Netfilter und iptables sind für die Filterung, Veränderung und NAT (Network Address Translation) von Netzwerkpaketen zuständig. Filterkriterien und damit verbundene Aktionen werden in Ketten gespeichert und der Reihe nach abgearbeitet, wenn ein Netzwerkpaket eintrifft. Die abzuarbeitenden Regelketten werden in Tabellen gespeichert. Das Kommando iptables dient zur Bearbeitung dieser Tabellen und Regelketten.

Linux kennt drei Tabellen für die verschiedenen Funktionen eines Paketfilters:

Abbildung 34.1. iptables: Wege eines Pakets durch das System

Es gibt in den genannten Tabellen mehrere vordefinierte Ketten, die die Pakete durchlaufen müssen:

Abbildung 34.1, „iptables: Wege eines Pakets durch das System“ gibt den Weg eines Netzwerkpakets durch das System wieder. Aus Gründen der Übersichtlichkeit werden die Tabellen nach Ketten gruppiert, obwohl in der Realität die Ketten eigentlich innerhalb der Tabellen organisiert sind.

Im einfachsten Fall trifft auf der eth0-Schnittstelle des Systems ein Paket ein, dass für das System selbst bestimmt ist. Zunächst wird dieses Paket in die Kette PREROUTING der Tabelle mangle geleitet, anschließend wird es in die Kette PREROUTING der nat Tabelle geleitet. Im angeschlossenen Routingschritt wird festgestellt, dass das Paket für einen Prozess im eigenen System bestimmt ist. Nach Passieren der INPUT Ketten in den beiden Tabellen mangle und filter gelangt das Paket an seinen Bestimmungsort; vorausgesetzt, die Filterregeln in der filter Tabelle verhindern dies nicht.

Masquerading ist der Linux-Spezialfall von NAT (engl. Network Address Translation), der Übersetzung von Netzwerkadressen. Zum Einsatz kommt es, wenn ein kleines LAN mit IP-Adressen aus dem privaten Bereich (siehe Abschnitt 22.1.2, „Netzmasken und Routing“) an das Internet mit seinen offiziellen IP-Adressen angebunden wird. Damit die Rechner im LAN Verbindungen ins Internet aufbauen können, werden die Verbindungen von privaten Adressen auf die offiziellen abgebildet. Dieser Vorgang geschieht auf dem Router, der zwischen LAN und Internet vermittelt. Das Prinzip dahinter ist einfach: Der Router hat mehr als ein Netzwerkinterface, typischerweise sind das eine Netzkarte und eine Schnittstelle zum Internet. Eines dieser Interfaces wird Sie nach außen anbinden, eines oder mehrere andere verbinden Ihren Rechner mit den weiteren Rechnern in Ihrem Netz. Sie haben mehrere Rechner im lokalen Netz mit der Netzwerkkarte Ihres Linux-Routers verbunden, die in diesem Beispiel eth0 heißt. Die Rechner im Netz senden alle Pakete, die nicht für das eigene Netz bestimmt sind, an den Default-Router oder das Default-Gateway.

	Einheitliche Netzwerkmasken
Achten Sie beim Konfigurieren Ihres Netzwerks immer auf übereinstimmende broadcast-Adressen und Netzwerkmasken. Andernfalls wird Ihr Netz nicht korrekt arbeiten, da Netzwerkpakete nicht geroutet werden können.

Wird nun einer der Rechner in Ihrem Netz ein Paket für das Internet versenden, dann landet es beim Default-Router. Dieser muss so konfiguriert sein, dass er solche Pakete auch weiterleitet. Aus Sicherheitsgründen wird eine SUSE LINUX Installation dies in der Voreinstellung nicht tun! Ändern Sie die Variable IP_FORWARD in der Datei /etc/sysconfig/sysctl auf IP_FORWARD=yes.

Der Zielrechner der Verbindung kennt nur Ihren Router, nicht aber den eigentlichen Absender-Rechner in Ihrem inneren Netzwerk, der hinter Ihrem Router versteckt ist. Daher kommt der Begriff Masquerading. Die Ziel-Adresse für Anwortpakete ist wegen der Adressübersetzung wieder unser Router. Dieser muss die Pakete erkennen und die Zieladresse so umschreiben, dass sie zum richtigen Rechner im lokalen Netz gelangen.

Da der Weg der Pakete von außen nach innen von der Masquerading-Tabelle abhängt, gibt es keine Möglichkeit, von außen eine Verbindung nach innen zu öffnen. Für diese Verbindung gäbe es keinen Eintrag in der Tabelle. Eine etablierte Verbindung hat darüber hinaus in der Tabelle einen zugeordneten Status, so dass dieser Tabelleneintrag nicht von einer zweiten Verbindung genutzt werden kann.

In der Folge ergeben sich nun Probleme mit manchen Anwendungen, zum Beispiel ICQ, cucme, IRC (DCC, CTCP) und FTP (im PORT-Mode). Netscape, das Standard-FTP-Programm und viele andere benutzen den PASSV-Modus, der im Zusammenhang mit Paketfiltern und Masquerading weit weniger problembehaftet ist.

