Referat Firewall-regeln unter dem Kernel 2.4 - Was sind Iptables?

informatik referate

Kommandos

Begleitende Optionen

Filteroptionen

] = Optional

< > = Einzusetzender Inhalt

Aktion bei erfolgreicher Maskierung (Ziele)

Wenn die vorher bestimmten Regel erfüllt worden sind dann gibt es die Möglichkeit bestimmte ,vorher festgelegte, Aktionen durchzuführen.

Diese Aktionen werden auch als Ziele bezeichnet.

Mit dem Parameter ' -j ' bestimmt man was als Aktion durch zuführen ist.

Fehlt aber dieser Parameter dann hat die Regel keine Auswirkung.

Es gibt folgende Ziele:

Und als Module verwirklichte Ziele:

Welche Ziele sind wo erlaubt ?

Damit noch mal klar ist welche Ziele in welchen Chains erlaubt und auch sinnvoll sind bzw. welche Tabellen noch mal welche Chains beinhalten. Habe ich, wie vorhin angekündigt, diese 3 Faktoren in Form von einer Tabelle unter einen Hut gebracht. Da bei IPtables halt sehr genau darauf geachtet werden muss, welche Ziele- Kombinationen überhaupt möglich sind. Und welche nicht.

ICMP - Internet Control Message Protocol

Mit ICMP lässt sich das Verhalten von TCP- und UDP- Verbindungen beeinflussen.

Es dient dazu, Hosts günstigere Routen zu einem Ziel bekannt zugeben, über Routing-Probleme zu informieren oder Verbindungen wegen Problemen im Datennetz abzubrechen.

Viele ICMP Nachrichten, die einen Host erreichen sind nur für eine bestimmte Verbindung wichtig oder durch ein bestimmtest Paket ausgelöst. So sollte eine Redirect- oder Destination Unreachable-Nachricht sich bloß auf eine bestimmte Verbindung beziehen. Aber es nutzen leider alle ICMP- Implementierungen diese Info nicht. Wenn solche Nachrichten empfangen werden, wirken sie auf alle Verbindungen zwischen den beteiligten Hosts. Wenn ihr Hostals Antwort auf ein Paket zum Host PING.CO.AT ein Destination Unreachable erhält, weil dieses eine Paket PING.CO.AT nicht erreichen konnte, dann werden alle Verbindungen zu PING.CO.AT abgebrochen.

Ein Router sollten niemals einer Redirect Message glauben,

da es dadurch einem Angreifer möglich ist, den Verkehr zu sich selbst umzuleiten

UDP - User Datagram Protocol

UDP stellt Applikationen die Datagram-Dienste von IP direkt zur Verfügung. Die Paketzustellung erfolgt ungesichert: verlorene, duplizierte oder in der Reihenfolge vertauschte Pakete werden gar nicht erkannt, und auch die Erkennung von Übertragungsfehlern ist optional und eine Fehlerkorrektur nicht vorhanden.

UDP ist ungünstig, wenn es für umfangreiche Übertragungen genutzt wird. Da dem Protokoll eine Flusskontrolle fehlt, kann es das Netz lahm legen, indem es Router und Hosts mit Paketen überflutet. Durch diese Überflutungen steigen die Paketverluste im Netz sehr an.

UDP-Pakete sind viel leichter zu fälschen als TCP-Pakete, weil es weder Quittungs- noch Laufnummern gibt. Mann muss deswegen sehr vorsichtig sein, wenn man die Quelladresse solcher Pakete verwendet. Die Applikationen selbst müssen geeignete Sicherheitsvorkehrungen treffen.

Paketfilter und UDP

Es ist schwierig TCP-Verbindungen zu filtern. Es ist beinahe unmöglich, UDP-Pakete ohne Funktionalitätsverluste zu filtern. Dies liegt an dem grundsätzlichen Unterschied zwischen TCP und UDP: TCP ist verbindungsorientiert und merkt sich daher Zusammenhang, während UDP paketorientiert ist, und daher die Datagramme unabhängig voneinander betrachtet werden. Bei TCP erlaubt uns das ACK-Bit die Unterscheidung zwischen eingehenden und abgehenden Verbindungen. Doch bei UDP fehlt uns solches "Auswahlkriterium".

TCP - Transmission Control Protocol

TCP stellt gesicherte virtuelle Verbindungen bereit. Verlorene oder 'verstümmelte' Pakete werden noch mal übertragen und die Pakete in der gleichen Reihenfolge abgeliefert, in der sie gesendet wurden.

