next up previous contents index
Volgende: 11.7 Nmap Omhoog: 11.6 Firewall Vorige: 11.6 Firewall   Inhoudsopgave   Index

11.6.1 Globale opzet

Regels van een firewall stellen restricties aan de pakketjes die over het netwerk gestuurd of ontvangen worden. Er kan ook regeld worden welke pakketjes doorgestuurd moeten worden naar het achterliggende netwerk. Je kunt een firewall gebruiken om een modem te sharen, maar ook om een webserver wereldwijd bereikbaar te maken terwijl de server niet direct met het Internet verbonden is.

Het veiligste is een ''mostly closed firewall'' te maken. Dat is een firewall waarbij al het verkeer wordt geweigerd, met uitzondering van een paar zaken. Op deze manier is de kans klein dat we iets toestaan wat we niet willen, maar aan de andere kant is de kans dat er iets wordt gewijgerd wat we wel willen toelaten redelijk groot. Alles dichtgooien doe je met ipchains zo:

/sbin/ipchains -P input DENY
/sbin/ipchains -P forward DENY
/sbin/ipchains -P output DENY

Daarna moeten we bedenken wat we willen toestaan.

  1. Verkeer van en naar de loopback device.
  2. Al het verkeer binnen het lokale netwerk.
  3. Al het uitgaande verkeer naar het Internet.
  4. Inkomend verkeer op poort 53. Op deze poort wordt namelijk het antwoord gezet op onze vragen aan de DNS-server.
  5. Al het inkomende verkeer op poorten hoger dan 1023, mits er niet gevraagd wordt om een verbinding te openen.

Hierbij is de volgorde van deze punten wel degelijk belangrijk! Stel dat we eerst al het verkeer op poorten lager dan 1024 tegen houden en daarna pas een regel zetten die het verkeer op poort 53 toestaat als dat van een DNS-server komt. We vragen vervolgens aan de DNS-server welk IP-adres bij een bepaalde naam hoort en de DNS-server stuurt het antwoord terug. De PC van Frits zal regel voor regel gaan nagaan of hij het verkeer moet tegenhouden of toestaan. We komen eerst bij de regel aan dat al het verkeer op poorten lager dan 1024 tegengehouden moet worden, dus de server denkt:''He, verrek! Dit pakket gaat de prullenbak in!'' Zetten we echter eerst de regel dat hij deze pakketten op poort 53 moet toestaan en sluiten we vervolgens al het verkeer af dat op poorten lager dan 1024 binnenkomt, dan zal het pakket gewoon aankomen.

Meer informatie over hoe je de firewalls exact gebruikt is te vinden op de websites van de programma's. Verder staat op http://people.unix-fu.org/andreasson/index.html een mooie tutorial voor IPtables.


next up previous contents index
Volgende: 11.7 Nmap Omhoog: 11.6 Firewall Vorige: 11.6 Firewall   Inhoudsopgave   Index
Jarkko Huijts 2002-08-17