Abgeschottet

Zur Hausmannskost unter den Routern zählt wegen der einfachen Bedienung die Fritzbox. Allerdings bleiben beim Funktionsumfang des Schmalspur-Gateways einige Wünschen offen. Eine VPN-Lösung fehlt ebenso wie ein Proxy oder das Filtern von unerlaubten Inhalten aus Webseiten.

Der unter der GPL stehende Firewallrouter IPCop [1] stellt Geräte dieser Kategorie hinsichtlich Funktionsumfang locker in den Schatten, bietet einen wesentlich höheren Bedienkomfort als diese. Für den reinen Gateway-Betrieb reicht ein Rechner mit 64 MByte RAM, einer Pentium-CPU mit 90 MHz sowie eine Festplatte mit 1 GByte. Planen Sie zusätzliche Dienste, wie Proxy, VPN oder das Intrusion Detection System Snort, sollten es mindestens 256 MByte Hauptspeicher gepaart mit einem 500-MHz-Prozessor sein.

Basis und Hardware

Die aus dem Smoothwall-Projekt [2] entstandene Firewall-Distribution blickt auf eine lange Tradition zurück. Bereits im Jahre 2002 erschien die erste Release und begeisterte Nutzer mit einem durchdachten Konzept einer einfachen, webbasierten Konfigurationsoberfläche. Am Credo des Projektes, eine möglichst robustes, dabei aber flexibles und leicht zu bedienendes Firewall Gateway bereitzustellen, hat sich bis heute nichts geändert. Als Basis kommt der Kernel 2.4.34 zum Einsatz, der sich vor allem durch eine bessere Performance auf älteren Rechnern auszeichnet und darüber hinaus weniger Schwachstellen als die Variante 2.6 enthält.

Auch beim Verbinden mit der Außenwelt zeigt sich IPCop außerordentlich kommunikationsfreudig. Als Netzwerkgeräte kommen sowohl 10- bis 1000-MBit-Karten als auch WLAN- und ISDN-Hardware in Frage (Abbildung 1). Besitzern analoger Modems bietet die Distribution den nötigen Support. Anwendern mit einem File- oder Mailserver bietet IPCop eine DMZ als Anschlussvariante über ein drittes Interface, was den Host vor allen Zugriffen gleichermaßen schützt. Eine Liste aller unterstützten Netzwerkdevices zeigt die Hardwarekompatibilitätsliste [3].

Abbildung 1: IPCop erlaubt eine Vielzahl möglicher Anschlussvarianten.

Dienste und Features

Zum Erfüllen seiner Hauptaufgabe, dem Schutz des lokalen Netzwerks vor unerlaubtem Zugriff aus dem Internet, verfügt die Distribution über ein ausgefeiltes Paketfilter-Regelwerk, auf das der Benutzer kaum Einfluss hat. Außer dem Freigeben von Ports zum direkten Zugriff auf IPCop von außen sowie dem Portforwarding zum Durchreichen von Verbindungen zu Rechnern im lokalen Netz steht das etwas mager geratene Traffic Shaping zur Verfügung, das eine sehr begrenzte Datenflusskontrolle ermöglicht.

Das Addon Block Out Traffic der LinuxUser-Edition erweitert die grafische Verwaltungsoberfläche um die Fähigkeit, den in der Grundeinstellung komplett freien Zugang vom lokalen Netz ins Internet gezielt zu regeln. Für den Einsatz als rudimentärer Applikationsserver bringt die Distribution einen Zeitserver, den DNS-Forwarder DNS-Masq und den Proxy Squid mit. Die Möglichkeiten des Proxies erweitert das LinuxUser-Addon Advanced Proxy (Abbildung 2) beträchtlich.

Abbildung 2: Das Addon Advanced Proxy der LinuxUser-Edition erweitert die webbasierten Konfigurationsmöglichkeiten von Squid erheblich.

