Verständnisfrage zur Firewall

19 Mar 2015

      Hi,

ich habe da ein kleines grundsätzliches Verständnisproblem:

Grundlage ist ein SLES12 mit folgenden Regeln (ich habe die Kette FORWARD, forward_ext und reject_func der besseren Lesbarkeit wegen weggelassen):

====================================================
Chain INPUT (policy DROP 0 packets, 0 bytes)
 pkts bytes target     prot opt in     out     source               destination
9612K 4434M ACCEPT     all  --  lo     *       0.0.0.0/0            0.0.0.0/0
53952   96M ACCEPT     all  --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate ESTABLISHED
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            ctstate RELATED
 7105 1531K input_ext  all  --  *      *       0.0.0.0/0            0.0.0.0/0
    0     0 LOG        all  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-IN-ILL-TARGET "
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0
...
Chain OUTPUT (policy ACCEPT 34770 packets, 1965K bytes)
 pkts bytes target     prot opt in     out     source               destination
9612K 4434M ACCEPT     all  --  *      lo      0.0.0.0/0            0.0.0.0/0
...
Chain input_ext (1 references)
 pkts bytes target     prot opt in     out     source               destination
 6918 1493K DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = broadcast
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 4
    0     0 ACCEPT     icmp --  *      *       0.0.0.0/0            0.0.0.0/0            icmptype 8
    0     0 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 tcp dpt:80 flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:80
    0     0 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 tcp dpt:7937 flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:7937
    0     0 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 tcp dpt:7938 flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
    0     0 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:7938
    1    52 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 tcp dpt:22 flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-ACC-TCP "
    1    52 ACCEPT     tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            tcp dpt:22
    0     0 ACCEPT     udp  --  *      *       0.0.0.0/0            0.0.0.0/0            udp dpt:7938
  185 38600 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = multicast
    0     0 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0            PKTTYPE = broadcast
    0     0 LOG        tcp  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 tcp flags:0x17/0x02 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
    0     0 LOG        icmp --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
    0     0 LOG        udp  --  *      *       0.0.0.0/0            0.0.0.0/0            limit: avg 3/min burst 5 ctstate NEW LOG flags 6 level 4 prefix "SFW2-INext-DROP-DEFLT "
    1    40 DROP       all  --  *      *       0.0.0.0/0            0.0.0.0/0
...
===================================================

Als Beispiel nehmen wir das Betrachten einer Webseite mit Firefox: nehmen wir an, Firefox hat ein Socket mit Quellport 54321 und Zielport 443. Diese Pakete kommen problemlos raus, da die policy für die Kette OUTPUT auf ACCEPT lautet. Was ist aber jetzt mit dem Antwortpaket ? Das hat Quellport 443 und Zielport 54321. Für den Zielport 54321 gibt es in input_ext keine Regel. Kommt das Antwortpaket mit der Kette schon mal nicht an. Schauen wir uns die Kette INPUT an. Die erste Regel passt nicht, da das device lo nicht involviert ist. Die 2. Regel könnte passen. Dazu sagt aber die man-page:
" conntrack - This module, when combined with connection tracking, allows access to the connection tracking state for this packet/connection.
   [!] --ctstate statelist
   statelist is a comma separated list of the connection states to match.  Possible states are listed below."

und etwas weiter unten:
" ESTABLISHED -  The packet is associated with a connection which has seen packets in both directions."

Es sind aber noch nicht Pakete in beide Richtungen geflogen, sondern erst in eine. Wieso kommt dann die Antwort von dem Webserver an ? Oder greift da irgendeine andere Regel, die ich übersehe ?

Bernd

--
Bernd Lentes

Systemadministration
Institut für Entwicklungsgenetik
Gebäude 35.34 - Raum 208
HelmholtzZentrum münchen
bernd.lentes@helmholtz-muenchen.de
phone: +49 89 3187 1241
fax:   +49 89 3187 2294
http://www.helmholtz-muenchen.de/idg

Je suis Charlie

Helmholtz Zentrum München
Deutsches Forschungszentrum für Gesundheit und Umwelt (GmbH)
Ingolstädter Landstr. 1
85764 Neuherberg
www.helmholtz-muenchen.de
Aufsichtsratsvorsitzende: MinDir´in Bärbel Brumme-Bothe
Geschäftsführer: Prof. Dr. Günther Wess, Dr. Nikolaus Blum, Dr. Alfons Enhsen
Registergericht: Amtsgericht München HRB 6466
USt-IdNr: DE 129521671
-- 
Um die Liste abzubestellen, schicken Sie eine Mail an:
    opensuse-de+unsubscribe@opensuse.org
Um den Listen Administrator zu erreichen, schicken
Sie eine Mail an: opensuse-de+owner@opensuse.org

Verständnisfrage zur Firewall

Lentes, Bernd