Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Firewall Handbuch für LINUX 2.0 und 2.2 - zurück
Sie wollen auch ein ePaper? Erhöhen Sie die Reichweite Ihrer Titel.
YUMPU macht aus Druck-PDFs automatisch weboptimierte ePaper, die Google liebt.
Netzwerkkarte leitet diese Pakete erst gar nicht an den Kernel weiter. Die Netzmaske ist<br />
hier<strong>für</strong> verantwortlich <strong>und</strong> schirmt den Kernel ab. Derjenige Host, der gemeint ist, also<br />
INTRA2, wird schon auf die Anfragen von INTRA1 antworten. Also akzeptiert das<br />
Gateway nur dann die Daten zur Weiterleitung, wenn die Zieladresse nicht im Intranet<br />
liegt.<br />
Zusammenfassend kann man also sagen, daß ein Gateway darüber entscheidet, ob<br />
Pakete im Netzwerkstrang bleiben, oder ob diese in andere Netzwerke weitergeleitet<br />
werden.<br />
Bisher wurde der <strong>Firewall</strong> aber nur mitgeteilt, daß sie Pakete, deren Quell Adresse im<br />
Intranet liegt, zu akzeptieren hat. Sie würde also das Paket von INTRA1 akzeptieren,<br />
sofern die Zieladresse nicht auch im Intranet liegt. Danach gibt es keine Regel mehr, die<br />
der <strong>Firewall</strong> sagen könnte, was mit dem Paket geschehen soll. Wir erinnern uns - Die<br />
Weiterleitung von Paketen, also das forwarding wurde mit ipfwadm -F -p deny, der<br />
default policy untersagt. Pakete aus dem Intranet sollen aber auch an das externe<br />
Interface der <strong>Firewall</strong> weitergeleitet werden. hierzu müssen wir eine weitere Regel<br />
hinzufügen.<br />
# Erlaube Internet - Datenaustausch<br />
ipfwadm -O -a accept -W $EXTERNES_INTERFACE -S $INTRA1<br />
Etwas verwirrend mag die Reihenfolge der Regeln erscheinen. Zuerst werden alle Pakete<br />
abgelehnt, um diese dann durch eine nachfolgende Regel wieder zuzulassen. Hierzu muß<br />
man nur eines wissen. <strong>Firewall</strong>s arbeiten alle Regeln immer nur bis zu einem Match<br />
(zutreffende Regel) ab. Findet sich in der Reihe zuerst eine Regel, die die Weiterleitung<br />
zuläßt, so wird weitergeleitet. Wenn die Regel keine Weiterleitung zuläßt, dann wird das<br />
Paket verworfen <strong>und</strong> die folgenden Regeln nicht weiter abgearbeitet. Trifft keine der<br />
Regeln zu, dann wird es interessant. Der Kernel führt dann diejenige Regel aus, die der<br />
Policy entspricht. Steht die Policy auf allow, dann wird das Paket weitergeleitet, steht die<br />
Policy auf deny, dann wird das Paket verworfen. Also Achtung beim Hinzufügen oder<br />
Löschen von Regeln, wenn die default policy nicht auf deny steht. Das setzen der Policy<br />
auf deny sollte also unbedingt <strong>und</strong> unter allen Umständen zu allererst in den<br />
<strong>Firewall</strong>regeln erfolgen. Diese müssen sogar zu allererst gesetzt werden.<br />
Nun erlauben wir den Zugriff eines Hosts mit der IP - Nummer INTRA1 aus dem<br />
INTRANET auf die äußere Netzwerkkarte, EXTERNES_INTERFACE. Was bedeutet nun<br />
dieses ? Ein Host aus dem Intranet mit INTRA1 bezeichnet darf Pakete an<br />
LOKALES_INTERFACE, also der inneren Netzwerkkarte senden. Soweit verständlich. Der<br />
<strong>Firewall</strong> wurde erlaubt, an dem Interface LOKALES_INTERFACE Pakete anzunehmen,<br />
die <strong>für</strong> das Internet bestimmt sind. Soweit auch verständlich. Nun wird zugelassen, daß<br />
die <strong>Firewall</strong> diese angenommenen Pakete aus dem Intranet an das äußere Interface<br />
EXTERNES_INTERFACE sendet. Die Syntax lautet:<br />
Erlaube eingehende <strong>und</strong> ausgehende Pakete mit dem Ziel EXTERNES_INTERFACE, <strong>und</strong><br />
das <strong>für</strong> Pakete, die aus dem Intranet kommen. Die <strong>Firewall</strong> durfte stets Pakete aus dem<br />
Intranet annehmen, nun ist es der <strong>Firewall</strong> erlaubt, diese Pakete an die äußere<br />
Netzwerkkarte zu senden.<br />
Wie verhalten sich die Dämonen ? Diese hatten sich ja an alle Netzwerkkarten geb<strong>und</strong>en<br />
!? Sie sehen die Pakete vorbei huschen, fühlen sich aber nicht angesprochen, da die<br />
Zieladresse im Kopf des Paketes von dem Host aus dem Intranet ja <strong>für</strong> das Internet<br />
bestimmt ist, <strong>und</strong> nicht <strong>für</strong> den Dämon selber. Also kein echtes Problem.<br />
Welche Auswirkungen hat dies auf das forwarding ?<br />
#Forwarding von Paketen von LOKALES_INTERFACE an<br />
EXTERNES_INTERFACE<br />
ipfwadm -F -a -W $EXTERNES_INTERFACE -S $INTRANET<br />
Erstellt von Doc Gonzo - http://kickme.to/plugins