Die ebenfalls enthaltene Intrusion Detection Snort informiert über potentielle Einbruchsversuche. Sie erfordert jedoch vom Anwender eine gewisse Einarbeit, um die Meldungen zu deuten. Auf der ganzen Linie sinnvoll erweist sich der DHCP-Server, der Hosts im lokalen Netz bei richtiger Konfiguration automatisch eine IP-Adresse samt DNS und Gateway zuweist. Zur Fernadministration auf der Kommandozeile dient SSH. Den Zugang müssen Sie jedoch zuerst in der Konfigurationsoberfläche freischalten.

Installation

Zur Installation von IPCop legen Sie die Heft-CD in das CD/DVD-Laufwerk, und booten den Rechner. Achten Sie auf die richtigen Starteinstellungen im BIOS des Rechners. Wählen Sie aus dem Bootmenü des Datenträgers den Eintrag IPCop 1.4.15 installieren und drücken danach [Enter]. Beachten Sie: Die Installationsroutine partitioniert die Festplatte stets komplett neu. Vorhandene Daten gehen damit verloren. Nach der Auswahl der Sprache und des Installationsmediums beginnt das Setup. Falls Sie die Distribution von einem USB-Medium installieren, lesen Sie dazu die Hinweise im Kasten "Installation vom USB-Stick"

Um ein vorhandenes Backup der Konfigurationsdateien einzuspielen, wählen Sie im Fenster Wiederherstellen das Medium, auf dem es sich befindet. Andernfalls wählen Sie Überspringen. Das Setup ermittelt automatisch die angeschlossenen Netzwerkkarten und bietet direkt deren Konfiguration an. Diese erreichen Sie auch im Hauptfenster des textbasierten Setups unter dem Menüpunkt Adress-Einstellungen.

Zuvor gilt es jedoch, über den Eintrag Typ der Netzwerkkonfiguration festzulegen, welche Rolle das Gateway übernimmt. Das Standard-Szenario für DSL-Benutzer lautet hier GREEN + RED. Das bedeutet, dass der Rechner über zwei Netzwerkkarten kommuniziert. Während GREEN das innere Netz repräsentiert, zeigt das RED zugeordnete Netzwerkinterface ins Internet. Dieses erhält bei der Adress-Konfiguration (Abbildung 3) Zusatzoptionen wie PPPOE, welche Sie als DSL-Nutzer aktivieren. Weitere Informationen über die Farbschemata für Netzwerkanschlüsse erhalten Sie unter [4].

Abbildung 3: Über die konsolenbasierte Konfiguration legen Sie unter anderem die Einstellungen der Netzwerkkarten fest.

Danach erscheint das Setup des DHCP-Servers. Eine deutlich umfangreichere Konfigurationsoberfläche für diesen erreichen Sie im Webfrontend über Dienste | DHCP-Server. Abschließend fragt das Setup nacheinander die Passwörter vom Benutzer root, admin und backup ab. Beachten Sie, dass während der Passworteingabe das Feld leer bleibt.

Während Sie den Benutzer root zum Login auf der Konsole benötigen, melden Sie sich am Webfrontend als admin an. Den User backup benötigen Sie, um den Backup-Schlüssel über das Webfrontend sicher zu exportieren. Nach einem abschließenden Neustart installieren Sie mit der Eingabe von linuxuser in der Konsole die gewünschten Addons (siehe Kasten LinuxUser Specials).

Sie erreichen die Konfiguration der Grundeinstellungen jederzeit, indem Sie nach Abschluss der Installation in der Konsole setup eingeben. Den Punkt DNS- und Gateway-Einstellungen benötigen Sie nur, wenn Ihr Provider diese Angaben nicht beim Verbinden übermittelt oder Sie andere Einstellungen bevorzugen.

