如何伪装电脑IP
【菜科解读】
如何伪装电脑IP：
这份文件描述如何在一台 Linux 主机上起动 IP Masquerade 功能，允许没有注册网际网路 IP 位址的连线电脑经由你的 Linux 机器连接网际网路。
你的机器可能是以乙太网路连接 Linux, 也可能是其它种类，像是拨接的点对点(ppp) 连线。
这份文件将会强调乙太网路连线的情况，因为这应该是最常见的案例。
这份文件倾向给使用 2.0.x 核心的使用者参考，不包含发展中的 2.1.x 核心。
1.2. 前言，回馈＆参考资讯 首先，我想让你知道我不是对 IP masquerade 了解非常透彻或很有经验的人。
我发现新手在较新的核心上，像是 2.x 核心，设定 IP Masguerade时非常困惑。
虽然有份常见问答集(FAQ) 与邮递列表(mailing list)，然而没有一份这方面的专门文件；而且在邮递列表上有些对於这样一份说明文件(HOWTO) 的请求。
所以，我决定撰写它给所有新手作为一个起点，并且希望能抛砖引玉，作为那些非常了解它的使用者建立文件的基础。
如果你认为我做的不好，不要在意告诉我，这样我能把它做得更好。
这份文件很多是以原先 Ken Eves 的常见问答集以及 ip_masq 邮递列表里许多有帮助的讯息作为基础。
特别感谢 Mr. Matthew Driver在邮递列表中的讯息引发我设立 ip_masq 的灵感以及最後撰写了这份文件。
如果我的任何资讯有误或遗漏任何资讯，请别介意把任何回馈或意见寄到 achau＠wwonline.com 来。
你的无价回馈将影响未来的这份说明文件! 这份说明文件是想作为让你的 IP Masquerade 能在最短时间内运作的快速指引。
最新的消息以及资讯可以在我所维护的 IP MasqueradeResource 网页上找到。
如果你有任何关於 IP Masquerade 的技术问题，请加入 IP Masquerade 邮递列表而别寄电子邮件给我，因为我的时间有限，而且 IP_ Masq 的发展者们更有能力回答你的问题。
这份文件最新的版本可以在 IP Masquerade Resource 上找到，里面也有 HTML 以及 postscript 的版本。
http://www.wwonline.com/~achau/ipmasq/ http://www.hwy401.com/achau/ipmasq/ http://www.leg.uct.ac.za/mirrors/ipmasq/ http://130.89.230.132/linux/ipmasq/ 1.3. 版权＆宣告 这份文件版权属於 Ambrose Au, 而且是免费的文件。
你可以在 GNU的通用公开授权方式下散播它。
这份文件中的资讯跟其它内容都已经尽了我最大的努力。
无论如何，ip_masq 是实验性的，而且我也可能会犯些错误；所以你应该自己决定是不是要照著这份文件中的资讯做。
没有人会为使用这份文件中的资讯所造成的电脑损坏或其它损失负责。
作者不对依照这份文件内容动作所造成的损害负责。
2. 背景知识 2.1. 什麽是 IP Masquerade? IP Masquerade 是 Linux 发展中的一种网路功能。
如果一台 Linux主机使用 IP Masquerade 功能连线到网际网路上，那麽接上它的电脑（不论是在同一个区域网路上或藉由数据机连线）也可以接触网际网路，即使它们没有获得正式指定的 IP 位址。
这使得一些电脑可以隐藏在闸道(gateway) 系统後面存取网际网路而不被发现，看起来就像只有这个系统在使用网际网路。
突破设定良好的伪装(masquerade)系统之安全防护应该会比突破良好的封包过滤式防火墙(packet filter firewall)来得更加困难（假设两者之中都没有错误）。
2.2. 现况 IP Masquerade 仍然在实验阶段。
无论如何，核心从 1.3.x 开始已经内建这项支援。
许多个人甚至公司正在使用它，而有满意的结果。
浏览网页以及远端签入(telnet)已经有回报表示可以在 ip_masq 上运作。
档案传输(FTP)， 网路交谈(IRC) 以及聆听 Real Audio 现在可以载入某些模组配合。
其它的网路资料流音讯 (streaming audio)像是 True Speech 以及 Internet Wave 也能运作。
一些邮递列表中的使用夥伴甚至还尝试过视讯会议软体。
Ping 现在配合新近可以取得的网际网路控制讯息协定(ICMP)修补档也能运作。
更完整的支援软体列表请参考 4.3 节。
IP Masquerade 在数种不同的作业系统及平台上与 客户端机器 配合良好。
成功的案例有使用 Unix , Windows95 , Windows NT ,Windows for Workgroup (with TCP/IP package) , OS/2, Macintosh System's OS with Mac TCP, Mac Open Transport, DOS with NCSA Telnet package, VAX, Alpha with Linux, 甚至 Amiga with AmiTCP or AS225-stack 的系统。
