Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

FTP-Server, die auf externe Clients zugreifen können, vorhanden sind,
existieren keine entsprechenden Regeln für den inneren Router. Es sollten
aber beim Auslesen des PORT Befehls alle Ports unterhalb 1024 explizit
verboten werden, da ansonsten ein eingeschleustes trojanisches Pferd als
FTP-Client einem Angreifer Zugriff auf alle Ports unterhalb 1024 eröffnen
könnte. Pferd
• SMTP1 und SMTP2: Ausgehende Post vom Bastion-Host ins Internet wird
durch diese Regeln zugelassen.
• SMTP3 und SMTP4: Eingehende Post aus dem Internet zum Bastion-Host
wird durch diese Regeln zugelassen.
• NNTP1 und NNTP2: Usenet-News zwischen Ihrem News-Server und dem
News-Server Ihres Service-Providers werden in beiden Richtungen durch
diese Regeln zugelassen. Sie sind den gleichnamigen Regeln für den inneren
Router analog.
• HTTP1 und HTTP2: Diese Regeln erlauben Verbindungen zu HTTP-Servern
auf beliebigen Maschinen im Internet durch den HTTP-Proxy-Server auf dem
Bastion-Host. Desweiteren werden allen TCP-Clients auf dem Bastion-Host,
die Portnummern >1023 benutzen, Verbindungen zu allen Servern und allen
Ports auf beliebigen Rechnern im Internet gestattet. Dadurch wird dem HTTP-
Proxy-Server ermöglicht zu HTTP-Servern, die nicht die Standard-
Portnummer 80 benutzen, Verbindungen herzustellen. Trotz der
Großzügigkeit dieser Regeln filtern sie jedoch, um nur ausgehende
Verbindungen zuzulassen, bezüglich der ACK-Bits.
• HTTP3 und HTTP4: Hierdurch werden externen Clients Verbindungen zum
HTTP-Server auf dem Bastion-Host erlaubt. Da im internen Netz keine HTTP-
Server, auf die externe Clients zugreifen können, vorhanden sind, existieren
keine entsprechenden Regeln für den inneren Router.
• DNS1: DNS-Anfragen über UDP und Antworten vom DNS-Server auf dem
Bastion-Host zu DNS-Servern im Internet werden hierdurch erlaubt.
• DNS2: DNS-Anfragen über UDP und Antworten von DNS-Servern im Internet
zum DNS-Servers auf dem Bastion-Host werden hierdurch erlaubt.
• DNS3 und DNS4: Um Anfragen an den DNS-Server auf dem Bastion-Host zu
stellen und dessen Antworten zu empfangen gestatten diese Regeln externen
DNS-Clients UDP-Verbindungen.
• DNS5 und DNS6: DNS-Anfragen über TCP vom Bastion-Host zu DNS-
Servern im Internet werden durch diese Regeln zugelassen, ebenso alle
Antworten auf solche Fragen. Desweiteren werden Zonen-Transfers mit dem
DNS-Server auf dem Bastion-Host als sekundärem Server und einem
externen DNS-Server als primärem Server erlaubt.
• DNS7 und DNS8: DNS-Anfragen über TCP aus dem Internet zum DNS-
Servern auf dem Bastion-Host werden durch diese Regeln zugelassen,
ebenso alle Antworten auf solche Fragen. Desweiteren werden Zonen-
Transfers mit dem DNS-Server auf dem Bastion-Host als primärem Server
und einem externen DNS-Server als sekundärem Server erlaubt.
• STD1 und STD2: Diese Regeln blockieren alle Pakete, sofern sie nicht in
einer der vorhergehenden Regeln erlaubt wurden.
19.3 Einrichtung des bastion hosts
Einrichtung des bastion hosts als DNS-Server
Damit ein Angreifer keinerlei Information über das interne Netzwerk erfährt, wird der
bastion host so konfiguriert, daß er falsche Informationen über das interne Netzwerk
Erstellt von Doc Gonzo - http://kickme.to/plugins