Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Nochmals zur Erinnerung: Beim Verbindungsaufbau mit SYN-Bit, danach werden alle
Pakete nur noch mit gesetztem ACK Bit ausgetauscht. Im Grunde bedeutet dies, daß zwar
Pakete aus dem Internet in unser Intranet akzeptiert werden, aber keinen
Verbindungsaufbau aus dem Internet zu einem der Hosts im Intranet möglich ist. Eine
genaue Liste von Protokollen, Ports und Regeln findet sich im Anhang über Firewallregeln
Pakete mit ACK Bit werden also nur dann akzeptiert, wenn ein SYN Paket aus dem
Intranet zu dem Host im Internet übertragen wurde. Die Firewall merkt sich diese Adresse
und erlaubt dann den Partnern, weiterhin Pakete untereinander auszutauschen. Kurz
gesagt, die Firewall öffnet die Ports nur dann, wenn jemand aus dem Intranet surfen
möchte. Genau das war das Ziel.
Nun werden noch Regeln für Browser hinzugefügt:
# Erlaube HTTPS und PROXY
ipfwadm -I -a accept -P tcp -k -W $EXTERNES_INTERFACE \
-S $ANYWHERE 443 8080 3128\
-D $INTRANET $UNPRIVPORTS
Hier wird die Übertragung von Ports 443 und 8080 aus dem Internet zu einem Client im
Intranet zugelassen. Auch hier muß die Verbindung von innen initiiert worden sein. (-k)
Die Schreibweise ist nun so, daß mehrere Ports hintereinander angeben werden können,
das IPFWADM Toolkit interpretiert dieses korrekt. Ports 443 werden für die sichere
Übertragung von Daten über das Internet verwendet (Der Schlüssel links unten im
Browser schließt sich), was aber nicht bedeutet, daß die Daten, z.B. Kreditkartennummern
am Zielort auch sicher aufgehoben sind. Port 8080 und 3128 sind gebräuchliche Ports für
HTTP-PROXY-CACHES, die viele Seiten aus dem Internet zwischen gespeichert haben,
und somit für eine beschleunigte Übertragung sorgen. Wer z.B. mit ISDN surft, sollte nur
über Profis surfen. Es verhindert Angriffe auf den TCP/IP Stack von Microsoft
Betriebssystemen. Außerdem geht es schneller und der Provider spart Kosten ein. Bei der
Angabe des Proxies im Browser sollte man es einmal mit proxy.provider.de, auf den
beiden oben erwähnten Ports versuchen.
Wir haben nun einige Ports betrachtet. UNIX verfügt aber über ein unglaubliche Zahl von
Diensten, sodaß man wirklich alle abschalten sollte, von denen man nicht definitiv weiß,
ob sie bei falscher Konfiguration ein Sicherheitsproblem darstellen. Allgemein sollte man
sich an der UNIX Computer Security Checklist von AUSCERT oder dem DFN-Verein in
Hamburg orientieren. Diese ist zwar etwas veraltet, das ist aber UNIX auch im Prinzip,
auch wenn einige Benutzeroberflächen sehr modern aussehen. Das Grundprinzip bei
UNIX ist seit den 70er Jahren nicht mehr verändert worden. Eine große Hilfe ist das
Grundschutzhandbuch des BSI (http://www.bsi.bund.de) sein.
Um jedoch eine sichere Firewall aufzubauen, sei jedermann/frau dringenst geraten, so
konservativ, wie möglich mit der Freigabe von Ports auf der Firewall zu verfahren.
Dasselbe gilt insbesondere für Dienste auf der Firewall selber. In der Vergangenheit
haben unzählige Einbrüche über Dämonen, wie z.B. sendmail, pop3, http...gezeigt, daß
ein Angreifer über trojanische Pferde auf den Arbeitsstationen auch die Firewall selber
angreifen kann.
9.14 Gefahren mit Ports > 1024
Es gibt aber noch ein paar Gefahren bezüglich der Freigabe von unpriviligierte (>1024) auf
der Firewall. Per Definition sind die Dienste von X-Windows (6000+), OpenWindows
(2000+) und NFS (TCP und UDP 2049) also oberhalb der privilegierten Ports angesiedelt.
Wenn also schon Ports freigegeben werden müssen, dann sollten unbedingt diese Ports
ausdrücklich ausgeschlossen werden. Ein häufiger Fehler in größeren Netzwerken ist, daß
Erstellt von Doc Gonzo - http://kickme.to/plugins