Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

aus dem internen Netzwerk auf dem externen Interface) (-s 192.168.1.0/24). Siehe
hierzu auch Kapitel Anti Spoof Regeln.
Dieses Setup ist recht einfach, da der LINUX Host keine anderen Hosts im internen
Netzwerk schützen muß.
Ich möchte auch nicht, daß irgendein Programm sich mit doubleclick.net verbindet, um
Banner einzublenden.
# ipchains -A output -d 199.95.207.0/24 -j REJECT
# ipchains -A output -d 199.95.208.0/24 -j REJECT
#
Nun möchte ich Prioritäten auf verschiedenste ausgehende Pakete setzen (Es gibt nicht
so viel sinnvolle Regeln für eingehende Pakete...) Da ich eine sehr übersichtliche Zahl von
Paketen habe, ist es sinnvoll, diese in einer chain unterzubringen, die ich ippp-out nenne.
# ipchains -N ippp-out
# ipchains -A output -i ippp0 -j ippp-out
#
Eine kleine Zeitverzögerung für Telnet und WWW-Pakete.
# ipchains -A ppp-out -p TCP -d proxy.virtual.net.au 8080 -t 0x01 0x10
# ipchains -A ppp-out -p TCP -d 0.0.0.0 telnet -t 0x01 0x10
#
Erniedrige cosr für ftp data, nntp, pop-3:
# ipchains -A ppp-out -p TCP -d 0.0.0.0/0 ftp-data -t 0x01 0x02
# ipchains -A ppp-out -p TCP -d 0.0.0.0/0 nntp -t 0x01 0x02
# ipchains -A ppp-out -p TCP -d 0.0.0.0/0 pop-3 -t 0x01 0x02
#
Hier sind ein paar Beschränkungen auf Paketen, die von dem ippp0 Interface kommen.
Die chain soll ippp-in heißen:
# ipchains -N ippp-in
# ipchains -A input -i ippp0 -j ppp-in
#
Nun kommen keine Pakete auf dem Device ippp0 mehr an. Wenn diese aus dem Bereich
des Intranets stammen, also die IP - Nummern 192.168.1.* besitzen, dann werden diese
geloggt und abgelehnt:
# ipchains -A ppp-in -s 192.168.1.0/24 -l -j DENY
#
Vom Linux Host selber sollen Anfragen an DNS-Server im Internet erlaubt werden. Ich
betreibe einen caching nameserver, der alle Anfragen an den DNS-Server des Providers
richtet. Also erwarte ich DNS-Antworten von diesem Host (und nur von diesem),
eingehende FTP Pakete (nur Antwortpakete, die auf Ports oberhalb von 1023 eintreffen,
aber nicht die X-Windows Ports (6000+) belegen):
# ipchains -A ppp-in -p UDP -s 203.29.16.1 -d $LOCALIP dns -j ACCEPT
# ipchains -A ppp-in -p TCP -s 0.0.0.0/0 ftp-data -d $LOCALIP 1024:5999 -j ACCEPT
# ipchains -A ppp-in -p TCP -s 0.0.0.0/0 ftp-data -d $LOCALIP 6010: -j ACCEPT
# ipchains -A ppp-in -p TCP -d $LOCALIP ftp -j ACCEPT
Erstellt von Doc Gonzo - http://kickme.to/plugins