Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

ausgeschaltet werden, oder sie erfordert den Einsatz einer zweiten Firewall
im Intranet, welche Multicast Pakete unterbindet, jedoch die in der ersten
Firewall entpackten IP-Pakete (Video/Musik) zu den Hosts im Intranet
weiterleitet und überprüft. Auch dies ist ein Grund, warum gute Firewall -
Konstruktionen immer aus zwei Firewalls bestehen müssen. Wer nur eine
Firewall einsetzt, der sollte Multicasting unter allen Umständen ausschalten,
da ansonsten Angreifer mit IPoverIP Paketen zu Servern hinter der Firewall
durchdringen können.
• Die Option IP: equal cost multipath erlaubt es, für Subnetze getrennte
Routen einzutragen. Damit könnte es Probleme bei SOURCE ROUTED
PAKETS geben. Abschalten.
• IP: verbose route monitoring unbedingt anschalten. Man erhält wertvolle
Informationen über das Routing (nur wenn man mehrere Netzwerkkarten (>2)
betreibt, natürlich)
• Die Option IP:firewall packet netlink device dient dazu, die
Statusinformationen beim Einsatz von IPCHAINS auszulesen, um z.B.
counter intelligence Maßnahmen zu ergreifen. Siehe hierzu auch den
entsprechenden Abschnitt bei der SINUS Firewall. Diese Option kann auch
dazu verwendet werden, Pakete für bestimmte Netze an ein Device zu
übergeben, wo sie z.B. verschlüsselt oder gefiltert werden können. Auch als
Monitor ist diese Option verwendbar, z.B. mit TCPDUMP. Abschalten.
• IP: Always defragment ist obligatorisch immer einzuschalten, da ansonsten
Angriffe mit Fragment-Offsets drohen. Auch Masquerading funktioniert nicht
ohne diese Option.
• IP: Transparent PROXY ist soweit ok, sofern nicht spezielle Protokolle, wie
z.B. FTP, SSL-3 oder Real-Video eingesetzt werden. Diese funktionieren
natürlich nicht. Siehe Abschnitt über Protokolle.
• IP: Masquerading wird unweigerlich mit der Option IP: fast network
address translation kollidieren. NAT ist eine Adaption von N:M Hosts,
Masquerading eine Adaption von 1:M Hosts. Da Masquerading mehr
spezielle Protokolle unterstützt, sollte man Masquerading gegenüber NAT
bevorzugen.
• IP: FAST NETWORK ADDRES TRANSLATION ermöglicht es, M interne
Hosts auf N externen Hosts abzubilden. Hierbei ist M