Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Fehlermeldungen, wie Festplatte voll, o.ä. senden darf. Es dürfen ebenfalls mehrere e-
Mail Adressen angegeben werden, die durch ein Leerzeichen getrennt sein müssen.
Die Konfigurations Sektion
Diese Sektion wird durch das Schlüsselwort rules eingeleitet. Jede Regel in diesem
Abschnitt beginnt mit einem der Schlüsselworte:
• accept
• block
• reject
> Die Regel accept veranlaßt den Filter, die Pakete passieren zu lassen, falls die Regel
zutrifft. Das Schlüsselwort block veranlaßt den Filter, das Paket stillschweigend zu
verwerfen, ohne eine Fehlermeldung an die Quelladresse zurück zu senden. Die reject
Regel sendet über ICMP die Nachricht ICMP_MESSAGE_UNREACHABLE an die
Quelladresse zurück. Die Art der Nachricht kann frei bestimmt werden, um nicht zu viele
aussagekräftige Informationen an einen Angreifer auszuliefern.
Zudem kann man eine Liste von IP Optionen den Regeln hinzufügen. Ein Paket erfüllt
genau dann eine Regel, wenn mindesten ein der aufgeführten IP Optionen zutreffend ist.
Ein Spezialfall ist das TTL Feld (Time To Live), welches keine echte Option darstellt. Der
Wert des TTL Feldes kann mit einer Konstanten verglichen werden. Ein Paket erfüllt eine
solche Regel nur dann, wenn der Vergleich zutreffend ist, unabhängig davon, ob eine der
Optionen zutrifft, oder nicht.
Informationen über das Protokoll werden mit folgenden Schlüsselworten angegeben:
• tcp
• udp
• icmp
• igmp
• rip
• all
Das letzte Schlüsselwort all beinhaltet alle vorhergehenden.
Eine weitere Möglichkeit ist, direkt die Protokollnummer in dem IP Header anzugeben, z.B.
die 9 für IGP. Bei der Verwendung von icmp oder igmp kann die Regel auf einige
Nachrichtentypen begrenzt werden. RIP ist hier ein Spezialfall des UDP Protokolls, wobei
nur UDP Pakete berücksichtigt werden, die auf Port 520 eintreffen. Ein RIP Paket erfüllt
eine Regel, wenn alle angekündigten Ziele auch zutreffend sind. Das folgende Beispiel
beschreibt eine solche Regel:
accept rip outside /* trifft auf eine Regel zu*/
from 194.40.243.5 /* nächstes Gateway im Netz */
to 194.40.243.4; /* die eigene Adresse */
Das Paket erfüllt die Regel, wenn die Quelladresse eine der Adressen ist, die nach dem
Schlüsselwort from und der Zieladresse eine der Adressen eine der Adressen nach dem
Schlüsselwort to ist. Anstelle einer Liste von IP - Nummern kann auch das Schlüsselwort
inside verwendet werden, welches der Ersatz für alle Adressen, die unter internalnets
angegeben worden sind. Die Verwendung des Schlüsselwortes outside bezeichnet alle
anderen, die nicht unter internalnets angegeben worden sind. Das könnte der Rest des
Internets z.B. sein.
Erstellt von Doc Gonzo - http://kickme.to/plugins