Die Reihenfolge der Pakete wird durch die Laufnummer bestimmt. Jedes übermittelte Byte wird gezählt. Alle TCP-Pakete, außer dem allerersten einer Sitzung, enthalten eine Quittungsnummer, was die Laufnummer des letzten in Folge korrekt empfangenen Byte zurückgibt. Die Startlaufnummer (initial sequence number) wird zeitabhängig zufällig bestimmt. Das sich die Startlaufnummer für neue Verbindungen ständig ändert, ist es TCP möglich, alte Pakete aus vorangegangenen Inkarnationen derselben virtuellen Verbindung zu erkennen.

Jede TCP-Nachricht enthält den 4-Tupel

Durch diese Kombination aus Quell- und Zielsystem und jeweiligen Port-Nummern wird sie eindeutig einer bestimmten virtuellen Verbindung zugeordnet.

Es ist nicht nur erlaubt, sondern durchaus üblich, mehrere verschiedene Verbindungen über die gleiche lokale Port-Nummer abzuwickeln. Solange sich Zielsystem oder Zielport dieser Verbindungen unterscheiden, gibt es keine Probleme.

Server-Prozesse, die einen Dienst über TCP anbieten,"lauschen" auf bestimmten Port-Nummern. Das nennt man TCP-listen. Über eine Übereinkunft haben die Server-Ports niedrige Nummern. Diese Übereinkunft wird allerdings nicht immer eingehalten, was zu Sicherheitsproblemen führen kann.

Die Port-Nummern der Standarddienste werden als bekannt vorausgesetzt.

Ein Port im Listen-Modus stellt im eigentlich eine halboffene Verbindung dar:

Nur Quellsystem und Quellport sind bekannt. Geht ein Paket mit einer Verbindungsanfrage ein, so werden die fehlenden Einträge ergänzt. Der Server-Prozess kann vom Betriebssystem dupliziert werden, so dass weitere Anfragen auf den selben Port auch behandelt werden können.

Die meisten TCP Versionen für UNIX Systeme stellen sicher, dass nur der root Port-Nummern unterhalb von 1024 nutzen kann. Dies sind die privilegierten Ports. Fremde System sollen der Echtheit von Informationen, die sie von diesen Ports erhalten, vertrauen können. Diese Einschränkung ist allerdings nur eine Konvention, deren Einhaltung von der Protokollspezifikation nicht verlangt wird. Die Konsequenz ist klar: Sie können privilegierten Ports nur dann trauen, wenn sie absolut sicher sind, dass das Quellsystem die Konvention einhält und korrekt verwaltet  wird.

Die schon erwähnten Laufnummern haben auch einen gewissen Sicherheitseffekt:

Eine Verbindung kommt erst dann zustande, wenn beide Seiten jeweils den Empfang der Startlaufnummern quittiert haben.

Fazit

Vorteile

• Hohe Sicherheit
• Erweiterbar durch Module
• Kompatible zu den älteren Versionen
• Sog. Stateful inspection nun möglich (im Gegensatz zu den Vorgängern)
• Arbeit auf Module verteilt
• kostenlos

Nachteile

'Kleine' Fehler könnten schon fatale Folgen haben

Iptables ist im großen und ganzen eine ganz nützliche Angelegenheit.Nicht nur, dass es kostenlos ist , Nein ist auch noch verdammt sicher.Zwar sollte man eine gewisse fachliche Kompetenz mit bringen aber wo muss man das nicht?Und wer sich schon mit den älteren Versionen z.B. ipchains auseinandergesetz hat kann sieauch weiterhin einsetzen Dank den Kompatibilitätsmodulen .Überhaupt die Sache mit den Modulen ist eine ganz praktische Geschichte.Da es dadurch sehr leicht ist 'iptables' zu erweitern. Und dadurch auch Zeit gespart werden kann. Da die Pakete nicht alle Tabellen bzw. Chains durch laufen müssen.Aber leider können kleine Aufmerksamkeitsfehler für große Schäden sorgen. Das System sollte schottendicht sein, sonst bringen die besten Regeln und Filteroptionen auch nicht viel.
Quellenangabe

INTERNET

• www.webmasterpro.de
• https://lusc.de
• https://www.lugs.ch
•  https://archiv.tu-chemitz.de
•  https://mailman.sil.at
•  https://helpdesk.rus.uni-stuttgart.de
• https://www.Linux-magazin.de
• www.pl-forum.de
•  https://www.linuxeinsteiger.org
•  https://wwwbs.informatik.htw-dresden.de
• www.netfilter.org

SONSTIGES

• Bundesamt für Sicherheit in der Informationstechnik
• 'man-Page' von iptables
• C't-HEISE-Knoppix-CD (4/2003)