Grafische Firewall-Tools

Persönliche Firewalls sind nicht mehr wegzudenken, aber für viele Anwender stellt das korrekte Konfigurieren einer Firewall immer noch eine große Hürde dar. Moderne Kernel bieten netfilter als Firewall-Modul und iptables für die Konfiguration. Für mehr Komfort wurden eine ganze Reihe grafischer Oberflächen für iptables geschaffen.

Die Oberflächen erlauben das einfache Erstellen von Regeln für die Firewall und starten sie bei Bedarf. Einige Programme greifen auch eher unerfahrenen Anwendern unter die Arme, indem mit Wizards die gewünschten Eigenschaften der Firewall abgefragt und dann entsprechende Regeln erstellt werden.

In diesem Artikel beleuchten wir vier Werkzeuge, die sich vor allem durch die grafischen Oberflächen unterscheiden. Knetfilter ist für KDE geschrieben, Firestarter dagegen eine GNOME-Applikation, während Jay's Iptables Firewall textbasierte Menüs anbietet und der Easy Firewall Generator for IPTables eine Web-basierte Anwendung ist.

Knetfilter

Knetfilter [1] ist ein sehr umfangreiches Werkzeug, das neben der Firewall-Konfiguration auch noch Komponenten zur Traffic-Analyse bietet. Knetfilter dient neben dem Erstellen und Verändern von iptables-Regeln auch als bequemes Frontend zu nmap und tcpdump.

Abbildung 1: Knetfilters Interface für das Anlegen neuer Regeln

Die Benutzung von Knetfilter ist recht einfach gehalten, setzt aber das Verständnis von iptables voraus. Im Hauptmenü kann man leicht Regeln einfügen, nur sollte man hier wissen, was man tut. Nach der Eingabe der Filterregeln kann man über ein Menü bestimmen, wie die Regel in die bestehende Regelsammlung eingefügt werden soll und für welche Protokolle sie gelten soll. Diese Vorgehensweise erlaubt es, schnell und einfach Regeln zu erzeugen, die dann für alle Protokolle gelten können. Knetfilter ist sehr umfangreich und bietet auch die Möglichkeit, das so genannte TrafficShaping zu konfigurieren, also verschiedenen Rechnern oder Anwendungen mehr oder weniger Bandbreite zukommen zu lassen.

Abbildung 2: Masquerading-Einstellungen bei Knetfilter

Vorbildlich gelöst ist das Menü für NAT (Network Address Translation), das eingesetzt wird, sobald die Firewall nicht nur den eigenen Rechner, sondern auch ein dahinter liegendes Netzwerk schützen soll. Wer kompliziertere Regeln beim NAT benötigt, kann zusätzlich auch Port-Weiterleitungen definieren, so dass beispielsweise auf einen hinter der Firewall liegenden Rechner per SSH zugegriffen werden kann. Nach dem Erstellen der Regeln empfiehlt es sich, mit dem Frontend zu tcpdump den ankommenden Traffic zu analysieren und mit dem Portscanners nmap die Erreichbarkeit von Diensten bzw. die offenen Ports abzuscannen.

Abbildung 3: Port-Weiterleitungen mit Knetfilter

Ein Vorteil von Knetfilter ist neben der Integration in KDE vor allem der große Umfang an Features, die dieses Tool bietet. Um "mal eben" eine einfache Firewall einzurichten, bietet Knetfilter zu wenig Hilfestellungen, da hier zwar die Funktionialität von iptables komplett abgebildet wurde, auf Hilfestellungen beim Erstellen der Firewall-Regeln aber verzichtet wurde.

Firestarter

Firestarter [2] ist in zwei Versionen erhältlich, je eine für GNOME 1.x und GNOME 2.x. Beim Start des Programmes erscheint zunächst der Firestarter-Druide, der beim Einrichten der Firewall hilft und sinnvolle Fragen über den Verwendungszweck stellt. Je nachdem, was man an Features benötigt, wird der Druide detaillierter und fragt beispielsweise Dienste für die Port-Weiterleitung ab. Nach Speichern der Konfiguration und Beenden des Wizards lässt sich die neue Firewall sofort verwenden.

Abbildung 4: Auswahl der offenen Ports im Firestarter-Druiden

Neben dem hervorragenden Druiden glänzt Firestarter vor allem durch seine Monitoring-Funktion. Man kann Firestarter auch benutzen um zu prüfen, welche Art von Traffic über den eigenen Rechner läuft, und dann gegebenenfalls die Konfiguration dementsprechend verändern. Gerade für unerfahrene Anwender ist dieses Feature sehr brauchbar, denn man muss sich nicht vorher stundenlang Gedanken darüber machen, was alles passieren könnte, sondern richtet schnell mit dem Druiden die Firewall ein und guckt dann, welche Pakete weiter durchkommen. Dann kann man die Firewall noch anpassen, so dass man relativ einfach zu einer auf die eigenen Bedürfnisse zugeschnittenen Firewall-Lösung kommt.

Besonders gelungen ist das Menü Hits, hinter dem sich auswählbare Aktionen verstecken, die man auf bestimmte Vorkommnisse anwenden kann: Hier lässt sich beispielsweise ein Host blocken oder auch nur sein Zugriff auf einen speziellen Dienst erlauben.

Abbildung 5: Hauptfenster von Firestarter

Firestarter ist ein einfach gehaltenes Tool, das gerade Anfängern die Konfiguration einer Firewall leicht macht. Die Echtzeit-Überwachung der Firewall ist ein willkommendes Feature, das den positiven Eindruck noch verstärkt.