TIS FWTK软件可从下列网址得到︰ftp://ftp.tis.com/. 千万记住︰从TIS下载软件后，首先阅读README。TIS fwtk存放在伺服器的一个隐藏目录内，需要发电子邮件给fwtk-request@tis.com 并在信文内填入SEND才能得知隐藏的目录的名字。Subject栏内不必填入任何内容。在回覆的电子邮件内会告知存放软件的目录的名字，有效时间为12小时，得赶快下载。 在编写本文时，FWTK的最新版本为2.0（beta）。除了几个小地方之外，这个版本在编辑时没有问题，运行时也正常，此处就以这一版本为例。如有最后定本时，将在以后的HOWTO中增订。 安装FWTK时，首先在 /usr/src下建立fwtk-2.0目录。将FWTK（fwtk-2.0.tar.gz）放在这个目录内解压（tar zxf fwtk-2.0.tar.gz）。 FWTK并无代理SSL的网路文件，Jean-Christophe Touvet写了一些附加资料，可从ftp://ftp.edelweb.fr/pub/contrib/fwtk/ssl-gw.tar.Z取得。 Eric Wedel写了修订本，其中包括使用网景（Netscape）的新闻伺服器。这套软件可从下列网址取得︰ftp://mdi.meridian-data.com/pub/tis.fwtk/ssl-gw/ssl-gw2.tar.Z 以下以Eric Wedel的版本为例。 要安装，只要在/usr/src/fwtk-2.0目录内建立一个 ssl-gw目录，把文档放在其中即可。 在安装这个网关时，得要作些改动才能进行编辑。 首先改变ssl-gw.c档，其中遗漏了必要的include档。
#if defined(__linux) #include <sys/ioctl.h> #endif其次，也没有Makefile档。不妨从其他网关目录拷贝一个，然后将网关的名字改为ssl-gw。
版本2.0的FWTK比以往任何一个版本都易于编辑。不过在编辑以前还需要对BETA版本作一些更动。希望这些更动会加附到最后定本中。 修改方法如下︰首先进入/usr/src/fwtk/fwtk目录，拷贝Makefile.config.linux档，以此档替代Makefile.config档。 不要运行FIXMAKE。虽然在说明中建议执行这个程序。但运行后会破坏每一个目录中的makefile。 修改fixmake的方法是在每一个Makefile的sed指令的include行中添加?.＇和"。按下例更改，便可运行无碍。
sed 's/^include[ ]*\([^ ].*\)/include \1/' $name .proto > $name然后需要编辑Makefile.config档，但首先得作两项修改。 Makefile.config档中的source目录应改为进行编辑的/usr/src，因此FWTKSRCDIR应作相应的改变。
FWTKSRCDIR=/usr/src/fwtk/fwtk有些Linux系统使用gdbm数据库。Makefile.config使用dbm。例如，RedHat 3.0.3就使用dbm，因此需要作出相应更动。
DBMLIB=-lgdbm最后需要改x-gw。BETA版内socket.c中的下列数行必须删除。
#ifdef SCM_RIGHTS /* 4.3BSD Reno and later */
+ sizeof(un_name->sun_len) + 1
#endif
如在FWTK源目录中添加ssl-gw，则在Makefile的目录单中也要加上ssl-gw。
DIRS= smap smapd netacl plug-gw ftp-gw tn-gw rlogin-gw http-gw x-gw ssl-gw完成上述修改后，运行make。
运行make install。 默认的安装目录是/usr/local/etc。可以改到更加安全可靠的目录进行安装，但也可以不改，也可将其特权改为chmod 700。 现在开始设定防火墙。
好﹗下面就比较有趣了﹗设定的系统要能调用这些新功能，并建立管制表管理这些功能。 以下的说明并不是为了要重写TIS FWTK的使用手册，其目的只是为了显示可行的设定、可能遇到的问题和解决的办法。 有三个文档组成这些controls。
这个档控制何人可以使用TIS FWTK的功能。首先应该想到防火墙两边的需求。网路外面的用户在进入网路之前应首先表明身份，但网路内部的用户则可直接通过。
在表明身份时，防火墙使用一个称为authsrv的程序，其中存有用户的ID和密码。netperm-table中的authentication部分控制这一数据库存放何处和谁可取用。
要不让人取用这一功能并不容易，在premit-hosts这一行中使用“*”，以致每人都能取用这一功能。这一行的正确设定应该是“authsrv: premit-hosts localhost”，但似乎不起作用。
# # Proxy configuration table： 代理伺服器设置表 # # Authentication server and client rules authsrv: database /usr/local/etc/fw-authdb authsrv: permit-hosts * authsrv: badsleep 1200 authsrv: nobogus true # Client Applications using the Authentication server *: authserver 127.0.0.1 114要启动数据库，以root在/var/local/etc内运行./authsrv，设立管理者的使用记录。实际操作如下︰ 阅读FWTK文档了解如何添加用户和用户组。
#
# authsrv
authsrv# list
authsrv# adduser admin "Auth DB admin"
ok - user added initially disabled
authsrv# ena admin
enabled
authsrv# proto admin pass
changed
authsrv# pass admin "plugh"
Password changed.
