Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

gelöscht, weitergeleitet oder eine ICMP Nachricht ausgesendet werden muß. Die
Filterfunktion benachrichtigt den Kernel schnellstmöglich darüber, ob ein Paket erlaubt
oder verboten ist. Die Filterfunktion führt nicht alle Tests in jedem Fall durch. Einige
können vom Kernel übernommen werden (IP_defrag...).
Address Spoofing
Das erste Paket eines Hosts wird auf address spoofing hin überprüft. Für den Fall, daß
es nicht vom Loopback Interface stammt, aber dort als Quelladresse oder Zieladresse die
Loopbak Adresse eingetragen ist, wird das Paket verworfen. Wenn das Paket von der
Firewall selber stammt, also eine IP-Adresse der Netzwerkinterfaces besitzt, oder Quellund
Zieladresse eine lokale IP - Nummer besitzen, ist nur noch der anti spoof test
erforderlich. Dann kann das Paket passieren, und der Filter gibt den Wert
SF_RC_ACCEPT zurück.
Nun muß in der HASH-Queue überprüft werden, ob das Interface internal oder external ist.
Findet sich kein Wert in der HASH Queue, so wird die Funktion sf_inside() aufgerufen. Sie
überprüft, ob die Interface-Adresse mit der internalnet Adresse übereinstimmt. Das
Ergebnis wird in die HASH Queue geschrieben, es wird später ausgewertet.
Wenn ein Paket empfangen wird, wird die Quelladresse für eine Überprüfung des
Quellcodes herangezogen, andernfalls wird die Zieladresse benutzt. Wenn die Adressen
nicht der Adresse eines Hosts und nicht der des Loopback Interfaces entsprechen,
müssen die Paketadressen und Interface Adressen entweder internal oder external sein.
Wenn adress spoofing entdeckt wird, werden die internen Firewallregeln
RULE_SPOOF_RECV oder RULE_SPOOF_XMIT aktiv. Die enthaltenen Informationen
werden an den Firewall-Dämon übergeben. Die weiteren Paketinformationen werden dann
verworfen.
Für den Fall, daß ein Paket weitergeleitet wird, kann die weitere Überprüfung nach der
Überprüfung auf spoofing entfallen.
Fragmentierung
TCP
Wenn ein Fragment Offset in dem IP-Header gesetzt ist, wird die Paket-ID als HASH-Wert
mit evtl. Einträgen in vorangegangenen Paketen verglichen und dem Filter mitgeteilt, ob
ein Paket passieren darf, oder nicht. Die Einträge in der HASH Queue sind dem Timeout -
Mechanismus unterworfen, der diese löscht, wenn längere Zeit keine Pakete mehr
erfolgreich die Firewall durchlaufen haben. Der Timeout-Zähler beginnt von Neuem, wenn
der Vergleich positiv war. Das Fragment muß auch hier nicht weiter überprüft werden, es
wird automatisch intern weitergeleitet. Mit dem Eintreffen eines fragmentierten Paketes
und dem Aufruf der Funktion SF_CHKFRAG wird ein neuer Eintrag in die HASH Queue
vorgenommen, und der Timer zurückgesetzt.
Zugelassene TCP Verbindungen werden in HASH Queues gespeichert. Der HASH
Schlüssel berechnet sich aus der Summe von Quelladresse, Zieladresse, und den
zugehörigen Portnummern, modulo der im Quellcode angegebenen Primzahl (499 in
sf_filter.c). Die Adressen sind zuvor in 32 Bit Integerwerte konvertiert worden. Die HASH
Tabelle enthält den Status einer TCP Verbindung. Der Filter kann so schnell bestimmen,
ob eine Verbindung besteht, ein Host die Verbindung abbrechen möchte, die Verbindung
beendet ist.....
Ein eintreffendes Paket, welches einen Verbindungswunsch anzeigt, hat das SYN Flag
gesetzt, nicht aber das ACK Flag. In diesem Falle ist die TCP Verbindung noch nicht in
der HASH Queue gespeichert, mit Ausnahme von FTP Verbindungen. Der Rest des TCP
Erstellt von Doc Gonzo - http://kickme.to/plugins