Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

12.9 Die Programmierung von ipchains.
Zuerst sollte man die Versionsnummer von ipchains in Erfahrung bringen:
$ ipchains --version
ipchains 1.3.8, 27-Oct-1998
ipchains ist hervorragend dokumentiert. Insbesondere die Manpages sind sehr
ausführlich. (man ipchains) Wer mehr über das Administrationswerkzeug wissen
möchte, der sollte sich auch über ipfw informieren man 4 ipfw), oder die Quellcodes im
Kernel selber einmal durchschauen, was aber Kenntnisse in der Programmiersprache C
erfordert. Die Datei ist: /usr/src/linux/net/ipv4/ip_fw.c
Insbesondere sei aber die Referenzkarte von Scott Pronson in dem Quellpaket empfohlen,
die im Postscript Format vorliegen.
Mit ipchains kann man verschiedenste Dinge regeln. Zuerst einmal kann man die
Regeln in drei verschiedenen chains managen: input, output und forward. Letztere
kann man nicht löschen.
1. Eine neue chain erzeugen (-N).
2. Eine leere chain löschen (-X).
3. Die Policy für eine eingebaute chain ändern (-P).
4. Alle Regeln in einer chain listen (-L).
5. Alle Regeln in einer chain löschen (-F).
6. Alle Pakete und Paketzähler in der chain zurücksetzen (-Z).
Es gibt verschiedene Wege, eine Regel in einer chain zu verändern:
1. Eine Regel an eine chain anfügen (append) (-A).
2. Eine Regel in einer chain einfügen (insert) (-I).
3. Eine Regel in einer chain ersetzen (replace) (-R).
4. Eine Regel in einer chain löschen (delete) (-D).
5. Die erste Regel, die zutrifft in einer chain löschen (-D).
Es gibt noch ein paar weitere Optionen für das Masquerading:
1. Zeige die momentan maskierten Regeln an (-M -L).
2. Setze Timouts auf maskierte Pakete (-M -S). (Hinweis: I can't set
masquerading timeouts!).
Die eventuell wichtigste Funktion erlaubt die Überprüfung der Regeln, hierzu mehr später.
Aufsetzen einer Regel
Die am häufigsten verwendeten Befehle werden sicher das Anhängen und Löschen von
Regeln sein. Die anderen Befehle, wie das Einfügen und Ersetzen von Regeln sind
einfach nur Varianten.
Jede Regel definiert einen Satz von Bedingungen, die, wenn sie die Regel erfüllen,
angeben, wie mit dem Paket weiter zu verfahren ist.
127.0.0.1 ist per Definition das loopback interface, welches von vielen UNIX
Programmen immer dann benutzt wird, wenn kein Netzwerk- Interface zur Kommunikation
von Programmen untereinander zur Verfügung steht. Die Programme binden sich
normalerweise an alle Interfaces gleichzeitig. Der Befehl ping sendet ein Paket vom Typ
Erstellt von Doc Gonzo - http://kickme.to/plugins