authsrv# superwiz admin
set wizard
authsrv# list
Report for users in database
user group longname ok? proto last
------ ------ ------------------ ----- ------ -----
admin Auth DB admin ena passw never
authsrv# display admin
Report for user admin (Auth DB admin)
Authentication protocol: password
Flags: WIZARD
authsrv# ^D
EOT
#
Telnet的网关（tn-gw）控制直接了当，应首先设定。
例如，允许在保护网路内的用户不表明身份直接通过(permit-hosts 196.1.2.* -passok)。但其他用户必须提供用户ID和密码才可使用代理伺服器(permit-hosts * -auth)。
此外，有一个系统(196.1.2.202)也可直接使用防火墙。这只要设定inetacl-in.telnetd的内容即可。
Telnet的timeout时间应该短暂。
# telnet gateway rules: tn-gw: denial-msg /usr/local/etc/tn-deny.txt tn-gw: welcome-msg /usr/local/etc/tn-welcome.txt tn-gw: help-msg /usr/local/etc/tn-help.txt tn-gw: timeout 90 tn-gw: permit-hosts 196.1.2.* -passok -xok tn-gw: permit-hosts * -auth # Only the Administrator can telnet directly to the Firewall via Port 24 netacl-in.telnetd: permit-hosts 196.1.2.202 -exec /usr/sbin/in.telnetdr-command如同telnet的同一方式设定。
# rlogin gateway rules: rlogin-gw: denial-msg /usr/local/etc/rlogin-deny.txt rlogin-gw: welcome-msg /usr/local/etc/rlogin-welcome.txt rlogin-gw: help-msg /usr/local/etc/rlogin-help.txt rlogin-gw: timeout 90 rlogin-gw: permit-hosts 196.1.2.* -passok -xok rlogin-gw: permit-hosts * -auth -xok # Only the Administrator can telnet directly to the Firewall via Port netacl-rlogind: permit-hosts 196.1.2.202 -exec /usr/libexec/rlogind -a任何人均不得直接进入防火墙，其中包括FTP，因此，不要把FTP伺服器放在防火墙上。 再者，permit-hosts行允许保护网路内的任何人自由进入网际网路，其他人则必须表明身份。下文附上送到和收到的每份文档的记录（-log { retr stor }）。 FTP的timeout开关控制在多少时间后停止试接，以及在多少时间没有动作后，放弃试接。
# ftp gateway rules:
ftp-gw: denial-msg /usr/local/etc/ftp-deny.txt
ftp-gw: welcome-msg /usr/local/etc/ftp-welcome.txt
ftp-gw: help-msg /usr/local/etc/ftp-help.txt
ftp-gw: timeout 300
ftp-gw: permit-hosts 196.1.2.* -log { retr stor }
ftp-gw: permit-hosts * -authall -log { retr stor }
通过WWW、gopher和浏览器进行的ftp由http-gw控制。最上面的两行建立一个目录，用于储存经由防火墙的ftp和WWW文件。在本例中，这些文件属root所有，因此放在只有root能够进入的目录内。
WWW的连接应该短暂。它控制使用者在连接不通时的等待时间。
# www and gopher gateway rules:
http-gw: userid root
http-gw: directory /jail
http-gw: timeout 90
http-gw: default-httpd www.afs.net
http-gw: hosts 196.1.2.* -log { read write ftp }
http-gw: deny-hosts *
ssl-gw实际上是一个任何人都可通过的网关。应当当心设定。在本例中，任何保护网路中的用户，除127.0.0.* 和192.1.1.* 外，均可连接网路外的任何伺服器，并只能使用443至563 埠号。443至563埠号一般称为SSL埠号。
# ssl gateway rules:
ssl-gw: timeout 300
ssl-gw: hosts 196.1.2.* -dest { !127.0.0.* !192.1.1.* *:443:563 }
ssl-gw: deny-hosts *
下面的例子说明如何利用plug-gw连接到新闻伺服器。在本例中，保护网路内的用户只允许连接到一个系统，即连接到它的新闻埠。
第二行使新闻伺服器将其资料送到保护网路。
对新闻伺服器的timeout时间设定应该比较长，因为多数用户大都联机阅读新闻。
# NetNews Pluged gateway plug-gw: timeout 3600 plug-gw: port nntp 196.1.2.* -plug-to 199.5.175.22 -port nntp plug-gw: port nntp 199.5.175.22 -plug-to 196.1.2.* -port nntp
Finger网关的设定至为简单。保护网路内的用户只要首先登录，就可使用防火墙上的finger程序。任何其他人就只收到一段message。
# Enable finger service --------设定finger功能 netacl-fingerd: permit-hosts 196.1.2.* -exec /usr/libexec/fingerd netacl-fingerd: permit-hosts * -exec /bin/cat /usr/local/etc/finger.txt在这份HOWTO中，没有设定Mail和X-windows功能。如任何人有这方面的实例，请发email给我。
下面附上/etc/inetd.conf的全部文档。所有不需要的功能都用#符号注销。在这份全部文档中显示取消了何种功能，以及显示如何设定新的防火墙功能。
