Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Der "passive" Modus (PASV-FTP) bei der FTP-Übertragung erfordert stets eine
Erweiterung gewöhnlicher Filter oder generischen Proxy's um die spezifischen
Protokollmechanismen. Es muß dafür gesorgt werden, daß der Client innerhalb des
gesicherten Netzwerkes beim Zugriff auf einen FTP-Server über die Firewall stets die
Portnummer bestimmt. Dies geschieht über den PORT Befehl. Die Firewall muß also den
PORT Befehl auf Zahlen < 1024 überprüfen, damit ein Zugriff auf die privilegierten Ports
aus dem Internet unterbunden wird. Ein Restrisiko bleibt jedoch. Viele Intranet-Server,
Proxy-Cache und SQL - Server belegen unpriviligierte Ports. Hier muß dafür gesorgt
werden, daß IDENTD , DNS (reverse lookup) im gesicherten Netzwerk zuverlässig
funktionieren. Evtl. sind weitere Filterregeln notwendig, um diese Ports auf internen
Servern nochmals abzusichern. Die SINUS Firewall begrenzt die möglichen Ports, aufalle
unpriviligierten < 1024, mit Ausnahme der für X-Windows reserviertenPorts 6000...6100.
Ein Zugriff auf privilegierte Ports oder X-Window -Server über die Firewall hinweg ist dann
nicht mehr möglich. Es gibt aber genügend Portnummern, die z.B. für Fernwartung, Proxy-
Cache o.ä. genutzt werden. Diese Ports sind weiterhin gefährdet.
14.20 Design der internen Kommunikation
Es werden zwei Arten von sockets benutzt:sockcomm und sockfriends warten auf
eingehende Nachrichten von "trustedhosts" und "fiends", also explizit in den Firewall-
Regeln eingetragene,vertrauenswürdige befreundete Hosts. Die Funktionen sock_trusted[]
undsock_friends[] sind Listen von Sockets, die Nachrichten an jeden eizelnen "trusted
host" und "friend" senden.Es gibt aber im Dämon keinerlei Schutz gegen unberechtigte
Zugriffe von außen. Es ist also unbedingt erforderlich, den UDP-Port 7227 für eingehende
Nachrichten von "trusted hosts" und den UDP-Port 7228 für eingehende Nachrichten von
"friends" freizuschalten.
• Nachrichten Angesichts dessen, daß diese Austauschkanäle einen sicheren
IP-Layer benötigen, der ohnehin Prüfsummen der übertragenen Daten
erstellt, wird die Übertragung über UDP abgewickelt. Trotzdem ist der
Transfer der dynamischen Regeln der Firewalls untereinander über
Prüfsummen nochmals abgesichert. Die Nachrichten selber bestehen aus
zwei verschiedenen Nachrichtentypen, aus Logeinträgen und dynamische
Firewallregeln
• Die Logeinträge Die Logeinträge bestehen aus reinen ASCII- Zeichenketten,
die auf 200 Buchstaben Länge begrenzt sind. Die Unterscheidung zwischen
Logeintrag unddynamischen Firewallregeln findet über eine besondere
Kennung (SF_FW_MAGIC)statt. Der empfangene Host fügt dann die IP-
Adresse aus dem Logeintrag hinzu, und fügt dann die vom "trusted host"
übernommenen, dynamischen Firewallregeln zu seinen eigenen hinzu.
• Dynamische Regeln Eine dynamische Regel besteht aus Zeigern auf
Datenstrukturen und dynamisch angelegte Objekte in einem Dämon. Bevor
also eine dynamische Regel gesendet werden kann, muß der Dämon diese
erst aus dem RAM auslesen, diese in Listen einordnen, mit einer Nummer
versehen, und erst dann können diese an andere Firewalls übermittelt
werden. Das Format dieser Struktur ist folgendermaßen abgelegt:
14.21 SINUS Firewall-1 und der LINUX Kernel
Dieser Text beschreibt die notwendigen Änderungen im Kernel von Linux, das Design der
Schnittstelle zum Kernel, das Kernel Filter Modul, die Funktion des Firewall-Daemon und
der Firewall - Schnittstelle
14.22 Übersicht
Die Komponenten
Erstellt von Doc Gonzo - http://kickme.to/plugins