Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Moderne Kernel führen zusätzliche Statistiken über die Latenzzeiten zu bestehenden IP-
Verbindungen (RTT), und regeln so differenziert die Zeiten der maximalen Verweildauer
von TCP/IP-Paketen im Stack.
Ohne Differenzierung würden entweder langsame Verbindungen verworfen, oder der
Kernel gegen DoS-Angriffe verletzbar werden. Der BSD 4.4 TCP/IP-Stack (BSD UNIX,
OS/2) ist ein Garant für hohe Serverleistung, z.B. für "mission critical" Aufgaben im
Internet, wo höchst unterschiedliche Bandbreiten auf einmal auftreten. BSD Stacks
wurden in der Reihenfolge ihrer fortschreitenden Entwicklung mit "Tahoe", "Reno" und
"Vegas" bezeichnet. Bei Geschwindigkeitstest der einzelnen Betriebssysteme werden
immer wieder mit Hilfe von Benchmarks auf WWW-Server die Geschwindigkeit von
Serverbetriebssystemen und deren WWW-Servern getestet. Windows NT 4.0 erreichte
hier überdurchschnittliche Werte bei den Antwortzeiten, fiel jedoch durch eine hohe
Fehlerrate auf, OS/2 Warp glänzte mit konstanten, jedoch langsameren Responsezeiten,
lieferte die Daten aber auch ohne jeden Fehler aus.
Die im Labor ermittelten Werte lassen sich jedoch keinesfalls mit den realen
Anforderungen im Internet oder Unternehmensnetzwerk vergleichen.
In der Praxis ist OS/2 um ein vielfaches stabiler und schneller, als NT 4.0, welches die
unerfreuliche Eigenschaft hat, ab ca. 30 simultanen Verbindungen völlig einzubrechen.
OS/2, SUN Solaris, FreeBSD, NetBSD, BSDI und OpenBSD besitzen zuverlässige,
moderne TCP/IP-Stacks, die den unterschiedlichen Anforderungen besonders im Internet
und großen Unternehmen besser gerecht werden.
Umfangreiche Tuning - Möglichkeiten ergänzen diese positiven Eigenschaften. Für die
Auswahl von Betriebssystemen für Firewalls ergeben sich folgende Konsequenzen: Für
Firewalls mit vollständig eigenem TCP/IP-Stack ist die Wahl des Betriebssystems egal, da
es nur als Administrationswerkzeug und Fileserver für die Log-Einträge dient.
Firewalls mit teilweisem oder ohne eigenen TCP/IP-Stack sollten vorzugsweise auf UNIX
mit BSD 4.4 oder SUN Solaris installiert werden.
Für Hochleistungs-Firewalls mit mehreren Prozessoren und GBit oder ATM Karten sollte
berücksichtigt werden, daß das Timing-Verhalten bei schon 100 MBit Übertragungsrate
durch die Parallelisierung der Threads des TCP/IP-Stacks erhebliche Probleme mit sich
bringen kann. So passiert es häufig, daß Systeme mit mehreren Prozessoren und
Interfaces weitaus störungsanfälliger sind, als Server mit bewährten 10 MBit Interfaces
und einem Prozessor (Beispiel: SUN ATM, Windows NT). Für mission critical Firewalls
sind Einprozessorsysteme die bessere Wahl. Insgesamt kenne ich kein System, welches
als Mehrprozessorsystem ähnlich stabil wäre. Wenn überhaupt, dann könnte man Solaris
und OS/2 als stabil und schnell bezeichnen, NT mit mehreren Prozessoren ist eine
Katastrophe. Viele Patches, die DoS Angriffe auf Einprozessorsysteme verhindern,
funktionieren nicht auf Mehrprozessorsystemen. Der Grund liegt in der Verwaltung des
TCP/IP Stacks mit vielen Threads, was zu ungeheuren programmiertechnischen
Schwierigkeiten führt. Daher sind viele TCP/IP Stacks nicht mehrprozessorfähig, auch
wenn die Werbung behauptet, das ganze Betriebssystem wäre für mehrere Prozessoren
ausgelegt. Diese Schwierigkeiten wurden z.B. unter hoher Last bei Solaris/NT mit ATM
Karten an der Universität zu Köln von Axel Clauberg festgestellt und veröffentlicht.
23.3 Buffer overflow Angriffe
Themen
• Ziele von Angreifern
Erstellt von Doc Gonzo - http://kickme.to/plugins