Firewall ist wohl der am weitesten verbreitete Begriff für einen Mechanismus, der zwei Netze miteinander verbindet, aber für möglichst kontrollierten Datenverkehr sorgt. Der Typ Firewall, den wir hier vorstellen, müsste sich eigentlich genauer Paketfilter nennen. Ein Paketfilter regelt den Durchlass anhand von Kriterien wie Protokoll, Port und IP-Adresse. Auf diese Weise können Sie also Pakete abfangen, die aufgrund ihrer Adressierung nicht in Ihr Netz durchdringen sollen. Wenn Sie beispielsweise Zugriffe auf Ihren Webserver zulassen wollen, müssen Sie den dazugehörigen Port freischalten. Der Inhalt dieser Pakete, falls sie legitim adressiert sind (also beispielsweise mit Ihrem Webserver als Ziel), wird nicht untersucht. Das Paket könnte insofern einen Angriff auf ein CGI-Programm auf Ihrem Webserver enthalten und wird vom Paketfilter durchgelassen.

Ein wirksameres — wenn auch komplexeres — Konstrukt ist die Kombination von mehreren Bauarten, beispielsweise ein Paketfilter mit zusätzlichem Application Gateway/Proxy. Der Paketfilter wehrt Pakete ab, die zum Beispiel an nicht freigeschaltete Ports gerichtet sind. Nur Pakete für ein Application Gateway sollen durchgelassen werden. Dieser Proxy tut nun so, als wäre es der eigentliche Kommunikationspartner des Servers, der mit uns eine Verbindung herstellt. In diesem Sinne kann ein solches Proxy als eine Masquerading-Maschine auf der Ebene des Protokolls der jeweiligen Anwendung angesehen werden. Ein Beispiel für solch ein Proxy ist Squid, ein HTTP Proxy Server, für den Sie Ihren Browser so konfigurieren müssen, dass Anfragen für HTML-Seiten zuerst an den Speicher des Proxy gehen und nur, wenn dort die Seite nicht zu finden ist, vom Proxy in das Internet geschickt werden. Die SUSE proxy-suite (das Paket proxy-suite) enthält übrigens einen Proxy-Server für das FTP-Protokoll.

Im Folgenden wollen wir uns auf das Paketfilter-Paket bei SUSE LINUX konzentrieren. Für mehr Informationen und weitere Links zum Thema Firewall lesen Sie bitte das Firewall-HOWTO, enthalten im Paket howto. Es lässt sich mit dem Kommando less /usr/share/doc/howto/en/txt/Firewall-HOWTO.gz lesen, wenn das Paket howto installiert ist.

SuSEfirewall2 ist ein Skript, das die in /etc/sysconfig/SuSEfirewall2 konfigurierten Variablen in ein iptables Regelwerk umsetzt. SuSEfirewall2 kennt drei Sicherheitszonen (von denen allerdings nur die ersten beiden in der nachfolgenden Beispielkonfiguration berücksichtigt werden):

Jeder Netzwerkverkehr, der nicht explizit mit dem Regelwerk erlaubt wurde, wird von iptables unterbunden. Deshalb muss jede einzelne Schnittstelle , über die Pakete ins Netz gelangen, einer der drei Zonen zugeordnet werden und für jede einzelne Zone definiert werden, welche Dienste oder Protokolle erlaubt werden sollen. Das Regelwerk greift allerdings nur für Pakete von entfernten Rechnern. Lokal erzeugte Pakete können immer gesendet werden.

Die Konfiguration lässt sich entweder mit YaST vornehmen (siehe Abschnitt 34.1.4.1, „Konfiguration mit YaST“) oder kann direkt in der Datei /etc/sysconfig/SuSEfirewall2 erfolgen, die ausführliche englische Kommentare enthält. Einige Beispielszenarios finden Sie außerdem in /usr/share/doc/packages/SuSEfirewall2/EXAMPLES.

34.1.4.1. Konfiguration mit YaST

Die grafisch geführte Konfiguration mit YaST erreichen Sie über das YaST-Kontrollzentrum. Wählen Sie aus der Kategorie ‘Sicherheit und Benutzer’ den Unterpunkt ‘Firewall’. Die Konfiguration ist in sieben Teilabschnitte gegliedert, auf die Sie über die Baumstruktur auf der linken Bildschirmseite direkten Zugriff haben (siehe folgende Liste):

Automatische Konfiguration der Firewall

YaST startet nach der Installation automatisch auf allen von Ihnen konfigurierten Schnittstellen eine Firewall. Die automatisch generierte Konfiguration passt YaST über die ‘Firewall auf gewählten Ports öffnen’ oder ‘Firewall-Port öffnen’ Optionen in den Modulen zur Serverkonfiguration an, sobald ein Dienst auf Ihrem System konfiguriert und aktiviert wird. Wenn in den Servermoduldialogen zusätzlich ein Button ‘Firewall-Details’ vorhanden ist, können Sie weitergehende Dienste und Ports zusätzlich freischalten. Das YaST-Modul zur Firewallkonfiguration dient der Aktivierung oder Deaktivierung der Firewall oder der eigenständigen Umkonfiguration.

