平台，远端签入作业
FTP
所有有支援的平台，配合ip_masq_ftp.o模组(不是所有站台都能配合各种客户端软体；例如某些不能使用ws_ftp32触及的站台却能使用netscape进入)
Archie
所有有支援的平台，档案搜寻软体(并非所有archie客户端软体都支援)
NNTP(USENET)
所有有支援的平台，网路新闻软体
VRML
Windows(可能所有有支援的平台都可以)，虚拟实境浏览
traceroute
主要是UNIX系列的平台，某些变种可能无法运作
ping
所有平台，配合ICMP修补档
anythingbasedonIRC
所有有支援的平台，配合ip_masq_irc.o模组
Gopherclient
所有有支援的平台
WAISclient
所有有支援的平台
多媒体客户端软体
RealAudioPlayer
Windows,网路资料流音讯，配合载入ip_masq_raudio模组
TrueSpeechPlayer1.1b
Windows,网路资料流音讯
InternetWavePlayer
Windows,网路资料流音讯
WorldsChat0.9a
Windows,客户－伺服端立体交谈(3Dchat)程式
AlphaWorlds
Windows,Windows,客户－伺服端立体交谈(3Dchat)程式
Powwow
Windows,点对点文字声音白板通讯，如果你呼叫别人，人们可以与你交谈，但是他们不能呼叫你．
CU-SeeMe
所有有支援的平台，配合载入cuseeme模组，详细细节请参阅IPMasqueradeResource
VDOLive
Windows,配合vdolive修补档
注意:即使不是由你呼叫别人，使用ipautofw套件某些客户端软体像是IPhone以及Powwow可能还是可以运作(参阅4.6节)
其它客户端软体
NCSATelnet2.3.08
DOS,包含telnet,ftp,ping等等的一组套件．
PC-anywhereforwindows2.0
MS-Windows,经由TCP/IP远端遥控PC，只有在作为客户端而非主机端的情形下才能运作
SocketWatch
使用ntp－网路时间协定
Linuxnet-acctpackage
Linux,网路帐号管理套件
无法使用的客户端软体
IntelInternetPhoneBeta2
可以连上但声音只能单向(往外)传送
IntelStreamingMediaViewerBeta1
无法连上伺服器
NetscapeCoolTalk
无法连接对方
talk,ntalk
这将不会运作－需要撰写一份核心代理程式．
WebPhone
目前无法运作(它做了不合法的位址假设)．
X
没有测试过，但我想除非有人建立一套X代理程式否则它无法运作，这可能是masquerading程式码之外的一个外部程式．一个让它运作的方式是使用ssh作为链结并且使用其内部的X代理功能来执行!
已测试过可以作为其它机器的平台/作业系统
Linux
Solaris
Windows95
WindowsNT(bothworkstationandserver)
WindowsForWorkgroup3.11(withTCP/IPpackage)
Windows3.1(withChameleonpackage)
Novel4.01Server
OS/2(includingWarpv3)
MacintoshOS(withMacTCPorOpenTransport)
DOS(withNCSATelnetpackage,DOSTrumpetworkspartially)
Amiga(withAmiTCPorAS225-stack)
VAXStations3520and3100withUCX(TCP/IPstackforVMS)
Alpha/AXPwithLinux/Redhat
SCOOpenserver(v3.2.4.2and5)
IBMRS/6000runningAIX
(谁还测试过其它平台?)
4.4IPFirewallAdministration(ipfwadm)
这一节提供关於ipfwadm更深入的使用指引．
这是一个给在固定PPP位址之PPP连线後面的防火墙/伪装系统使用的设定．信赖(trusted)界面为192.168.255.1,PPP界面已经修改过以避免犯错:)．我分别列出每一个进入(incoming)以及送出(outgoing)界面来抓出变更递送路径(stuffedrouting)以及/或是伪装(masquerading)等等这些个IPspoofing技巧．同时任何没有明确允许的东西都是禁止的!