2.3. 谁可以从 IP Masquerade 中获益? 如果你有台连接网际网路的 Linux 主几，而且如果你有一些执行 TCP/IP 连接到 Linux 机器的电脑在区域网路上，以及／或是如果你的 Linux 主机有一个以上的数据机并且作为 PPP 或 SLIP伺服器连接其它电脑，它们这些 其它 机器没有正式指定的 IP 位址。
（这些机器从这里开始以後就称为 其它 机器）。
而且当然，如果你希望这些 其它 机器不必花额外的费用就能连上网际网路:) 2.4. 谁不需要 IP Masquerade? 如果你的机器是单独一台(stand-alone) 连接网际网路的 Linux主机，那麽执行 ip_masq 没什麽意义，或者如果你的 其它 机器拥有正式指定的 IP 位址，那麽你就不需要IP Masquerade ，而且当然，如果你不喜欢免费使用(free ride) 这个主意的话。
2.5. IP Masquerade 是如何运作的? 节自 Ken eves 的 IP Masquerade FAQ: 这是大部分简单的设定草图: SLIP/PPP +------------+ +-------------+ to provider | Linux | SLIP/PPP | Anybox | 在这个例子中我们考虑 4 台电脑系统（想必遥远的右方还有些东西让你到网际网路的 IP 连线能够连接，以及一些（远超过这一页）在网际网路上你有兴趣交换资讯的东西）。
这个 Linux 系统伪装闸道是 abox, bbox, cbox 内部网路机器连接网际网路的伪装闸道。
内部网路使用指定的私用(private) 网路位址，在这个案例中是 class C网路 192.168.1.0, linux 机器拥有位址 192.168.1.1 而 其它 系统也拥有此网路上的位址。
这三台机器 abox, bbox 以及 cbox （它们可以执行任何作业系统－像是 Windows95, Macintosh MacTCP 或甚至是另一台 linux 机器，只要它们能了解 IP ）可以连线到网际网路上的其它机器去，然而 这个伪装系统闸道转换它们所有的连线所以这些连线看起来像是原本即从伪装闸道本身发出的，而且还安排伪装连线传回的资料转回原先的系统－所以在内部网路上的系统看到的是直接通往网际网路的递送路径而且不知道他们的资料被伪装过。
2.6. 在 Linux 2.x 上使用 IP Masquerade 的需求核心 2.0.x 的原始程式码可以从这里取得ftp://ftp.funet.fi/pub/Linux/kernel/src/v2.0/（是的，你将得配合加入一些支援来编译你的核心.... 建议最新的稳定版本） 可载入核心模组，最好是 2.0.0 或更新的版本，可以从这里取得http://www.pi.se/blox/modules/modules-2.0.0.tar.gz（至少需要 modules-1.3.57 ） 设定良好的 TCP/IP 网路涵盖於 Linux NET-2 HOWTO及网路管理者指引(Network Administrator's Guide)。
你的 Linux 主机的网际网路连线涵盖於 Linux ISP Hookup HOWTO,Linux PPP HOWTO 以及 Linux PPP-over-ISDN mini-HOWTO Ipfwadm 2.3 或更新的版本可以从这里取得ftp://ftp.xos.nl/pub/linux/ipfwadm/ipfwadm-2.3.tar.gz 在 Linux Ipfwadm 网页上有更多关於版本的资讯。
你可以选择性地应用一些 IP Masquerade 修补档打开其它功能。
从这里可以取的更多资讯， IP Masquerade Resources（这些修补档适用於所有的 2.0.x 核心） 3. IP Masquerade 的设定 如果你的私用网路里有任何重要的资讯，在使用 IP Masquerade之前请三思。
这可能成为你通往网际网路的闸道，反之亦然，也可能成为另一边的世界进入你私用网路的途径。
3.1. 编译核心加入 IP Masquerade 的支援。
首先，你需要核心的原始程式码（最好是稳定的 2.0.0 版或以上的核心）。
如果这是你第一次编译核心，不要害怕。
事实上，这非常容易而且涵盖於 Linux Kernel HOWTO。
使用指令: tar zxvf linux-2.0.x.tar.gz -C /usr/src 把核心的原始程式码解至 /usr/src/ ， 其中 x 是 2.0 之後的修补层级（确定有个称为 linux 的目录或符号链结）。
加上适当的修补。
因为新的修补档不断出来，所以细节不会包含在这里。
最新的资讯请参考 IP Masquerade Resources。
有关编译核心更进一步的介绍请参考 Kernel HOWTO 以及核心原始程式码目录里的 README 档案。
