auch ganz brauchbar: <http://www.shorewall.net> und webmin hat auch module dafzer wenn man die config files nicht besonders mag. cheers.

m Mo 29.05.2006 16:27 schrieb Andre Tann <atann@gmx.net>:

Hallo Liste.

1. Gehe ich ein Sicherheitsrisiko ein, wenn ich auf allen Tabellen die Policy zuerst auf DROP stelle, und dann nach und nach die Regeln dazu baue, die mir den gewünschten Verkehr ermöglichen?

Wenn du die Default-Policy meinst, so birgt das kein Sicherheitsrisiko, da für alles was du nicht definiert hast diese Regel greift.

2. Wie binde ich mein Regelwerk so in den Bootprozeß ein, daß beim Starten des Systems keine Lücke entsteht, und die Regeln zum frühestmöglichen Zeitpunkt wirksam werden.

Wichtig ist das du Firewall aktivierst bevor das Netzwerk gestartet wird. Am besten schreibst du ein Script wo alle Regeln definiert wurde. Dies kopierst du in das Verzeichnis /etc/init.d Beispiel: Am bestellen erst mal ein ls auf /etc/rc.d/rcX.d/ machen. Dort nachschauen welche Startnummer deine Netzwerkverbindung halt z.B. bei Suse 10.1 S05network cp meineFirewall /etc/init.d/ chmod 755 /etc/init.d/meineFirewall cd /etc/rc.d/rc5.d ln -s /etc/init.d/meineFirewall S04meineFirewall Das gilt nun aber auch nur für Runlevel 5 wenn du kein X nutzt so solltest du es auch für Runlevel 3 einrichten. Rechner Neu starten und habe fertig.

Und die zweieinhalbste Frage: weiß jemand eine gute Quelle, wo ich für den Firewallbau nachlesen kann? Ich hab schon gegoogelt und auch einiges gefunden, aber vielleicht weiß jemand etwas, das besonders zu empfehlen ist.

Als Buch in deutsch kann ich dir "Linux-Firewalls it iptables & Co" empfehlen. Autor Ralf Spenneberg Verlag Addison-Wesley ISBN 3-8273-2136-0 MfG Martin

Am Monday 29 May 2006 16:27 schrieb Andre Tann:

Hallo Liste.

Nachdem jetzt einige Versuche schiefgegangen sind, mit Hilfe von Yast der SuSE-FW2 das gewünschte Verhalten beizubringen[1], möchte ich mir jetzt selbst eine Firewall bauen. Hierzu habe ich zwei (bzw. zweieinhalb) Fragen:

1. Gehe ich ein Sicherheitsrisiko ein, wenn ich auf allen Tabellen die Policy zuerst auf DROP stelle, und dann nach und nach die Regeln dazu baue, die mir den gewünschten Verkehr ermöglichen?

2. Wie binde ich mein Regelwerk so in den Bootprozeß ein, daß beim Starten des Systems keine Lücke entsteht, und die Regeln zum frühestmöglichen Zeitpunkt wirksam werden.

Und die zweieinhalbste Frage: weiß jemand eine gute Quelle, wo ich für den Firewallbau nachlesen kann? Ich hab schon gegoogelt und auch einiges gefunden, aber vielleicht weiß jemand etwas, das besonders zu empfehlen ist.

Danke!

-- Andre Tann

ich stimme den anderen voll und ganz zu, von webmin-shorewall und eigenen iptables-regeln bis zu fwbuilder hat alles seine Vorteile - je nach dem für was du's brauchst, Eine Sache würde ich noch hinzufügen: Die SuSEFirewall custom rules files. (siehe /etc/sysconfig/SuSEfirewall2 und such mal nach custom) Damit kann auch die SuSE Firewall ein externes script einbinden, mit dem du (fast) genau so flexibel bist wie mit einem eigenen Regelwerk. Da musst du dann allerdings etwas tricksen, wegen der SuSEFW Eigenheiten. z.B: SuSE FW kann ja nicht so gut maskieren wie iptables selbst, also: schalten wir masquerading aus und dann nur für die gewünschten Adress/Port Kombinationen in unserem Custom File an. M.E geht das nicht mit SuSE FW selbst. - zumindest nicht bis zur 9.3. Zur SuSE FW gibts bei Sourceforge ein gutes und umfangreiches (aktuelles?) Doku-skript-PDF. :-) -- Best Regards - Mit freundlichen Grüßen Markus Feilner -------------------------- Feilner IT Linux & GIS Linux Solutions, Training, Seminare und Workshops - auch Inhouse Kötztingerstr 6c 93057 Regensburg fon regensburg +49 941 8107989 mobil +49 170 3027092 www: www.feilner-it.net mail: mfeilner@feilner-it.net --------------------------------------- My new book - Coming out soon: http://www.packtpub.com/openvpn/book OPENVPN : Building and Integrating Virtual Private Networks =======================================