Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

etc/login.defs anzupassen. Zusätzlich sollte man die Datei nologin in / mit
touch /nologin anlegen.
• Alle RPC und unbenötigte Dienste sind aus der Datei /etc/inetd.conf zu
entfernen. Aktive Dienste lassen sich mit netstat -a anzeigen.
• Die Datei /etc/services sollte durch die mitgelieferte Datei ersetzt werden. Die
Rechte sollten mit chmod 0644 /etc/services korrekt gesetzt werden.
• Als Mailerdämon sei postfix oder qmail emfohlen, alternativ eigenen sich auch
smap und smapd. Von smail und sendmail ist dringend abzuraten.
• Zur überwachung der Firewall auf Veränderungen der Dateien sollte tripwire
eingesetzt werden. Um die Datenbank der Prüfsummen unveränderbar
aufzubewahren, kann man diese auf eine mit Minix formatierte Diskette
kopieren, den Schreibschutz aktivieren und diese dann in ein Verzeichnis
mounten. Im BIOS Setup sollte dann die Bootsequenz auf C: A: eingestellt
werden.
• Es sollten folgende Cronjobs aktiviert werden:
oJe nach Mailerdämon ist die Mailqueue im 10 Minuten Interwall zu
leeren
osfc start sollte alle 5 Minuten laufen. Falls einmal der Firewall-Dämon
abstürzen sollte, wird er dann automatisch neu gestartet
osfc reconfig flush_all sollte täglich einmal laufen. Es löscht hängende
Verbindungen. An dieser Stelle sollte man auch die Logfiles
komprimieren, an den Mailhost versenden oder in ein
Ausgangsverzeichnis legen, wo es täglich z.B. von einem NT Server
abgeholt wird.
15.3 Programmierung der Firewall
Die SINUS Firewall wird durch ein einziges Konfigurationsfile gesteuert. In diesem
Abschnitt sind alle Möglichkeiten beschrieben und mit Beispielen unterlegt.
Details bezüglich der genauen Syntax sind am Ende dieses Abschnittes zu finden.
Das Konfigurationsfile ist in 3 Abschnitte aufgeteilt:
• Die setup Sektion enthält Informationen über die Netzwerk- Topologie und
das System
• Die configration Sektion enthält alle Filterregeln für IP Pakete
• Die notification Sektion gibt an, was die Firewall zu tun hat, wenn eine Regel
zutrifft
Alle Kommentare in dem Konfigurationsfile sind mit einem # zu Beginn, oder mit /*...*/
entsprechend dem C-Stil gekennzeichnet.
Es dürfen nur Kleinbuchstaben im Konfigurationsfile benutzt werden.
Festlegung der IP-Adressen
IP Adressen werden an verschiedensten Stellen in dem Konfigurationsfile benutzt. Es sind
beide Schreibweisen für IP-Adressen erlaubt. Der DNS Name und die IP - Nummer als
Dezimalzahl, durch Punkte getrennt (Also www.name.de oder 1.2.3.4). Hierzu muß der
resolver Zugriff auf den DNS-Server haben, oder es müssen in der Datei /etc/hosts alle
beteiligten Hostnamen eingetragen werden. Aus Gründen der Sicherheit sollte man mit
den IP - Nummern und nicht mit den DNS-Namen arbeiten. Dies hat folgende Gründe:
Erstellt von Doc Gonzo - http://kickme.to/plugins