Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
FWTK ausgereift ist, was die Basisprotokolle angeht. Ein Nachteil soll natürlich auch nicht<br />
verschwiegen werden: Es ist, relativ gesehen, etwas langsam. Angesichts der schnellen<br />
Prozessoren heutzutage ist dies aber kein Problem mehr. Wer also einige duzend User<br />
gleichzeitig bedienen möchte, der ist mit dem TIS FWTK <strong>und</strong> einem P-100 gut bedient.<br />
9. Aufbau der <strong>LINUX</strong> <strong>Firewall</strong> mit ipfwadm<br />
ipfwadm ist das erste <strong>Firewall</strong> Toolkit von JOS VOS (Nederlanden) gewesen, welches<br />
<strong>LINUX</strong> mit <strong>Firewall</strong>fähigkeiten ausgestattet hat. Danach wurden eine Zahl von Proxy´s <strong>für</strong><br />
spezielle Proxy´s geschrieben. Das Toolkit ist ursprünglich <strong>für</strong> die Kernelversionen <strong>2.0</strong><br />
geschrieben worden. Angesichts der Entwicklung von ipchains wurde die<br />
Weiterentwicklung von IPFWADM eingestellt. Wer also noch eine ältere <strong>LINUX</strong> Version<br />
besitzt, der kann sich viel Geld sparen, indem er keine neue <strong>LINUX</strong> Distribution kauft, <strong>und</strong><br />
seine <strong>Firewall</strong> mit IPFWADM installiert. Nachteile gibt es keine. Auch Anwender von<br />
IPCHAINS sollte sich durchaus dieses Kapitel durchlesen, da es noch einige wertvolle<br />
Tips enthält, die im Kapitel ipchains nicht noch einmal aufgeführt sind.<br />
9.1 Auswahl von Hard- <strong>und</strong> Software<br />
Dieser Abschnitt behandelt den Aufbau einer <strong>LINUX</strong> <strong>Firewall</strong> <strong>für</strong> ein Unternehmen. Als<br />
Basis dient ein GPL RedHat Linux 5.2/6.0. Es ist kostenlos <strong>und</strong> äußerst komfortabel zu<br />
installieren <strong>und</strong> zu administrieren. Zudem ist es auch in deutscher Sprache verfügbar.<br />
Für Anfänger sehr empfehlenswert ist die neue CALDERA Open<strong>LINUX</strong> Distribution <strong>und</strong><br />
insbesondere auch EASY<strong>LINUX</strong>. Wer jedoch die SINUS <strong>Firewall</strong>-1 einsetzen möchte, der<br />
muß momentan noch <strong>LINUX</strong> <strong>2.0</strong> Kernel einsetzen, was bedeutet, daß er eine alte <strong>LINUX</strong><br />
Distribution einsetzen muß. RedHat 5.2/6.0, inzwischen zwar veraltet, hat jedoch einen<br />
Vorteil: Es läßt sich sowohl mit dem Kernel <strong>2.0</strong> als auch <strong>2.2</strong> installieren. Zudem läuft sie<br />
stabil. Es haben sich in letzer Zeit noch einige wichtige Kernel -Korrekturen bei dem<br />
Kernel <strong>2.0</strong>.x ergeben. Diese betreffen DoS Angriffe auf den TCP/IP Stack. Es wird daher<br />
dringend empfohlen, auf die Version <strong>2.0</strong>.39 (die letzte :() zu updaten. Empfehlen möchte<br />
ich jedoch besonders die Secure<strong>LINUX</strong> Varianten: Cyberguard/Immunix Stackguard<br />
<strong>LINUX</strong> auf der Basis von GPL RedHat Linux 5.2. Siehe auch www.kernelnotes.org. Es ist<br />
komplett neu kompiliert worden <strong>und</strong> nachweislich gegen die typischen, speziell auf INTEL<br />
Prozessoren programmierten (Kapitel buffer overflows) immun. Somit sind diese Angriffe<br />
über Arbeitsstationen im LAN auf die <strong>Firewall</strong> (insider attack) auf der Basis von buffer<br />
overflows nicht mehr möglich.<br />
Netzwerksicherheit kommt stets an erster Stelle. Server, die an das Internet angeb<strong>und</strong>en<br />
sind, sind stets großen Gefahren ausgesetzt. Im Gr<strong>und</strong>e ist aber eine Maschine nur<br />
verw<strong>und</strong>bar, wenn ein Dienst oder ein Protokoll von außen erreichbar ist. Je weniger<br />
Dienste aktiviert sind, um so geringer ist die Wahrscheinlichkeit, daß ein Angreifer eine<br />
Sicherheitslücke nutzen kann. UNIX ist im Gegensatz zu NT völlig modular aufgebaut, es<br />
lassen sich alle Dienste einzeln abschalten, von der Festplatte <strong>und</strong> evtl. sogar aus dem<br />
Kernel entfernen. Hierzu gehören Kenntnisse in UNIX allgemein <strong>und</strong> im Speziellen<br />
Kenntnisse über den Aufbau von <strong>LINUX</strong>, dessen File - Struktur <strong>und</strong> das KNOW HOW,<br />
einen Kernel neu zu kompilieren. Wir beginnen also langsam, Schritt <strong>für</strong> Schritt, also keine<br />
Panik, so schwer ist es nun auch wieder nicht.....<br />
9.2 Benötigte Hardware<br />
Die Hardware - Anforderungen an eine <strong>LINUX</strong> <strong>Firewall</strong> sind äußerst gering. Im Kapitel<br />
Tuning finden Sie Informationen darüber, bei welchen Anwendungen welche Hardware <strong>für</strong><br />
eine <strong>LINUX</strong> <strong>Firewall</strong> am besten geeigenet ist.<br />
• Einen ISDN-Router (alternativ eine ISDN Karte)<br />
Erstellt von Doc Gonzo - http://kickme.to/plugins