Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

# Das loopback Interface
ipfwadm -I -a accept -W $LOOPBACK
ipfwadm -O -a accept -W $LOOPBACK
Dies bedeutet, daß nur die Dämonen und Programme auf der Firewall selber
untereinander kommunizieren können. Der Verbindungsaufbau über die
Netzwerkkarten dürfte (noch) nicht funktionieren.
Das -a besagt, daß eine Regel zu den bestehenden Regeln hinzugefügt (angehangen)
wird (append). Das -W (wichtig: großes W) bezeichnet das Interface.
$LOOPBACK_INTERFACE ist der Wert der Variablen LOOPBACK_INTERFACE, dem wir
später noch 127.0.0.1 zuweisen müssen. Die beiden Zeilen bedeuten also, daß von allen
Interfaces der Verkehr vom und zum loopback Interface erlaubt ist.
Nun ist noch ein kleines Problem zu lösen: Wird ein Programm oder Dämon auf dem Host
gestartet, über welches Interface ist dieser ansprechbar, und über welches Interface
sendet er irgendwelche Pakete ?
Die Frage ist eindeutig zu beantworten, wenn man sich die Ausgabe von "netstat -a"
anschaut:
Proto Recv-Q Send-Q Local Address Foreign Address State
tcp 1 0 tunix.intra.net:www www.intra.net:1365 ESTABLISHED
tcp 0 0 www.intra.net:1365 tunix.intranet:www ESTBLISHED
tcp 0 0 *:6000 *:* LISTEN
tcp 0 0 *:3128 *:* LISTEN
tcp 0 0 *:auth *:* LISTEN
tcp 0 0 *:pop3 *.* LISTEN
tcp 0 0 *:login *:* LISTEN
tcp 0 0 *:ftp *:* LISTEN
tcp 0 0 *:sunrpc *:* LISTEN
Man sieht, daß von tunix.intra.net eine WWW-Verbindung zu www.intra.net und
umgekehrt besteht (ESTABLISHED). Diese Verbindung liegt auf Port 1365. Wie kann das,
wo doch allgemein bekannt ist, daß eine WWW-Verbindung auf Port 80 erreichbar ist ?
Nun, die Antwort ist etwas komplizierter. Selbstverständlich wird zuerst eine Verbindung
auf Port 80 geöffnet. Würden aber beide Partner nun über diesen Port weiter
kommunizieren, so könnte weder eine zweite Verbindung zwischen den beiden aufgebaut
werden, noch könnte ein dritter Host auf den Port 80 einer der beiden Hosts zugreifen.
Genaugenommen wird aus IP - Nummer und Portnummer ein sogenannter HASH Wert für
jede TCP/IP Verbindung errechnet, an denen sich die Kommunikationspartner
wiedererkennen, auch wenn z.B. ein WWW-Server viele tausend simultane
Kommunikationspartner gleichzeitig abzuarbeiten hat. Damit z.B. der Server weiterhin
noch für andere Hosts erreichbar ist, verabreden sich Server und Client, nachdem sie sich
kontaktiert haben, die weitere Datenübertragung über freie, nicht privilegierte Ports
abzuwickeln. Dies sind alle Ports über 1024, nach der Definition der alten BSD UNIX
Systeme. Somit wäre der Port 80 wieder frei für neue Anfragen. Man sieht auch einige
offene Ports...pop3 LISTEN ? Das bedeutet, daß der POP3 Dämon lauscht, nur an
welchem Interface ?
Das entscheidet sich beim Start eines Dämons. Ohne Parameter aufgerufen, bindet er
sich an alle Interfaces, die ihm angeboten werden, vorrangig natürlich an das LOOPBACK
Interface. Man kann jedem Dämon aber auch genau das Interface angeben, an welches er
sich binden soll. Leider haben manche Programmierer von Dämonen vergessen, eine
solche Option einzuprogrammieren, sodaß man nicht angeben kann, an welches Interface
sich der Dämon bindet. Bei guten Programmen, wie Apache WWW-Server, SAMBA, FTP
....kann man dies genau festlegen. Die Optionen findet man in den Konfigurationsdateien
oder man übergibt beim Start des Dämons einen Parameter (Siehe /etc/inetd.conf). Startet
man Interfaces, wenn schon Dämonen laufen, dann binden sich diese nachträglich
automatisch an das neue Interface. Muß ein Dämon viele Interfaces nach Paketen für ihn
Erstellt von Doc Gonzo - http://kickme.to/plugins