Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Filterung von ICMP
ICMP besitzt zwar Optionen als Argument, diese bezeichnen aber keine Portnummern,
sondern beziehen sich auf Codes. Eine Invertierung, wie bei obigen Protokollen, ist nicht
erlaubt.
ICMP Codebezeichnungen sind recht lang, daher werden häufig nur die
Kurzbezeichnungen angegeben.
Number Name Funktion
0 echo-reply ping
3 destination-unreachable Router, Clients
5 redirect Router
8 echo-request ping
11 time-exceeded traceroute
Keinesfalls sollten alle ICMP Pakete in Firewalls gesperrt werden. Der Code Nummer 3,
destination unreachable ist ein unentbehrliches Hilfsmittel für korrektes Routing. Es
könnten so eventuell Leitungen überlastet werden, insbesondere ISDN.
Die Zuordnung der Netzwerkkarte
Die Option -i ordnet eine Regel eindeutig einem Interface zu.
Im Gegensatz zu dem alten Firewall-Kernel ist es hier erlaubt, bereits eine Regel für ein
Interface zu definieren, bevor es überhaupt existiert. Diese Eigenschaft erlaubt es, Regeln
für ISDN-Interfaces aufzusetzen, ohne deren IP - Nummer zu kennen. Das trifft
insbesondere auf dial on demand ISDN-Leitungen zu, deren IP - Nummer erst nach der
Einwahl vergeben wird.
Bei der Bezeichnung der Interfaces sind auch wildcards erlaubt, wie z.B. ippp+ oder
ppp+ oder eth+.
Die Invertierung der Interface Bezeichnungen mit einem Ausrufezeichen ist erlaubt. Dies
bedeutet insbesondere, daß mit ! eth+ alle Interfaces, außer den Netzwerkkarten gemeint
sind. Die Regeln treffen dann beispielsweise auf alle ISDN-Interfaces zu.
Filterung von TCP Paketen
Manchmal ist es sinnvoll, Verbindungen nur in eine Richtung zuzulassen. So ist es die
Regel, den Datenverkehr aus dem Intranet zu Servern im Internet zuzulassen, ohne daß
jedoch ein Angreifer aus dem Intranet Zugriff auf den Host im Intranet hat.
Der naive User würde also alle TCP Pakete, die aus dem Internet an der Firewall
ankommen, verwerfen. Unglücklicherweise sollten nach einem Verbindungsaufbau die
Antwortpakete die Firewall passieren dürfen.
Die Lösung ist, nur Pakete zu sperren, die erforderlich sind, um eine Verbindung
aufzubauen. Diese haben per Definition das SYN Flag gesetzt. Alle Antwortpakete haben
das ACK Flag gesetzt. Die Firewall merkt sich also, ob eine Verbindung von innen in das
Internet initiiert wurde, und ob Antwortpakete zurück erwartet werden.
Die Option -y ist genau für diesen Zweck bestimmt worden. Diese Option ist nur und
ausschließlich bei TCP Protokollen möglich und sinnvoll:
-p TCP -s 192.168.1.1 -y
Erstellt von Doc Gonzo - http://kickme.to/plugins