Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

• Unterbinde allen Netzwerkverkehr aus dem Netzwerk 10.0.0.0 für die IP -
Nummern 10.0.0.1 bis 10.255.255.254 (/8 Option) nach überall (0.0.0.0/0) hin
• Eingehende ICMP Pakete werden akzeptiert (0,3,4,11,12)
• Eingehende PING Pakete werden nur von internen Hosts akzeptiert (8)
• TCP Pakete von einem externen Interface, die NFS, Openwindows oder X-
Windows ansprechen, werden abgelehnt
• Jedes UDP Paket aus dem internen Netzwerk, welches auf den NFS Server
zugreifen möchte, wird abgelehnt
• DNS loopkup und reverse lookups werden erlaubt
• WWW- Verbindungen aus dem Internet werden zugelassen
10.4 Das Testen der Regeln
Dem Test der Regeln kommt stets eine besondere Bedeutung zu. Es ist nicht notwendig,
von außerhalb aus dem Internet einen Portscanner zu bemühen, um festzustellen, ob
auch alle Regeln korrekt arbeiten. Hierzu gibt es in LINUX die Möglichkeit, mit ipfwadm
diese Regeln sofort zu testen, ohne Netzwerkanschluß. In einem späteren Kapitel werden
einige Vorzüge von Scannern behandelt.
ipfwadm -c berichtet, ab eine Regel zutrifft, oder nicht. Hierzu muß man einige Testpakete
simulieren.
INTERXY ist durch eine beliebige IP - Nummer aus dem Internet zu ersetzen, INTRA1
muß eine IP - Nummer aus dem Intranet sein.
ipfwadm -I -c -P udp -W eth0 -V INTERXY -S any/0 53 -D INTRA1 53
Dieser Test prüft die eingehenden Regeln für UDP Pakete an dem Interface eth0, ob es
DNS Pakete hineinläßt.
ipfwadm -I -c -k -P tcp -W eth0 -V INTERXY -S any/0 20 -D INTRA1 6000
Hier wird getestet, ob Pakete mit ACK Bit, also der Datenstrom nach einem
Verbindungsaufbau aus dem Intranet von Port 20 eines Hostes aus dem Internet zu einem
Host auf Port 6000 im Intranet erlaubt ist.
10.5 Zählen von Paketen (Accounting)
Das Zählen von Paketen ist recht einfach. Hier ein Beispiel:
ipfwadm -A -a -P tcp -S 0/0 -D 10.0.0.1 21
ipfwadm -A -a -P tcp -S 0/0 -D 10.0.0.1 20
ipfwadm -A -a -P tcp -S 10.0.0.1 21 -D 0/0
ipfwadm -A -a -P tcp -S 10.0.0.1 20 -D 0/0
Dieses Beispiel zählt den FTP Traffic zum und vom Server 10.0.0.1 nach überall hin. Port
20 ist der Datenkanal, über den die Pakete laufen, Port 21 ist der Verbindungskanal für
FTP. Die Option -A steht für Accounting, die Option -a für append. Werden die
Accounting-Regeln gerade neu aufgesetzt, so muß das -a durch -i ersetzt werden. Die
Regeln kann man mit ipfwadm -Af alle geleichzeitig löschen. Zum Löschen von einzelnen
Regeln lesen Sie bitte die Hilfe durch: ipfwadm -h, oder schauen Sie auf der Site
http://www.xos.nl das ausführliche Handbuch durch.
ipfwadm -A -a -P tcp -S 0/0 -D 10.0.0.1 53
ipfwadm -A -a -P udp -S 0/0 -D 10.0.0.1 53
ipfwadm -A -a -P tcp -S 10.0.0.1 53 -D 0/0
ipfwadm -A -a -P udp -S 10.0.0.1 53 -D 0/0
Erstellt von Doc Gonzo - http://kickme.to/plugins