这里是你要编译进去的选项: 下列选项要回答 YES * Prompt for development and/or incomplete code/drivers CONFIG_EXPERIMENTAL - 这将让你能选择把实验性的 ip_masq 程式码编译到核心里去 * Enable loadable module support CONFIG_MODULES - 让你能够载入模组 * Networking supportCONFIG_NET * Network firewalls CONFIG_FIREWALL * TCP/IP networking CONFIG_INET * IP: forwarding/gatewaying CONFIG_IP_FORWARD * IP: firewalling CONFIG_IP_FIREWALL * IP: masquerading (EXPERIMENTAL) CONFIG_IP_MASQUERADE - 这虽然是实验性的，但却是＊必须＊的 * IP: always defragment CONFIG_IP_ALWAYS_DEFRAG - 高度建议 * Dummy net driver support CONFIG_DUMMY - 建议使用 注意: 这些只是 ip_masq 所需要的，你还需选择其它任何你的设定需要的选项。
编译核心之後，你应该编译并安装模组: make modules; make modules_install 然後你应该在 /etc/rc.d/rc.local （或任何你认为合适的档案）里加上几行以便每次启动时自动载入 /lib/modules/2.0.x/ipv4/里所需的模组: . . . /sbin/depmod -a /sbin/modprobe ip_masq_ftp /sbin/modprobe ip_masq_raudio /sbin/modprobe ip_masq_irc （以及其它像是 ip_masq_cuseeme, ip_masq_vdolive 等模组，如果 你有加上适当的修补） . . . 注意: 你也可以在使用 ip_masq 之前手动地载入它，但是不要使用kerneld 来载入，这是不行的! 3.2. 指定私用网路的 IP 位址 因为所有 其它 机器都没有正式指定的位址，必须有个正确的方式来分配位址给这些机器。
节自 IP Masquerade FAQ: 有份 RFC(＃1597) 是有关没有与外界连线的网路该使用什麽 IP 位址。
有三个数字区块是特别为这个目的而保留的。
其中一个我使用的是192.168.1.n 到 192.168.255.n 之间的 255 Class-C 子网路。
节自 RFC 1597: 第三节: 私用位址空间 网际网路位址指定当局(IANA: Internet Assigned Numbers Authority)已经保留下列三个区块的 IP 位址空间给私用网路: 10.0.0.0 - 10.255.255.255 172.16.0.0 - 172.31.255.255 192.168.0.0 - 192.168.255.255 我们将称第一个区块为 24位元区块 ，第二个为 20位元区块 ，而第三个则称为 16位元区块 。
注意到第一个区块就只是个 class A 网路号码，第二个区块则是连续的 16 个 class B网路号码，而第三个区块是一组 255 个连续的 class C 网路号码。
所以，如果你要使用一个 class C 网路的话，那麽你的机器应该以192.168.1.1, 192.168.1.2, 192.168.1.3, ..., 192.168.1.x 来名之。
192.168.1.1 通常是闸道这台机器，在此即你连上网际网路的 Linux主机。
注意 192.168.1.0 以及 192.168.1.x 分别为网路以及广播位址，是保留的。
避免在你的机器上使用这些位址。
3.3. 配置 其它 机器 除了为每台机器设定适当的 IP 位址之外，你也应该设定适当的闸道。
一般说来，这是非常直接了当的。
你只需简单地输入 Linux 主机的位址（通常是 192.168.1.1）作为闸道位址。
关於领域名称服务，你可以加入任何 DNS 系统。
最可能的应该是你Linux 使用的那一个。
你也可以选择性地加上任何网域字尾( domain suffix) 。
在你重新配置这些 IP 位址之後，记得重新启动适当的服务或是重新开机。
下面的配置□例假设你使用一个 Class C 网路并且以 192.168.1.1作为 Linux 主机的位址。
请注意 192.168.1.0 及 192.168.1.255是保留的。
3.3.1. 配置 Windows 95 1.如果你还没有安装网路卡以及界面驱动程式，现在做。
2.到 控制台／网路 里去。
3.如果你的网路配置里没有 TCP/IP 协定 则加进去。
4.在 TCP/IP 内容 中，选择 IP 位址 并且把 IP 位址设定为192.168.1.x,(1 VDOLive Windows, 配合 vdolive 修补档 注意: 即使不是由你呼叫别人，使用 ipautofw 套件某些客户端软体像是 IPhone 以及 Powwow 可能还是可以运作（参阅 4.6 节） 其它客户端软体 NCSA Telnet 2.3.08 DOS, 包含 telnet, ftp, ping 等等的一组套件。
