Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Die allgemeine Variante, spoofing vom Linux Kernel Routing Code zu aktivieren, ist die
bessere, weil bei der Änderung der Netzwerkadresse die Firewallregeln nicht geändert
werden müssen.
Für den Kernel Version 2.0 muß explizit noch eine anti spoofing Regel implementiert
werden.
Weitere Projekte
# ipchains -A input -i ! lo -s 127.0.0.0/255.0.0.0 -j DENY
#
Paul Russel, der diese Anleitung im Original verfaßt hat, hat eine Bibliothek für Firewall-
Erweiterungen geschrieben. Es basiert auf den Filtern im Firewall-Kernel und ermöglicht
die Implementierung von Filtern mit User-Rechten. Diese Bibliothek heißt libfw
Dinge, wie stateful inspection, oft auch als dynamic firewalling bezeichnet, können mit
dieser Bibliothek als Userdämon ausgeführt werden.
Die Fähigkeiten, Pakete zu markieren, wird von den kommerziellen Firewalls zumeist nicht
richtig unterstützt. Unter LINUX kann so ein Quality of Service Dienst realisiert werden.
Dieses ist bereits im Kernel unterstützt. Weitere Hinweise sind in der Dokumentation des
Kernel-Codes zu finden.
Zukünftige Erweiterungen
Es existiert eine NAT Implementierung, offiziell ist diese aber für die Version 2.4 erst
verfügbar.
12.14 Troubleshooting !!!!!!
ipchains -L friert die Firewall ein !
Dies kann mit gesperrten DNS- Lookups zusammenhängen, die eventuell nach einiger
Zeit von alleine stoppen. Mit der Option -n wird dieses verhindert.
Masquerading/forwarding funktioniert nicht !
Die forward chain muß aktiviert sein. Alternativ kann man auch ohne den Firewall-Code
forwarding aktivieren:
# echo 1 > /proc/sys/net/ipv4/ip_forward
#
Man sollte sich aber darüber im Klaren sein, daß mit aktiviertem IP forwarding beim
Aufbau einer ISDN-Leitung eventuell für einen kleinen Moment die Firewall-Regeln noch
nicht aktiv sind. Das betrifft insbesondere die Benutzer des alten ipfwadm Toolkits der
Version 2.0. Da man bei ipchains die Regeln für das ippp0 Interface auch ohne
vorhandenes Device aktivieren kann, sollte man auf ipchains umsteigen.
Wildcard Interfaces funktionieren nicht !
Das war ein Bug in Develloper Versionen 2.1 und sollte inzwischen auch mit dem Kernl
2.0.36 funktionieren. Hierzu muß in der Zeile um 63 in der Datei
/usr/src/linux/include/linux/ip_fw.h folgender Eintrag gemacht werden:
Erstellt von Doc Gonzo - http://kickme.to/plugins