Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

• Fast Switching Ein Problem beim Tuning von LINUX sind die sogenannten
Jumbo Frames oder Large Frames, die mit einer MTU > 9000 Bytes arbeiten.
Es gibt im Kernel von LINUX 2.0 und 2.2 eine Option zusammen mit dem
Einsatz von Myrinet, DEC, 3COM GIGABIT Adapter, die es erlaubt, diese
sogenannten Jumbo-Pakete direkt über den PCI-BUS von Adapter zu
Adapter weiterzuleiten. Diese Option wird im Kernel von LINUX 2.0 oder 2.2
"fast switching" genannt und verhindert, daß der Kernel bzw. die Firewall -
Routinen überhaupt angesprochen werden. Das bringt natürlich einen
erheblichen Gewinn an Geschwindigkeit. Pakete mit kleiner MTU (< 1500)
werden hingegen in jedem Falle gefiltert, Jumbo Frames in Abhängigkeit der
Kernel - Einstellungen nicht. Das steht zwar nirgendwo in der Dokumentation
von LINUX, aber im Quellcode (Ich habe lange danach gesucht, warum
Jumbo Frames nicht gefiltert werden....).
• Ein weiteres Problem betrifft Kernel 2.2 und die Option IP: advanced router.
Hier kann versehentlich die Option rp_filter für Spoofing - Detection
abgeschaltet werden (z.B. mit sysctrl). Dieses sollte man erst gar nicht
zulassen, indem man diese Option abschaltet und den Kernel neu kompiliert.
• Die Option optimize as router not host bei den Kerneln 2.0 und 2.2 sollte
unbedingt ausgeschaltet werden, da hierbei wichtige Prüfsummen - Checks
auf IP-Ebene sonst entfallen. Dies ist insbesondere bei Einsatz von
IPFWADM und IPCHAINS zwar mit kleinen Geschwindigkeitseinbußen
verbunden, verhindert aber eine Vielzahl von möglichen Angriffen. Ohne
Überprüfung der IP-Checksumme können Angreifer geziel Pakete
konstruieren, die Server hinter der Firewall mit einem DoS Angriff belegen.
• IP: large routing tables muß aktiviert werden, wenn man mehr als 64
Routing-Einträge verwalten muß.
• IP: verbose route monitoring Übergibt ausführliche Routing Informationen
an den SYSLOGD.
• IP: policy routing ermöglicht das Routing nicht anhand der Ziel-Adresse,
sondern auch anhand der Quelladresse. Dies ermöglicht es, Pakete für
einzelne Hosts getrennt zu routen, und diese eventuell speziell zu filtern.
• ARPD support kann ausgeschaltet bleiben, es sei denn, man muß in großen
Netzwerken den ARPD einsetzen, da der Kernel nur eine bestimmte Anzahl
von Adressen behält. Diese Option beschleunigt LINUX, wenn viele Clients
auf den Server/Router/Firewall zugreifen, da nicht jedesmal ein ARP
Broadcast für eine vergessen Hardwareadresse ausgesandt wird. Auch die
Netzwerklast wird durch den Einsatz des ARPD geringer. Das macht sich
insbesondere beim Einsatz von Netzwerkkarten mit zu kleinem ARP Cache
bemerkbar.
• GRE tunnels over IP (Kernel 2.2) erlauben das Tunneln von IPv6 CISCO
Router Informationen über IPv4. Da diese Pakete (IPv6 oder IPv4) nicht
gefiltert werden können, ist entweder die Option auszuschalten, oder man
muß IPSec Protokolle einsetzen.
• GRE broadcast over IP erlaubt es, CISCO Broadcast Protokolle über LINUX
Router hinweg zu transportieren. Mit aktivierten GRE Einstellungen kann man
mit LINUX Unternehmen vernetzen, und dafür sorgen, daß alle CISCO Router
weiterhin untereinander kommunizieren können, z.B. für die Überwachung
einer Security Policy unternehmensweit.
• IP: tunneling erlaubt nach dem SUN Standard IPoverIP Pakete zu
versenden. Damit kann man über eine ISDN Standleitung Netzwerke
miteinander verbinden.
• Multicast Routing ist eine interessante Einstellung. Wenn die Pakete
zulassen werden, können IP-Pakete an Hosts im Netzwerk adressiert werden,
indem diese in Multicast Pakete verpackt werden. Diese Pakete werde
teilweise schon in den Netzwerkkarten mit voller Hardwareunterstützung
geroutet (DEC, SMC, HP, WAVELAN). Diese Option sollte entweder
Erstellt von Doc Gonzo - http://kickme.to/plugins