PC-anywhere for windows 2.0 MS-Windows, 经由 TCP/IP 远端控制 PC ，只有在作为客户端而非主机端的情形下才能运作 Socket Watch 使用 ntp － 网路时间协定 Linux net-acct package Linux, 网路帐号管理套件 4.3.2. 无法使用的客户端软体 Intel Internet Phone Beta 2 可以连上但声音只能单向（往外）传送 Intel Streaming Media Viewer Beta 1 无法连上伺服器 Netscape CoolTalk 无法连接对方 talk,ntalk 这将不会运作 － 需要撰写一份核心代理程式。
WebPhone 目前无法运作（它做了不合法的位址假设）。
X 没有测试过，但我想除非有人建立一套 X 代理程式否则它无法运作，这可能是 masquerading 程式码之外的一个外部程式。
一个让它运作的方式是使用 ssh 作为链结并且使用其内部的 X 代理功能来执行! 4.3.3. 已测试过可以作为 其它 机器的平台／作业系统 Linux。
Solaris。
Windows 95。
Windows NT (both workstation and server) Windows For Workgroup 3.11 (with TCP/IP package)。
Windows 3.1 (with Chameleon package) Novel 4.01 Server。
OS/2 (including Warp v3)。
Macintosh OS (with MacTCP or Open Transport) DOS (with NCSA Telnet package, DOS Trumpet works partially) Amiga (with AmiTCP or AS225-stack)。
VAX Stations 3520 and 3100 with UCX (TCP/IP stack for VMS) Alpha/AXP with Linux/Redhat。
SCO Openserver (v3.2.4.2 and 5) IBM RS/6000 running AIX（谁还测试过其它平台? ） 4.4. IP Firewall Administration(ipfwadm) 这一节提供关於 ipfwadm 更深入的使用指引 这是一个给在固定 PPP 位址之 PPP 连线後面的防火墙／伪装系统使用的设定。
信赖(trusted) 界面为 192.168.255.1, PPP 界面已经修改过以避免犯错 。
我分别列出每一个进入(incoming)以及送出 (outgoing)界面来抓出变更递送路径(stuffed routing) 以及／或是伪装(masquerading)等等这些个 IP spoofing 技巧。
同时任何没有明确允许的东西都是禁止的。
!/bin/sh /etc/rc.d/rc.firewall, 定义防火墙配置，从 rc.local 执行。
PATH=/sbin:/bin:/usr/sbin:/usr/bin 测试用，等待一段时间然後清除所有的防火墙规则。
如果你希望防火墙十分钟之後自动关闭就取消下列几行的注解。
(sleep 600; \ ipfwadm -I -f; \ ipfwadm -I -p accept; \ ipfwadm -O -f; \ ipfwadm -O -p accept; \ ipfwadm -F -f; \ ipfwadm -F -p accept; \ 进入伪装闸道的设定，更新以及设定拒绝的策略(policy)。
事实上预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则 ipfwadm -I -f ipfwadm -I -p deny 伪装闸道的本地(local) 界面，区域网路里的机器，允许连往任何地方 ipfwadm -I -a accept -V 192.168.255.1 -S 192.168.0.0/16 -D 0.0.0.0/0 伪装闸道的远端(remote)界面，声称是区域网路里的机器，IP spoofing 拒绝 ipfwadm -I -a deny -V your.static.PPP.address -S 192.168.0.0/16 -D 0.0.0.0/0 -o 伪装闸道的远端界面，任何来源，允许送往固定 (permanent) PPP 位址 ipfwadm -I -a accept -V your.static.PPP.address -S 0.0.0.0/0 -D your.static.PPP.address/32 回授(loopback)界面是允许的 ipfwadm -I -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0 捕捉所有规则，任何其它的进入方式都会被拒绝并记录。
可惜没有记录用的选项但这可以代替 ipfwadm -I -a deny -S 0.0.0.0/0 -D 0.0.0.0/0 -o 送出伪装闸道的设定，更新以及设定拒绝的策略(policy)。