Start

Das Startverhalten wird in diesem Dialog eingestellt. Bei einer Standardinstallation läuft SuSEfirewall2 bereits in einem frisch installierten System. Die Firewall kann in diesem Dialog gestartet und gestoppt werden. Die aktuellen Einstellungen der Firewall können mit dem Button ‘Save Settings and Restart Firewall Now’ getestet werden.

Abbildung 34.2. YaST: Firewall-Konfiguration

Schnittstellen

Alle bekannten Netzwerkschnittstellen werden hier aufgeführt. Um eine Schnittstelle von einer Zone zu entfernen, wählen Sie die Schnittstelle, klicken auf ‘Change’ und wählen ‘____no_zone____’. Um einer Zone eine Schnittstelle hinzuzufügen, wählen Sie die Schnittstelle, klicken auf ‘Change’ und wählen eine der verfügbaren Zonen. Unter ‘User Defined’ können Sie eine spezielle Schnittstelle mit Ihren eigenen Einstellungen definieren.

Erlaubte Dienste

Diese Option wird benötigt, um von Ihrem System aus einer geschützten Zone Dienste anzubieten. Standardmäßig ist nur die externe Zone geschützt. In diesem Fall müssen Sie die Dienste explizit erlauben, die externe Rechner sehen sollen. Aktivieren Sie den entsprechenden Dienst, nachdem Sie die jeweilige Zone unter ‘Allowed Services For Selected Zone’ ausgewählt haben.

Masquerading

Masquerading ermöglicht Ihnen, Ihr internes Netzwerk vor externen Netzwerken wie dem Internet zu verbergen. Es ermöglicht außerdem dem internen Netzwerk, in transparenter Weise auf das externe Netzwerk zuzugreifen. Zugriffe vom externen Netzwerk an das interne Netzwerk werden geblockt. Zugriffe vom internen Netzwerk erscheinen von außen so, als kämen Sie vom Masquerading-Server.

Falls besondere Dienste eines internen Rechners für das externe Netzwerk verfügbar sein sollen, können Sie für den jeweiligen Dienst spezielle Umleitungsregeln setzen.

Broadcast

In diesem Dialog werden die UDP-Ports konfiguriert, die Broadcasts erlauben. Die erforderlichen Portnummern oder Dienste müssen der entsprechenden Zone hinzugefügt werden (durch Leerzeichen getrennt). Siehe auch die Datei /etc/services.

Die Protokollierung von nicht erlaubten Broadcasts kann hier aktiviert werden. Dies kann problematisch sein, da Windows-Rechner Broadcasts benutzen, um einander kennenzulernen, weshalb sie sehr viele nicht erlaubte Pakete generieren.

IPsec-Unterstützung

In diesem Dialog kann konfiguriert werden, ob der IPsec-Dienst aus dem externen Netzwerk erlaubt ist. Die Konfiguration der vertrauenswürdigen Pakete wird unter ‘Details’ vorgenommen.

Protokollierungs-Level

Es gibt für die Protokollierung zwei Regeln: Erlaubte und nicht erlaubte Pakete. Erlaubte Pakete werden angenommen (ACCEPTED), nicht erlaubte werden verworfen (DROPPED) oder abgelehnt (REJECTED). Wählen Sie für beide Regeln ‘Log All’, ‘Log Critical’ oder ‘Do Not Log Any’

Nach Fertigstellung der Firewall-Konfiguration verlassen Sie diesen Dialog mit ‘Next’. Abschließend wird eine zonenbezogene Zusammenfassung Ihrer Firewall-Konfiguration angezeigt, in der Sie nochmals alle Einstellungen überprüfen sollten. Sämtliche erlaubte Dienste, Ports und Protokolle werden in dieser Zusammenfassung aufgeführt. Klicken Sie auf ‘Back’, um zur Konfiguration zurückzugelangen, oder auf ‘Accept’, um Ihre Konfiguration zu speichern.

Mar 15 13:21:38 linux kernel: SFW2-INext-DROP-DEFLT IN=eth0 OUT=
MAC=00:80:c8:94:c3:e7:00:a0:c9:4d:27:56:08:00 SRC=192.168.10.0
DST=192.168.10.1 LEN=60 TOS=0x10 PREC=0x00 TTL=64 ID=15330 DF
PROTO=TCP SPT=48091 DPT=23 WINDOW=5840 RES=0x00 SYN URGP=0 OPT
(020405B40402080A061AFEBC0000000001030300)

Aktuelle und für das Paket SuSEfirewall2 relevante Dokumentation finden Sie unter /usr/share/doc/packages/SuSEfirewall2. Die Folgende Bücher, Artikel und Webseiten helfen Ihnen beim Verständnis von iptables und netfilter: