Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Weitere Magazine

Empfehlungen

Info

Die Installation der SINUS Firewall erfordert kleine Änderungen im Kernel des Betriebssystems, vornehmlich um ein Kommunikationsinterface für die Echtzeitkontrolle des Firewallmoduls zu schaffen. Hierzu wird empfohlen, den LINUX Kernel 2.0.36 und die ältere libc5.4.xx einzusetzen. Eingriffe in Form von Patches sind nicht notwendig, es wird aber nach der Neukompilierung ein Treiber als Modul hinzugefügt. Der Kernel sollte mit folgenden Optionen neu kompiliert werden: • Network firewalling • TCP/IP networking • IP forwarding • IP firewalling • IP: Always defragment • IP: Optimize as router not host Andere Optionen, wie IP masquerading oder IP aliasing können akiviert oder deaktiviert sein, sie beeinflussen in keiner Weise die Funktionsweise der Firewall. Es ist aber möglich, daß die SINUS Firewall andere Funktionen deaktiviert. Genaue Anweisungen hierzu später Für Firewall -Cluster oder Fernwartung aus anderen Netzen wird dringendst empfohlen, ENskip (SUN SKIP) als IPsec Layer für die verschlüsselte Kommunikation der Firewalls untereinander oder zum Fernwartungs-Host einzusetzen. Die Installation ist ungleich viel komplizierter, da hierbei wesentliche Änderungen im Kernel in Form von Patches vorzunehmen sind. Siehe hierzu auch Kapitel Einstellungen zu Kernel Optionen Desweiteren müssen Zertifikate erstellt werden. Hierzu weiteres später. 15.2 Entpacken des Firewall Quellcodes Die Firewall besitzt für alle unterstützte Prozessoren denselben Quellcode. Dieser befindet sich in sifi-1.0.tar.gz und muß mit "tar -xzvf sifi-1.0.tar.gz" entpackt werden. Ein Einzelfällen könnte es notwendig sein, "tar" oder "gzip" nachzuinstallieren. Es erscheint ein Verzeichnis sifi-1.0. Hier befinden sich die Quellcodes. Mit "cd sifi-1.0" befindet sich man nun im korrekten Verzeichnis. Es müssen evtl. einige Anpassung in folgenden Files vorgenommen werden: include/sf_config.h #define SF_TRUSTED_CNT_MAX 20 Hier werden die TRUSTED Hosts begrenzt #define SF_FRIENDS_CNT_MAX 50 Hier werden die FRIENDS Hosts begrenzt #define SF_VAR_CNT_MAX 200 Begrenzung der Zahl der Variablen include/sf_global.h #define SF_ADDRESS_CNT_MAX 340 Hier werden die Zahl der Clients begrenzt #define NUM_PROC_ENTRIES 21 Hier wird die Zahl der PROC-Einträge bestimmt #define SF_TCP_HASH_SIZE 499 Für viele Verbindungen muß die Zahl hochgesetzt werden. Es muß immer ca. Faktor 2 größer sein, als die Zahl der Verbindungen. Damit der HASH Mechanismus funktioniert, muß immer eine Primzahl gewählt werden. include/sf_custom.h.in #define CONF_DIR "/etc/firewall.d/" Pfad der Konfigurationsfiles #define LOG_DIR "/var/log/" Pfad der Logfiles #define RUN_DIR "/var/run/" Pfad der PID und PIPES Erstellt von Doc Gonzo - http://kickme.to/plugins
#define LOG LOG_DIR"firewall" File für Logfiles #define SPY_LOG LOG_DIR"firewall.spy" SPY Logfiles #define REPORT LOG_DIR"firewall.report" Firewall Report #define LOG_WIDTH 132 Breite der Logeinträge #define PID_FILE RUN_DIR"firewall.pid" ProzessID #define IPIPE RUN_DIR"firewall.in" Pipe für Lesen #define OPIPE RUN_DIR"firewall.out" Pipe zum Schreiben #define SFIDENT BIN_PREFIX"/sfident" Pfad zum Identd #define PASSWD CONF_DIR"firewall.passwd" File für Paßworte #define DEFAULT_CONFIG CONF_DIR"firewall.conf" Konfigurationsfile #define GENERATED_CONFIG CONF_DIR"firewall.conf.new" Überarbeites Konfigurationsfile #define DEVICE "/dev/firewall" Firewall - Device #define MAIL "@MAILER@" Sendmailprogramm #define FINGER "@FINGER@" Fingerprogramm #define FINGER_ARG "-pl" Optionen zu Finger #define SPY_USING_RUSERS Remote-User Identifikation #define RUSERS "@RUSERS@" Remote-User #define RUSERS_ARG "-al" Argumente zu Remote-User #define MAX_REPEATS 100 Alle 100 Ereignisse 1 Logeintrag #define MAX_HOLD 2*60 Verzögerungswert für Wiederholungen #define SPY_TIMEOUT 5*60 SPY Einträge alle 5 Minuten #define MAX_CLIENTS 5 Maximale Zahl der gleichzeitigen Clients. Für viele Clients müssen die Zahlen der TCP Verbindungen und der HASH Wert stark vergrößert werden. #define CLIENT_TIMEOUT 300 Wenn der Client hängt... Zum Aufbau eines Hochleistungs-Firewall, die fragmentierte Pakete entgegennimmt, muß die Zahl der HASH Einträge auf hohe Werte gesetzt werden, z.B. 15383. Warnung: Bei zu hohen Werten und zuwenig Memory werden alle Verbindungen abgebrochen. Die Zahl der Clients ist selber zu bestimmen. Beim Einsatz in schnellen Netzwerken sollte der Timeout heruntergesetzt werden. Nun sollte ein User firewall und eine Gruppe firewall angelegt werden. In dem File /etc/passwd sollte sich dann folgender Eintrag befinden: firewall:x:888:888::/dev/null:/bin/false In der Datei /etc/group sollte folgende Gruppe angelegt werden: firewall:x:888: Anpassung des Linux Kernels Der aktuelle Kernel muß folgende Optionen zumindest aktiviert haben. Für genaue Erklärungen, welche Optionen im Kernel was bewirken, siehe Kapitel ref id="kerneloptionen"> Erstellt von Doc Gonzo - http://kickme.to/plugins
Seite 1 und 2:
Firewall Handbuch für LINUX 2.0 un
Seite 3 und 4:
11. Aufbau eines LINUX ISDN Firewal
Seite 5 und 6:
• 21.5 ATM Netzwerke mit LINUX Fi
Seite 7 und 8:
1. Neue Kapitel und Ergänzungen Ch
Seite 9 und 10:
dem LINUX Kernel 2.0 (bis 2.0.39) f
Seite 11 und 12:
• ID-Pro GmbH, Bonn: http://www.i
Seite 13 und 14:
Nun viel Spaß mit dem Firewall Han
Seite 15 und 16:
# Return for SERVICES in `echo $TCP
Seite 17 und 18:
Man sollte allerdings berücksichti
Seite 19 und 20:
• Einen PC mit 2 Netzwerkkarten,
Seite 21 und 22:
Interfaces ist enthalten. Nun sollt
Seite 23 und 24:
user01@tunix:/etc > /sbin/route -n
Seite 25 und 26:
überwachen, so verringert sich sei
Seite 27 und 28:
Es wird der Firewall erlaubt, Paket
Seite 29 und 30:
Welches Problem existiert sonst noc
Seite 31 und 32:
zu entfernen. Damit kann der DNS -
Seite 33 und 34:
# netbios-ns dgram udp wait root /u
Seite 35 und 36:
Nochmals zur Erinnerung: Beim Verbi
Seite 37 und 38:
LOOPBACK="127.0.0.0/8" INTRANET="10
Seite 39 und 40:
ipfwadm -I -a deny -P tcp -y -W $EX
Seite 41 und 42:
# -S $WEB_PROXY_SERVER \ # -D $IPAD
Seite 43 und 44:
9.16 Die Dienste auf einer Firewall
Seite 45 und 46:
• ipfwadm -F -l -n ,um sich die R
Seite 47 und 48:
Dieses Beispiel zählt den Traffic
Seite 49 und 50:
wichtigen Programmen und allen Trei
Seite 51 und 52:
eigene Dateien schreiben. Das betri
Seite 53 und 54: # maybe you want to start mail serv
Seite 55 und 56: • Fast Switching Ein Problem beim
Seite 57 und 58: • Allow large windows erlaubt ein
Seite 59 und 60: Sanity: input chain: Demasquerade:
Seite 61 und 62: ICMP Nummer 8 (echo request), worau
Seite 63 und 64: Filterung von ICMP ICMP besitzt zwa
Seite 65 und 66: fragmentiert. Ein Angreifer, der se
Seite 67 und 68: Logging packets. Ein Nebeneffekt de
Seite 69 und 70: Löschen einer chain Das Löschen e
Seite 71 und 72: Es ist wichtig, zu erwähnen, daß
Seite 73 und 74: aus dem internen Netzwerk auf dem e
Seite 75 und 76: # ipchains-restore < my_firewall Re
Seite 77 und 78: # ipchains -I input 1 -j DENY # ipc
Seite 79 und 80: #define IP_FW_F_MASK 0x003F /* All
