Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Fertig ist die neue masquerading Regel !
Während die ersten 3 Zeilen die Regeln für Input, Output und Forwarding listen (-l), ist die
letzte Zeile für das Accounting zuständig, also dem Zählen von Paketen, um z.B.
festzustellen, welcher Host viel surft. Wer DHCP im Einsatz hat, der sollte dafür sorgen,
daß MAC Adressen festen IP - Nummern zugewiesen werden...
9.11 Dienste mit UDP Protokollen
Ein Problem gibt es, wenn außergewöhnliche Protokolle die Firewall passieren müssen,
z.B. FTP, RPC, oder REALVIDEO/AUDIO. Hier zu mehr später.
Die Firewall, so wie oben konfiguriert, ist momentan, mit allen aktivierten Firewallregeln,
von außerhalb nicht angreifbar. Es existiert kein einziger offener Port, der angreifbar wäre.
Ganz anders sieht dies von innen aus. Hier ist jeder Port der Firewall von einem Host aus
dem Intranet aus erreichbar. Es bieten sich verschiedene Dienste an, wie z.B. Mail, POP3,
WWW, DNS, SMB- Fileservices, NOVELL - Server, PROXY Cache, u.s.w.
Auch an dieser Stelle möchte ich noch einmal betonen, daß auf der Firewall selber absolut
kein Dienst etwas zu suchen hat. Eine Firewall ist eine Firewall, jede weitere Software ist
ein Risiko. Leider halten einige Systemadministratoren das Risiko eines Angriffes auf die
Firewall über eine Arbeitsstation für gering. Dem kann ich im Prinzip zustimmen, wenn ich
selber nicht das Angriffswerkzeug in meiner Schublade hätte....
Betracht man einmal die Installation eines DNS - Servers auf der Firewall. Das DNS
Protokoll basiert auf TCP und auf UDP. UDP ist ein Protokoll, welches kein ACK Bit
benötigt. Dieses ACK Bit ist für die Firewall aber ein Zeichen, daß die Pakete passieren
dürfen, sofern vorher ein Paket mit SYN Bit aus dem Intranet in das Internet versandt
worden ist. Die Firewall speichert intern dann in einer HASH Tabelle, deren HASH - Werte
sich aus Port - und IP - Nummer errechnen. Auch hier ergeben sich bei billigen Firewalls
neue Angriffsmöglichkeiten, siehe auch die Ausführungen bei der SINUS-Firewall.
Genaugenommen ist das SYN Bit ein Zeichen für die Firewall, sich genau zu merken, von
welchem Host aus eine Verbindung aus dem Intranet zu einem Host ins Internet
aufgebaut werden soll, also für welchen Host aus dem Internet Antwortpakete zurück
erwartet werden. Die Pakete, die aus dem Intranet zurück in das Intranet gesendet
werden, ist durch das SYN Bit dann autorisiert. Die Firewall muß nur noch schauen, ob
diese ein ACK Bit besitzen, ob die Port - Adresse korrekt ist, und die IP - Nummer stimmt.
TCP Verbindungen benutzen nach dem 3-Wege Handshake, also dem
Verbindungsaufbau, höhere Ports über 1024, auch unpriviligierte Ports genannt. Leider
wurde diese Konvention, die aus Zeiten der BSD - Stacks noch stammt, von vielen
Herstellern aufgeweicht. UDP hingegen hat einen wesentlich kleineren Overhead und ist
somit viel schneller, insbesondere bei kleineren Datenmengen. Dafür besitzt es keinerlei
Möglichkeit, verlorene Pakete zu erkennen, und diese wie bei TCP evtl. nochmals neu
anzufordern. UDP Pakete benutzen die Ports, die für den Verbindungsaufbau verwendet
wurden, auch weiterhin, außer die Programme selber haben diesen Mechanismus
implementiert. Für die Erstellung von Prüfsummen ist ebenfalls das Programm selber
verantwortlich. Da UDP Pakete ein SYN/ACK Mechanismus besitzen, kann eine Firewall
bei diesen Paketen nicht feststellen, ob diese von einem Host im Intranet auch angefordert
worden sind. Entweder die UDP Ports auf der Firewall sind frei geschaltet, oder die
Antwortpakete aus dem Internet prallen an der Firewall ab. Für DNS muß als ein
intelligenter Mechanismus gefunden werden, der TCP und UDP Pakete miteinander
kombiniert, damit nicht alle UDP Ports auf der Firewall geöffnet werden müssen. IBM hat
diese Problem dadurch gelöst, daß generell der DNS Server mit TCP arbeitet. Andere
Hersteller haben komplexe Proxy´s eingeführt, die die Datenpakete zur Sicherheit filtern,
das generelle Problem mit UDP bleibt aber bestehen. Noch einfacher ist es, in der Datei
/etc/services die Zeile:
domain 53/udp nameserver
Erstellt von Doc Gonzo - http://kickme.to/plugins