Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Es wird der Firewall erlaubt, Pakete mit Quelladresse INTRANET "-S" an das Interface
EXTERNES_INTERFACE, also dem äußeren Interface, weiterzuleiten. Oops, etwas
verwirrend.....
Schauen wir uns die Regeln noch einmal in der Zusammenfassung an:
# Default Policy
1 ipfwadm -I -p deny
2 ipfwadm -O -p deny
3 ipfwadm -F -p deny
# Das loopback Interface
4 ipfwadm -I -a accept -W $LOOPBACK
5 ipfwadm -O -a accept -W $LOOPBACK
# Erlaube ein- und ausgehenden Verkehr
6 ipfwadm -I -a accept -W $LOKALES_INTERFACE -S $INTRANET
7 ipfwadm -O -a accept -W $LOKALES_INTERFACE -D $INTRANET
# Erlaube Internet - Datenaustausch mit einem Host aus dem Intranet
8 ipfwadm -O -a accept -W $EXTERNES_INTERFACE -S $INTRANET
9 ipfwadm -I -a accept -W $EXTERNES_INTERFACE -S $INTRANET
# Forwarding von Paketen von LOKALES_INTERFACE an
EXTERNES_INTERFACE
10 ipfwadm -F -a -W $EXTERNES_INTERFACE -S $INTRANET
In Regel 6 und 7 finden sich weitere Parameter. Der Parameter -S in Regel 6 besagt, daß
die Pakete mit Quelladresse (-S = Source) aus dem Intranet auf das LOOPBACK
INTERFACE zugreifen dürfen. In Regel 7 ist der Parameter -D dafür da, um die
Zieladresse (-D = Destination) zu bestimmen. Normalerweise müßte man immer genau
angeben, von wo und nach wo. Wenn aber einer der Parameter -S oder -D weggelassen
wird, dann ist in Gedanken immer ein -S 0/0 oder ein -D 0/0 hinzuzufügen. Alternativ kann
man auch 0.0.0.0 statt 0/0 schreiben. Dies ist der Ersatz für: von überall oder nach überall.
Die Regel 6 müßte also genau heißen:
6 ipfwadm -I -a accept -W $LOKALES_INTERFACE -S $INTRANET -D 0.0.0.0
oder
6 ipfwadm -I -a accept -W $LOKALES_INTERFACE -S $INTRANET -D 0/0
Alle drei Schreibweisen sind identisch.
9.8 SPOOFING !
Es ist nun alles verboten, was nicht ausdrücklich erlaubt ist. Der Host mit der IP - Nummer
INTRA1 kann also sicher surfen.
Achtung, von Sicherheit kann hier noch nicht die Rede sein !
Was ist, wenn ein Host mit einer IP-Adresse aus dem Intranet (INTRANET) von außerhalb
Pakete an EXTERNES_INTERFACE sendet ? Hierzu muß man sich das Regelwerk noch
einmal anschauen........die Regel 8:
ipfwadm -O -a accept -W $EXTERNES_INTERFACE -S $INTRANET
Erstellt von Doc Gonzo - http://kickme.to/plugins