Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Der einfachste Weg ist es, mit linuxconf unter X Windows im contol-panel die Interfaces
aufzusetzen. Es muß ein neues Interface eth1 eingerichtet werden (create). Die Option
none als Protokoll und die IP - Nummer müssen eingestellt werden. Im Routing Dialog
findet sich die wichtige Option "ip forwarding", die sich auch schon im Kernel aktivieren
ließ. Die Option forwarding besagt, daß per Default alle Pakete zwischen allen
Netzwerkkarten geroutet werden. Wer also eine Firewall gerade installieren oder
konfigurieren will, der sollte sich der Tatsache bewußt sein. Nun kann das Interface über
die Menüs auch aktiviert werden. Die Netzwerkkarte ist aktiv.
Erläuterungen zur Netzwerk-Maske und IP - Nummer
Per Definition sind die Netzwerknummern 10.x.x.x und 192.168.x.x für Transfernetze und
Intranets reserviert. Diese IP-Pakete werden im Internet nicht geroutet, daher sind diese
bei der Vergabe im Intranet vorzuziehen. Die Adresse 10.0.0.1 könnte also das Gateway
zum Internet nach innen hin sein. Die IP - Nummern 10.0.0.0 und 10.0.0.255 sind als
Netzwerknummer und Broadcastnummer reserviert. Alle anderen können also an
Arbeitsstationen im Netz vergeben werden. Ist der LINUX-Server als Firewall mit zwei
Netzwerkkarten im Einsatz, und existiert ein dedizierter ISDN-Router, so ist für die 2 IP -
Nummer per Konvention die Adresse 192.168.0.2 vorgesehen. Die IP - Nummer
192.168.0.1 sollte dem Netzwerkkarten -Anschluß des Routers vorbehalten bleiben. Die
Netzwerkadresse 192.168.0.0 bezeichnet somit ein Transfernetz. Damit Arbeitsstationen
im Netz sich untereinander verständigen, und gleichzeitig über die Firewall Pakete in das
Internet versenden können, ist an jeder Arbeitsstation die Firewall mit der Adresse
10.0.0.1 als Gateway einzutragen. Ein Gateway wird immer dann eingetragen, wenn es
darum geht, zu entscheiden, ob die Pakete im Netz bleiben, oder in andere Netze geroutet
werden. Die Route gibt an, welche Pakete mit welcher Netzwerknummer in welches
Interface zu schicken sind. Alle anderen folgen der default route.
22.5 DNS-Adressen
Die IP - Nummern der zuständigen DNS Server werden aus der Datei /etc/resolv.conf
ausgelesen. Diese können auch zur Laufzeit verändert werden. Wichtig sind die Adressen
in der Datei /etc/hosts.
127.0.0.1 localhost loopback
10.0.0.1 local domain
10.0.0.2 arbeitsstation name
Hier werden die Namen und Kurzbezeichnungen für die Firewall selber und alle
Arbeitsstationen eingegeben. Bei Nichtbeachtung dieser Empfehlung und falschen
Einträgen im DNS-Server wird eventuell unnötig die die ISDN-Verbindung geöffnet. Die
Einträge ermöglichen es auch, später bequem ablesen zu können, wer wieviel Pakete
übertragen hat. (ipfwadm -Al)
Nun kann das Skript /etc/rc.d/rc.firewall gestartet werden, um die Firewall scharf zu
machen.
Mail, www, telnet, ftp...Verbindungen in das Internet sollten nun transparent über die
Firewall hinweg funktionieren.
22.6 Absicherung von Servern mit chroot()
chroot() ist eine Funktion von UNIX, die im Falle eines erfolgreichen Buffer Overflows
dafür sorgt, daß der Zugriff nur auf ein Unterverzeichnis der Festplatte erfolgen kann. Ein
Angreifer, der also mit den Rechten des Dämons versucht, auf das Verzeichnis /etc/
zuzugreifen, der wird unweigerlich scheitern. Hierzu bietet der LINUX Firewallkernel
verschiedene Sicherheitslevel (security level) an, die sich allerdings in der Version 2.0
noch stark von den mächtigen Security Leveln von Free/Net/OpenBSD/Trusted Solaris
Erstellt von Doc Gonzo - http://kickme.to/plugins