Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Paketes wird übergangen und das TCP Paket wird auf Verletzungen gegen die Regeln
überprüft.
Für den Fall, daß das TCP Paket zulässig ist, wird es mit den in der HASH Queue
gespeicherten Pakete verglichen. Gehört es nicht zu anderen Paketen, so wird es
verworfen. Es wird den Filter nicht passieren.
Angenommen, daß TCP Paket gehört zu einer erlaubten Verbindung. Das Paket muß
dann überprüft werden, ob dieses Paket eine FTP - Verbindung darstellt. Dies wird durch
Durchsuchung des Inhaltes nach dem "PORT" Befehl festgestellt. In diesem Falle wird ein
neuer HASH Eintrag erzeugt. An dieser Stelle ist es möglich, weitere Protokolle zu
implementieren, z.B. RPC, welches für Windows NT PDC, RSYNC, RSH....notwendig ist.
Der Rest des TCP Codes ist selbsterklärend. Das Statusfeld und der Timer- Mechanismus
sind entsprechend dem Mechanismus zu Behandlung der Flags im TCP Header
implementiert.
Es ist möglich, zu einer bestehenden TCP Verbindung einen Timeout hinzuzufügen.
Hiermit kann man Einträge in der HASH Queue löschen, die unterbrochen wurden, oder
zu lange Wartezeiten zwischen den Paketen besitzen. Um dieses zu tun, muß bei der
Herstellung einer Verbindung ein Timer initialisiert werden, der jedesmal, wenn ein Paket
einer gültigen Verbindung passiert, von neuem beginnt, zu zählen (reset). Sicherlich
würde dieser Mechanismus die Effektivität der Firewall beeinträchtigen und hängende
Verbindungen möglicherweise unnötig beenden.
Filterregeln
Für höhere Effizienz der Firewall werden nur neue TCP Verbindungen und Nicht-TCP
Pakete analysiert. Die lineare Liste des Regelwerkes in der Firewall wird der Reihe nach
mit dem Inhalt des Datenpaketes verglichen. Sobald eine Regel zutrifft, wird das Paket für
weitere Untersuchungen markiert und gespeichert.
Die erste Untersuchung (Inspektion) gilt dem Protokoll. Die Protokollfelder des
Regelwerkes werden mit denen des Paketes verglichen.
IGMP und ICMP Pakete werden einer gesonderten Untersuchung unterworfen, in der
festgestellt wird, ob der Typ in den Regeln enthalten ist. Dieses muß in einem "switch"
Statement (C,C++) erfolgen, weil eventuell weitere Typen in dem Paket in einer Bitmap
enthalten sein könnten.
RIP Pakete werden ebenfalls einer gesonderten Behandlung unterzogen. Für den Falls
das das Paket ein UDP Paket ist, und auf Port 520 zugreift, dann wird die Funktion
check_rip() aufgerufen, um zu ermitteln, ob alle angekundigten Ziele in dem Regelwerk
aufgelistet sind.
An dieser Stelle können beliebige Tests für Nicht TCP Protokolle eingefügt werden, z.B.
weitere Routingprotokolle, wie OSPF...
Nach dem Test auf TTL, IP Optionen werden Quell- und Zieladresse, Ports...durch die
Funktion sf_addr_match() auf Verletzungen der Regeln untersucht. Hier sind erklärende
Kommentare im Quellcode eingefügt. Am Ende aller Untersuchungen zeigt die Variable
"rule" auf die zutreffenden Regeln, oder auf NULL, wenn keine der Regeln zutreffend ist.
Wenn eine Regel auf ein TCP Paket zutrifft, dann wird ein Eintrag in der HASH Queue für
diese Verbindung vorgenommen. Wenn dann keine Log-Einträge mehr abzuarbeiten sind,
kann der Filter seine Arbeit beenden.
Log Einträge
Erstellt von Doc Gonzo - http://kickme.to/plugins