Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

14.25 Konfiguration der Filterfunktionen durch das Firewall-
Device
Der vorhergehende Abschnitt handelte über das Firewall-Device. Das Device ist im
übrigen auch in der Lage, Schreibzugriffe zu handeln. Alle Schreibzugriffe werden als
Befehle für die Filterfunktion interpretiert. Um ein Durcheinander in den Filtertabellen zu
vermeiden, werden alle Schreibzugriffe nach einer magischen Signatur durchsucht. Wenn
diese nicht der Fall wäre, so könnten die Filtereinstellungen per Zufall verändert werden.
Der Firewall-Dämon erzeugt und löscht Filterregel, indem er einfach in das Firewall-Device
hineinschreibt. So ist es möglich, daß Firewalls im Cluster sich über die dynamischen und
statischen Filterregeln austauschen.
Rekonfiguration der Filterfunktion
Der Filter kann von außen durch das SFC Userprogramm und die JAVA-Applets die
Filterfunktion umkonfigurieren. Hierzu wird das Firewall-Device im write only Modus
geöffnet. Während des Datentransfers wird die Verarbeitung der eintreffenden Pakete
eingestellt, um eine Vermischung mit bestehenden Regeln zu vermeiden.
Auslesen von aktiven Filterregeln
Der User muß stets über die gerade aktivierten Filterregeln informiert sein können. Hierzu
genügt es, mit dem sfc Userbefehl die aktiven Regeln aus dem Kernel Filter Modul
auszulesen.
Wenn das Firewall-Device einen Lesezugriff bemerkt (im Gegensatz zu schreib/lese und
schreib Zugriff), sendet es die aktiven Regeln an das sfc Programm.
• read-write mode (default mode, used by the firewall daemon) delivers
notification messages and takes single reconfiguration commands,
• write-only mode (used by the sfc user control program) completely
reconfigures the filter function and stops packet processing during the data
transfer,
• read-only mode (used by the sfc user control program) returns all active rules.
Das Firewall-Device ist während eines Zugriffs nicht deinstallierbar.
Der Firewall-Dämon
Der Firewall-Dämon bemerkt, ob bereits ein solcher installiert ist. Der Quellcode dieses
Dämons ist in mehrere Files aufgespalten. sfc.c, sf_log.c, sf_spy.c:
• sfc.c aktiviert die Datenstrukturen, die Umgebung und forkt (Kopiert sich
selber).
• sf_log.c enthält den Firewallcode
• sf_spy.c enthält den Code für counter intelligence
Immer dann, wenn das SFC Programm gestartet wird, prüft es nach, ob es nicht mit
Supervisor - Rechen gestartet wurde. Danach erst durchsucht es das Konfigurationsfile,
soweit vorhanden. Es überprüft weiterhin, ob der Firewall-Dämon bereits läuft. Das File
firewall.pid enthält die Prozess-ID (ps xa) des laufenden Firewall-Dämons. Diese
ProzessID wird benötigt, den Dämon anzuhalten, zu rekonfigurieren und user Befehle
anzuzeigen.
Erstellt von Doc Gonzo - http://kickme.to/plugins