 |
|||||||||||||||||||
|
|
|
|
 |
||
|
Konfiguration der Firewall Eine Firewall dient dazu, unberechtigten
Personen den Zugriff, meist von „außen“, auf bestimmte Dienste des lokalen Netzes zu untersagen. In unserem Fall wird der gesamte Zugriff von „außen“ untersagt, d.h. es kann sich jemand vom lokalen Netz aus z.B. per FTP
auf einer Maschine im Internet einloggen, aber es kann sich niemand vom Internet aus im LAN bzw. auf dem Router einloggen. Es ist jedoch auch möglich bestimmte Dienste (Ports) freizugeben, so daß sich bestimmte Personen
bzw. Rechner von „außen“ ins LAN einloggen dürfen. Dies wird wieder mit Hilfe von IP-Chains realisiert. Hierbei ist zu beachten, daß der Firewall Eintrag in der /etc/ppp/ip-up /sbin/route add default gw $REMOTEIP dev $INTERFACE neue default Route wurde gesetzt, jetzt muß die Firewall gestartet werden (die ipfwadm Einträge können gelöscht werden) /sbin/init.d/firewall start im ip-down Teil muß die Firewall wieder runtergefahren werden:
# workaround due to kernel problem with 'kernd': /sbin/init.d/firewall stop /sbin/ifconfig $INTERFACE $IFCONFIG In der Datei /etc/rc.config sind auch noch die entsprechenden Firewall Einträge anzupassen: # Firewall settings - See /usr/doc/packages/firewall Dieser Eintrag muß auf “no” gesetzt sein, da die Firewall nach dem Booten nicht automatisch gestartet werden darf. FW_LOCALNETS=IP@ippp0 Dieser Eintrag legt fest, daß die Firewall die dynamisch zugewiesene IP verwendet FW_FTPSERVER="" Die Ports 1 bis 1023 werden blockiert, wenn die Firewall aktiv ist. Jetzt sollte, wie nach jeder Änderung an Firewall Meldungen in /var/log/messages: Jan 5 13:21:54 snoopy kernel: Packet log: user_fw DENY ippp0 PROTO=6 141.56.20.5:33531 62.158.112.72:23 L=44 S=0x10 I=18240 F=0x0000 T=44 SYN (#3) In
diesem Fall ist 141.56.20.5 der Rechner, von dem man sich einloggen will und 62.158.112.72 ist unsere dynamische IP-Adresse, die uns unser Provider zugewiesen hat. An der :23 hinter unserer IP-Adresse erkennt man, daß
es sich um den Telnet-Port handelt (siehe /etc/services). Wenn der Rechner die Verbindung
beendet, ist die Firewall nicht mehr aktiv. Dies kann mit dem Befehl Rechner ist Online (Firewall ist aktiv): Chain input (policy ACCEPT): Alle Pakete (Source 0.0.0.0/0), die an unsere dynamisch zugewiesene IP-Adresse (Destination 62.158.110.149) gehen, werden an den Chain user_fw weitergeleitet und dort überprüft.
Chain forward (policy ACCEPT): Alle Pakete, die an unsere dynamische IP-Adresse gehen, durchlaufen diesen user_fw Chain.
target prot opt source destination ports
Alle Pakete von unserer eigenen IP-Adresse abweisen.
DENY udp ----l- 0.0.0.0/0 0.0.0.0/0 * -> 1:1023 Nur die Portnummern größer als 1023 dürfen sich von außen verbinden. Somit wird verhindert, daß von außen diese Dienste mit den Portnummern kleiner gleich 1023 (siehe /etc/services) gestartet werden. ACCEPT all ------ 0.0.0.0/0 0.0.0.0/0 n/a Falls keine der Regeln zutrifft, wird das Paket akzeptiert. Rechner ist Offline (Firewall ist inaktiv): ipchains –L –n Chain input (policy ACCEPT): Die Firewall Einträge (Chain user_fw) wurden wieder entfernt. Weiter zum Abschnitt:
|
||