Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Netzwerkkarte leitet diese Pakete erst gar nicht an den Kernel weiter. Die Netzmaske ist
hierfür verantwortlich und schirmt den Kernel ab. Derjenige Host, der gemeint ist, also
INTRA2, wird schon auf die Anfragen von INTRA1 antworten. Also akzeptiert das
Gateway nur dann die Daten zur Weiterleitung, wenn die Zieladresse nicht im Intranet
liegt.
Zusammenfassend kann man also sagen, daß ein Gateway darüber entscheidet, ob
Pakete im Netzwerkstrang bleiben, oder ob diese in andere Netzwerke weitergeleitet
werden.
Bisher wurde der Firewall aber nur mitgeteilt, daß sie Pakete, deren Quell Adresse im
Intranet liegt, zu akzeptieren hat. Sie würde also das Paket von INTRA1 akzeptieren,
sofern die Zieladresse nicht auch im Intranet liegt. Danach gibt es keine Regel mehr, die
der Firewall sagen könnte, was mit dem Paket geschehen soll. Wir erinnern uns - Die
Weiterleitung von Paketen, also das forwarding wurde mit ipfwadm -F -p deny, der
default policy untersagt. Pakete aus dem Intranet sollen aber auch an das externe
Interface der Firewall weitergeleitet werden. hierzu müssen wir eine weitere Regel
hinzufügen.
# Erlaube Internet - Datenaustausch
ipfwadm -O -a accept -W $EXTERNES_INTERFACE -S $INTRA1
Etwas verwirrend mag die Reihenfolge der Regeln erscheinen. Zuerst werden alle Pakete
abgelehnt, um diese dann durch eine nachfolgende Regel wieder zuzulassen. Hierzu muß
man nur eines wissen. Firewalls arbeiten alle Regeln immer nur bis zu einem Match
(zutreffende Regel) ab. Findet sich in der Reihe zuerst eine Regel, die die Weiterleitung
zuläßt, so wird weitergeleitet. Wenn die Regel keine Weiterleitung zuläßt, dann wird das
Paket verworfen und die folgenden Regeln nicht weiter abgearbeitet. Trifft keine der
Regeln zu, dann wird es interessant. Der Kernel führt dann diejenige Regel aus, die der
Policy entspricht. Steht die Policy auf allow, dann wird das Paket weitergeleitet, steht die
Policy auf deny, dann wird das Paket verworfen. Also Achtung beim Hinzufügen oder
Löschen von Regeln, wenn die default policy nicht auf deny steht. Das setzen der Policy
auf deny sollte also unbedingt und unter allen Umständen zu allererst in den
Firewallregeln erfolgen. Diese müssen sogar zu allererst gesetzt werden.
Nun erlauben wir den Zugriff eines Hosts mit der IP - Nummer INTRA1 aus dem
INTRANET auf die äußere Netzwerkkarte, EXTERNES_INTERFACE. Was bedeutet nun
dieses ? Ein Host aus dem Intranet mit INTRA1 bezeichnet darf Pakete an
LOKALES_INTERFACE, also der inneren Netzwerkkarte senden. Soweit verständlich. Der
Firewall wurde erlaubt, an dem Interface LOKALES_INTERFACE Pakete anzunehmen,
die für das Internet bestimmt sind. Soweit auch verständlich. Nun wird zugelassen, daß
die Firewall diese angenommenen Pakete aus dem Intranet an das äußere Interface
EXTERNES_INTERFACE sendet. Die Syntax lautet:
Erlaube eingehende und ausgehende Pakete mit dem Ziel EXTERNES_INTERFACE, und
das für Pakete, die aus dem Intranet kommen. Die Firewall durfte stets Pakete aus dem
Intranet annehmen, nun ist es der Firewall erlaubt, diese Pakete an die äußere
Netzwerkkarte zu senden.
Wie verhalten sich die Dämonen ? Diese hatten sich ja an alle Netzwerkkarten gebunden
!? Sie sehen die Pakete vorbei huschen, fühlen sich aber nicht angesprochen, da die
Zieladresse im Kopf des Paketes von dem Host aus dem Intranet ja für das Internet
bestimmt ist, und nicht für den Dämon selber. Also kein echtes Problem.
Welche Auswirkungen hat dies auf das forwarding ?
#Forwarding von Paketen von LOKALES_INTERFACE an
EXTERNES_INTERFACE
ipfwadm -F -a -W $EXTERNES_INTERFACE -S $INTRANET
Erstellt von Doc Gonzo - http://kickme.to/plugins