#!/bin/sh
#
#/etc/rc.d/rc.firewall,定义防火墙配置，从rc.local执行．
#
PATH=/sbin:/bin:/usr/sbin:/usr/bin
#测试用，等待一段时间然後清除所有的防火墙规则．
#如果你希望防火墙十分钟之後自动关闭就取消下列几行的注解．
#(sleep600;\
#ipfwadm-I-f;\
#ipfwadm-I-paccept;\
#ipfwadm-O-f;\
#ipfwadm-O-paccept;\
#ipfwadm-F-f;\
#ipfwadm-F-paccept;\
#)&
#进入伪装闸道的设定，更新以及设定拒绝的策略(policy)．事实上
#预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则
ipfwadm-I-f
ipfwadm-I-pdeny
#伪装闸道的本地(local)界面，区域网路里的机器，允许连往任何
#地方
ipfwadm-I-aaccept-V192.168.255.1-S192.168.0.0/16-D0.0.0.0/0
#伪装闸道的远端(remote)界面，声称是区域网路里的机器，IPspoofing
#拒绝
ipfwadm-I-adeny-Vyour.static.PPP.address-S192.168.0.0/16-D0.0.0.0/0-o
#伪装闸道的远端界面，任何来源，允许送往固定(permanent)PPP
#位址
ipfwadm-I-aaccept-Vyour.static.PPP.address-S0.0.0.0/0-Dyour.static.PPP.address/32
#回授(loopback)界面是允许的
ipfwadm-I-aaccept-V127.0.0.1-S0.0.0.0/0-D0.0.0.0/0
#捕捉所有规则，任何其它的进入方式都会被拒绝并记录．可惜没有
#记录用的选项但这可以代替
ipfwadm-I-adeny-S0.0.0.0/0-D0.0.0.0/0-o
#送出伪装闸道的设定，更新以及设定拒绝的策略(policy)．事实上
#预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则
ipfwadm-O-f
ipfwadm-O-pdeny
#本地界面，允许任何来源送出至区域网路
ipfwadm-O-aaccept-V192.168.255.1-S0.0.0.0/0-D192.168.0.0/16
#远端界面送出至区域网路，stuffedrouting，拒绝
ipfwadm-O-adeny-Vyour.static.PPP.address-S0.0.0.0/0-D192.168.0.0/16-o
#区域网路的机器从远端界面送出，stuffedmasquerading，拒绝
ipfwadm-O-adeny-Vyour.static.PPP.address-S192.168.0.0/16-D0.0.0.0/0-o
#区域网路的机器从远端界面送出，stuffedmasquerading，拒绝
ipfwadm-O-adeny-Vyour.static.PPP.address-S0.0.0.0/0-D192.168.0.0/16-o
#任何其它远端界面送出的东西都是允许的
ipfwadm-O-aaccept-Vyour.static.PPP.address-Syour.static.PPP.address/32-D0.0.0.0/0
#回授(loopback)界面是允许的
ipfwadm-O-aaccept-V127.0.0.1-S0.0.0.0/0-D0.0.0.0/0
#捕捉所有规则，任何其它的送出方式都会被拒绝并记录．可惜没有
#记录用的选项但这可以代替
ipfwadm-O-adeny-S0.0.0.0/0-D0.0.0.0/0-o
#伪装闸道的转送设定，更新以及设定拒绝的策略(policy)．事实上
#预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则
ipfwadm-F-f
ipfwadm-F-pdeny
#伪装区域网路的机器从本地界面送出至任何地方的资料
ipfwadm-F-amasquerade-Wppp0-S192.168.0.0/16-D0.0.0.0/0
#捕捉所有规则，任何其它的转送方式都会被拒绝并记录．可惜没有
#记录用的选项但这可以代替
ipfwadm-F-adeny-S0.0.0.0/0-D0.0.0.0/0-o
你可以使用-I,-O或是-F来控制到某特定节点的流量．记得这些规则集是由上往下扫描的而-a代表"附加(append)"到目前现有的规则集中所以任何限制必须在全域(global)规则之前出现．例如(没测试过):-
使用-I规则．可能是速度最快的但是它只能阻止区域网路里的机器，防火墙本身仍然可以存取"禁止"的节点．当然你可能想允许这样的组合．
...startof-Irules...
