Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Erfolgreiche ePaper selbst erstellen
Machen Sie aus Ihren PDF Publikationen ein blätterbares Flipbook mit unserer einzigartigen Google optimierten e-Paper Software.
# Das loopback Interface<br />
ipfwadm -I -a accept -W $LOOPBACK<br />
ipfwadm -O -a accept -W $LOOPBACK<br />
Dies bedeutet, daß nur die Dämonen <strong>und</strong> Programme auf der <strong>Firewall</strong> selber<br />
untereinander kommunizieren können. Der Verbindungsaufbau über die<br />
Netzwerkkarten dürfte (noch) nicht funktionieren.<br />
Das -a besagt, daß eine Regel zu den bestehenden Regeln hinzugefügt (angehangen)<br />
wird (append). Das -W (wichtig: großes W) bezeichnet das Interface.<br />
$LOOPBACK_INTERFACE ist der Wert der Variablen LOOPBACK_INTERFACE, dem wir<br />
später noch 127.0.0.1 zuweisen müssen. Die beiden Zeilen bedeuten also, daß von allen<br />
Interfaces der Verkehr vom <strong>und</strong> zum loopback Interface erlaubt ist.<br />
Nun ist noch ein kleines Problem zu lösen: Wird ein Programm oder Dämon auf dem Host<br />
gestartet, über welches Interface ist dieser ansprechbar, <strong>und</strong> über welches Interface<br />
sendet er irgendwelche Pakete ?<br />
Die Frage ist eindeutig zu beantworten, wenn man sich die Ausgabe von "netstat -a"<br />
anschaut:<br />
Proto Recv-Q Send-Q Local Address Foreign Address State<br />
tcp 1 0 tunix.intra.net:www www.intra.net:1365 ESTABLISHED<br />
tcp 0 0 www.intra.net:1365 tunix.intranet:www ESTBLISHED<br />
tcp 0 0 *:6000 *:* LISTEN<br />
tcp 0 0 *:3128 *:* LISTEN<br />
tcp 0 0 *:auth *:* LISTEN<br />
tcp 0 0 *:pop3 *.* LISTEN<br />
tcp 0 0 *:login *:* LISTEN<br />
tcp 0 0 *:ftp *:* LISTEN<br />
tcp 0 0 *:sunrpc *:* LISTEN<br />
Man sieht, daß von tunix.intra.net eine WWW-Verbindung zu www.intra.net <strong>und</strong><br />
umgekehrt besteht (ESTABLISHED). Diese Verbindung liegt auf Port 1365. Wie kann das,<br />
wo doch allgemein bekannt ist, daß eine WWW-Verbindung auf Port 80 erreichbar ist ?<br />
Nun, die Antwort ist etwas komplizierter. Selbstverständlich wird zuerst eine Verbindung<br />
auf Port 80 geöffnet. Würden aber beide Partner nun über diesen Port weiter<br />
kommunizieren, so könnte weder eine zweite Verbindung zwischen den beiden aufgebaut<br />
werden, noch könnte ein dritter Host auf den Port 80 einer der beiden Hosts zugreifen.<br />
Genaugenommen wird aus IP - Nummer <strong>und</strong> Portnummer ein sogenannter HASH Wert <strong>für</strong><br />
jede TCP/IP Verbindung errechnet, an denen sich die Kommunikationspartner<br />
wiedererkennen, auch wenn z.B. ein WWW-Server viele tausend simultane<br />
Kommunikationspartner gleichzeitig abzuarbeiten hat. Damit z.B. der Server weiterhin<br />
noch <strong>für</strong> andere Hosts erreichbar ist, verabreden sich Server <strong>und</strong> Client, nachdem sie sich<br />
kontaktiert haben, die weitere Datenübertragung über freie, nicht privilegierte Ports<br />
abzuwickeln. Dies sind alle Ports über 1024, nach der Definition der alten BSD UNIX<br />
Systeme. Somit wäre der Port 80 wieder frei <strong>für</strong> neue Anfragen. Man sieht auch einige<br />
offene Ports...pop3 LISTEN ? Das bedeutet, daß der POP3 Dämon lauscht, nur an<br />
welchem Interface ?<br />
Das entscheidet sich beim Start eines Dämons. Ohne Parameter aufgerufen, bindet er<br />
sich an alle Interfaces, die ihm angeboten werden, vorrangig natürlich an das LOOPBACK<br />
Interface. Man kann jedem Dämon aber auch genau das Interface angeben, an welches er<br />
sich binden soll. Leider haben manche Programmierer von Dämonen vergessen, eine<br />
solche Option einzuprogrammieren, sodaß man nicht angeben kann, an welches Interface<br />
sich der Dämon bindet. Bei guten Programmen, wie Apache WWW-Server, SAMBA, FTP<br />
....kann man dies genau festlegen. Die Optionen findet man in den Konfigurationsdateien<br />
oder man übergibt beim Start des Dämons einen Parameter (Siehe /etc/inetd.conf). Startet<br />
man Interfaces, wenn schon Dämonen laufen, dann binden sich diese nachträglich<br />
automatisch an das neue Interface. Muß ein Dämon viele Interfaces nach Paketen <strong>für</strong> ihn<br />
Erstellt von Doc Gonzo - http://kickme.to/plugins