Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

NNTP1 aus Server NNTP TCP >1023 119 bel. zulassen
NNTP2 ein NNTP Server TCP 119 >1023 ja zulassen
NNTP3 ein NNTP Server TCP >1023 119 bel. zulassen
NNTP4 aus Server NNTP TCP 119 >1023 ja zulassen
HTTP1 aus Bastion bel. TCP >1023 bel. bel. zulassen
HTTP2 ein bel. Bastion TCP bel. >1023 ja zulassen
HTTP3 ein bel. Bastion TCP >1023 80 bel. zulassen
HTTP4 aus Bastion bel. TCP 80 >1023 ja zulassen
DNS1 aus Bastion bel. UDP 53 53 zulassen
DNS2 ein bel. Bastion UDP 53 53 zulassen
DNS3 ein bel. Bastion UDP bel. 53 zulassen
DNS4 aus Bastion bel. UDP 53 bel. zulassen
DNS5 aus Bastion bel. TCP >1023 53 bel. zulassen
DNS6 ein bel. Bastion TCP 53 >1023 ja zulassen
DNS7 ein bel. Bastion TCP >1023 53 bel. zulassen
DNS8 aus Bastion bel. TCP 53 >1023 ja zulassen
STD1 aus bel. bel. bel. bel. bel. bel. verbieten
STD2 ein bel. bel. bel. bel. bel. bel. verbieten
Regel-Erläuterungen
• SPF1 und SPF2: Pakete, die angeblich von internen IP-Adressen stammen,
d.h. gefälschte Pakete die mit hoher Wahrscheinlichkeit von einem Angreifer
stammen oder deren Ursache in einer Fehlkonfiguration liegt, werden
blockiert. (spoofig) SPF1 ist analog der Regel SPOOF für den inneren Router,
wohingegen es die Regel SPF2 ausschließlich für den äußeren Router gibt.
• TELNET1 und TELNET2: Ausgehende TELNET-Verbindungen werden durch
diese Regeln erlaubt. Sie sind den gleichnamigen Regeln für den inneren
Router analog. Dies hat für alle Regeln die nur interne und externe Rechner
betreffen Gültigkeit, für Rechner im Grenznetz jedoch nicht.
• FTP1, FTP2, FTP3 und FTP4: Ausgehende FTP-Verbindungen im passiven
Modus werden durch diese Regeln zugelassen. Sie sind den gleichnamigen
Regeln für den inneren Router analog.
• FTP5 und FTP6: Diese Regeln erlauben das Öffnen eines FTP Kommando-
Kanals zu FTP-Servern im Internet durch den FTP-Proxy-Server auf dem
Bastion-Host. Im Gegensatz zu den identischen Regeln für den inneren
Router sind diese auch dann nicht redundant, wenn die Regeln FTP1 und
FTP2 in der Liste weiter oben stehen, da Bastion-Host als Quelle oder Ziel
lediglich von den Regeln FTP5 und FTP6 abgedeckt wird, nicht aber von
FTP1 und FTP2 für interne Rechner.
• FTP7, FTP8 und FTP9: Diese Regeln lassen FTP-Datenverbindungen vom
Proxy-Server auf dem Bastion-Host zu internen Clients, die nicht im passiven
Modus arbeiten, zu. Angreifer die Zugang zum Bastion-Host erlangt haben,
werden durch FTP7 daran gehindert, interne X11-Server über die durch FTP8
und FTP9 geöffnete Lücke anzugreifen. Sollten Sie auf TCP-Ports >1023
andere interne Server betreiben, ist es sinnvoll dafür ähnliche Regeln
einzufügen. Entsprechend Regel FTP7 alle Verbindungen aufzuführen, die
verboten werden sollen, wird im allgemeinen nicht möglich sein, da z.B. nach
der Einrichtung des Paketfilters Dienste hinzugefügt werden oder bei der
Einrichtung nicht alle bekannt sind, jedoch sollte man es nicht unterlassen zur
Unterstützung von FTP-Clients im normalen Modus für so viele Verbindungen
wie möglich zuzulassen.
• FTP10, FTP11, FTP12, FTP13, FTP14 und FTP15: Diese Regeln lassen
FTP-Verbindungen im passiven Modus von externen Clients zum
Anonymous-FTP-Server auf dem Bastion-Host zu. Da im internen Netz keine
Erstellt von Doc Gonzo - http://kickme.to/plugins