事实上预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则 ipfwadm -O -f ipfwadm -O -p deny 本地界面，允许任何来源送出至区域网路 ipfwadm -O -a accept -V 192.168.255.1 -S 0.0.0.0/0 -D 192.168.0.0/16 远端界面送出至区域网路，stuffed routing ，拒绝 ipfwadm -O -a deny -V your.static.PPP.address -S 0.0.0.0/0 -D 192.168.0.0/16 -o 区域网路的机器从远端界面送出，stuffed masquerading，拒绝 ipfwadm -O -a deny -V your.static.PPP.address -S 192.168.0.0/16 -D 0.0.0.0/0 -o 区域网路的机器从远端界面送出，stuffed masquerading，拒绝 ipfwadm -O -a deny -V your.static.PPP.address -S 0.0.0.0/0 -D 192.168.0.0/16 -o 任何其它远端界面送出的东西都是允许的 ipfwadm -O -a accept -V your.static.PPP.address -S your.static.PPP.address/32 -D 0.0.0.0/0 回授(loopback)界面是允许的 ipfwadm -O -a accept -V 127.0.0.1 -S 0.0.0.0/0 -D 0.0.0.0/0 捕捉所有规则，任何其它的送出方式都会被拒绝并记录。
可惜没有记录用的选项但这可以代替 ipfwadm -O -a deny -S 0.0.0.0/0 -D 0.0.0.0/0 -o 伪装闸道的转送设定，更新以及设定拒绝的策略(policy)。
事实上预设的策略没什麽关系，因为原先就希望拒绝以及记录所有规则 ipfwadm -F -f ipfwadm -F -p deny 伪装区域网路的机器从本地界面送出至任何地方的资料 ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/16 -D 0.0.0.0/0 捕捉所有规则，任何其它的转送方式都会被拒绝并记录。
可惜没有记录用的选项但这可以代替 ipfwadm -F -a deny -S 0.0.0.0/0 -D 0.0.0.0/0 -o 你可以使用 -I, -O 或是 -F 来控制到某特定节点的流量。
记得这些规则集是由上往下扫描的而 -a 代表 附加(append) 到目前现有的规则集中所以任何限制必须在全域(global)规则之前出现。
例如（没测试过）:- 使用 -I 规则。
可能是速度最快的但是它只能阻止区域网路里的机器，防火墙本身仍然可以存取 禁止 的节点。
当然你可能想允许这样的组合。
拒绝并记录本地界面，区域网路里的机器通往 204.50.10.13 ipfwadm -I -a reject -V 192.168.255.1 -S 192.168.0.0/16 -D 204.50.10.13/32 -o 本地界面，区域网路里的机器，允许通往任何地方 ipfwadm -I -a accept -V 192.168.255.1 -S 192.168.0.0/16 -D 0.0.0.0/0 使用 -O 规则。
最慢，因为封包首先经过伪装但这个规则阻止防火墙存取禁止的节点。
拒绝并记录送出至 204.50.10.13 的资料 ipfwadm -O -a reject -V your.static.PPP.address -S your.static.PPP.address/32 -D 204.50.10.13/32 -o 允许任何其它远端界面送出的东西 ipfwadm -O -a accept -V your.static.PPP.address -S your.static.PPP.address/32 -D 0.0.0.0/0 使用 -F 规则。
可能比 -I 慢而这仍然只能阻止伪装的机器（例如内部的机器），防火墙仍然可以取得禁止的节点。
拒绝并记录 PPP 界面送出从区域网路到 204.50.10.13 的资料。
ipfwadm -F -a reject -W ppp0 -S 192.168.0.0/16 -D 204.50.10.13/32 -o 伪装本地界面从区域网路送出至任何地方的资料。
ipfwadm -F -a masquerade -W ppp0 -S 192.168.0.0/16 -D 0.0.0.0/0 不需要有个特定的规则来允许 192.168.0.0/16 通往 204.50.11.0 ,这涵盖於全域规则中。
有一种以上的方法可以对界面设定上述规则。
例如可以使用 -W eth0来取代 -V 192.168.255.1 ，可以使用 -W ppp0 来取代 -V your.static.PPP.address。
个人的选择最重要。
4.5. IP Masquerade 以及随选拨接(Demand-Dial-Up) 1.如果你想把网路设定成自动拨接上网际网路，那麽 diald demand拨接套件将会是很棒的工具。
2.要设定 diald, 请查看 Setting Up Diald for Linux 网页 3.一但 diald 以及 IP masq 设定完成，你可以在任何客户端机器上启动 web, telnet 或是 ftp 连线。
4.Diald 将会侦测到进入系统的请求，然後拨接到你的 ISP 并建立连线。
5.第一次连线将会发生逾时(timeout) 的情形。
