Damit ein Linuxsystem eine Paketfilterfirewall benutzen kann wird die Schnittstelle „netfilter“ und das Userfontend „iptables“ benötigt.

Mit „iptables“ definiert man die Firewall-Regeln, die dann über „netfilter“ im Kernel aktiviert werden. Iptables ist in vielen Linux Distributionen Standardmässig enthalten. Sind mit Iptables erstellte Filterregeln konfiguriert, werden alle IP Datenpakete geprüft (ankommende, bevor sie an die Zielanwendung weitergeleitet werden und ausgehende bevor sie den Rechner verlassen).

Wird das System als Router eingesetzt werden die Pakete wärend der weiterleitung geprüft. Pakete können auch manipuliert werden.

Die Paketprüfung und die Filterregeln sind dreistufig aufgebaut (hierarchisch von oben nach unten):

• Tabellen.
• Ketten (Chains).
• Filterregeln.

Trifft eine definierte Regel in einer Tabelle oder Kette zu, wird eine in der Regel definierte Aktion ausgeführt. Trifft keine Regel zu, wird die in der Tabelle gültige Policy angewandt.

In den Tabellen werden Regeln zu Gruppen nach grungsätzlichen Aufgaben unterteilt. Es gibt vier wichtige Tabellen in der Filterregeln hinterlegt werden können.

Jede Tabelle enthält verschiedene Ketten (Chains), die festlegen wann ein Paket geprüft wird (z.B vor der versendung des Pakets), ob die Regel einzufügen oder zu löschen ist. Es gibt fünf Ketten und nicht jede Kette muss in jeder Tabelle vorkommen.

In den Tabellen und Ketten werden die Filterregeln festgelegt. Der Aufruf erfolgt mit „root“ Rechten.

iptables <Option>

iptables -L

Die Regeln werden Zeilenweise durchlaufen. Trifft eine Regel für ein Paket zu wird die Verarbeitung abgebrochen. Ist es eine Benutzerdefinierte Kette, wird der durchlauf in der aufgerufenen Kette weitergeleitet, ist die Kette eine eingebaute Standardkette, so gilt als Ziel die Policy.

Beispiel tcp flags⁽¹⁾:

iptables -A FORWARD -p --tcp-flags SYN,ACK,RST SYN -j DENY

Hier dürfen alle Pakete die das „SYN flag“ gesetzt, „ACK“ und „RST“ nicht gesetzt haben den „Filter passieren.

Das „state“ Modul wird über den Parameter [-m] geladen, man kann damit den Status der Pakete spezifizieren.


Beispiel:

iptables -A INPUT -p tcp --dport 21 --sport 1024: -m state --state NEW,ESTABLISHED -j ACCEPT

• INVALID ⇒ Paket gehört zu keiner bekannten Verbindung.
• ETABLISHED ⇒ Paket gehört zu bestehender Verbindung.
• NEW ⇒ Keine Verbindung, Paket baut neue Verbindung auf.
• RELATED ⇒ Paket gehört zu einer Verbindung und baut neue Verbindung auf.

Das „owner“ Modul wird ebenfalls mit [-m] geladen. Das Modul arbeitet in der OUTPUT Kette und durchsucht den Ersteller des Pakets, hat das Paket keinen Besitzer, kann es nicht erfaßt werden.

• --uid-owner [userid] ⇒ Paket wurde von Benutzer mit [userid] des Prozesses erstellt wurde⁽²⁾.
• --gid-owner [groupid] ⇒ bezieht sich auf [groupid] des Prozesses.
• --cmd-owner [name] ⇒ überprüft den [name] des Prozesses.

Trifft eine Filterregel auf ein Paket zu, kann über das Schicksal des Pakets entschieden werden.

Optionen von LOG:

Um nicht für jedes mögliche Paket eine Filterregel (Protokoll, Schnittstelle, Port etc.) definieren zu müssen, kann für jede Kette (Chain) eine Policy (Grundsatzregel) definiert werden. Die Policy wird immer dann angewandt, wenn keine andere Filterregel zutrifft.

Sie setzt sich aus Tabellen (Optional), der Kette und der Aktion zusammen.


Beispiel:

iptables -P INPUT DROP

Hier wird definiert, dass für die Tabelle „filter“ (Standard) alle eingehenden Pakete verworfen werden.

Für NAT muß die Tabelle, die Ketten mit der Option [-t nat] definiert werden, dazu kommen weitere Match Extensions.

• -j DNAT ⇒ Lädt Erweiterungen für Destination-NAT, diese funktioniert nur in der PREROUTING und OUTPUT Kette.
  • --to-destination IP(-IP) (:Port-port) ⇒ Range von neuen Adressen.
• -j SNAT ⇒ Diese Aktion läuft nur in der POSTROUTING Kette.
  • --to-source IP(-IP) (:PORT-port) ⇒ hier kann man neue Quelladressen und Quellports definieren.
• -j MASQUERADE ⇒ fast wie SNAT (läuft nur in der POSTROUTING Kette).Die Quelladresse wird auf IP der Schnittstelle geändert wo das Paket den Rechner verläßt.

Ein Beispiel Firewall Skript befindet sich im Tipps & Tutorials bereich IPTables Beispiele.

Beim erstellen eigener Regeln sollten zuerst Standardfilterregeln erstellt und alle alten Regelketten gelöscht werden, um sicher zu gehen dass keine älteren Regeln mehr aktiv sind.

