Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Verbindungen zu DNS Nameservern
Beim Sperren von DNS-Anfragen, sollte man wissen, daß die DNS-Server nicht immer die
Daten über UDP austauschen. Wenn die Paketgröße 512 Byte überschreitet, dann wird
eine TCP Verbindung hergestellt, die größere Datenmengen sicher übertragen kann.
Hierzu wird der Port 53 TCP benötigt. Auch wenn DNS-Anfragen bereits über die Firewall
hinweg funktionieren, bedeutet das nicht, daß auch komplexere Zonentransfers über UDP
abgewickelt werden können.
Wenn DNS-Anfragen stets an dieselbe externe Quelle gerichtet sind, Beispielsweise den
DNS-Server des Providers, dann sollte dieser in der nameserver Zeile der Datei
/etc/resolv.conf eingetragen sein, oder, falls ein caching nameserver im forward mode
aktiviert wurde, dann ist nur eine TCP Regel erforderlich.
FTP Probleme
Das klassische Problem beim Filtern von FTP ist, daß FTP zwei völlig unterschiedliche
Modi besitzt, active mode und passive mode, auch PASV genannt. WWW-Browser
melden sich standardmäßig im passiven Modus an. Da FTP über einen Steuer und einen
Datenkanal (Port 20+21) die Daten austauscht, ergeben sich gewisse Probleme.
Im aktiven Modus versucht der Server, zu dem Client aktiv eine Verbindung für den
Datenkanal aufzubauen. Die Firewall kann diesen Vorgang nicht erlauben, ohne Ports
oberhalb von 1024 komplett frei zu schalten.
Im passiven Modus bestimmt der Client beide Kanäle, also für den Verbindungs - und den
Datenkanal. Damit nicht aus versehen ein Port für X-Windows angesprochen wird, sind
die Ports zwischen 6000 und 6010 zu sperren.
Filter gegen Ping of Death
Für Linux Server war schon eine halbe Stunde nach der Veröffentlichung des Problems
ein Patch im Internet verfügbar. Dieser Angriff basiert auf zu großen ICMP Paketen.
Um Server im Intranet oder Extranet gegen diesen Angriff zu sichern, müssen ICMP
Fragmente gesperrt werden. Damit nicht das letzte Fragment die Server korrumpiert,
müssen alle Fragmente gesperrt werden, also nicht nur das erste mit SYN Flag, sondern
auch alle mit ACK Flag.
Filtern von Teardrop und Bonk.
Teardrop und Bonk sind Angriffe, die hauptsächlich gegen Windows NT 4.0 Server
gerichtet sind. Diese basieren auf überlappenden Fragmenten. Um diesen Angriff zu
verhindern, müssen alle Fragmente gesperrt werden, oder es muß eine Reassemblierung
im IP-Stack durchgeführt werden.
Filtern von Fragment Bomben.
Einige altere TCP Stacks haben Probleme mit größeren Fragmenten von Paketen. Obige
Maßnahmen sind bereits als Schutz ausreichend.
Ändern von Firewallregeln
Manchmal ist es sinnvoll Filterregeln zu ändern. Hierzu sollte man folgendermaßen
vorgehen. Ein Beispiel:
Erstellt von Doc Gonzo - http://kickme.to/plugins