Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Die Installation der SINUS Firewall erfordert kleine Änderungen im Kernel des
Betriebssystems, vornehmlich um ein Kommunikationsinterface für die Echtzeitkontrolle
des Firewallmoduls zu schaffen. Hierzu wird empfohlen, den LINUX Kernel 2.0.36 und die
ältere libc5.4.xx einzusetzen. Eingriffe in Form von Patches sind nicht notwendig, es wird
aber nach der Neukompilierung ein Treiber als Modul hinzugefügt. Der Kernel sollte mit
folgenden Optionen neu kompiliert werden:
• Network firewalling
• TCP/IP networking
• IP forwarding
• IP firewalling
• IP: Always defragment
• IP: Optimize as router not host
Andere Optionen, wie IP masquerading oder IP aliasing können akiviert oder deaktiviert
sein, sie beeinflussen in keiner Weise die Funktionsweise der Firewall. Es ist aber
möglich, daß die SINUS Firewall andere Funktionen deaktiviert. Genaue Anweisungen
hierzu später
Für Firewall -Cluster oder Fernwartung aus anderen Netzen wird dringendst empfohlen,
ENskip (SUN SKIP) als IPsec Layer für die verschlüsselte Kommunikation der Firewalls
untereinander oder zum Fernwartungs-Host einzusetzen. Die Installation ist ungleich viel
komplizierter, da hierbei wesentliche Änderungen im Kernel in Form von Patches
vorzunehmen sind. Siehe hierzu auch Kapitel Einstellungen zu Kernel Optionen
Desweiteren müssen Zertifikate erstellt werden. Hierzu weiteres später.
15.2 Entpacken des Firewall Quellcodes
Die Firewall besitzt für alle unterstützte Prozessoren denselben Quellcode. Dieser befindet
sich in sifi-1.0.tar.gz und muß mit "tar -xzvf sifi-1.0.tar.gz" entpackt werden. Ein
Einzelfällen könnte es notwendig sein, "tar" oder "gzip" nachzuinstallieren. Es erscheint
ein Verzeichnis sifi-1.0. Hier befinden sich die Quellcodes. Mit "cd sifi-1.0" befindet sich
man nun im korrekten Verzeichnis. Es müssen evtl. einige Anpassung in folgenden Files
vorgenommen werden:
include/sf_config.h
#define SF_TRUSTED_CNT_MAX 20 Hier werden die TRUSTED Hosts begrenzt
#define SF_FRIENDS_CNT_MAX 50 Hier werden die FRIENDS Hosts begrenzt
#define SF_VAR_CNT_MAX 200 Begrenzung der Zahl der Variablen
include/sf_global.h
#define SF_ADDRESS_CNT_MAX 340 Hier werden die Zahl der Clients begrenzt
#define NUM_PROC_ENTRIES 21 Hier wird die Zahl der PROC-Einträge
bestimmt
#define SF_TCP_HASH_SIZE 499 Für viele Verbindungen muß die Zahl
hochgesetzt werden. Es muß immer ca. Faktor 2 größer sein, als die Zahl der
Verbindungen. Damit der HASH Mechanismus funktioniert, muß immer eine
Primzahl gewählt werden.
include/sf_custom.h.in
#define CONF_DIR "/etc/firewall.d/" Pfad der Konfigurationsfiles
#define LOG_DIR "/var/log/" Pfad der Logfiles
#define RUN_DIR "/var/run/" Pfad der PID und PIPES
Erstellt von Doc Gonzo - http://kickme.to/plugins