Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Für diejenigen, die sich bereits mit dem ipfwadm Toolkit unter Linux 2.0 auskennen, seien
die Ergänzungen in dem Abschnitt Unterschiede zwischen ipchains und ipfwadm und den
Abschnitt Wie man den `ipfwadm-wrapper' einsetzt empfohlen.
12.1 Was ist ipchains ?
Linux 2.2 ipchains ist eine komplette Neuentwicklung des Linux IPv4 Firewall Codes,
der hauptsächlich auf den Quellen von BSD 4.4 mit all seinen herausragenden
Eigenschaften beruht. Es ist eine Portierung des ipfw Toolkits, welches aus der Feder
von Darren Reed stammt, der auch an den Portierungen auf Solaris 2.5/2.6/2.7 und den
BSD Derivaten NetBSD, OpenBSD und FreeBSD mitgewirkt hat.
12.2 Verbesserungen in Linux 2.2
Der ältere Linux Firewall Code besaß einige Einschränkungen, wie z.B. 32 Bit Counter für
die TCP/IP Sequenznummern, die insbesondere bei HiSpeed Netzwerken schnell zu
einen wrap around führten. Dies ermöglichte einige neue Arten des session
hijacking.
Desweiteren konnte der ältere Linux Kernel nicht andere Protokolle, wie IPX oder SPX
handeln. Es fehlten darüber hinaus inverse Filterregeln und Eigenschaften, wie port
redirection. Das komplette Design der Filterregeln wurde von der unübersichtlichen
Vermischung von Regeln für IP-Adressen und Regeln für Ports zu einem Design mit
Ketten (chains) von Filterregeln hin verändert. Die Chains verfolgen eine gänzlich andere
Architektur, sodaß es zwar möglich ist, die Regeln von ipfwadm fast 1:1 zu übersetzen
(z.B. mit ipfwad2ipcheins), man aber das Design überdenken sollte, insbesondere
hinsichtlich der Wartbarkeit. Die Managebarkeit der Firewall Regeln konnte somit
erheblich verbessert werden.
12.3 Update von Linux 2.0 Kerneln ?
Momentan wird ipchains in allen neuen 2.2 er Kerneln mitgeliefert. Für Kernel 2.0.35
und 2.0.36 gibt es jedoch einen Patch, sodaß der Umstieg auf den kompletten Kernel 2.2
mit glib2 nicht erforderlich ist. Dieser Patch ist allerdings inkompatibel zu den Funktionen
ipportfw und ipautofw, sodaß diese Funktionen beim Kompilieren des Kernels deaktiviert
werden müssen. Wer diese ohnehin nicht benötigt, der kann sich viel Arbeit sparen.
12.4 Die Homepage von IPCHAINS
Die offizielle Homepage ist: The Linux IP Firewall Chains Page
Hier findet sich auch eine Mailing Liste für BUGS, Diskussionen und Programmierung der
Firewall. Um sich anzumelden, sollten man eine e-Mail an die Adresse ipchainsrequest@wantree.com.au
senden. Im Inhalt der e-Mail sollte "subscribe" stehen (nicht im
Subject!). Um an die Liste zu mailen, kann wie üblich eine e-Mail an die Adresse
ipchains@wantree.com.au gesendet werden.
12.5 Fallstricke mit Kernel Optionen für LINUX 2.0 und 2.2
Die Vielzahl von Adaptern und möglichen Kernel-Einstellungen sind für Anfänger nicht nur
verwirrend, sondern können auch die Firewall völlig unsicher machen. Hier eine
Diskussion der Probleme bei einigen Kernel - Einstellungen:
Erstellt von Doc Gonzo - http://kickme.to/plugins