...
# --------------- Standard Richtlinien ------------- # 
# Alles Standardmäßig Verbieten.
$IPT -P INPUT DROP
$IPT -P FORWARD DROP
$IPT -P OUTPUT DROP

$IPT -t nat -P PREROUTING ACCEPT
$IPT -t nat -P OUTPUT ACCEPT
$IPT -t nat -P POSTROUTING ACCEPT
 
$IPT -t mangle -P PREROUTING ACCEPT
$IPT -t mangle -P INPUT ACCEPT
$IPT -t mangle -P FORWARD ACCEPT
$IPT -t mangle -P OUTPUT ACCEPT
$IPT -t mangle -P POSTROUTING ACCEPT

# ----------- Alle Regelketten löschen -------- #
$IPT -F
$IPT -t nat -F
$IPT -t mangle -F
 
$IPT -X
$IPT -t nat -X
$IPT -t mangle -X
 
$IPT -Z
$IPT -t nat -Z
$IPT -t mangle -Z
...

#----------------- Benutzerdefinierte Ketten ------------------ #
# Pakete Loggen, dann erlauben.
$IPT -N ACCEPTLOG
$IPT -A ACCEPTLOG -j $LOG $RLIMIT --log-prefix "ACCEPT "
$IPT -A ACCEPTLOG -j ACCEPT
 
# Pakete Loggen, dann verwerfen.
$IPT -N DROPLOG
$IPT -A DROPLOG -j $LOG $RLIMIT --log-prefix "DROP "
$IPT -A DROPLOG -j DROP
 
# Pakete Loggen, dann verbieten.
$IPT -N REJECTLOG
$IPT -A REJECTLOG -j $LOG $RLIMIT --log-prefix "REJECT "
$IPT -A REJECTLOG -p tcp -j REJECT --reject-with tcp-reset
$IPT -A REJECTLOG -j REJECT

Die Aktion LOG bietet an, einzelne Regeln zu protokollieren. Dazu muß die Regel einmal mit (z.B. -j ACCEPT, DROP) und einmal mit (-j LOG) definiert werden. Das Logging erledigt der „syslogd“ nach z.B. “/var/log/messages„ und “/var/log/warn„.

...
for PORT in 23 69 135 139 445 631 1433 2049 3306 4444 5999 6000 6001 6002 6003 7100 7741; do
  $IPT -A INPUT -i $INET -p tcp --dport $PORT -j LOG --log-prefix "fw_Meldung: " --log-level warning
  $IPT -A OUTPUT -o $INET -p tcp --dport $PORT -j LOG --log-prefix "fw_Meldung: " --log-level warning
  $IPT -A INPUT -i $INET -p tcp --dport $PORT -j DROP
  $IPT -A OUTPUT -o $INET -p tcp --dport $PORT -j DROP
done
...

In dieser Schleife werden die genannten Ports blockiert und Protokolliert.

Das Kommando für „iptables“ befindet sich je nach Linux System in verschiedenen Verzeichnissen, können jedoch auch an anderen Stellen im System gespeichert werden z.B. im Verzeichnis “/etc/my-local-fw-dir/„.

• /sbin/iptables ⇒ bei Fedora , Red Hat , Debian , Ubuntu .
• /usr/sbin/iptables ⇒ bei SuSE .

Der Dateiname wird in der Variablen IPT gespeichert.

In der Datei “/etc/rc.local„ kann der Pfad zum Iptable - Skript eingetragen werden, dieses wird dann beim Systemstart geladen.

#!/bin/sh -e
#
# rc.local
#
# This script is executed at the end of each multiuser runlevel.
# Make sure that the script will "exit 0" on success or any other
# value on error.
#
# In order to enable or disable this script just change the execution
# bits.
#
# By default this script does nothing.
/pfad zum/<firewall script>
exit 0

Die Dateien “/etc/ppp/ip-up.d„ , “/ip-down.d/„ werden beim Herstellen und beenden jeder PPP Verbindung ausgeführt. Der Name der Internetschnittstelle wird dem Skript übergeben, dadurch kann z.B. eine Firewall dynamisch an die Schnittstelle angepasst werden. An die beiden Skripte werden folgende Parameter übergeben, der erste bezeichnet den Schnittstellennamen (z.B. ppp0). „$6“ bezeichnet die Identifikationszeichenkette der PPP Verbindung (Option „ipparam“).

Um die Zusammenarbeit mit den Skripten zu gewährleisten, müssen ein paar Dateien geändert werden:

• /etc/ppp/*/<script>
  • ipparam "dsl"

/etc/ppp/ip-up.local ⇒ muß erzeugt oder um folgendes erweitert werden:

#!/bin/sh
#start fw
#$1 definiert verwendete ppp Schnittstelle (z.B. ppp0)
#$6 enthält die ipparam Zeichenkette
if [ "$6" = "dsl" ]; then
 /etc/pfad zur Datei/<script> $1
fi

/etc/ppp/ip-down.local muß erzeugt oder um folgendes erweitert werden:

#!/bin/sh
#start fw
if [ "$6" = "dsl" ]; then
 /etc/pfad zur Datei/<script>
fi

Die Skripte werden jedesmal gestartet wenn eine PPP Verbindung erstellt wird. Im Skript muß die Variable INET dynamisch eingestellt werden.

#!/bin/sh
# script
...
...
LAN=eth0
# dynamische einstellung
INET=$1
...
...

Mit folgenden Kommandos kann überprüft werden, ob Filterregeln definiert sind.

root@home:~# iptables -L 

root@home:~# iptables -t nat -L   

root@home:~# iptables -t mangle -L  

root@home:~# iptables -t raw -L      

iptables und Stealth Scans _{von Klaus Gerhardt}