Transparent Firewall

Durchsichtige Firewall

Mit dieser Funktion kann unter Linux die Firewall transparent in ein Netzwerk eingebunden werden. Die Iwall Firewall Appliance wird von Indis um einen'Stealth Mode' erweitert. Der Firewall kann entweder geroutet oder transparent sein.

Invisible Protection mit Linux: Firewall auf Brückenebene

In der Regel sind Firewall als Routers realisiert, dies muss aber nicht der Fall sein. Als stabiles Firewall-System ist Linux eine feste Größe. Wenn Sie eine Firewall zu einem bestehenden Netzwerk hinzufügen möchten, müssen Sie deren Struktur entsprechen umstellen. Andererseits kann eine Brücke (besser bekannt als Schalter) einfach eingesetzt werden. Mit dieser Funktion kann unter Linux die Firewall transparent in ein Netzwerk eingebunden werden.

Die Brücke evaluiert dann auch die höheren Protokollebenen (IP-Adressen, TCP-Ports) als Firewall. Dies merken die betroffenen Gastgeber jedoch nicht, wenn sie nur zulässige Packages mitschicken. Eine Brücke (auch Switche genannt) ist ein Netzwerk-Gerät, das in der Lage ist, Netzwerkpakete auf der OSI-Schicht 2 weiterzuleiten. Dazu werden alle im Netzwerk benutzten MAC-Adressen gelernt und gespeichert, über welchen Port (Schnittstelle, Port) die Brücke den entsprechenden Computer anspricht.

Empfängt die Brücke ein Datenpaket, dessen Ziel-MAC-Adresse sie weiß, gibt sie das Datenpaket nur an die entsprechende Schnittstelle weiter und verhindert so unnötige Sendungen. Falls die Brücke die Ziel-MAC-Adresse nicht weiß, schickt sie das Packet über jeden Port. Das Kommando "brctl showmacs br0" stellt alle von der Brücke erfassten MAC-Adressen dar.

In der ersten Zeile steht die Portnummer für die Verbindung eines Computers, in der zweiten Zeile die MAC-Adresse. Wenn ein Computer beispielsweise eine neue Netzkarte empfängt oder anderweitig verbunden ist, löscht die Brücke die alten MAC-Adressen aus ihrer Weiterleitungsdatenbank.

Die Zeit, die ein MAK ungenutzt bleiben muss, bevor die Brücke vergessen wird, kann mit "brctl settingtime br0 seconds" eingestellt werden. Wenn die Brücke eine obsolete IP-Adresse umgehend entfernt, wäre der Aufwand für die Administration überflüssig. Diese Distanz kann mit dem Kommando "brctl settinggcint br0 seconds" eingestellt werden. Der Switch blockiert alle inaktiven Wege und Schnittstellen und verhindert, dass ein Datenpaket zweimal (auf zwei verschiedene Arten) in sein Zielnetz eindringt (') (Abbildung 4).

Bei Ausfall eines Switches bestimmen die übrigen Wege alle vorhandenen Wege und überbrücken das defekte Teilgerät. Das Spanning Tree Protokoll wird von Linux zwar unterstÃ?tzt, aber der Administrator muss es erst Ã?ber "brctl stp br0 on" anschalten. Der Vorrang der Brücke kann im Wertebereich von 0 bis 65535 beliebig definiert werden: "brctl setbridgeprio br0 Priority".

Der Steg mit der niedrigsten Dringlichkeit nimmt die Wurzelfunktion ein. Das Intervall zwischen diesen Nachrichten wird mit "brctl setting" eingestellt. Das Kommando "brctl setmaxage Br0 seconds" legt fest, wie lange die anderen Brücken bei fehlenden Hello-Nachrichten gewartet werden sollen. Das Brückennetz geht nach der festgelegten Zeit davon aus, dass diese Brücke ausfällt.

Bei einer neuen Verbindung darf eine Brücke erst nach einer gewissen Zeit mit der Weiterleitung von Paketen anfangen. Während dieser Zeit muss geprüft werden, ob das Protokoll im Netz verwendet wird. Der Befehl "brctl setfd br0 seconds" verändert die Zeitverzögerung. Bei einer Filterbrücke sollte jedoch das Protokoll für den Betrieb von SMTP vollständig abgeschaltet werden: "brctl ntp br0 off".

Sie muss sich auf ihre Regeln stützen und kann nicht durch falsche STP-Protokolle deaktiviert werden. Lennert Kaufenhek und Bart de Schuymer haben für den Linux-Kernel 2.4 einen neuen Patches erstellt, der die Firewall-Funktionalität im Bridge-Modus erweitert. In der Netfilter-Gruppe sind alle Möglichkeiten der Brücke von Bedeutung, z.B. die ARPtables unterstützen "IP_NF_ARPTABLES", "IP_NF_ARPFILTER" und "IP_NF_ARP_MANGLE".

Dies ist ab Version 2.6 notwendig, um die physische Schnittstelle beim Herausfiltern der Datenpakete auf der Brücke zu überprüfen. Zur Konfiguration der Brücke wird das Paket Bridge-Utils benötigt[4]. Es enthält den Kommando "brctl", den in der Regel nur der Stamm verwenden darf. Die Aufforderung " bractl-addbr0 " erstellt die Brücke mit dem Titel "br0".

Das Kommando "ip_link show br0" quittiert die Existenz der Brucke. Dann muss die Brücke wissen, für welche Ethernet Netzwerkkarten sie verantwortlich ist. Fügen Sie dazu die Schnittstellen über "brctl" zur Brücke hinzu: