Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

# ipchains -C input -p tcp -y -i eth0 -s 192.168.1.1 60000 -d 192.168.1.2 www
packet accepted
#
Es sollte stets auch nicht vergessen werden, alle Quellports durchzuprobieren, um
sicherzugehen, daß sich kein trojanisches Pferd eingeschlichen hat, wie zuletzt im
TCP Wrapper (kleine Anmerkung....)
Das Testen von vielen Regeln zugleich
Manchmal kann ein einziger Test auf mehrere Regeln zutreffen. Dies kann auf zwei
verschiedene Weisen erfolgen. Zuerst muß ein Hostname angegeben werden, der in
mehrere IP-Adressen sich auflöst (Siehe Netscape Server: 1 Name = 20 IP - Nummern).
ipchains wird daraufhin so reagieren, als wären verschiedenste IP - Nummern einzeln
getestet worden.
Wenn also der Host Name "www.netscape.com" in 20 IP - Nummern sich auflöst, und der
Name "www.intra.net" in 2 IP - Nummern, dann wird der Befehl ipchains -A input -j reject
-s www.intra.net -d www.netscape.com direkt 40 Regeln auf der input chain ausgeben,
testen und anzeigen.
Der andere Weg, ipchains dazu zu bewegen, mehrere Regeln zugleich zu testen, ist die
Angabe des Flags -b, für bidirektional. Diese Regel läßt ipchains sich so verhalten, als
wenn der Befehl zweimal eingegeben worden wäre, einmal in der einen Richtung, und
einmal in der anderen Richtung, also für eingehende und ausgehende Pakete
nacheinander:
# ipchains -b -A forward -j reject -s 192.168.1.1
#
Die Option -b kann zusammen mit den Optionen -I und -D, sowie -A und -C (Insert,
Delete, Append und Check) angewendet werden.
Ein weiteres sinnvolles Flag ist -v, welches angibt, was ipchains mit dem Befehl macht.
Zum Beispiel werden hier das Verhalten von Fragmenten zwischen Host 192.168.1.1 und
192.168.1.2 untersucht:
# ipchains -v -b -C input -p tcp -f -s 192.168.1.1 -d 192.168.1.2 -i lo
tcp opt ---f- tos 0xFF 0x00 via lo 192.168.1.1 -> 192.168.1.2 * -> *
packet accepted
tcp opt ---f- tos 0xFF 0x00 via lo 192.168.1.2 -> 192.168.1.1 * -> *
packet accepted
#
12.12 Praktische, sinnvolle Beispiele
Ich besitze eine Dial on Demand ISDN-Verbindung -i ippp0). Ich rufe News ab (-p
TCP -s news.provider.de nntp) und Mail (-p TCP -s mail.provider.de
pop-3). Ich benutze Debian Linux und benutzte FTP, um meinen Host regelmäßig
automatisch upzudaten (-p TCP -y -s ftp.debian.org ftp-data). Ich surfe im
Internet über den Proxy des Providers (-p TCP -d proxy.provider.de 8080), aber
ich mag keine Werbung von "doubleclick.net" auf dem Archiv von Dilbert (-p TCP -y -d
199.95.207.0/24 & -p TCP -y -d 199.95.208.0/24).
Ich möchte nicht, daß Leute aus dem Internet mit FTP auf meinen Host zugreifen,
während ich online bin.(-p TCP -d $LOCALIP ftp), aber ich möchte auch nicht, daß
eventuell jemand auf meinen Host mit gespooften IP - Nummern zugreift (IP - Nummern
Erstellt von Doc Gonzo - http://kickme.to/plugins