#echo stream tcp nowait root internal #echo dgram udp wait root internal #discard stream tcp nowait root internal #discard dgram udp wait root internal #daytime stream tcp nowait root internal #daytime dgram udp wait root internal #chargen stream tcp nowait root internal #chargen dgram udp wait root internal # FTP firewall gateway --------FTP防火墙网关 ftp-gw stream tcp nowait.400 root /usr/local/etc/ftp-gw ftp-gw # Telnet firewall gateway------Telnet防火墙网关 telnet stream tcp nowait root /usr/local/etc/tn-gw /usr/local/etc/tn-gw # local telnet services------用户的telnet功能 telnet-a stream tcp nowait root /usr/local/etc/netacl in.telnetd # Gopher firewall gateway------Gopher防火墙网关 gopher stream tcp nowait.400 root /usr/local/etc/http-gw /usr/local/etc/http-gw # WWW firewall gateway------WWW防火墙网关 http stream tcp nowait.400 root /usr/local/etc/http-gw /usr/local/etc/http-gw # SSL firewall gateway------SSL防火墙网关 ssl-gw stream tcp nowait root /usr/local/etc/ssl-gw ssl-gw # NetNews firewall proxy (using plug-gw)------NetNews防火墙代理伺服器（使用plug-gw） nntp stream tcp nowait root /usr/local/etc/plug-gw plug-gw nntp #nntp stream tcp nowait root /usr/sbin/tcpd in.nntpd # SMTP (email) firewall gateway------SMTP（email）防火墙网关 #smtp stream tcp nowait root /usr/local/etc/smap smap # # Shell, login, exec and talk are BSD protocols------ Shell, login, exec and talk均属BSD协议 # #shell stream tcp nowait root /usr/sbin/tcpd in.rshd #login stream tcp nowait root /usr/sbin/tcpd in.rlogind #exec stream tcp nowait root /usr/sbin/tcpd in.rexecd #talk dgram udp wait root /usr/sbin/tcpd in.talkd #ntalk dgram udp wait root /usr/sbin/tcpd in.ntalkd #dtalk stream tcp waut nobody /usr/sbin/tcpd in.dtalkd # # Pop and imap mail services et al------Pop和imap mail功能 # #pop-2 stream tcp nowait root /usr/sbin/tcpd ipop2d #pop-3 stream tcp nowait root /usr/sbin/tcpd ipop3d #imap stream tcp nowait root /usr/sbin/tcpd imapd # # The Internet UUCP service------网际网路UUCP功能 # #uucp stream tcp nowait uucp /usr/sbin/tcpd /usr/lib/uucp/uucico -l # # Tftp service is provided primarily for booting. Most sites # run this only on machines acting as "boot servers." Do not uncomment # this unless you *need* it. ----- Tftp功能主要用于启动。一般只有作为"boot伺服器"时才需要tftp。因此，不要取消注销（#）符号。 # #tftp dgram udp wait root /usr/sbin/tcpd in.tftpd #bootps dgram udp wait root /usr/sbin/tcpd bootpd # # Finger, systat and netstat give out user information which may be # valuable to potential "system crackers." Many sites choose to disable # some or all of these services to improve security.------ Finger, systat and netstat会向骇客提供可贵的资料。许多网站取消一些或全部功能，以增安全。 # # cfinger is for GNU finger, which is currently not in use in RHS Linux # cfinger是GNU finger，目前在RHS Linux中并不使用。 # finger stream tcp nowait root /usr/sbin/tcpd in.fingerd #cfinger stream tcp nowait root /usr/sbin/tcpd in.cfingerd #systat stream tcp nowait guest /usr/sbin/tcpd /bin/ps -auwwx #netstat stream tcp nowait guest /usr/sbin/tcpd /bin/netstat -f inet # # Time service is used for clock syncronization.-----时间功能用于设定时间的同步。 # #time stream tcp nowait root /usr/sbin/tcpd in.timed #time dgram udp wait root /usr/sbin/tcpd in.timed # # Authentication-----查验用户身份 # auth stream tcp wait root /usr/sbin/tcpd in.identd -w -t120 authsrv stream tcp nowait root /usr/local/etc/authsrv authsrv # # End of inetd.conf-----inetd.cong设置档结束
当用户连接到防火墙时，会接到一个已知的埠（小于1024）。例如，telnet接到埠23。inetd deamon接到连接的动作，查看/etc/services上这些功能的名字。然后，它会启动/etc/inetd.conf档中这个名字所指定的程序。 有时使用的功能并不在/etc/services档中。这些功能可指定到任何想指定的埠。例如，管理员的telnet埠（telnet-a）可设定到埠24，也可设定到埠2323，悉听尊便。如果管理员（指你本人）要直接连接到防火墙，则需telnet到埠24而非埠23。如按照下例设定netperm-table，则只能从保护的网路中的一个系统设定。
telnet-a 24/tcp ftp-gw 21/tcp # this named changed auth 113/tcp ident # User Verification ssl-gw 443/tcp