Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Welches Problem existiert sonst noch ? Eine Verletzung der Grundregeln:
Es kommt entscheidend auf die Reihenfolge der Regeln an. Diese werden der Reihe nach
abgearbeitet. Trifft eine Regel zu, dann wird das Paket freigegeben, auch wenn eine
spätere Regel diese Regel wieder aufhebt, da nach einem Match (zutreffende Regel) die
Firewall die Regeln nicht weiter durchläuft. Anti spoofing Regeln müssen alle vor allen
anderen Regeln abgearbeitet werden.
Darum sollte man sich merken: Die Reihenfolge des gesamten Regelwerkes ist nicht
beliebig. Eine Besonderheit stellen aber die anti spoofing Regeln dar. Diese wirken
ausschließlich auf den IP - Stack (nicht TCP - Stack!). Diese müssen immer zuerst in den
Firewallregeln erscheinen. Da die Firewallregeln der Reihe nach abgearbeitet werden,
scheitern gespoofte Pakete schon an der ersten Firewallregel im IP-Stack. Die Pakete
können daher nicht an den TCP Stack weitergegeben werden, da diese unverzüglich
vernichtet werden. Der Unterschied liegt in der Wirkung der Firewallregeln auf den IP-
Stack und auf den TCP Stack. Anti Spoofing Regeln wirken nur auf den IP-Stack, die
anderen Regeln wirken auch auf den TCP Stack. Es ist wichtig, diese Tatsache
verstanden zu haben, auch wenn hier zwei völlig voneinander unabhängige Funktionen
mit ein- und demselben Werkzeug administriert werden. Da im Kernel bei eintreffenden
Paketen immer zuerst der IP-Stack zuständig ist, und dann erst der TCP Stack, erreichen
diese Pakete den TCP Stack nicht. Dies hat zur Folge, daß die Firewall erheblich schneller
arbeitet. Siehe auch Firewall Tuning. Es ist wichtig, daß man beim Aufbau der Firewall ein
wenig versucht, mit der Default Policy und Firewallregeln herum zu spielen. Wer die
Thematik als Systemadministrator der Firewall begriffen hat, der sollte auch stets seinen
Stellvertreter in die Problematik einweihen, damit nicht bei vermeintliche "kleinen"
Änderungen große Katastrophen eintreten.
9.10 Masquerading und NAT
Das Maskieren von Paketen findet im Kernel der LINUX Firewall statt. Sämtliche
Adressen, die im Intranet verwendet werden, werden beim Forwarding mit der IP -
Nummer der Firewall selber versehen. Sie erhalten die IP-Adresse von dem
Netzwerkinterface EXTERNES_INTERFACE. Hierzu baut die Firewall eine Tabelle aller
aktiven Verbindungen Internet Hosts in das Internet auf. Zurückkommende Pakete können
somit den Hosts im Intranet korrekt zugeordnet werden. Masquerading ist ähnlich NAT
(Network Address Translation). Der Unterschied liegt nur darin, daß bei NAT m interne IP -
Nummern n externen IP - Nummern zugeordnet werden (wobei n kleiner als m). Bei
Masquerading ist nur m=1 zugelassen, d.h. n interne Netzwerknummern werden auf 1
externe IP-Nummer abgebildet. NAT Patches für die Kernel 2.0 und 2.2 sind aber im
Internet verfügbar. Da masquerading im Kernel bei dem forwarding-Code stattfindet,
liegt es nahe, das Masquerading bei den forwarding Regeln zu aktivieren. Für
Masquerading gibt es im LINUX Kernel zahlreiche PROXY´s, die spezielle Protokolle
implementiert haben, z.B. den PASV Mechanismus bei FTP. Alle NAT Implementierungen
unter LINUX können nicht mit diesen Proxy´s zusammen betrieben werden, daher
funktionieren einige Protokolle nur eingeschränkt (PASV FTP, CUSEEME, QUAKE). Der
transparente Proxy funktioniert allerdings auch mit NAT, was bedeutet, daß alle TELNET
basierten Protokolle ohne Probleme funktionieren.
Forwarding von Paketen von LOKALES_INTERFACE an EXTERNES_INTERFACE
ipfwadm -F -a -W $EXTERNES_INTERFACE -S $INTRANET
Es muß nur das Wörtchen masquerade eingefügt werden ! So einfach kann die Welt sein:
Forwarding von Paketen von LOKALES_INTERFACE an EXTERNES_INTERFACE
mit masquerading
ipfwadm -F -a masquerade -W $EXTERNES_INTERFACE -S $INTRANET
Erstellt von Doc Gonzo - http://kickme.to/plugins