Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

schirmt IP - Nummern hinter der Firewall ab, und ersetzt diese durch ihre eigene. Mehr
hierzu jedoch später. Warum sollte man Clients nicht erlauben, sich mit einer Portnummer
< 1024 an dem Server anzumelden. Das hat zum Teil historische Gründe. Bei der
Programmierung von BSD UNIX wurden definiert, daß alle Ports < 1024 privilegierte Ports
sind, die ausschließlich den UNIX Dämonen vorbehalten sein sollen. Alle anderen Ports
können entsprechend den Vorschlägen in den RFC´s genutzt werden. Diese findet man in
jeder LINUX Distribution im Verzeichnis /usr/doc/rfc. Da TCP Verbindungen sich nach
dem 3-Wege Handshake auf höhere Ports > 1024 verlagern, hat man dann also eine
sauberere Trennung zwischen Anwenderprogrammen und UNIX Systemprogrammen bei
der Nutzung der Ports. Ein Netscape Client, der sich von Port 3120 mit seiner IP -
Nummer an Port 80 des Servers anmeldet und akzeptiert wird, wird vom Serverdämon auf
einen höheren Port verlagert, beispielsweise 54123. Von nun an unterhalten sich
Netscape und der WWW-Server zwischen Port 3120 und Port 54123 des Servers.
Auf diese Weise kann man mit netstat -a einfach nach normalem Traffic (Verkehr)
zwischen Anwendungsprogrammen und wichtigem Verkehr zwischen UNIX Servern und
Routern im Internet unterscheiden. Nebenher fallen dann Verbindungsversuche von
Hackern oder Fehlkonfigurationen von Clients schneller auf. Viele der einfachen
Angriffswerkzeuge, die man im Internet findet, benutzen als Quellcode privilegierte Ports.
Wenn ein Angreifer mehr Ahnung hat, dann wird er die Quellcodes sicher anpassen, eine
Sicherheitsgarantie ist die Aufteilung der Ports in privilegierte und unprivilegierte ohnehin
nicht. Bei vielen UNIX Betriebsystemen und Microsoft - Programmen ist diese Regel
ziemlich aufgeweicht worden. Firma Microsoft hat aber in Windows NT über die Registry
eine Möglichkeit geschaffen, die Bereiche von verwendeten Ports einzelner Dienste
einzuschränken oder zu verlagern. Damit ist es nun möglich, bestimmte Dienste (PDC) in
bestimmte Portnummern zu verbannen und speziell zu überwachen. Da ein Angreifer die
Portnummern nicht kennen kann, kann der Systemadministrator schnell feststellen, ob ein
Angriff stattgefunden hat. Eine Ausnahme ist auch SSH, Secure SHell. SSH verlagert sich
nicht auf unpriviligierte Ports, sondern verbleibt im Bereich zwischen 512 und 1024. SSH
ist hervorragend geeignet, sichere point to point Verbindungen zwischen Hosts über das
Internet aufbauen zu können. Es kann als Ersatz von VPN´s, z.B. PPTP eingesetzt
werden. Insofern ist die Verwendung der privilegierten Ports kein Verstoß gegen die BSD -
Konventionen.
Windows NT im besonderen erlaubt durch gezielte Manipulationen in der Registry eine
Begrenzung von Ports auf einen bestimmten Bereich. Dies ist immer dann sinnvoll, wenn
sich Bereiche häufig benutzter Ports einiger Dienste überschneiden. Einem Client Zugriff
auf einen Server hinter einer Firewall zu geben, kann wegen möglichen buffer overflows
tödlich sein. Wenn also eine solche Konstruktion erwogen wird, dann ist immer eine zweite
Firewall mit einzuplanen, die eine weiteres Hindernis für einen Angreifer ist.
Betrachtet man nun den Zugriff aus dem Intranet auf Server im Internet:
# Erlaube WWW
ipfwadm -I -a accept -P tcp -k -W $EXTERNES_INTERFACE \
-S $ANYWHERE 80 -D $INTRANET $UNPRIVPORTS
Es wird hier ein besonderes Zeichen \ verwendet, auch META Zeichen oder Fluchtsymbol
genannt. Es soll dafür sorgen, daß das direkt darauffolgende ASCII Zeichen ignoriert wird.
Welches ? Das ist bei Editoren meist nicht sichtbar - Es ist das RETURN oder NEWLINE
Zeichen. Hiermit werden lange Zeilen umgebrochen, ohne daß die Shell bei der
Abarbeitung der Regeln in Schwierigkeiten mit der Interpretation der Zeichen gerät.
Es wird hier das Senden eines TCP Paketes aus dem Internet von Port 80 den Zugriff auf
einen Client innerhalb unseres Netzwerkes zugelassen, der Ports oberhalb von 1024
benutzt, z.B. Netscape.
Das "-k" hat eine sehr wichtige Bedeutung. Es bedeutet, daß alle Pakete das ACK Bit
gesetzt haben müssen, andern falls werden diese abgewiesen.
Erstellt von Doc Gonzo - http://kickme.to/plugins