#拒绝并记录本地界面，区域网路里的机器通往204.50.10.13
ipfwadm-I-areject-V192.168.255.1-S192.168.0.0/16-D204.50.10.13/32-o
#本地界面，区域网路里的机器，允许通往任何地方
ipfwadm-I-aaccept-V192.168.255.1-S192.168.0.0/16-D0.0.0.0/0
...endof-Irules...
使用-O规则．最慢，因为封包首先经过伪装但这个规则阻止防火墙存取禁止的节点．
...startof-Orules...
#拒绝并记录送出至204.50.10.13的资料
ipfwadm-O-areject-Vyour.static.PPP.address-Syour.static.PPP.address/32-D204.50.10.13/32-o
#允许任何其它远端界面送出的东西
ipfwadm-O-aaccept-Vyour.static.PPP.address-Syour.static.PPP.address/32-D0.0.0.0/0
...endof-Orules...
使用-F规则．可能比-I慢而这仍然只能阻止伪装的机器(例如内部的机器)，防火墙仍然可以取得禁止的节点．
...startof-Frules...
#拒绝并记录PPP界面送出从区域网路到204.50.10.13的资料．
ipfwadm-F-areject-Wppp0-S192.168.0.0/16-D204.50.10.13/32-o
#伪装本地界面从区域网路送出至任何地方的资料．
ipfwadm-F-amasquerade-Wppp0-S192.168.0.0/16-D0.0.0.0/0
...endof-Frules...
不需要有个特定的规则来允许192.168.0.0/16通往204.50.11.0,这涵盖於全域规则中．
有一种以上的方法可以对界面设定上述规则．例如可以使用-Weth0来取代-V192.168.255.1，可以使用-Wppp0来取代-Vyour.static.PPP.address．个人的选择最重要．
4.5IPMasquerade以及需求式拨接(Demand-Dial-Up)
如果你想把网路设定成自动拨接上网际网路，那麽dialddemand拨接套件将会是很棒的工具．
要设定diald,请查看SettingUpDialdforLinuxPage网页
一旦diald以及IPmasq设定完成，你可以在任何客户端机器上启动web,telnet或是ftp连线．
Diald将会侦测到进入系统的请求，然後拨接到你的ISP并建立连线．
第一次连线将会发生逾时(timeout)的情形．如果你使用类比式的数据机那这是无可避免的．建立数据机连结以及PPP连线所花费的时间将会使你的客户端软体不耐．如果你使用ISDN连线那这是可以避免的．你得做的只是结束客户端软体现行的程序再重新启动即可．
4.6IPautofw封包转送程式
IPautofw是一个给Linuxmasquerading使用的一般性TCP及UDP转送程式．一般使用需要UDP的套件的时候，需要载入特定的ip_masq模组；ip_masq_raudio,ip_masq_cuseeme,...Ipautofw以更一般化的方式运作，它将会转送包含这些应用程式特定模组都不会转送的任何资料流型态．如果没有正确地管理这可能造成安全上的漏洞．
--------------------------------------------------------------------------------
--------------------------------------------------------------------------------
5.其它
5.1求助
**请不要尝试送电子邮件给我问IPMasquerade的问题．因於个人工作的负担，我无法保证回覆所有非website相关的问题．请将你的问题送到IPMasquerademailinglist(我想这是最佳的求助来源)．这点很抱歉，但我不想让你等几个星期才收到回信．**
IPMasqueradeResourcepage应该有足够的资讯设定IPMasquerade．
加入IPmasquerade邮递列表(建议)
要订阅的话，寄封标题为"subscribe"(不包含引号)的邮件到masq-request@indyramp.com
要取消订阅的话，寄封标题为"unsubscribe"(不包含引号)的邮件到masq-request@indyramp.com
要获得使用这个邮递列表的协助说明的话，寄封标题为"archivehelp"或"archivedir"(不包含引号)的邮件到masq-request@indyramp.com
IPmasquerade邮递列表档案包含所有过去送到这个邮递列表的讯息。
本文件LinuxIPMasquerademiniHOWTOforkernel2.x(如果你使用1.3.xor2.x的核心)
IPMasqueradeHOWTOforkernel1.2.x如果你使用比较旧的核心
IPmasqueradeFAQ有些一般性的资讯
X/OSIpfwadmpage包含关於ipfwadm套件的原始程式码，执行档，文件，以及其它资讯
由LeeNevo所维护的网页可与LinuxIPmasquerading运作的应用程式提供提示与技巧使得应用程式能与IPMasquerade运作．
