komplette Ausgabe - Comment - Universität Wien

16
95/2
basierten Services auf Basis der IP-Adresse eingeschränkt
werden: In den entsprechenden Konfigurationsdateien
muß vermerkt werden, welchen Rechnern ein Zugang
über Telnet, FTP usw. erlaubt oder verboten ist.
Firewalls
Internet
Firewall
Ein Firewall ist eine Einrichtung, die einen Abschnitt des
Netzwerks – etwa das Netzwerk eines Instituts – vom
„unsicheren“ Rest des Netzwerks trennt. Die Kommunikation
zwischen Internet und Subnetz (oder „privates
Netz“) geht ausschließlich über den Firewall, der eine
Zugangskontrolle durchführt. Es gibt zwei Modelle für
Firewalls: Packet Filtering und Application Gateways.
Packet Filtering
Hier entscheidet der Firewall auf Paketebene, ob die Pakete
zwischen privatem Netz und Internet weitergereicht
oder blockiert werden. Die Implementierung des Firewalls
kann mittels Routern (mittels Accesslisten) oder auf
Unix-Rechnern mit entsprechender Software erfolgen.
Die Konfiguration des Filters erfolgt durch Definition von
Regeln, die etwa folgende Semantik haben:
●
●
Verbindungen zu einem Port/Protokoll von einer
Adresse im Internet zu einer Adresse im privaten Netz
werden erlaubt.
Verbindungen zu einem Port/Protokoll von einer
Adresse im privaten Netz zu einer Adresse im Internet
werden erlaubt.
Bei der Konfiguration können statt Ports auch Bereiche
von Ports und statt Rechneradressen auch Adressen von
Netzwerken angegeben werden. Die Regeln für einen
Firewall könnten beispielsweise lauten:
●
●
●
●
Verbindungen zum SMTP-Port des Mail-Rechners im
privaten Netz sind vom ganzen Internet aus möglich
(SMTP = Simple Mail Transfer Protocol, das Protokoll
zum Transport von eMail im Internet).
Telnet-Verbindungen vom privaten Netz in das Internet
sind möglich.
SMTP-Verbindungen vom privaten Netz in das Internet
sind möglich.
http-Verbindungen vom privaten Netz in das Internet
sind möglich (http = Hypertext Transfer Protocol, das
für WWW-Services verwendete Protokoll).
Bei TCP-Verbindungen sind die Folgepakete einer einmal
aufgebauten Verbindung durch das gesetzte SYN-Bit
erkennbar. Weil bekannt ist, wer die Verbindung aufgebaut
hat, können TCP-Verbindungen einfach in einer
Richtung erlaubt und in der anderen Richtung gesperrt
werden. Die Überprüfung der Zugriffsbeschränkungen
erfolgt beim Verbindungsaufbau, Pakete mit gesetztem
SYN-Bit dürfen den Firewall ungehindert passieren.
Unter den TCP-basierten Services machen vor allem Anwendungen
wie FTP Probleme: FTP arbeitet mit einer
Verbindung, die vom Klienten aufgebaut wird und auf
der Kommandos zum Server übertragen werden. Für die
Übertragung von Dateien wird eine weitere Verbindung
vom Server zurück zum Klienten aufgebaut. Die Schwierigkeit
liegt nun darin, daß dieser Datenstrom nicht auf
ein bestimmtes Port festgelegt ist, sondern irgendein
freies Port benutzt.
UDP-basierte Services stellen bei der Konfiguration des
Firewalls generell ein Problem dar, da bei den Nachrichten
nicht auf einfache Weise zwischen Anfragen und Antworten
unterschieden werden kann.
Die Probleme mit UDP-basierten Services oder Services,
welche wie FTP oder X-Windows Verbindungen zurück
zum Klienten verlangen, sind mit einfachen Paketfiltern
ohne Modifikation der Klienten nicht mit vertretbarem
Aufwand lösbar. Die neuesten Firewall-Produkte analysieren
jedoch den Datenverkehr und sind so imstande,
die obigen Schwierigkeiten zu umgehen.
Application Gateways (Proxy-Server)
Bei diesem Konstruktionsprinzip wird der gesamte IP-
Verkehr zwischen dem Internet und dem privaten
Netzwerk blockiert, und alle Verbindungen müssen über
Serverprozesse am Firewall abgewickelt werden. Die
Proxy-Server arbeiten entweder transparent und schleusen
den Verkehr einfach durch den Firewall durch, oder
sie verlangen die Authentisierung der Verbindung, die
z.B. durch Username und Paßwort erfolgen kann.
Firewalls stellen jedoch nur eine Abschirmung des privaten
Netzes gegen Gefährdungen von außen dar – gegen
Attacken im privaten Netz helfen sie naturgemäß nicht.
Martin Gräff ■
NETZWERK