Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

Signale and the Firewall Pipe
Der Firewall-Dämon reagiert auf alle Signale, bis auf SIGKILL und SIGSTOP. Die Signale
des Signalhandlers (kill) wirken sich auf alle Funktionen der Firewall aus.
Über den Signalhändler werden Timeouts von dynamischen Firewallregeln und Variablen
(Alarmfunktion) geregelt, das Programm beendet (SIGTERM), und eine Kopie initiiert
(SIGUSR2), sowie Variablen in eine Firewall Pipe geschrieben.
Das Signal SIGUSR2 wird von dem SFC Programm gesendet, z.B. um Variablen
anzuzeigen (sfc show). Der Firewall-Dämon forkt dann, um einen Schnappschuß seines
momentanen Zustandes festzuhalten. Andernfalls würden sich Variablen während des
Auslesens verändern, der Zustand wäre nicht eindeutig. Da nun der User mit dem SFC
Programm in Ruhe den Zustand betrachten und analysieren kann, kann auch der Firewall-
Dämon weiter laufen. Es ist allerdings zu beachten, daß gerade bei Hispeed Netzwerken
genügend RAM zur Verfügung steht.
Die Firewall Pipe ist eine "named pipe" und wird dazu benutzt, um diejenigen Daten, wie
Variablen, dynamische Regeln von der Kopie des Firewall-Dämons zu erhalten. Da die
Daten aus dem Firewall-Device zu dem laufenden Firewall-Dämon gehören, kann nur über
dieses Ersatzdevice der Zustand der momentanen Kopie des Firewall-Dämons abgerufen
werden. Diese steht unter der Kontrolle des SFC Programms.
Sehr wichtig ist zu erwähnen, daß der Firewall-Dämon niemals auf die Beendigung seiner
Kinder (child) wartet. Damit keine Zombies entstehen, muß dieser immun gegen das
Signal SIGCHLD sein. Er ignoriert dieses, da ein Returnwert der Children (error,
successfully terminated) ohne Belang ist. Diese Verhalten veranlaßt das Betriebssytem,
die Prozesstabelle zu bereinigen und belegte Plätze aus der Tablle zu entfernen. Das
Aufsetzen der Signaltabelle erfolgt in der Funktion start_log.
Starten externer Befehle
Der Firewall-Dämon benutzt auf dem Host installierte Programme, um E-Mails o.ä. zu
versenden, counter intelligence Programme zu starten, oder irgendwelche Prozesse
auszuführen, die mit Userrechten ausgeführt werden können. Da der Firewall-Dämon ein
unprivilegierter Prozess ist, kann er auch keine privilegierten Programme starten, oder
Befehlsparameter übernehmen, die von einem anderen Host übermittelt wurden. Es sollte
aber stets berücksichtigt werden, daß der Firewall-Dämon über die Kernelroutine
"system()" Programme startet. Die Ausführung von Programmen übergeben an den
Firewall-Dämon Rückgabewerte, die zu einem "buffer overflow" führen können. Aus
diesem Grund werden "control character" aus den Rückgabedaten herausgefiltert.
Endlose Datenströme als Rückgabewert (dev/random) werden nach einem Timout
beendet. Die maximale Zahl der Einträge in Prozeßtabellen ist begrenzt.
Der Ereignis Mechanismus
Der Firewall-Dämon muß viel mit Timeouts arbeiten. Da viele Ereignisse und deren Dauer
von anderen Ereignissen abhängig sind, besitzt die Firewall einen Eventmanager.
Timeouts werden hierin in einer linearen Liste festgehalten, der Event Queue
(event_queue). Hierin werden auch Funktionsadressen und deren Parameter festgehalten.
(struct timeout in sf_log.c). Um ein Ereignis hinzuzufügen, wird die add_event() Funktion
benutzt. Sie benutzt den Alarm-Mechanismus und definiert den Timeout des nachsten
Ereignisses. Wenn vom Signalhändler das SIGALARM Signal an die Funktion
"catch_alarm()" gesendet wird, dann wird der nächstfolgende Timeout für einen Befehl
abgearbeitet. Falls der Firewall-Dämon in diesem Moment zu beschäftigt sein sollte, wird
die Ausführung des Befehls von der Funktion "process_alarm" ausgeführt. Der Firewall-
Dämon wird hierzu unterbrochen.
Erstellt von Doc Gonzo - http://kickme.to/plugins