Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Es ist wichtig, zu erwähnen, daß die Anweisung RETURN in einer Regel in einer der
eingebauten chains durchaus sinnvoll ist, wenn das Paket eine Regel erfüllt. In diesem
Falle werden die Anweisungen der policy ausgeführt.
Optionen für Masquerading
Es gibt für Masquerading einige anwendbare Parameter. Sie werden zusammen mit
ipchains ausgeführt, weil es nicht notwendig ist, hierfür ein neues Toolkit zu benutzen.
Der Befehl zur Aktivierung von Masquerading ist -M, der mit der Option -L kombiniert
werden kann, um eventuell gerade maskierte Verbindungen anzuzeigen, oder mit -S, um
die Parameter neu zu setzen.
Die Option -L kann mit -n kombiniert werden, um nur IP - Nummern anzuzeigen, oder mit
der Option -v, um die Abstände der Sequenznummern (SSN) der TCP Pakete
(Seriennummer der TCP Pakete, damit diese nach eintreffen richtig einsortiert werden
können)
Der Option -S sollten drei Timeout Werte folgen, jede in Sekunden angegeben: Für
einfache TCP Verbindungen, für TCP Verbindungen nach eintreffen eines FIN-Paketes,
und für UDP Pakete. Um die Default Einstellungen zu verwenden, kann stets eine Null
angegeben werden.
Die Defaultwerte sind in der Datei /usr/include/net/ip_masq.h, die auf 15 Minuten, 2
Minuten und 5 Minuten eingestellt sind.
Der allgemein am Meisten geänderte Wert ist der erste, insbesondere für FTP
Verbindungen. Siehe auch FTP Probleme.
Die Problematik mit Timeout - Werten wird auch in dem Anschnitt Kann keine Timeouts für
Masquerading setzen !.
Prüfen einer Regel
In einigen Fällen ist es von Interesse, die Firewall chains zu debuggen. Hierfür wurde die
Option -C für das ipchains Werkzeug eingeführt. Hierbei werden dieselben Routinen
aufgerufen, die der Kernel selber verwendet, um Pakete zu analysieren.
Hierbei muß nur der Name der chain angegeben werden, gefolgt von der Option -C.
Während der Kernel selber stets bei den chains input, output oder forward chains
beginnt, kann der User jede chain angeben
Die Einzelheiten der Pakete werden in der selben Syntax angegeben, die schon für die
Definition der Firewallregeln benutzt wurde. Das schließt auch die Angabe der Optionen -
p, -s, -d, -i mit ein. Falls ein Paket von dem Typ TCP oder UDP ist, dann müssen eine
einzige Quell und Ziel-IP - Nummer angegeben werden. Für ICMP muß die Code Nummer
mit angegeben werden (ohne die Option -f, die nicht erlaubt ist, in diesem
Zusammenhang)
Wenn das Protokoll TCP ist, das Flag -f muß das -y Flag mit angegeben werden, um
anzuzeigen, daß das Testpaket das SYN Bit gesetzt werden soll. Dies ist zum Testen
unerläßlich.
Hier nun endlich ein praktisches Beispiel, um zu testen, ob ein TCP Paket mit SYN Flag
(Initiierung einer Verbindung) von unserem Host aus dem Intranet, Port 60000 zu dem
Host 192.168.1.2 auf Port 80 (www) auf dem Interface eth0 eingehend, in die input chain
hineingelassen wird. Dieses entspricht einem einfachen Verbindungsaufbau für WWW.
Erstellt von Doc Gonzo - http://kickme.to/plugins