Konfiguration

Nach dem Neustart von IPCop erreichen Sie die webbasierte Konfigurationsoberfläche durch Eingabe von https://IP-Adresse des grünen Interfaces :445 (Beispiel: https://192.168.0.1:445). Die Reiter beinhalten dem Namen entsprechend thematisch zusammengefasste Weboberflächen. Über System erreichen Sie beispielsweise das Modul zum Sichern von Daten und den Update-Service sowie – thematisch nicht ganz passend – die Konfiguration des SSH-Zugriffs.

Möchten Sie sich über den Zustand des Systems informieren, klicken Sie auf Status. Neben System-Status, das unter anderem die gestarteten Dienste anzeigt, gibt der Punkt Netzwerk-Diagramme grafisch Aufschluss über den Netzverkehr. Das Addon Net-Traffic finden Sie als gleichnamigen Eintrag in diesem Reiter. Es zeigt eine Zusammenfassung des Netzwerkverkehrs. Besonders nützlich ist dieses Feature für Nutzer von Internetzugängen mit Datenlimit, da es bei einem vorgegebenen Schwellwert via Mail warnt.

Um den Anschluss ans Internet zu konfigurieren, klicken Sie auf Netzwerk | Einwahl. Darin legen Sie die Art der Verbindung fest und geben die benötigten Zugangsdaten ein. Damit das Zwangstrennen alle 24 Stunden in eine für Sie günstige Zeit fällt, stellen Sie im LinuxUser-Addon Connection Scheduler ein, wann IPCop trennt und neu verbindet.

Der Reiter Dienste vereint die Konfiguration aller von IPCop angebotenen Services wie Zeitserver, IDS, DHCP-Server oder dynamischem DNS. Letzter erweist sich als wichtig, wenn Sie nur über eine dynamische IP-Adresse verfügen, aber einen FTP- oder Webserver dauerhaft über das Internet anbieten möchten.

Als mächtiges Werkzeug für die restriktive Zugriffskontrolle vom inneren ins äußere Netz erweisen sich die LinuxUser-Addons Advanced Proxy, URL-Filter und das im Reiter Firewall untergebrachte Block Outgoing Traffic. Sie ermöglichen im Zusammenspiel zum einen eine genaue Regel, welche Protokolle der Anwender nutzen darf. Zum andern legen Sie damit fest, zu welchen Zeiten Sie Benutzern den Zugriff aufs Internet gestatten. Der URL-Filter sorgt darüber hinaus dafür, dass diese nur Seiten zu sehen bekommen, die Sie per Definition als ungefährlich einstufen.

Speziell für kleine Firmennetze sind die vielfältigen VPN-Funktionen interessant. Sie ermöglichen es Ihnen, sowohl verschiedene Standorte zusammenzuschließen als auch einzelnen Rechnern, zum Beispiel den Laptops von Außendienstmitarbeitern, einen sicheren Zugriff auf die Daten des Firmenservers zu ermöglichen. Neben dem Standard IPSEC verfügt die LinuxUser-Edition über einen OpenVPN- sowie einen PPTPD-Server. Letzterer erlaubt vor allem Windows-Rechnern den problemlosen Zugriff auf das sichere Netz. Sie erreichen sämtliche VPN-Funktionen über den gleichnamigen Reiter.

Fazit

Mit IPCop verwandeln Sie Ihren alten Rechner in ein Internet-Gateway, das in Punkto Funktionalität und Stabilität kommerzielle Konkurrenten wie die Fritzbox um Längen schlägt. Das leicht verständliche konsolenbasierte Setup und die übersichtliche wbbasierte Konfigurationsoberfläche ermöglichen es auch Einsteigern, IPCop in wenigen Minuten einzurichten.

Diverse Zusatzfunktionen der LinuxUser-Edition erlauben Ihnen neben der effektiven Datenkontrolle vom inneren ins äußere Netz den Aufbau eines vollwertigen VPN-Servers mit verschiedenen Diensten. Wem der Funktionsumfang der vorliegenden, erweiterten IPCop-Version nicht ausreicht, dem stehen Dutzende zusätzliche Addons [5] zur Verfügung.