Seite 81 und 82: der Site http://www.freshmeat.net f
Seite 83 und 84: 14.1 Leistungsübersicht Erstellt v
Seite 85 und 86: • GOPHER Datenbanken • SQL Date
Seite 87 und 88: Generierung einer e-Mail vorgesehen
Seite 89 und 90: 14.17 Erweiterungen in der SINUS Fi
Seite 91 und 92: entspricht exakt derjenigen, die im
Seite 93 und 94: Der "passive" Modus (PASV-FTP) bei
Seite 95 und 96: Modul "stub" hinzuzufügen. Die Dat
Seite 97 und 98: Signale and the Firewall Pipe Der F
Seite 99 und 100: Lage, eventuelle Angriffe von UNIX-
Seite 101 und 102: gelöscht, weitergeleitet oder eine
Seite 103: Der Transfer der Log-Einträge vom
Seite 107 und 108: etc/login.defs anzupassen. Zusätzl
Seite 109 und 110: Fehlermeldungen, wie Festplatte vol
Seite 111 und 112: erhält. Somit können rechtzeitig
Seite 113 und 114: nicht interpretieren können. Der S
Seite 115 und 116: entry = ( "message" """ text """ {
Seite 117 und 118: Angenommen, level 100 war der notif
Seite 119 und 120: Nun kann eventuell die Firewall mit
Seite 121 und 122: Systemadministrator eines Hosts dur
Seite 123 und 124: Sofern die Protokolle über Ports k
Seite 125 und 126: SINUS Notification Level Editor Ers
Seite 127 und 128: SINUS Satan-Detektor Erstellt von D
Seite 129 und 130: Die SINUS Firewall schützt Sie nic
Seite 131 und 132: Eintrag des internen DNS-Servers au
Seite 133 und 134: 4 ein TCP 25 >1023 Das Beispiel zei
Seite 135 und 136: 3: Ausgehende IMAP-Verbindung, vom
Seite 137 und 138: Anmerkungen zu den Regeln: 1: Einge
Seite 139 und 140: 3: Ausgehende News. ACK gesetzt, au
Seite 141 und 142: 3: Ausgehende Sitzung, Client an Se
Seite 143 und 144: 2 aus UDP 53 >1023 3 ein TCP >1023
Seite 145 und 146: überwachen sowohl TCP-Port 162 als
Seite 147 und 148: 2 ein ICMP 11 3 ein ICMP 3 4 ein UD
Seite 149 und 150: 1: Eingehende X11-Verbindung zum n-
Seite 151 und 152: overflows führen. Für die Firewal
Seite 153 und 154: • DNS1: DNS-Anfragen über UDP un
Seite 155 und 156:
FTP-Server, die auf externe Clients
Seite 157 und 158:
FTP1 aus intern bel. TCP >1023 21 b
Seite 159 und 160:
Bei dem Zugriff auf Server hat man
Seite 161 und 162:
Sie werden sehen, daß plötzlich d
Seite 163 und 164:
Wer von der Konsole den Kernel neu
Seite 165 und 166:
table=/dev/hda Nun muß nur noch fo
Seite 167 und 168:
unterscheiden. Erst mit der LINUX K
Seite 169 und 170:
dieses ist, davon kann man sich an
Seite 171 und 172:
*server_udp_port = ntohs(name.sin_p
Seite 173 und 174:
FD_SET(newfd, ) ; FD_SET(fd_to_prox
Seite 175 und 176:
default : usage(1) ; } } wait_conn(
Seite 177 und 178:
GNU utilities: bash cat cksum comm
Seite 179 und 180:
links. You will also have to correc
Seite 181 und 182:
are no passwords in this file (on m
Seite 183 und 184:
nicht erkannt werden. Desweiteren s
Seite 185 und 186:
• Relativ langsam • Proxy nur f
Seite 187 und 188:
die sich aber unter Anleitung gut b
Seite 189 und 190:
Sniffer müssen einen eigenen TCP/I
Seite 191 und 192:
werden. In größeren Netzwerken, w
Seite 193 und 194:
Sequenznummern, eine Überprüfung
Seite 195 und 196:
einloggt) in schnellen Abständen a
Seite 197 und 198:
• "source routed frames" enthalte
Seite 199 und 200:
icmp => {type => 8, id => $$} }); $
Seite 201 und 202:
Erstellt von Doc Gonzo - http://kic
Seite 203 und 204:
Themen • Explosion der Datenmenge
Seite 205 und 206:
der jedes Paßwort erlaubt, bemerkt
Seite 207 und 208:
hat nach kurzer Zeit mit hoher Wahr
Seite 209 und 210:
Moderne Kernel führen zusätzliche
Seite 211 und 212:
Danach sind alle von SOLARIS mitgel
Seite 213 und 214:
einen geeigneten Filter schreiben.