如果你使用类比式的数据机那这是无可避免的。
建立数据机连结以及 PPP 连线所花费的时间将会使你的客户端软体不耐。
如果你使用 ISDN 连线那这是可以避免的。
你得做的只是结束客户端软体现行的程序再重新启动即可。
4.6. IPautofw 封包转送程式 IPautofw是 一个给 Linux masquerading 使用的一般性 TCP 及 UDP 转送程式。
一般使用需要 UDP 的套件的时候，需要载入特定的 ip_masq 模组；ip_masq_raudio, ip_masq_cuseeme,... Ipautofw 以更一般化的方式运作，它将会转送包含这些应用程式特定模组都不会转送的任何资料流型态。
如果没有正确地管理这可能造成安全上的漏洞。
如何,伪装,电脑,如何,伪装,电脑,这份,文件,西汉和亲的效果如何 大战略的思想是什么样的
到了汉武帝时，国家强大起来，和亲政策发生了变化。
在公元前127年、公元前121年和公元前119年，汉武帝三次派大将、等率兵反攻匈奴，彻底解除了匈奴的威胁。
这时候，匈奴打算和亲，让还像原来那样臣服于他。
汉武帝不同意，他要求匈奴派儿子到汉朝做和平人质，而且要反过来向汉朝称臣。
双方在地位方面没有达成协议。
到时，匈奴国势力衰落，加上内部战争，匈奴王单于决定归顺汉朝，他派儿子到汉朝做人质。
后来在时，元帝派嫁给他，双方实现了和平。
同时，汉朝还和乌亲，乌孙在现在甘肃的祁连山和敦煌一带，后来迁移到巴尔咯什湖东南、伊犁河一带。
汉朝和乌孙和亲，联合乌孙夹攻匈奴，最后在公元前71年使匈奴受到致命打击，从此衰落下去。
汉朝的和亲政策对维持北方的和平起到了很大作用，也促进了双方的经济和文化交流。
西汉王朝与乌孙的和亲，同历代统治集团之间的联姻一样，其本质都是一种政治行为，是为一定政治利益服务的策略和手段。
在国家民族的旗帜后面，却是和亲执行者个人意志和人生命运的扭曲贬损。
当我们赞扬封建帝王雄才大略时，切不可忽视了那些远涉流沙的深宫闺秀们的自我牺牲，她们应受到称道和同情。
这种政治婚姻，显然是对女性的摧残，是反人道的。
但在客观上，却达到了联姻双方的政治目的，加强了西汉王朝与乌孙的经济文化联系，对于西域的安定和建立多民族统一的国家，具有积极的推动作用。
大战略 寓攻于守攻防兼备 经历了白登山之围，刘敬首先向汉高祖提出了“和亲”的建议：“如果能把皇后生的大公主嫁给作妻子，给他送上厚礼，而他知道是这是汉帝皇后亲生的女儿又陪嫁丰厚的礼物，粗野的匈奴一定也会高兴并且把大公主作正妻，那么她生下的儿子必定是太子，将来接替君位。
为什么呢?因为匈奴毕竟目光短浅，一定会贪图汉朝的丰厚财礼。
陛下拿一年四季汉朝多余而匈奴少有的东西经常安抚赠送，顺便派能言善辩的的人用汉朝的礼节来开导发他。
冒顿单于在位，必是汉朝的女婿;他死了，他汉朝外孙就是君主。
哪曾听说外敢同外祖父分庭抗礼的呢?军队可以不出战便使匈奴逐渐臣服了。
如果陛下不能派大公主去，而让皇族女子或是假冒公主，他也会知道，就不肯尊敬亲近她，那样就没什么好处了。
”虽然后来高祖终究没有派出亲生的大公主，还是找了个宫女以大公主的名义，嫁给冒顿君主作妻子。
刘敬被派遣前往与匈奴订立议和联姻盟约。
后世一直有人认为，堂堂大汉却要向匈奴蛮夷低头，甚至的送去汉家女子给匈奴单于为妾，既不能缓解匈奴对于汉的军事压力，也没有达到通过通婚节制匈奴的目的，因为西汉前期大多数送去和亲的“公主”都只能作为单于的偏房小妾，没有成为正妻并且生下亲附汉朝的太子、储君。
如果单单从这一个方面来看，是否就认为汉政府的和亲政策已失败呢? 其实，评价和亲政策的成败需要多个方面来分析。
第一，从汉朝内部而言，派遣的所谓“公主”多不是皇室真正的大公主，最多也就是皇室宗亲的小公主，更多的甚至就是民家选送的宫女。
但即使是这样一些“和亲公主”，对于地处偏远的匈奴而言，其所代表的先进的宫廷文化以及优雅妩媚的汉女气质，都是非常具有吸引力的。
早在白登山之围期间，就通过向当时的冒顿单于之妻阏氏传达了打算用汉朝美女献给单于而夺其恩宠的消息，才使得阏氏同意说服单于放高祖逃生。
这也从另一个侧面说明，即使在匈奴人看来，汉家女子比之于匈奴女性，仍具有更大的魅力。
也是因此才保证了，即使匈奴明知不是正牌的皇室“公主”，可对于这些“和亲公主”还是愿意接受的。
从这点来看，汉政府不需要花费很大的代价，就能够以汉公主的名义把这些“和亲公主”及其使节送往匈奴，这个和亲计划本身也就具有很高的执行价值。
第二，汉朝虽然要为和亲安排大量的陪同人员和陪嫁物资，但这些陪同人员在远赴匈奴的过程中，可以了解沿途的和自然条件，更可以深入匈奴的腹地得到他们生产、生活的第一手资料。
这对于汉政府的进一步战略决策，都是非常宝贵的信息。
至于陪嫁物资，就像刘敬所说的，无非也是汉朝多产而匈奴所无的东西，并不会对于汉朝造成过于沉重的经济负担。
同样的，每次向匈奴输送物资的过程，也是进一步加深了解敌情的机会。
在对匈奴作战中，汉军遇到最大的问题就是匈奴军队和部落漂移不定的行踪。
通过和亲以及之后的和亲物资运输，汉政府恰好可以掌握匈奴军队和主要部落的准确方位及其驻扎习性，为武帝时期积极的对匈奴进攻，奠定了良好的基础。
第三，和亲不仅仅是人员的交往，从刘敬的策略出发，更是利用汉朝的物产逐步改变匈奴上层阶层的欣赏和消费方式的一种渐进的手段。
