Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

BUS Festplatten mit je 25 GByte Kapazität zum Preis von 4x600 DM reichen hier völlig
aus, um die gesetzlichen Vorschriften erfüllen zu können. Erfahrungsgemäß reicht ein
AMD 350 MHz mit 128 MByte RAM und 100 GByte Festplatte, 2x 100 MBit Karten und
LINUX Firewall völlig aus, um eine 2 MBit Anbindung zu überwachen. Der Gesamtpreis
beläuft sich ca. auf 5.000 DM. Etwas geringer sind die Anforderungen bei DIAL-IN
Routern. Um 30 ISDN - Leitungen mit einer Firewall abzusichern, reicht ein P166 mit 64
MByte RAM , 2x10 MBit Karten und LINUX 2.0 völlig aus. Besonderes Tuning ist nicht
erforderlich.
21.2 Einsatz in Intranets
LINUX ist prädestiniert für die Absicherung von einzelnen Abteilungen innerhalb eines
großen Unternehmens. Die minimalen Anschaffungskosten und die leichte Bedienbarkeit
über die JAVA Benutzeroberfläche der SINUS Firewall-1 erlauben es auch Anfängern,
einzelne security policies direkt umzusetzen.
Intranets haben eine höhere Bandbreite (10-100 MBit) als im Internet üblich, jedoch ist die
Zahl der simultanen oder halboffenen Verbindungen pro Sekunde sehr viel kleiner, als bei
ISP's. Da die Firewall die Regeln ja nur bei einem Neuaufbau einer Verbindung
durchlaufen muß, ist im Prinzip ein Pentium 66 mit 16 MByte RAM und 2x100 MBit
Netzwerkkarten völlig ausreichend. Man sollte die Tuning-Regeln im Kapitel Firewall-
Router mit SQUID - Proxy beachten.
21.3 Einsatz als Firewall-Router
Beim Einsatz als Firewall-Router sind die Anforderungen noch geringer, als die beim
Einsatz im Intranet, da eine ISDN Anbindung sehr langsam ist. Ein 80386-33 mit 16 MB
RAM reicht da völlig aus.
21.4 Firewall-Router mit SQUID - Proxy
Wer LINUX als Firewall-Router und Intranet-Server, Mail-Server sowie PROXY einsetzen
möchte, der sollte mindestens einen Pentium 166 mit 64 MB RAM einsetzen. PROXY's
verbrauchen eine große Zahl von Filehandels (maximale Zahl von offenen Dateien),
sodaß hier der Kernel und der PROXY neu kompiliert werden müssen. Beim Kernel ist es
wichtig, die maximale Zahl der Filehandels auf mindesten 1024 zu vergrößern und die
maximale Zahl der halboffenen Verbindungen vergrößert wird. Hierzu muß man in der
Datei /usr/src/linux/include/linux/socket.h die Variable SOMAXCONN auf 400-500
(keinesfalls auf höhere Werte) vergrößern, und die Zahl der Filedeskriptoren in der Datei
/usr/src/linux/include/linux/posix_types.h auf 4096 oder 8192 (__FD_SETSIZE 8192)
setzen. Hiermit teilen Sie dem Kernel und vor allem allen neu kompilierten Dämonen mit,
daß nun mehr als 256 bzw. 1024 Dateien gleichzeitig offen sein dürfen. Bei einem Engpaß
würde ansonsten der PROXY-Cache nicht genügend Dateien öffnen und vor allem
offenhalten können, sodaß hier der PROXY sehr gebremst wird. Er muß nämlich zuerst
einen Handel schließen, damit er einen neuen für einen Surfer öffnen kann. Der Surfer hat
den Eindruck, die ISDN Leitung wäre völlig überlastet, jedoch ist in Wahrheit der PROXY
überlastet. Man muß bedenken, daß manchmal auf einer WWW-Seite bis zu 100 kleine
Grafiken sind. Allein schon 10-20 User können dann einen Standard S.u.S.E. 6.2 Kernel
(max 1024 offene Dateien) bzw. den PROXY CACHE arg stressen. Nach dem Patch muß
also zuerst der Kernel, und dann der SQUID Proxy neu kompiliert werden. In der
Konfigurationsdatei /etc/squid.conf sollte man die Werte für die Zahl der Verzeichnisse in
der Zeile cache_dir /var/squid/cache 16 256 auf folgende Parameter setzen: cache_dir
/var/squid/cache 100 16 16. Danach müssen Sie die Cache - Verzeichnisse
/var/squid/cache/... löschen, und durch Start von SQUID mit der Option -Yz wieder neu
anlegen. Sie dürfen nicht vergessen, das Cache Verzeichnis und alle Verzeichnisse
darunter durch chown -R nobody:nogroup /var/squid/cache an den SQUID Dämon zu
übergeben, der gewöhnlich unter diesem Useraccount mit eingeschränkten Rechten
gestartet wird. Niemals sollte SQUID als Root laufen.
Erstellt von Doc Gonzo - http://kickme.to/plugins