Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Hier werden alle TCP Pakete zugelassen, die von dem internen Host 192.168.1.1
ausgehen, und an beliebige Hosts im Internet adressiert sind. Für diesen Host werden
dann Antwortpakete aus dem Internet zurück erwartet. Ein direkter Zugriff aus dem
Internet auf den Host im Intranet ist nicht möglich.
Auch hier kann der Sinn der Option logisch invertiert werden. Ein vorangestelltes
Ausrufezeichen, wie hier im Beispiel:
-p TCP -s 192.168.1.1 ! -y
besagt, daß alle Hosts aus dem Internet auf den Host im Intranet zugreifen dürfen, von
diesem aber keine Verbindung zu einem Host in das Internet aufgebaut werden darf. Das
macht immer dann einen Sinn, wenn z.B. ein Datenbankserver im Internet gesichert
werden soll. Für den Fall, daß es einem Angreifer gelungen ist, mit einem buffer overflow
an eine Rootshell unter UNIX zu gelangen. Will er nun mit einer FTP-Verbindung die
Daten entführen, so wird dies von der Firewall unterbunden. Der Angreifer muß also noch
erhebliche Mühen investieren. Die Firewall hätte den Entführungsversuch dann aber
bereits registriert.
IP-Fragmente
In vielen Fällen ist ein Paket zu groß, um direkt von dem Interface aufgenommen werden
zu können. Daher wird es in kleine Fragmente aufgeteilt und versendet. Am anderen Ende
müssen diese Fragmente wieder zusammengesetzt, also reassembliert werden, wie es in
Fachsprache heißt.
Es gibt eine Reihe von Angriffsvarianten, die auf verschachtelten, IP-Fragmenten mit
verschiedenen Offsets beruhen. Um diese Angriffe zu verhindern, ist es unerläßlich, daß
der der Kernel diese IP-Fragmente vor der Weiterleitung an die Filter vollständig
reassembliert. Bei der Kompliation des Kernels ist also beim Aufbau einer Firewall
strengstens darauf zu achten, daß die Option: IP: always defragment aktiviert wird.
Beim Einsatz als Router oder Switch wird sich diese Option negativ auf die Performance
aus.
Dieser Tatsache wird in den Filterregeln Rechnung getragen. Das erste Fragment trägt
den Header mit allen Informationen über IP-Adresse, Ports, Flags, Protokoll.....Alle
weiteren Pakete sind für die Firewall nicht zuzuordnen und werden daher generell
abgelehnt. Falls es also Probleme mit der Übertragung von Paketen kommt, ist die
fehlende Defragmentierung auf der IP-Ebene die Ursache.
Es ist aber möglich, mit Hilfe des -f flag Regeln für TCP Pakete ohne SYN-Flag das
Passieren der Firewall zu erlauben. Dies kann insbesondere dann der Fall sein, wenn die
Firewall als Router oder als Firewall-Switch eingesetzt wird.
Eine Invertierung mit dem Ausrufezeichen ist für die Option -f erlaubt.
Short Frames, oder auch malformed packets werden vom Kernel als Fragmente
behandelt. Diese können auch bei defekten Netzwerkkarten auftreten. Hier werden
Logeinträge vorgenommen, also Vorsicht bei der Interpretation dieser Einträge.
Folgendes Beispiel beschreibt eine Firewallregel, die alle Fragmente verwirft, die als
Zieladresse die interne IP - Nummer 192.168.1.1 beinhalten.
ipchains -A output -f -D 192.168.1.1 -j DENY
Pakete, die über große Strecken aus dem Internet an z.B. die Firewall herangetragen
werden, sind häufig fragmentiert. Pakete aus der unmittelbaren Nähe sind niemals
Erstellt von Doc Gonzo - http://kickme.to/plugins