Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

# ipchains-restore < my_firewall
Restoring `input'.
Restoring `output'.
Restoring `forward'.
Restoring `ppp-in'.
Chain `ppp-in' already exists. Skip or flush? [S/f]? s
Skipping `ppp-in'.
Restoring `ppp-out'.
Chain `ppp-out' already exists. Skip or flush? [S/f]? f
Flushing `ppp-out'.
#
12.13 Verschiedenes
In diesem Abschnitt befinden sich alle Informationen und häufig gestellten Fragen, die
nicht in die oberen Abschnitte passen.
Wie man Firewallregeln ordnet
Hier sollte man sich Gedanken machen, wie man die Firewallregeln aufbaut. Sie können
nach Geschwindigkeit und Übersichtlichkeit geordnet werden.
Für eine Modem- oder ISDN Verbindung sollte die Policy als erstes gesetzt werden, und
dies bereits beim Booten des Systems. Hier könnte folgendes in dem Skript /etc/ppp/ipup
eingetragen sein:
# Vorher die ppp-in chain anlegen !
ipchains-restore -f < ppp-in.firewall
# Nun die DENY Regel durch ein Sprung auf die ppp-in chain ersetzen
ipchains -R input 1 -i ippp0 -j ppp-in
Im ip-down Skript müßte dann folgender Eintrag stehen:
ipchains -R input 1 -i ippp0 -j DENY
Pakete, die man nicht filtern sollte
ICMP Pakete
ICMP Pakete werden benutzt, um Fehler zu übermitteln, die bei anderen Protokollen
aufgetreten sind, z.B. TCP und UDP. Hier gibt es verschiedenste Fehlermeldungen, z.B.
destination-unreachable, Host unreachable oder No route to host. Ohne diese
Fehlermeldung würde der Host immer wieder versuchen, den Server zu kontaktieren. Das
kann eine erhebliche Belastung der Netzwerkbandbreite bedeuten. In einigen Fällen kann
dies dazu führen, daß die Firewall "hängt".
Ein schwierigeres Problem ist die Rolle der ICMP Pakete in der MTU (Maximun Transfer
Unit). Alle guten TCP/IP Stacks benutzen diese, um herauszufinden, welche maximalen
Paketgrößen bei der Übertragung verwendet werden können, ohne daß diese fragmentiert
werden müssen. Die Ermittlung erfolgt schrittweise, es werden Pakete in absteigender
Paketgröße mit dem dont fragment bit gesetzt. Der Router würde dann zurückmelden:
fragmentation needed. Wenn keine Fehlermeldung mehr kommt, dann ist die maximale
Größe für ein Fragment erkannt worden. Werden also diese Fehlermeldungen gesperrt,
dann ist mit Fehlern bei der Übertragung oder mit Einbrüchen der Performance zu
rechnen.
Erstellt von Doc Gonzo - http://kickme.to/plugins