Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

2 ein ICMP 11
3 ein ICMP 3
4 ein UDP
5 aus ICMP 11
6 aus ICMP 3
Anmerkungen zu den Regeln:
1: Ausgehender TRACEROUTE-Test; Quell- und Ziel-Port sind abhängig von der
Implementierung
2: Eingehendes TLL exceeded
3: Eingehendes service unavailable
4: Eingehender TRACEROUTE-Test; Quell- und Ziel-Port sind abhängig von der
Implementierung
5: Ausgehendes TLL exceeded
6: Ausgehendes service unavailable
ICMP (Information)
Die große Frage bei ICMP Meldungen ist: Welche kann man sperren, welche sollte man
sperren und welche Effekte sind dann zu erwarten:
ICMP Meldung 0 ist ein echo reply, also eine Antwort auf ping. ICMP Meldung 3
(destination unreachable) - kann unter anderem bedeuten, daß der Rechner, das Netz
oder der Port nicht erreichbar ist. ICMP Meldung 4 (source quench) bedeutet daß der
Empfänger den Absender bremsen möchte. Diese Meldung sollte erlaubt werden.
Andererseits können so beliebige Angreifer den Host beliebig ausbremsen. ICMP Befehle
sollten also nur direkt von dem nächsten Router akzeptiert werden. ICMP Meldung 5
(redirect) ist eine Aufforderung an den Absender, eine Route zu ändern. Diese sollte von
dem Host ignoriert werden, falls es nicht von einem direkt angeschlossenen Router
stammt. Sicherheitshalber sollte es ganz abgeschaltet werden. Man sollte vor allem dafür
sorgen, daß es von den Routern innerhalb des Firewalls blockiert wird. ICMP Meldung 8
ist ein echo request, der wird von ping erzeugt wird. Diese Meldung kann erlaubt werden.
ICMP Meldung 11 (time exceeded), bedeutet, daß ein Paket in einer Schleife hängt. Diese
Meldung sollte zugelassen werden. ICMP Meldung 12 (parameter problem) bedeutet, daß
es Probleme mit dem Paket-Header gibt. Diese Meldung kann erlaubt werden.
18.12 Sonstige Dienste
NTP (Uhrzeit)
NTP ist ein Dienst auf Basis von UDP. NTP-Server benutzen Port 123, um untereinander
und mit NTP-Clients zu kommunizieren. NTP-Clients benutzen beliebige Portnummern
über 1023.
Regel Richtung Protokoll Quellport Zielport
1 ein UDP >1023 123
2 aus UDP 123 >1023
3 aus UDP >1023 123
4 ein UDP 123 >1023
5 ein UDP 123 123
6 aus UDP 123 123
Anmerkungen zu den Regeln:
Erstellt von Doc Gonzo - http://kickme.to/plugins