Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Der Transfer der Log-Einträge vom Filter zum Firewall-Dämon erfolgt über einen Puffer im
Firewall-Device. Falls der Puffer voll ist, werden alle Pakete verworfen, egal ob die
Filterregeln zutreffen, oder nicht. Für die betroffenen Hosts erscheint dieses so, als wenn
Pakete aus unbekannten Gründen verlorengegangen sind.
Log-Einträge bestehen aus dem Rückgabewert, der Regel ID, dem Namen des Devices
und den ersten 176 Bytes des Paketes. Die Größe wurde so gewählt, daß zumindest alle
Protokollheader aufgezeichnet werden, und die Gesamtgröße der Log-Struktur die
maximale Größe für eine Speicherseite nicht überschreitet (Siehe sf_filter.h).
Nun wird der Firewall-Dämon aufweckt, damit die Filterfunktion den Rückgabewert einer
zutreffenden Regel übergeben kann.
Konfiguration und Kontrollroutinen
Wann immer das SFC Userprogramm gestartet wird, um Konfigurationen vorzunehmen,
werden alle Informationen des Firewall-Dämons über das Firewall-Device an den Filter
übergeben. Das Device ruft die Funktion sf_write_config() (in sf_filter.c) auf. Die Funktion
fordert neuen Speicherraum an, und kopiert den gesamten Puffer hinein. Es muß
berücksichtigt werden, daß der C-Compiler z.B. um 1025 Byte zu speichern, 2048 Byte
anfordert. Wenn also ein bestehender Buffer von knapp über 1 MByte Größe kopiert
werden muß, daß ca. 4 MByte tatsächlich benötigt werden. Die Firewall ist also immer mit
genügend RAM auszustatten. Danach wird der Befehl interpretiert und die entsprechende
Funktion aufgerufen.
sf_init() wird aufgerufen, wenn das Kernel Filtermodul eingefügt wird, um die HASH
Queues zu initialisieren.
sf_del_all_timers wird aufgerufen, wenn das Filtermodul entladen wird. Alle aktiven Timer
müssen beendet werden, damit Speicherplatz korrekt wieder freigegeben werden kann.
sf_clear, sf_add, sf_replace und sf_delete werden aufgerufen, um die lineare Liste des
Regelwerkes bearbeiten zu können, sf_flush and sf_flush_all sind bereits in ihren
Funktionen beschrieben worden.
Wenn immer der Befehl SF_COMMAND_FW_ADDR eingegeben wird, wird der Buffer
kopiert. Hierfür ist die Funktion sf_write_config zuständig. Die Funktionen sf_rule_first und
sf_rule_next werden für die Übergabe der Konfiguration an den aktuellen SFC Prozeß bei
der Eingabe von "SFC SHOW" benötigt. Die nächste Regel, die übergeben wird, ist in
rule_first_next gespeichert. Die Konfiguration wird also an den Filter übergeben, obwohl
der Firewall-Dämon alle geraden aktiven Regeln kennt. Nur so kann der User sicher sein,
daß die Ausgabe der momentanen Filterregeln, Variablen und Zustände auch tatsächlich
dem momentanen Zustand der Firewall zu einem bestimmten Zeitpunkt entspricht. Die
etwas schlechtere Performance während dieses Zeitpunktes der Abfrage ist hier nicht so
wichtig, da der Befehl "SFC SHOW" nicht so häufig ausgeführt wird.
15. SINUS Firewall Installation
Die Installation der SINUS Firewall wird nun im Folgenden detailliert erklärt. Hierzu sind
Kenntnisse zur Kompilation erforderlich, die im Detail im Kapitel über IPFWADM erklärt
wurden. Danach muß nur noch die Konfigurationsdatei angepaßt werden, und die Firewall
in den Kernel eingebunden werden. Weit komplexer ist aber die Installation von ENSkip im
Kernel 2.0.36 und die Installation des JAVA Runtime Moduls auf einer Arbeitsstation unter
Windows, damit man die Firewall über das JAVA Interface administrieren kann.
15.1 Änderungen im Kernel
Erstellt von Doc Gonzo - http://kickme.to/plugins