Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

FTP4 überlappen mit diesen, auch durch die Entfernung eines Paares ist es
FTP- oder HTTP-Clients immer noch möglich auf die meisten Server
zuzugreifen.
• DNS1: DNS-Anfragen über UDP und Antworten der internen DNS-Server auf
dem Service-Host zu DNS-Servern im Internet werden hierdurch erlaubt.
• DNS2: DNS-Anfragen über UDP von DNS-Servern im Internet zum DNS-
Server auf dem Service-Host, sowie Antworten auf diese werden hierdurch
erlaubt.
• DNS3 und DNS4: Um Anfragen an den DNS-Server auf dem Service-Host zu
stellen und dessen Antworten zu empfangen gestatten diese Regeln externen
DNS-Clients UDP-Verbindungen.
• DNS5 und DNS6: DNS-Anfragen über TCP vom Service-Host zu DNS-
Servern im Internet werden durch diese Regeln zugelassen, ebenso alle
Antworten auf solche Fragen. Desweiteren werden Zonen-Transfers mit dem
DNS-Server auf dem Service-Host als sekundärem Server und einem
externen DNS-Server als primärem Server erlaubt.
• DNS7 und DNS8: DNS-Anfragen über TCP aus dem Internet zum DNS-
Servern auf dem Service-Host werden durch diese Regeln zugelassen,
ebenso alle Antworten auf solche Fragen. Desweiteren werden Zonen-
Transfers mit dem DNS-Server auf dem Service-Host als primärem Server
und einem externen DNS-Server als sekundärem Server erlaubt.
• STD1 und STD2: Diese Regeln blockieren alle Pakete, sofern sie nicht in
einer der vorhergehenden Regeln erlaubt wurden.
21. Firewall Tuning
Die Performance von Firewalls hängt von vielen Faktoren ab. Bei Nichtbeachtung dieser
Tips kann es schon einmal passieren, daß ein 80486er mit 16 MB RAM genauso schnell
ist, wie ein Pentium 350 mit 64 MB RAM. Es lohnt sich also, sich genauer Gedanken um
den Aufbau der Firewallregeln zu machen.
Die Komplexität der Firewallregeln ist der Hauptgrund für Verluste bei der Performance.
Firewallregeln werden bei allen Firewalls linear durchlaufen. Es gibt von einigen
Herstellern Versuche, die Performance durch den Einsatz eines "ruleset optimizer" zu
verbessern. Es hat sich bei Tests herausgestellt, daß insbesondere diese Firewalls oft
fehlerhaft arbeiteten. Darum haben viele Firewall Hersteller diesen Optimizer nicht mehr
im Einsatz.
Es ist wesentlich einfacher, sich vor dem Aufstellen der Firewall-Regeln zu überlegen, ob
eventuell die Zahl der Regeln sich verringern läßt, wenn man statt einer Positivliste für
Hosts nur eine Negativliste anlegt. In jedem Falle wird bei allen hier vorgestellten LINUX
Firewalls das "ruleset" bis zum Ende durchlaufen. Die SINUS Firewall durchläuft den
kompletten Regelsatz stets bis zum Ende. Dies schließt Programmierfehler weitestgehend
aus, auch wenn die Performance darunter leidet, insbesondere bei vielen Regeln.
IPFWADM und IPCHAINS brechen nach dem ersten Match (zutreffende Regel) ab und
durchlaufen das Regelwerk nicht weiter. Besonders beim Einsatz von IPFWADM und
IPCHAINS muß man höllisch aufpassen, daß man keine Fehler macht. Hier sollte man
tatsächlich die Sicherheit nach der Installation mit Auditing Toolkits genau überprüfen. Hier
einige Beispiele, die verdeutlichen sollten, wo eventuell Performanceverbesserungen
möglich sind.
21.1 Einsatz bei ISP's
ISP's haben es mit zwei unterschiedlichen Problemen zu tun. Zum einen betrifft dies
Server Housing, zum anderen Zugänge.
Erstellt von Doc Gonzo - http://kickme.to/plugins