所谓汉多有而匈奴不长的东西，实质上就是汉朝经济上具有优势的东西，用来引导进一步改变匈奴的游牧经济习性固有的消费结构，使得其上层社会习惯并且乐于接受汉的消费文化和强势的经济地位，最终在经济上达到控制匈奴的目的。
这一点还可以从另一个人口中得到印证。
是西时陪嫁公主的侍者，也即是西汉王朝和亲政策的执行者，他对政策的目的理当十分清楚。
但是处于对汉政府强迫其出使匈奴的不满，他到匈奴之后就投降了匈奴，还把汉政府和亲背后的战略意图向兄目单于进行了揭露。
中行说告诉单于曰：“你匈奴区区之众，甚至不过汉朝一个郡的人口，可为啥汉朝惧怕你们呢?就是因为你们有完全不同于汉朝的生产和生活方式，对于汉经济不存在依附关系。
现在，汉政府利用和亲的机会，输入这些汉的衣食美物，无非就是要你们改变风俗，喜欢上汉的东西。
不过，这点东西你们匈奴自己又不能生产，最终必将要仰赖汉的供给，这么下去，匈奴迟早要被汉给吞并。
”其实，《.匈奴列传》记载这段话，目的不是为了说明这个中行说如何高瞻远瞩，也不是证明匈奴单于因此放弃接受汉的和亲，而是从另一个方面补充说明了西汉政府对匈奴所谓和亲政策，外面柔弱，实际上包藏了进攻的意义，即利用汉经济上的优势逐步改变、收服匈奴。
毕竟，此后的几个单于仍然没有停止接受和亲，彻底放弃汉向其输入的人员和物资。
第四，汉政府的和亲政策，不仅仅对匈奴实行，而是也利用“和亲”政策来笼络西域其他重要的少数民族政权-乌孙。
汉武帝时期先后送细君、解忧两位公主嫁给当时的王成为正妻，陪同解忧远嫁乌孙的婢女也嫁给了乌孙位高权重的右将军。
她们为汉在西域争取到乌孙这样重量级的盟友，在配合汉军征讨匈奴的作战中起到至关重要的作用。
对于汉而言，和亲在道德上的问题远远不能够高于和亲作为一个整体战略对于国家利益的重要性。
两位公主都经历了丧夫和改嫁夫弟甚至继子的伦理困境，汉武帝都是以“入乡随俗”为理由要求她们依据乌孙民族的礼俗继续其和亲的使命。
这在以后儒家正统观念笼罩下的王朝，特别是两宋的理学主导的时代，根本是无非想像的事情。
第五，西汉政府对于匈奴的和亲本身，也分为前后两个时期，以武帝大举讨伐匈奴并取得战略胜利为界限。
前期和亲重在守，但也起到为武帝的战略进攻积极准备的作用。
后期的和亲，重点就变为“亲”，使得分裂之后的匈奴部落归顺和亲附汉政权。
众所周知的昭君出塞，就是在汉灭郅支单于之后，韩邪单于为了进一步密切与汉朝的关系，于公元前33年，亲自入汉，请求和亲，以结永久之好。
此时，匈奴和汉之间的攻守形势已经发生了根本性的转化。
和亲已从西汉主动变为匈奴主动要求，实质是分裂的匈奴单于企图利用西汉政府的实力来巩固自身的地位。
纵观西汉和亲政策的推行，有力保证了西汉对匈奴长期战略的实施，并且最终实现了双方攻防地位的根本性转变。
这难道不是西汉和亲政策成功的证明么? 到了两宋时期，鉴于西汉和亲的历史实例，不断有官员提出仿效西汉同北方的少数民族政权缔结“和亲”之好，但也不断被宋的以各种理由拒绝，最终未能付诸实践。
一方面，北方少数民族政权也有提出和亲要求，辽兴宗宗真曾派刘六符等南下议割地、和亲事宜。
但在宋当时的政治气氛之下，宋君主一律婉言拒绝。
本质上，两宋时期的士大夫阶层基本上自恃为文化优越的民族，断然排斥和北方辽、、金等少数民族政权结亲，甚至认为，一旦和这些“夷狄”结亲会被视作“自取羞辱”，比打败仗还没有颜面。
另一方面，在这种礼教文化下培育的女性，也无法担当起“和亲”和结盟的重任。
比起汉代女性自信和果断，任何一个外嫁到北方的宋朝女性中都出不了王昭君、冯夫人之类的巾帼人物。
和亲也就起不到应有的政治效果。
更深层次的原因在于，两宋已失去汉代的民族自信和积极进取：一味自我封闭的结果是失去了了解对手的机会;单纯用经济好处收买、安抚北方少数民族政权而不思进取的结果，就是彻底丧失了战略上的主动地位，最终被动地等待崛起于大漠的草原民族在巧取豪夺之下逼入亡国丧权的悲惨境地。
如果那些强调“华夷之辨”的士大夫知道宋和汉民族最终遭受到被草原民族征服、奴役的命运，司马光们还能在《》中对西汉的和亲政策嗤之以鼻么?还能够对于武帝的强征匈奴的政策斥为穷兵黩武吗? 综合来比较，西汉之强盛，不在于国力，而在于民族精神的雄性和张扬，就连西汉的女性也洋溢着大胆、自由的个性魅力;两宋的柔弱，也就不是由于国力不济，而是整体民族意识的保守和退缩，以至于连士大夫集团都留于文化上孤芳自赏、军事上消极被动、精神上封闭拘束的孱弱和压抑。
所以，象“和亲”这样的寓攻于守、攻防兼备的大战略，也只有在西汉这样开放进取的时代才能取得成效。
随机文章最大古埃及金字塔的建筑奇迹，花20年时间用680万吨巨石咖啡店幻觉使你的眼睛欺骗你，盘点能让人产生错觉的图片墨西哥711ufo事件回顾，多架ufo惊现天空组队飞行（日食期间）2018.1.30美国ufo事件，环状不明飞行物倾斜悬浮于半空亚马逊旗下蓝色起源发射火箭回收成功，私人公司推动太空旅游
第一个爬云梯的士兵九死一生，到底是如何想的呢？为什么还敢爬呢
修橹轒辒，具器械，三月而后成，距堙，又三月而后已。
将不胜其忿而蚁附之，杀士卒三分之一而城不拔者，此攻之灾也。
”连都认为攻城是最不得已的情况才去做的，因为死伤太惨重，经常死伤三分之一的部队都攻不下城池。
很多人好奇一个事情，第一个爬云梯的士兵可以说是最危险不过的了，基本就是十死无生。
那么面对如此危险的情况，古代军队攻城时，第一个爬云梯的士兵到底是怎么想的呢?为什么还敢爬呢? 首先，古代攻城其实并不是像影视剧中一般，一群人扛个梯子就顶着箭矢往前冲，架上梯子就顶着滚木礌石往上爬。
