Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

werden. Die Zyklen hängen entscheidend von der Art der Filterung ab (max. MTU=1590
Byte):
• IP Pakete an der Netzwerkkarte (Netmask): 50-100 CPU Zyklen
• IP Pakete, filterung nach src oder dst: 100-200 CPU Zyklen
• TCP Paket mit src und dst Port: 200-400 CPU Zyklen
Wer schnellstmögliche Paketfilterung haben möchte, der sollte unbedingt NetBSD auf
DEC-ALPHA mit 700 MHz einsetzen. Das Paket IP-Filter von Darren Reed kann bis ca.
500.000 Pakete / Sekunde Filtern, eine unglaubliche Transferrate. Unter LINUX/ALPHA
mit Kernel 2.2 liegt die Rate erheblich niedriger. Ca. 200.000 Pakete pro Sekunde sind
aber realistisch (jeweils bei max. MTU=1590 Byte). Wie man sieht, sind ATM Netzwerke
(155 MBit) kein Problem mehr, auch für Billig PC´s mit Intel Hardware. Wer genaue
Messwerte für SINUS Firewall sucht, der findet diese im SINUS Firewall Source unter
Dokumentation.
21.7 Tuning der TOS Bits in TCP/IP - Paketen
Dieses Tuning der TOS Bits ist im Kapitel TOS Bits ausführlicher beschrieben.
22. Grundlagen zur Installation von Linux
Für die Installation der Firewall-Routinen im Kernel ist in fast allen Fällen notwendig, den
Kernel korrekt zu konfigurieren und danach neu zu kompilieren. Siehe hierzu auch das
Kapitel über Fallstricke bei den Kernel-Optionen. Dieses Kapitel sollte man besonders
aufmerksam durchlesen. Der Grund, warum hier trotz komfortabler Installationsroutinen
der Distributionen die wichtigen Einzelheiten einer Installation noch einmal aufgeführt sind,
liegt darin begründet, daß fast alle Distributionen LINUX so konfigurieren, daß hier für den
User alle möglichen Funktionen aktiviert sind. Jede dieser Funktionen stellt ein
Sicherheitsrisiko dar. Während man viele der Funktionen entfernt, kann es passieren, daß
man versehentlich auch Teile der Basiskonfiguration in Mitleidenschaft zieht. Dieses
Kapitel und das Kapitel über ipfwadm ermöglichen die Installation der Basisfunktionen per
Hand, also ohne irgendein Toolkit eines Distributors. LINUX ist LINUX.
22.1 Kompilierung des Kernel
Es könnte sein, daß nach der Installation von LINUX eventuell die zweite Netzwerkkarte
noch nicht erkannt wird. Durch die individuelle Einstellung des Kernel kann man noch
einige weitere wichtige Dinge beeinflussen. Detaillierte Informationen, insbesondere zum
Kernel V 2.2, gibt es im Kapitel Kernel Optionen.
Wir gehen davon aus, daß noch keine Unterstützung für Netzwerkkarten besteht. Hierzu
muß man den Kernel neu konfigurieren und kompilieren. Der Vorgang ist nicht so
kompliziert, wie es klingt. Vorteil ist aber, daß der Kernel schneller ist, und zusätzlichen
Schutz vor einigen Angriffen bietet.
Es gibt zwei Möglichkeiten, den Kernel zu kompilieren. Über die X-Windows Oberfläche,
oder über die Konsole oder sogar quer über das Internet auf einem Internet - Server, wie
es häufig praktiziert wird. Um den Kernel neu zu kompilieren, sind folgende Befehle
einzugeben:
cd /usr/src/linux
make mrproper
make xconfig
Erstellt von Doc Gonzo - http://kickme.to/plugins