LDPNetworkAdministrator'sGuide这是新手尝试设定网路的必要资讯
LinuxNET-2HOWTO也有许多关於Linux网路方面有用的资讯
LinuxISPHookupHOWTO以及LinuxPPPHOWTO给你如何把Linux主机连上网际网路的相关资讯
LinuxEthernet-Howto有关设定执行乙太网路的区域网路很棒的资讯来源
你也可能对LinuxFirewallingandProxyServerHOWTO有兴趣
LinuxKernelHOWTO将会指引你编译核心的过程
其它LinuxHOWTOs像是KernelHOWTO
张贴到这个USENET新闻群组:comp.os.linux.networking
5.2感谢
GabrielBeitler,gbeitler@aciscorp.com
onprovidingsection3.3.8(settingupNovel)
EdDoolittle,dolittle@math.toronto.edu
onsuggestionto-Voptioninipfwadmcommandforimprovedsecurity
MatthewDriver,mdriver@cfmeu.asn.au
onhelpingextensivelyonthisHOWTO,andprovidingsection3.3.1(settingupWindows95)
KenEves,ken@eves.com
ontheFAQthatprovidesinvaluableinformationforthisHOWTO
Ed.Lott,edlott@neosoft.com
foralonglistoftestedsystemandsoftware
NigelMetheringham,Nigel.Metheringham@theplanet.net
oncontributinghisversionofIPPacketFilteringandIPMasqueradingHOWTO,whichmakethisHOWTOabetterandtechnicalin-depthdocument
section4.1,4.2,andothers
KeithOwens,kaos@ocs.com.au
onprovidinganexcellentguideonipfwadmsection4.2
oncorrectiontoipfwadm-denyoptionwhichavoidsasecurityhole,andclarifiedthestatusofpingoverIPMasquerade
RobPelkey,rpelkey@abacus.bates.edu
onprovidingsection3.3.6and3.3.7(settingupMacTCPandOpenTransport)
HarishPillay,h.pillay@ieee.org
onprovidingsection4.5(dial-on-demandusingdiald)
MarkPurcell,purcell@rmcs.cranfield.ac.uk
onprovidingsection4.6(IPautofw)
UeliRutishauser,rutish@ibm.net
onprovidingsection3.3.9(settingupOS/2Warp)
JohnB.(Brent)Williams,forerunner@mercury.net
onprovidingsection3.3.7(settingupOpenTransport)
EnriquePessoaXavier,enrique@labma.ufrj.br
onthebootpsetupsuggestion
developersofIPMasqueradeforthisgreatfeature
DelianDelchev,delian@wfpa.acad.bg
NigelMetheringham,Nigel.Metheringham@theplanet.net
KeithOwens,kaos@ocs.com.au
JeanettePaulineMiddelink,middelin@polyware.iaf.nl
DavidA.Ranch,trinity@value.net
MiquelvanSmoorenburg,miquels@q.cistron.nl
JosVos,jos@xos.nl
还有其它我忘了提的(请让我知道)
所有送回馈及建议到邮递列表上的使用者，特别是那些报告文件上的错误以及已支援与未支援的客户端的．
如果我没有包括某些使用者送给我的资讯我感到抱歉．有如此多的建议与想法送到我这里，但我只是没有足够的时间去确定或者我不小心丢了．我正尽我最大的努力整合所有送给我的资讯到这份文件里．感谢你的辛劳，而我也希望你能谅解我的情况．
5.3参考资料
KenEves的IPmasquerade常见问答集
IndyrampConsulting之IPmasquerade邮递列表
X/OS的Ipfwadm网页
各个关於网路的LinuxHOWTOs
--------------------------------------------------------------------------------