Stört "Brickhouse" Netzwerk ??

[Lace]

Naja, das ist natürlich schon ganz gut. Du erlaubst bisher aber nur DNS Anfragen und http Anfragen. Du solltest noch folgende Ports öffnen:

https 443

allow tcp from any to any 443 out
allow tcp from any 443 to any in

Nebenbei, Du kannst für Deinen Rechner auch das Schlüsselwort "me" einsetzen, zusätzlich stateful firewalling

allow tcp from me to any 443 setup keep-state


FTP ist schwierig. Es gibt Passives und aktives FTP. Du solltest Passives bevorzugen.

allow tcp from me 1024-32768 to any 21 setup keep-state
allow tcp from any 20 to me 1024-32768 setup keep-state
# für passives ftp, scheissregel
add pass tcp from me 1024-32768 to any 1024-32768 setup keep-state


Also alles zusammen.

allow ip from any to any via lo*
deny ip from 127.0.0.0/8 to any in setup
deny ip from any to 127.0.0.0/8 in setup
deny ip from 224.0.0.0/3 to any in setup
deny tcp from any to 224.0.0.0/3 in setup
allow udp from any to any 53 out # DNS Anfrage
allow udp from any 53 to any in # DNS Antowrt
allow tcp from any to any 80 out setup keep-state # HTTP
allow tcp from me to any 443 setup keep-state # HTTPS
allow tcp from me 1024-32768 to any 21 setup keep-state # FTP Command
allow tcp from any 20 to me 1024-32768 setup keep-state # FTP Data
# für passives ftp
add pass tcp from me 1024-32768 to any 1024-32768 setup keep-state # Passive FTP Data
deny ip from any to any

Ich denke den Zugriff von 127.0.0.0, 224.0.0.0, 192.168.0.0, 10.0.0.0, 172.16.0.0 solltest Du noch mit dem via Command verknüpfen

deny tcp from 127.0.0.0 to me in via tun0
deny udp from 127.0.0.0 to me in via tun0
deny tcp from 10.0.0.0 to me in via tun0
deny udp from 10.0.0.0 to me in via tun0
deny tcp from 172.16.0.0 to me in via tun0
deny udp from 172.16.0.0 to me in via tun0
deny tcp from 192.168.0.0 to me in via tun0
deny udp from 192.168.0.0 to me in via tun0

oder so...

 

[Lace]

Actives FTP ist für Clients Scheisse
Passives FTP ist für Server Scheisse

= FTP ist Scheisse

 

[cyko]

= FTP ist Scheisse

Hi,hi,hi... Ich brauch's halt erst einmal nur für Downloads
von FTP-Servern (für die Uni, oder von der Uni o.ä.)...

Erstmal vielen, vielen Dank für Deine äußerst ausführliche Antwort!
Ich werde mich mal da durch arbeiten (das werde ich wohl schon müssen, aber ich lerne ziemlich viel durch diese "Hand" Konfiguration).
Gibt es denn eine Möglichkeit die Firewall, ... sagen wir mal an und
aus zu schalten? Oder muss ich diese dann mit dem "flush" Kommando zurück setzen? Dann würde sich evtl. ein Skript anbieten (nicht das ich das nicht auch erst ... äh, vertiefen müsste ).

 

[Woulion]

Hi

Wenn ich die Herrschaften auf auf folgende Threads als Lektüre hinweisen dürfte:

W

 

[cyko]

Langsam!
Lace geht mit seinen Antworten aber wesentlich weiter.
Und woher meinst Du habe ich die Vorherige Konfiguration

02000 allow ip from any to any via lo*
02010 deny ip from 127.0.0.0/8 to any in
02020 deny ip from any to 127.0.0.0/8 in
02030 deny ip from 224.0.0.0/3 to any in
02040 deny tcp from any to 224.0.0.0/3 in
03000 allow udp from any to any 53 out
03010 allow udp from any 53 to any in
04000 allow tcp from any to any 80 out
04010 allow tcp from any 80 to any in
65500 deny ip from any to any
65535 allow ip from any to any

und Zitat von mir:

Ich habe die ipfw nun über´s Terminal konfiguriert (nach den Angaben auf der Website eines der Forenmitglider)

Und damit ist die Anleitung auf "maceis" Site gemeint!
(übrigens für Einsteiger wie mich echt klasse)...

sanfte grüße c.

 

[Woulion]

Hi

Ich wollte auch nur diese äußerst wertvollen Links der Community zur Kenntnis geben

W

 

[cyko]

War auch net böse gemeint!
(Kam das so rüber? Sind ja wirklich gute links!)

 

[Lace]

Die Firewall, oder besser gesagt der Packetfilter, läuft immer. Also musst Du sie zum abschalten flushen.

Übrigens ist eine Firewall ein System, das ein Netzwerk abschottet. Ein Packetfilter ist nur ein Teil eines Firewallkonzeptes. Der Packetfilter ist heute in vielen Systemen eingebaut. Eine richtige Firewall aber sollte so konfiguriert sein, das kein direkter Verkehr zwischen dem zu schützendem Netzabschnitt und dem restlichen Netzwerk stattfinden kann. Deswegen haben teure Firewalls eine Menge Proxyserver für alle möglichen Dienste installiert.
Die Idee dahinter ist, das die Firewall und alle ihre Software als sicher eingestuft wird, die Rechner die die Firewall benutzen als unsicher. Deswegen sollte bei der Kommunikation von nicht vertrauenswürdigen Rechnern aus nicht vertrauenswürdigen Netzen (Internet) mit der Firwall den zu beschützenden Rechnern nichts passieren, da ja alle Kommunikation durch die Firewall als Stellvertreter abgewickelt wird. Ich hoffe Du konntest mir folgen Deswegen haben richtig (teure) Firewalls immer Proxy Server; Proxy->Stellvertreter.

Soviel nur mal zum Konzept eines Firewallsystems, falls es Dich interessiert...

 

[Lace]

Noch was:

Bei TCP Verkehr kannst Du immer mit den Schlüsselwörtern "setup" (Verbindungsaufbau) und "keep-state" (Verbindungsverfolgung) arbeiten, da TCP ein Verbindungsabhängiges Protokoll ist. D.h. eine TCP Verbindung muss erst mit einem Verbindungsaufbau (Handshake, "setup") "initialisiert" werden, damit die eigentliche Verbindung anschließend Daten transportieren kann. Wenn Du den "setup" blockierst
z.B. deny tcp from any to me 80 setup
dann kann auch keine Datenverbindung entstehen.

Mit "keep-state" merkt sich der Paketfilter eine Verbindung, und gibt gleich auch den entsprechenden Rückkanal frei.

allow tcp from any to me 80 setup keep-state

entspricht also

allow tcp from any to me 80 in
allow tcp from me 80 to any out

(dieses Beispiel nimmt an, daß Du einen http Server auf Port 80 laufen hast)

Für UDP funktioniert das so nicht, da UDP einfach nur Packete versendet, ob diese ankommen oder nicht interessiert UDP nicht. Es findet deswegen auch kein Handshake statt, einfach nur "fire and forget". Deswegen gilt für DNS Anfragen:

allow udp from me to any 53 out
allow udp from any 53 to me in

Mit ipfw kann man übrigens noch ganz andere nette Dinge machen, z.B. traffic shaping (Priorisierung einzelner Dienste auf der Datenleitung).

 

[cyko]

Soweit alles verstanden ausser was "traffic shaping" ist,
das habe ich natürlich nicht gerafft .