Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

14.17 Erweiterungen in der SINUS Firewall
Die Firewall besteht im wesentlichen aus diesen Komponenten:
• Das Kernel "filter module" ist ein nachladbares Modul, welches zu Laufzeit
des Kernels eingefügt (nicht aber entfernt) werden kann. Von diesem
Zeitpunkt an ist das "filter module" fest mit dem Bertriebssystemkern
verbunden.
• Der Firewall-Dämon kann und sollte als unprivilegierter Userprozess gestartet
werden. Dessen einzige Aufgabe ist es, über das "firewall device" mit dem
"filter module" zu kommunizieren, und Meldungen in Logfiles zu schreiben. Er
stellt das Interface für das "sfc" Programm zu verfügung, sowie das Interface
für die Kommunikation mit anderen Firewalls.
• Der "firewall super daemon" läuft als privilegierter Prozess. Er besitzt keinerlei
andere Aufgaben, außer im Falle eines "crash" oder auf Befehl der
Konfigurationssoftware nach "reconfigure" den Firewall-Dämon neu zu
starten.
• Das sfc "user control program" ist ein einfaches Programm für den Benutzer,
um den Zustand der aktiven Firewallregeln, die momentanen Verbindungen
und die Variablen anzuzeigen, sowie die Firewall neu zu konfigurieren. Es
kommuniziert direkt mit dem Firewall-Dämon.
• Die Firewall-Client Software kann sowohl auf der Firewall selber gestartet, als
auch auf entfernten Arbeitsplatz-PC´s gestartet werden. Sie ist in JAVA
geschrieben und auf allen Betriebssystemen (OS/2, MAC, UNIX, PC...)
lauffähig. Sie kommuniziert mit dem Firewall-Dämon und erlaubt die
komfortable Programmierung der Firewall sowie deren Überwachung.
14.18 SINUS Firewall-1 TCP/IP Stack
Die 3 Wege - Architektur
Einfache Firewalls besitzen nur eine 2-Wege Zustandsmaschine, wie sie leider heute noch
in einigen DOS - Firewalls zu finden ist. Hierbei gilt eine Verbindung als hergestellt, wenn
nach dem Client - SYN der Server mit SYN antwortete. Diese TCP/IP Stacks sind
empfindlich gegen vielerlei Angriffe und nicht mehr Stand der modernen Firewall-
Generation.
Die SINUS Firewall hält sich hierbei streng an den RFC 793 - Standard und differenziert
den Zustand genauer. Auf das SYN - Paket, also den Verbindungswunsch eines Clients,
beispielsweise über TCP, antwortet die Firewall mit einem SYN/ACK. Danach werden
zwischen Client und Server nur noch Pakete mit gesetztem ACK ausgetauscht, bis ein FIN
vom Client oder Server die Verbindung als beendet erklärt.
Hierbei ist eine Vielzahl von Angriffen möglich. Z.B. kann ein gespooftes "RST" oder "FIN"
Signal eines Angreifers dafür sorgen, daß die Verbindung zwischen Client und Server
abbricht, wenn einer der beiden Partner der Meinung ist, daß der andere die Verbindung
unterbricht. Hierzu muß der Angreifer natürlich die IP-Adresse der Partner fälschen
(spoofing).
Ebenso würden gespoofte SYN´s an die beiden Partner zu einer Endlosschleife führen.
Ein DoS Angriff wäre somit erfolgreich.
Daher wurde die Zustandsmaschine im Laufe der Zeit erweitert. Eine Verbindung gilt nach
RFC 1122 dann nur noch als beendet, wenn sowohl Client und Server sich über ein FIN
Erstellt von Doc Gonzo - http://kickme.to/plugins