Home / LinuxUser / 2002 / 05 / Paketfilter-Firewall

Newsletter abonnieren

Lies uns auf...

Folge LinuxCommunity auf Twitter

Top-Beiträge

Mandriva gibt Distribution in die Hände der Community
(268 Punkte bei 24 Stimmen)
Neues vom Systemd
(161 Punkte bei 4 Stimmen)
Mandriva in Nöten
(161 Punkte bei 4 Stimmen)

Heftarchiv

LinuxUser Heftarchiv

EasyLinux Heftarchiv

Ubuntu User Heftarchiv

Ubuntu User Heftarchiv

Partner-Links:

Shopping
Topsuche
 
Yatego Deutschlands größte Shoppingmall. 10000 Shops,
3.5 Mio Artikel. Alle Bestseller, Servertechnik und Technik Themenwelten.

Notebooks und Netzwerkhardware bei Mercateo günstig kaufen.
Internet Telefonie mit VoIP Telefonen von Gigaset
Das B2B Portal www.Linx.de informiert über Produkte und Dienstleistungen.
Günstige Digitalkameras finden Sie im Preisvergleich.

Private Feuerwände

Paketfilter-Firewall

Der Domain Name Service

Für DNS benötigen wir etwas kompliziertere Regeln – notwendig ist dieser Dienst jedoch immer. Jede Anfrage an einen DNS-Server erfolgt zunächst über das UDP-Protokoll. Sofern die Antwort zu groß ist für ein einzelnes UDP-Paket, wird die Anfrage per TCP wiederholt. Damit sind größere Datenübertragungen möglich. Die Regeln für das Senden der Anfrage an den Nameserver sind relativ einfach:

iptables -A OUTPUT -p udp --sport 1024: --dport 53 -j ACCEPT
iptables -A OUTPUT -p tcp --sport 1024: --dport 53 -j ACCEPT

Wie wir zu Anfang erwähnt hatten, stellen die UDP-Antworten eine besondere Herausforderung an die Firewall dar: Sie kann nicht ohne Weiteres feststellen, ob ein Paket zu einer bereits bestehenden Verbindung gehört.

Spricht ein DNS-Server mit uns, kommt das Paket von Port 53 (domain). Empfänger ist (sofern wir keinen eigenen DNS-Server besitzen) einer der oberen Ports auf unserem Computer. Wenn wir nur einen einzigen fremden DNS-Server benutzen, etwa den des Internet-Providers, erlauben wir UDP-Pakete von genau dieser IP-Adresse, im Beispiel 193.162.1.42:

nameserver=193.162.1.42
iptables -A INPUT -p udp -s $nameserver --sport 53 -j ACCEPT
iptables -A INPUT -p tcp -s $nameserver --sport 53 -j ACCEPT

Falls wir einen eigenen DNS-Server betreiben, können wir den lokal verwendeten UDP-Port konfigurieren. Wir akzeptieren UDP-Pakete aus dem ganzen Internet, aber nur an diesen einen UDP-Port:

iptables -A INPUT -p udp --sport 53 --dport 7531 -j ACCEPT

Ohne eigenen DNS-Server und mit veränderlichem fremdem Server (zum Beispiel bei Modem-Einwahlverbindungen) müssten wir UDP von allen fremden Rechnern freigeben. Das ist natürlich sehr unerwünscht. Abhilfe bietet das in Kasten 2 erwähnte Zusatzmodul zur Überwachung von Verbindungen: Es lässt UDP-Antworten auf unsere Anfragen zu, andere UDP-Pakete jedoch nicht. Leider kann solch ein Modul, insbesondere unter hoher Last, designbedingt nicht immer zuverlässig arbeiten. Wenn Sie möchten, aktivieren Sie das Zusatzmodul mit folgender Regel:

iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT

Eine Alternative ist die Aktualisierung der Firewall nach jeder neuen Internet-Einwahl. Das Firewall-Skript kann die Adressen der Nameserver aus der Konfigurationsdatei /etc/resolv.conf auslesen und die Regeln entsprechend anpassen. Dazu rufen wir es aus /etc/ppp/ip-up auf: Diese Datei wird vom PPP-Dämon nach erfolgter Einwahl gestartet.

Schreiben Sie das Fragment aus Listing 1 einfach in Ihr Firewall-Skript (z. B. /etc/rc.d/rc.firewall) hinein. Anschließend setzen Sie die DNS-Regeln und nehmen dabei Bezug auf die Variablen $nameserver_1, $nameserver_2 usw. Die Zeile . /etc/rc.d/rc.firewall in /etc/ppp/ip-up sorgt für die Aktualisierung der Firewallregeln. (Der Punkt ruft ein Skript aus einem anderen Skript heraus auf.)