Seite 215 und 216:
Header einen buffer overflow in ein
Seite 217 und 218:
die PROXY´s unter NT so einzuricht
Seite 219 und 220:
unbekannten »buffer overflows« ka
Seite 221 und 222:
Administratoren, u.s.w. Ziel ist es
Seite 223 und 224:
Welche anderen Informationen hätte
Seite 225 und 226:
Received: by ns.nobbelazzo.com via
Seite 227 und 228:
10000, wie als default vorgegeben.
Seite 229 und 230:
Die nachfolgende Untersuchung im La
Seite 231 und 232:
werden. Andererseits gibt es im Int
Seite 233 und 234:
Tasten Makro's können via E-Mail i
Seite 235 und 236:
gestartet und belauscht andere Arbe
Seite 237 und 238:
verbreiteter Irrtum, zu glauben, da
Seite 239 und 240:
hatten. Ziel von Angriffen waren in
Seite 241 und 242:
Programmiersprache (C, C++, Basic,
Seite 243 und 244:
email /* Keine Ahnung mehr, was das
Seite 245 und 246:
%s\neochan1.neo http://www.neoplane
Seite 247 und 248:
categorically false. > > > > How do
Seite 249 und 250:
Userdateien (auch unter Windows NT
Seite 251 und 252:
plus triple-word-score, plus fifty
Seite 253 und 254:
Ahnen Sie etwas ? Offensichtlich ka
Seite 255 und 256:
('%','test\_%','','Y','Y ','Y','Y',
Seite 257 und 258:
Geschwindigkeit herausholen kann (S
Seite 259 und 260:
Parameterlängen für die Befehle m
Seite 261 und 262:
Der Tip für VPN´s unter LINUX: ht
Seite 263 und 264:
Proxy Mechanismen beherrschen. Die
Seite 265 und 266:
1. Können unauthorisierte Zugriffe
Seite 267 und 268:
6. Kann ein Administrator Klartext-
Seite 269 und 270:
8. Besitzt er mehrere IP - Nummern
Seite 271 und 272:
21. Über welche Ereignisse wird de
Seite 273 und 274:
1. Die eigenmächtige Installation
Seite 275 und 276:
Falle) aus Datenschutzgründen kein
Seite 277 und 278:
Abschaltung aller benötigten Diens
Seite 279 und 280:
Test von verschlüsselten Systemen
Seite 281 und 282:
5. Wenn Dateien zum Schreiben eröf
Seite 283 und 284:
4. Wenn ein regulärer Ausdruck nic
Seite 285 und 286:
schreiben, und per E-Mail an Mitarb
Seite 287 und 288:
33. Firewall Auditing :windows-colo
Seite 289 und 290:
Verbindung zur Übermittlung von Kr
Seite 291 und 292:
Komponenten eingeführt hat, der ka
Seite 293 und 294:
Sicherheitsbarrieren bzw. Kontrollm
Seite 295 und 296:
Einige Lösungsansätze wurden in d
Alle anzeigen

Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.

Template löschen?

Als Template speichern?