Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

• DNS1: DNS-Anfragen über UDP und Antworten der internen DNS-Server
zum DNS-Server auf dem Bastion-Host werden hierdurch erlaubt.
• DNS2: DNS-Anfragen über UDP und Antworten des DNS-Servers auf dem
Bastion-Host werden hierdurch erlaubt.
• DNS3 und DNS4: DNS-Anfragen über TCP vom DNS-Server auf dem
Bastion-Host zum internen DNS-Server werden durch diese Regeln
zugelassen, ebenso alle Antworten auf solche Fragen. Desweiteren werden
Zonen-Transfers mit dem DNS-Server auf dem Bastion-Host als sekundärem
Server und dem internen DNS-Server als primärem Server erlaubt.
• DNS5 und DNS6: DNS-Anfragen über TCP vom internen DNS-Server zu
DNS-Servern auf dem Bastion-Host werden durch diese Regeln zugelassen,
ebenso alle Antworten auf solche Fragen. Desweiteren werden Zonen-
Transfers mit dem DNS-Server auf dem Bastion-Host als primärem Server
und dem internen DNS-Server als sekundärem Server erlaubt.
• STD1 und STD2: Diese Regeln blockieren alle Pakete, sofern sie nicht in
einer der vorhergehenden Regeln erlaubt wurden.
19.2 Äußere Firewall mit bastion host und Grenznetz
Gemäß Abbildung 3 gelten für die äußere Firewall bzw. den äußeren Paketfilter einige
spezielle Regeln. Das Grenznetz stellt den Bereich zwischen den beiden Firewalls dar. Als
Basion Host sind Server1+2 entsprechend den Regeln zu konfigurieren. Die Logeinträge
der äußeren Firewalls sind stets zu kontrollieren und mit denjenigen der inneren Firewall
abzugleichen. Nur so kann ein Angriff auf die Server im Grenznetz bemerkt werden. Im
Falle eines Angriffs sind beide Firewalls, die innere und äußere automatisch zu sperren.
Differenzen ergeben sich immer dann, wenn Pakete, Quell-IP Nummern aus dem Intranet
und deren Zieladresse IP - Nummer aus dem Internet nicht gleichermaßen in den Logfiles
der inneren und äußeren Firewall erscheinen. Differenzen, die sich aus einem Upload von
WWW-Seiten via HTTP oder FTP Protokoll auf die Server im Grenznetz ergeben, können
ignoriert werden. Das betrifft auch NNTP, UUCP, SMTP und DNS.
Regel Richtung Quell-IP Ziel-IP Prot Quellport Zielport ACK? Aktion
SPF1 ein intern bel. bel. bel. bel. bel. verbieten
SPF2 ein Grenznetz bel. bel. bel. bel. bel. verbieten
TEL1 aus intern bel. TCP >1023 23 bel. zulassen
TEL2 ein bel. intern TCP 23 >1023 ja zulassen
FTP1 aus intern bel. TCP >1023 21 bel. zulassen
FTP2 ein bel. intern TCP 21 >1023 ja zulassen
FTP3 aus intern bel. TCP >1023 >1023 bel. zulassen
FTP4 ein bel. intern TCP >1023 >1023 ja zulassen
FTP5 aus Bastion bel. TCP >1023 21 bel. zulassen
FTP6 ein bel. Bastion TCP 21 >1023 ja zulassen
FTP7 ein bel. Bastion TCP 20 6000-6003 bel. verbieten
FTP8 ein bel. Bastion TCP 20 >1023 bel. zulassen
FTP9 aus Bastion bel. TCP >1023 20 ja zulassen
FTP10 ein bel. Bastion TCP >1023 21 bel. zulassen
FTP11 aus Bastion bel. TCP 21 >1023 ja zulassen
FTP12 aus Bastion bel. TCP 20 >1023 bel. verbieten
FTP13 ein bel. Bastion TCP >1023 20 ja zulassen
FTP14 ein bel. Bastion TCP >1023 >1023 bel. zulassen
FTP15 aus Bastion bel. TCP >1023 >1023 bel. zulassen
SMTP1 aus Bastion bel. TCP >1023 25 bel. zulassen
SMTP2 ein bel. Bastion TCP 25 >1023 ja zulassen
SMTP3 ein bel. Bastion TCP >1023 25 bel. zulassen
SMTP4 aus Bastion bel. TCP 25 >1023 ja zulassen
Erstellt von Doc Gonzo - http://kickme.to/plugins