Listing 1

Einlesen der Nameserver-Adressen im Firewall-Skript

awk    'BEGIN { i=1 }
        /^nameserver / { print "nameserver_" i "=" $2; i+=1 }' \
                < /etc/resolv.conf >> /etc/ppp/nameserver.info
. /etc/ppp/nameserver.info

ICMP

Datenpakete, die Internet Control Messages enthalten, bedürfen einer besonderen Behandlung. Anstelle von Port-Nummern enthalten solche Pakete einen Nachrichtentyp (und eventuell einen Subtyp). So erkennt bereits die Firewall, worum es geht, und kann bestimmte Inhalte selektiv herausfiltern.

echo-request und echo-reply sind Frage und Antwort von ping, mit dem man prüft, ob ein Computer eingeschaltet und ordentlich ans Netz angeschlossen ist. Die folgenden Regeln erlauben eine abgehende Anfrage (Request) und die zugehörige Antwort (Reply).

iptables -A OUTPUT -p icmp --icmp-type echo-request -j ACCEPT
iptables -A INPUT  -p icmp --icmp-type echo-reply   -j ACCEPT

Ob Sie auch den umgekehrten Weg öffnen, also anderen Leuten die Überprüfung Ihres eigenen Rechners gestatten, entscheiden Sie selbst. Dafür benutzen Sie gegebenenfalls diese beiden Regeln:

iptables -A INPUT  -p icmp --icmp-type echo-request -j ACCEPT
iptables -A OUTPUT -p icmp --icmp-type echo-reply   -j ACCEPT

Die zahlreichen Subtypen von destination-unreachable teilen einem Computer mit, dass eine bestimmte Ressource nicht erreichbar ist. Diese Nachrichten sollten in beiden Richtungen passieren dürfen. Insbesondere der Subtyp fragmentation-needed, der durch destination-unreachable mit abgedeckt wird, ist in bestimmten Situationen lebenswichtig: Wenn Pakete nicht fragmentiert werden dürfen, kann es zu völlig undurchsichtigen Fehlerzuständen kommen, bei denen Verbindungen willkürlich abzureißen scheinen. Verwenden Sie folgende Regeln:

iptables -A OUTPUT -p icmp --icmp-type destination-unreachable -j ACCEPT
iptables -A INPUT  -p icmp --icmp-type destination-unreachable -j ACCEPT

Bei ankommenden Paketen sollte man noch drei weitere Arten von Fehlermeldungen erlauben, um sich die Fehlersuche zu erleichtern. An andere Computer wird man kaum jemals solche Meldungen übermitteln (außer, man setzt ein Server-System auf), aber es kommt durchaus einmal vor, dass ein fremder Computer einen solchen Fehler zurückschickt.

iptables -A INPUT -p icmp --icmp-type source-quench     -j ACCEPT
iptables -A INPUT -p icmp --icmp-type time-exceeded     -j ACCEPT
iptables -A INPUT -p icmp --icmp-type parameter-problem -j ACCEPT
Einem Freund empfehlen    Druckansicht Bookmark and Share
Kommentare

Hits
Wertung: 110 Punkte (2 Stimmen)

Schlecht Gut

Infos zur Publikation

Infos zur Publikation

LinuxUser 06/2012

Aktuelle Ausgabe kaufen:

Heft bestellen Heft als PDF kaufen

LinuxUser erscheint monatlich und kostet in der Nomedia-Ausgabe EUR 5,50 und mit DVD EUR 8,50. Weitere Informationen zum Heft finden Sie auf der LinuxUser-Homepage.

Im LinuxUser-Probeabo erhalten Sie drei Ausgaben für 3 Euro. Das Jahresabo (ab EUR 56,10) können Sie im LNM-Shop bestellen.

Tipp der Woche

Adobe AIR
Adobe-AIR-Programme installieren und (manuell) starten
Tim Schürmann, 14.05.2012 13:09, 0 Kommentare

Es gibt sie noch: neue Anwendungen, die Adobes Integrated Runtime voraussetzen. Aktuellstes und vermutlich auch größtes Beispiel ist das Adventure Botanicula

Aktuelle Fragen

gibt es ein Kommandozeilen Tool, um ein X11-Fenster in ein Anderes einzubetten?
GoaSkin , 21.05.2012 16:44, 0 Antworten
Das XEmbed-Protokoll ist u.A. dazu gedacht, dass man eine X11-Anwendung in eine andere wie ein Wi...
Apache2, Options -Indexes geht nicht
no no, 12.05.2012 19:01, 8 Antworten
Habe in apache2.conf folgendes stehen: Options -Indexes ...
LInux auf Dell LS H500
Andreas Endresl, 09.05.2012 08:54, 2 Antworten
Habe einen alten Dell Latitude LS H500 nur mit ext. Floppy und CD es geht nur immer eines von den...
Datenwiederherstellung unter Ubuntu 12.04 mit "Simple Backup" nach Umzug von Linux Mint
Christian Lottmann, 07.05.2012 13:33, 0 Antworten
Vor dem Umzug auf Ubuntu 12.04 habe ich unter Linux MInt mit "Simple Backup" voll (15.4.2012) und...
DKMS für den propritären NVIDIA-Treiber
Commander Data, 26.04.2012 22:02, 2 Antworten
Hallo an die Gemeinde. Ich habe hier ein interessantes Stück openSuSE gefunden. http://forums.op...