Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

• Allow large windows erlaubt einen DoS Angriff in schnellen Netzwerken
(größer nx100 MBit), ansonsten ist dagegen nichts zu sagen, die
Performance wird erhöht.
• Bridging sollte unbedingt ausgeschaltet werden, da ansonsten die Pakete
nicht mehr gefiltert werden.
• Forwarding between high speed interfaces ist ähnlich dem fast switching,
allerdings mit Kontrolle über Bandbreiten. Diese Option sollte vorsichtshalber
ausgeschaltet bleiben, da noch keine Erfahrungen vorliegen. Das Problem mit
Jumbo Frames ist hier kritisch.
• IP: use TOS ist eine Option, die es erlaubt, dynamisch Bandbreiten in
Anhängigkeit des Protokolls zu regeln und z.B. das Routing
dementsprechend anzupassen. Dies birgt immer die Gefahr, daß
asymmetrische Routen auftauchen, welche in Firewalls zu Fehlermeldungen
führen können. Ansonsten ist hiergegen nichts einzuwenden, besonders
nicht, wenn man nur mit 2 Netzwerkadaptern arbeitet. (2 sind immer gut, 3 ist
immer einer zuviel)
• LOADABLE Module Support ist immer auszuschalten, da eventuell jemand
z.B. einen buffer overflow Attack im Appletalk Treiber entdecken könnte.
Dann bräuchte er nur ein Appletalk Paket an die Firewall zu senden, diese
würde den Treiber dynamisch laden - den Rest kann man sich denken.
• Bei schnellen GIGABIT Netzwerk-Adaptern besteht immer das Problem von
Windows Oversize/Large Windows. Man sollte hier entsprechend vorsichtig
sein.
• socket filtering ermöglicht es Usern, eigene Filter zu starten....Ausschalten.
12.6 Installation von ipchains im Kernel
In neueren Linux Distributionen mit Kernel 2.2, z.B. RedHat 5.2 ist ipchains bereits
aktiviert. Um dieses feststellen zu können, sollte man im Filesystem nach
/proc/net/ip_fw_chains suchen. Ist diese Datei vorhanden, so ist keine neue
Kompilierung des Kernels mehr notwendig. Der folgende Abschnitt kann also übergangen
werden.
Hier sind die Kernel Optionen für die Kernel Versionen 2.0 noch einmal grob angegeben.
Die genauen Optionen zur Einstellung des Kernels sind im Kapitel Kerneloptionen
genauer beschrieben. Hier also nur ein kleiner Überblick:
CONFIG_EXPERIMENTAL=y
CONFIG_FIREWALL=y
CONFIG_IP_FIREWALL=y
CONFIG_IP_FIREWALL_CHAINS=y
Für die Kernel Versionen 2.2:
CONFIG_FIREWALL=y
CONFIG_IP_FIREWALL=y
Das Konfigurations - und Administrationswerkzeug ipchains ist das Werkzeug zur
Kommunikation zwischen User und Kernel. Hierüber wird dem Kernel mitgeteilt, was er zu
filtern hat.
12.7 Beschreibung des ipchains Administrationswerkzeuges
Dieses Werkzeug ersetzt das ipfwadm Programm in älteren Linux Firewalls. Das Paket
enthält ebenfalls ein Shell - Skript, namens ipfwadm-wrapper, welches es erlaubt,
Erstellt von Doc Gonzo - http://kickme.to/plugins