🚀 go-pugleaf

Hallo Daniel

W�rde ich hier nun die ultimative Anleitung f�r die Einrichtung einer
Firewall hinschreiben, w�re ich wohl die n�chste halbe bis ganze Stunde am
tippen :)

Hier zuesrt mal zwei wirklich gute Ressourcen:

http://www2.little-idiot.de/firewall/
Linux IPCHAINS-Howto

Nun noch ein paar grunds�tzlich Tipps / Anmerkungen zu Deinen Settings:

Wieviele Netzwerkkarten hast Du im System? Ich denke mal zwei, da Du im
Script eth0 und eth1 konfiguriert hast. Das ist schon mal gut :)

Meine Anmerkungen unten beziehen sich auf folgende Anschlussvariante:

Kabelmodem ----- eth0 [Firewall] eth1 ---- Internes Netz

eth0 : dynamische IP
eth1 : 192.168.1.1/255.255.255.0

Programm routed wird ausgef�hrt (wichtig!) -> Sonst musst Du Dich noch mit
der Routingtable abk�mpfen

> ---------------------------------------------------------
> This setting is done in /etc/rc.config (START_FW="yes")    #habe ich
gesetzt

Richtig -> Setze noch START_ROUTED auf yes...

> FW_DEV_WORLD="eth0"
> FW_DEV_WORLD_eth0="10.0.0.1 255.255.255.0"

Ich kenne die Konfiguration mit dynamischer IP zuwenig, denke aber mal, Du
solltest die zweite Zeile leer lassen, und nichts zuteilen.

> FW_DEV_INT="eth0"
> FW_DEV_INT_eth0="192.168.1.1 255.255.255.0"

Richtig, aber eth1 verwenden

> FW_DEV_DMZ=""
> FW_DEV_DMZ_eth1="192.168.1.1 255.255.255.0"

DMZ ist die "De-Militarized Zone" und nur bei einer dritten Netzwerkkarte
n�tig, um z.Bsp Webserver, die aus beiden Netzen erreichbar sein m�ssen,
durch die Firewall zu sch�tzen (aber weniger restriktiv als die Interne
Zone).
-> Alles leer lassen , auch keine IP eintragen

> FW_ROUTE="no"

yes -> Routing ist n�tig, da zwei Subnetze

> FW_MASQUERADE="no"

yes -> Ausgehende Packete sollen mit der Adresse den Kabelmodems maskiert
werden, private Packete werden im Internet n�mlich nicht transportiert.

> leider klappt das ganze nicht.
> wenn ich:
> FW_PROTECT_FROM_INTERNAL="yes"
> FW_AUTOPROTECT_GLOBAL_SERVICES="yes"
> FW_SERVICES_EXTERNAL_TCP="21 23 80"
> FW_SERVICES_INTERNAL_TCP="21 23 80"
> gesetzt habe....komme ich �berhaupt nicht mehr auf den server.
> abgehend vom server ist auch sense....

Die Firewall IST der Server -> d.h. wenn Du die Firewall von Intern oder
Extern sch�tzt (PROTECT_FROM) k�mmt logischerweise niemand mehr auf den
Server/Firewall

> bei dieser einstellung:
> FW_PROTECT_FROM_INTERNAL="no"
> FW_AUTOPROTECT_GLOBAL_SERVICES="yes"
> FW_SERVICES_EXTERNAL_TCP="21 23 80"
> FW_SERVICES_INTERNAL_TCP="21 23 80"
> kann ich nur vom server ins netz....von aussen kommt niemand drauf.
>
> und bei
> FW_PROTECT_FROM_INTERNAL="no"
> FW_AUTOPROTECT_GLOBAL_SERVICES="no"
> FW_SERVICES_EXTERNAL_TCP="21 23 80"
> FW_SERVICES_INTERNAL_TCP="21 23 80"
> ist alles wieder offen...alle dienste (?)

Um Regeln f�r die Firewall selbst zu definieren brauchst Du das Interface
'lo'. Bez�glich der Regeln empfehle ich Dir einmal das Packet gfcc von der
SuSE-CD zu installieren und zu starten (mit $> gfcc aus der shell). Dort
sind die Regeln, welche die Firewall in jedem Fall setzt einzeln zu sehen
und einfacher zu �berpr�fen oder auch selbst zu setzen (-> wenigstens bis
zum n�chsten Restart). Um die Regeln zu begreifen ist die ober erw�hnte
Dokumentation recht gut :)

> ich dachte zuerst alles schliessen.....danach die einzelnen dienste wieder
> �ffnen....
> habe ich was vergessen?? mache ich einen gedankenfehler?
> oder muss ich noch regeln mit ipchains setzen? (da gibt es meiner meinung
> nicht viel zu regeln.....alle d�rfen die dienste 21, 23 und 80 benutzen)

21 -> FTP, dann brauchst Du aber noch Port 20 und die Highports
(1024-655xx).
23 -> Telnet?? W�rde ich in jedem Fall aus dem Internet sperren!!!
80 -> HTTP i.O. wobei Server eigentlich VOR die Firewall oder in eine
separate DMZ geh�ren und aus sicherheitsgr�nden nicht auf die Firewall
selbst.

Vielleicht hilft Dir das etwas weiter, sonst frag halt wieder...

--
Viele Gr�sse

Martin
news@wizonet.ch
http://www.wizonet.ch
Hosting mit eigener Domain ab nur 8.40Fr./Monat
(20MB,FP,PHP4,Perl,DAV,2xPOP3)