在古代，攻打一些小县城或许还真有这么干的，但是如果是大型坚城，还这么干大概多少人命都不够往里填的。
因为古代的城防并不是只有一个城墙，城墙外面还有护城河，以及各种陷坑。
进攻中国的时候，工匠相对要少，大多是驱赶城池周边的百姓顶着箭矢去填陷坑和护城河。
等到都填完了，城墙下面都堆了一层尸体了，就是从梯子上掉下来都未必能摔死。
而中原王朝攻城时，会尽量依靠攻城器械来降低攻城造成的死伤。
填护城河不需要顶着箭矢去填，可以造轒辒车，古代记载轒辒车以大木作周框，下有四轮，上架如屋顶，以生牛皮蒙之，车内可容十人，在内着地推车，直抵城下攻城作业，以避敌矢石。
类似的防护推车种类也很多，比如木幔：“以版为之，制如屏，裹以生牛革，上施桔槔，载以四车轮，低昂，以绳挽之。
凡攻城，欲蚁附者，则以幔御当面矢石也。
”有遮挡防护，仅仅推车去填护城河，就要安全很多了。
如果壕沟、护城河比较宽，一时半会填不平，还有填壕车，一辆板车上面有折叠的桥板，到壕沟前放下桥板就变成一座木桥，可供士兵通行。
同时投石机，以及己方射手也会向城墙投射远程火力，掩护填河部队，当填平护城河和陷坑，才轮到云梯登场。
古代的云梯也没有那么简单，不然《孙子兵法》里也不会说“修橹轒辒，具器械，三月而后成”了，毕竟如果就做一堆竹木梯子是要不了三个月的，仅仅是普通梯子是不需要多高的木匠手艺的，普通士兵工具齐全的情况下，一个士兵三天都能做出来几个长梯子。
早在时期的云梯，从出土的战国水陆攻战纹铜鉴得图案就能看出来云梯底部装有车轮，可以移动，而且梯身可以上下仰俯活动，依靠人力扛抬来倚架在城墙上。
而且云梯顶端装有钩状物，可以钩住城墙边缘，这样就可以保护梯首不会遭到守军的推拒和破坏。
《武经总要》中也有云梯的详细记载以及插图：“云梯，以大木为床，下施大轮，上立二梯，各长二丈余，中施转轴。
车四面以生牛皮为屏蔽，内以人推进及城，则起飞梯于云梯之上，以窥城中，故曰云梯。
” 因此，如果直接扛着个梯子就让往前冲爬上去攻城，那下面士兵的想法大概只会暗骂一句MMP，然后冲几步就开始往回跑了。
而当护城河和陷坑都已经填平，城墙上也被攻城方的投石和箭矢洗了好几轮了，守城方可能都已经缩起来不敢露头了，云梯车推到城墙下，勾住城墙，主帅下令正式攻城。
这种情况下，其实攻城看起来就没有那么像必死之局了。
并且，在古代，最先登上城头虽然最危险，但同时功劳也是最大，被称为“先登”。
属于古代战功最大的三种之一：《货殖列传》:“壮士在军，攻城先登，陷阵却敌，斩将搴旗，前蒙矢石，不避汤火之难者，为重赏使也。
”可见，一直以来先登的功劳，都是重赏的。
先登的功劳甚至足以让一个士兵一下翻身封官封爵，《·内储说上》就记载：“明日且攻亭，有能先登者，仕之国大夫，赐之上田上宅。
” 而开国将领、宰相，最早在婚丧嫁娶时去当吹鼓手维持生计，跟随的时候不过是中涓的身份，中涓是个什么身份呢?涓，洁也，言其在内主知洁清洒扫之事，盖亲近左右也。
所以不过是个端茶倒水打扫卫生的侍从。
但是在攻打下邑的时候，他因为先登攻城，被刘邦赐予五大夫的爵位。
《史记卷五十七·绛侯周勃世家第二十七》：“下下邑，先登。
赐爵五大夫”。
时著名武将也是因为先登封为将军的，《·吴志·丁奉传》：“秦为先登，屯於黎浆，力战有功，拜左将军。
” 在巨额的封赏面前，面对城墙，第一个冲上去的士兵大概只会想搏一搏单车变摩托，一旦获得先登之功，立刻就能翻身做主，以后都不用再冒着矢石冲在第一线了，以后就是领兵作战，自己坐在后方指挥了。
而在古代，想要仅凭首级积功获取爵位，那其实是非常困难的。
平民出身的士兵想要封爵拜将，非得立下足够惊人的功劳才有可能，先登无疑是其中一种。
而不打算升官的，也有金钱作为封赏。
明代万历年间抗击日本丰臣秀吉政权入侵的朝鲜之役中，明军主帅李如松在攻打日军占领的平壤城时，就曾经下令：“明日攻城，先登城者，赏银五千两!”五千两银子是一个什么概念呢?史载万历年间一两银子可以购买一般质量的大米二石，当时的一石约为94.4公斤，一两银子就可以买188.8公斤大米，五千两银子足够买944吨大米。
五千两银子是一笔普通士兵无法想象的巨款。
(不过根据具体记载来看，这笔银子是很多冲上城头的军士所共同领取的) 但同时有赏就有罚，总有宁愿不要升官发财只想保住小命的人，这时就需要军法处置，早在《尚书·甘誓》中就有记载：“用命，赏于祖;弗用命，戮于社，予则孥戮汝。
”作战勇敢的，就在宗庙中进行奖赏，而作战不勇敢畏缩不前的，也要在宗庙中作出处罚，按情节或者直接杀死，或者贬为奴隶。
而在三国时期《三国志·魏志·卢毓传》里还记载了一个案例：妇女白氏由父母包办嫁给了一个士兵，过门后因为打仗，连丈夫的面都没见过，这名士兵就因失踪被判定为逃兵。
当时负责判案的依据“士亡法”就判处了白氏死刑。
卢毓为白氏申辩，认为还没有同房不算正式嫁过去，不应该判死刑。
而这件案子也可以知道，作战不力不但要自己被军法处置，家属也要连坐处死。
在这种情况下，士兵们只能搏一把先登了。
随机文章诸葛亮决意杀魏延！不是反骨是为啥？真相只有「4个字」河南周口清朝干尸，一夜间疑似还魂自己消失诺亚方舟遗址被发现，4800年前的木船99.9%是诺亚方舟三星堆不是汉族文明， 三星堆外国科学家解密/三星堆其实是源于古蜀国现今已经灭绝的三叠纪龟龙，头似恐龙背顶尖刺甲壳/很像玄武神兽
