Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

FWTK ausgereift ist, was die Basisprotokolle angeht. Ein Nachteil soll natürlich auch nicht
verschwiegen werden: Es ist, relativ gesehen, etwas langsam. Angesichts der schnellen
Prozessoren heutzutage ist dies aber kein Problem mehr. Wer also einige duzend User
gleichzeitig bedienen möchte, der ist mit dem TIS FWTK und einem P-100 gut bedient.
9. Aufbau der LINUX Firewall mit ipfwadm
ipfwadm ist das erste Firewall Toolkit von JOS VOS (Nederlanden) gewesen, welches
LINUX mit Firewallfähigkeiten ausgestattet hat. Danach wurden eine Zahl von Proxy´s für
spezielle Proxy´s geschrieben. Das Toolkit ist ursprünglich für die Kernelversionen 2.0
geschrieben worden. Angesichts der Entwicklung von ipchains wurde die
Weiterentwicklung von IPFWADM eingestellt. Wer also noch eine ältere LINUX Version
besitzt, der kann sich viel Geld sparen, indem er keine neue LINUX Distribution kauft, und
seine Firewall mit IPFWADM installiert. Nachteile gibt es keine. Auch Anwender von
IPCHAINS sollte sich durchaus dieses Kapitel durchlesen, da es noch einige wertvolle
Tips enthält, die im Kapitel ipchains nicht noch einmal aufgeführt sind.
9.1 Auswahl von Hard- und Software
Dieser Abschnitt behandelt den Aufbau einer LINUX Firewall für ein Unternehmen. Als
Basis dient ein GPL RedHat Linux 5.2/6.0. Es ist kostenlos und äußerst komfortabel zu
installieren und zu administrieren. Zudem ist es auch in deutscher Sprache verfügbar.
Für Anfänger sehr empfehlenswert ist die neue CALDERA OpenLINUX Distribution und
insbesondere auch EASYLINUX. Wer jedoch die SINUS Firewall-1 einsetzen möchte, der
muß momentan noch LINUX 2.0 Kernel einsetzen, was bedeutet, daß er eine alte LINUX
Distribution einsetzen muß. RedHat 5.2/6.0, inzwischen zwar veraltet, hat jedoch einen
Vorteil: Es läßt sich sowohl mit dem Kernel 2.0 als auch 2.2 installieren. Zudem läuft sie
stabil. Es haben sich in letzer Zeit noch einige wichtige Kernel -Korrekturen bei dem
Kernel 2.0.x ergeben. Diese betreffen DoS Angriffe auf den TCP/IP Stack. Es wird daher
dringend empfohlen, auf die Version 2.0.39 (die letzte :() zu updaten. Empfehlen möchte
ich jedoch besonders die SecureLINUX Varianten: Cyberguard/Immunix Stackguard
LINUX auf der Basis von GPL RedHat Linux 5.2. Siehe auch www.kernelnotes.org. Es ist
komplett neu kompiliert worden und nachweislich gegen die typischen, speziell auf INTEL
Prozessoren programmierten (Kapitel buffer overflows) immun. Somit sind diese Angriffe
über Arbeitsstationen im LAN auf die Firewall (insider attack) auf der Basis von buffer
overflows nicht mehr möglich.
Netzwerksicherheit kommt stets an erster Stelle. Server, die an das Internet angebunden
sind, sind stets großen Gefahren ausgesetzt. Im Grunde ist aber eine Maschine nur
verwundbar, wenn ein Dienst oder ein Protokoll von außen erreichbar ist. Je weniger
Dienste aktiviert sind, um so geringer ist die Wahrscheinlichkeit, daß ein Angreifer eine
Sicherheitslücke nutzen kann. UNIX ist im Gegensatz zu NT völlig modular aufgebaut, es
lassen sich alle Dienste einzeln abschalten, von der Festplatte und evtl. sogar aus dem
Kernel entfernen. Hierzu gehören Kenntnisse in UNIX allgemein und im Speziellen
Kenntnisse über den Aufbau von LINUX, dessen File - Struktur und das KNOW HOW,
einen Kernel neu zu kompilieren. Wir beginnen also langsam, Schritt für Schritt, also keine
Panik, so schwer ist es nun auch wieder nicht.....
9.2 Benötigte Hardware
Die Hardware - Anforderungen an eine LINUX Firewall sind äußerst gering. Im Kapitel
Tuning finden Sie Informationen darüber, bei welchen Anwendungen welche Hardware für
eine LINUX Firewall am besten geeigenet ist.
• Einen ISDN-Router (alternativ eine ISDN Karte)
Erstellt von Doc Gonzo - http://kickme.to/plugins