Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Für alle TCP und UDP Protokolle kann zusätzlich noch ein Port oder ein Bereich von Ports
angegeben werden. Hierfür kann auch der Name des Dienstes angegeben werden, z.B.
telnet. Hierfür greift die Firewall auf die Definitionen in der Datei /etc/services zurück. Die
Angabe eines Ports ohne eines der Protokolle tcp oder udp wird ignoriert.
Hier ein Beispiel:
from inside port telnet to 129.132.0.0, port 2700,
130.103.24.0 mask 255.255.255.0 port 3000..4000;
Zum Schluß muß der notification level bestimmt werden, der der Firewall angibt, was zu
tun ist, wenn die Regel erfüllt ist. Hier werden alle Aktionen definiert, die neben denjenigen
stattfinden sollen, die über den Verbleib des Paketes entscheiden (accept, block oder
reject).
Der Level 0 gibt an, daß der Firewall-Dämon und damit auch der User nicht über das
Ereignis informiert wird. Wenn der Level größer als 0 ist, dann wird automatisch ein
Logeintrag vorgenommen, und alle Aktionen ausgeführt, die in diesem notification level
angegeben wurden.
Wiederum sind natürlich die Regeln in dem File sehr wichtig. Wenn zwei Regeln
gleichzeitig erfüllt sind, dann hat die erste Regel Vorzug gegenüber der zweiten Regel. Die
Konsequenz daraus ist, daß man stets zuerst die Speziellen Regeln definieren sollte,
bevor man sich den allgemeinen Regeln zuwendet. Beispielsweise wenn alle UDP Pakete
gesperrt sein sollen, außer diejenigen von dem Host 194.77.6.230, dann sollte man diese
Regel in zwei Regeln aufteilen, und diese in der korrekten Reihenfolge notieren:
accept udp from 194.77.6.230 notification_level 0;
block udp notification_level 1;
Die notification Sektion
Diese Sektion wird mit dem Schlüsselwort notification eingeleitet. Jeder Abschnitt beginnt
mit dem Schlüsselwort level, gefolgt von einer level number und einem Doppelpunkt. Es
können verschiedenste Aktionen zu einer Liste zusammengefaßt werden. Folgende
Aktionen sind möglich:
• message beschreibt einen zusätzlichen Text, der in das Logfile geschrieben
wird. Wenn die Nachricht mehrere Zeilen lang ist, dann muß diese durch ein
Anführungszeichen (") am Ende der ersten Zeile markiert, und in der
nächsten Zeile fortgeführt werden. Mehrere Nachrichten müssen dann mit
mehreren if Abfragen erzeugt werden.
• syslog sendet Nachrichten an den syslogd auf der Firewall, um einen
zusätzlichen Eintrag neben dem obligatorischen firewall.log File
vorzunehmen. Dies ist dann wichtig, wenn ein Abgleich zwischen mehreren
Firewalls über logsurfer oder argus erfolgen soll.
• report kopiert ein Log-Eintrag in das firewall.report File in Ergänzung zu dem
obligatorischen firewall.log file.
• mail sendet eine e-Mail mit den Nachrichten an die angegebene e-Mail
Adresse. Wenn keine Adresse eingetragen ist, wird die e-Mail an dijenige
Adresse gesendet, die als mail_default im Quellcode der Firewall definiert
wurde.
• spy startet einen counter intelligence Angriff, z.B. back finger, oder einen DoS
Angriff. Die spy Funktion sollte stets zusammen mit der mail Funktion
eingesetzt werden, damit der User die Resultate unverzüglich als e-Mail
Erstellt von Doc Gonzo - http://kickme.to/plugins