Linux 網路系統完整架構解析：網卡驅動、TCP/IP 配置、常用指令與安全防護實務

一、網卡驅動安裝與模組載入

1. 核心內建 vs 模組

• 安裝時偵測到的乙太網卡會編譯進核心或建構為模組 (.ko)
• 模組存放：/lib/modules/$(uname -r)/kernel/drivers/net/

2. 手動載入模組

# PCI 網卡 (自動偵測 IO/IRQ)
modprobe e1000

# ISA 網卡 (需指定參數)
modprobe ne io=0x300 irq=5

3. 永久載入配置

RedHat/CentOS 6 及舊版：/etc/modprobe.conf (或 /etc/modules.conf)

alias eth0 e1000
alias eth1 ne
options ne io=0x300 irq=5

現代系統 (systemd-modules-load)：/etc/modules-load.d/network.conf

e1000
ne

參數檔：/etc/modprobe.d/ne.conf

options ne io=0x300 irq=5

4. 核心啟動參數 (極舊版/嵌入式)

# /etc/lilo.conf
append="ether=5,0x300,eth0 ether=7,0x500,eth1"

二、TCP/IP 參數配置

1. 圖形/文字配置工具

• netconfig：基本 TCP/IP (IP、子網遮罩、閘道、DNS)
• netconf / system-config-network：完整網路配置 (客戶端/伺服端服務)
• nmcli / nmtui：NetworkManager 命令列/文字介面 (現代標準)

2. 關鍵配置檔 (RedHat 系列)

3. ifconfig 即時操作

# 查看所有介面
ifconfig -a

# 設定 IP (臨時)
ifconfig eth0 192.168.1.10 netmask 255.255.255.0

# 同一張網卡綁定多 IP (別名介面)
ifconfig eth0:1 192.168.1.11 netmask 255.255.255.0

# 啟用混雜模式 (抓包)
ifconfig eth0 promisc

三、常用網路診斷指令

四、網路安全防護實務

1. 主機基礎加固

• BIOS 密碼 + 關閉 USB/光碟開機：防實體接觸繞過
• 強密碼策略：/etc/login.defs、/etc/pam.d/system-auth 設定長度、複雜度、過期
• 關閉不必要服務：systemctl disable --now 服務名

2. 服務配置加固

3. 系統層面防護

• /etc/securetty：限制 root 登入終端機
• /etc/hosts.allow / hosts.deny：TCP Wrappers 存取控制
• iptables / nftables：主機防火牆，預設拒絕、最小開放
• auditd：關鍵系統呼叫審計
• 定期檢視 /var/log/secure、/var/log/audit/audit.log，grep refused 發現掃描嘗試
• 禁止 Ctrl+Alt+Del 重開機：systemctl mask ctrl-alt-del.target

4. 版本資訊隱藏

# 修改 /etc/issue、/etc/issue.net、/etc/motd
# SSH 横幅
Banner /etc/ssh/banner
# inetd/xinetd 服務隱藏
# /etc/xinetd.d/telnet
service telnet
{
    ...
    server_args = -h   # 隱藏主機資訊
}

五、總結

Linux 網路系統從硬體驅動載入、TCP/IP 參數配置、診斷工具鏈到多層次安全防護，形成完整防禦體系。現代運維建議：以 NetworkManager 統一配置、用 ss/ip 替代 netstat/ifconfig、以 systemd 管理服務、部署 Fail2ban + 防火牆 + 審計三位一體、定期滲透測試與日誌分析。