Firewall für Anfänger - Versionsgeschichte

Malte: Beispiel hinzugefügt

2016-07-16T19:16:49Z

Beispiel hinzugefügt

← Nächstältere Version		Version vom 16. Juli 2016, 21:16 Uhr
Zeile 11:		Zeile 11:

	Statt dass dem Browser Zugriff auf das Internet gewährt wird, wird Zugriff auf den hierzu üblicher Weise verwendeten Port 80 zugelassen. Auf normalen Systemen reicht es allerdings, statt auch den ausgehenden Datenverkehr zu filtern, nur den am Rechner ankommenden Datenverkehr zu filtern.		Statt dass dem Browser Zugriff auf das Internet gewährt wird, wird Zugriff auf den hierzu üblicher Weise verwendeten Port 80 zugelassen. Auf normalen Systemen reicht es allerdings, statt auch den ausgehenden Datenverkehr zu filtern, nur den am Rechner ankommenden Datenverkehr zu filtern.

			== Beispiel für ein Desktop–System ==
			Auf einem gewöhnlichen Desktop–System laufen für gewöhnlich keine oder kaum Dienste, die über das Netzwerk erreichbar sein müssen.
			Das folgende Beispiel–Skript erlaubt lediglich den Zugriff auf SSH und CUPS (Um über das Netzwerk zu drucken).

			# Vorhandene Regeln löschen
			for table in filter nat mangle
			do
			iptables -t $table -F
			iptables -t $table -X
			iptables -t $table -Z
			done

			# Standardverhalten: Nur ausgehend erlauben
			iptables -P INPUT DROP
			iptables -P OUTPUT ACCEPT
			iptables -P FORWARD DROP

			Nun folgen die Regeln für eingehende Pakete. Loopback–Traffic und ICMP–Pakete werden generell durchgelassen. Außerdem müssen eingehende Pakete,
			die zu einer bestehenden Verbindung gehören, erlaubt werden:

			# Loopback-Traffic erlauben
			iptables -A INPUT -i lo -j ACCEPT

			# ICMP-Pakete durchlassen
			iptables -A INPUT -p icmp -j ACCEPT

			# Eingehende Antworten auf bestehende Verbindungen erlauben
			iptables -A INPUT -m conntrack --ctstate RELATED,ESTABLISHED -j ACCEPT

			Zuletzt erlauben wir Zugriff auf die TCP–Ports 22 (SSH) und 631 (CUPS/IPP):

			# SSH: tcp/22
			iptables -A INPUT -p tcp --dport 22 -j ACCEPT

			# CUPS/IPP: tcp/631
			iptables -A INPUT -p tcp --dport 631 -j ACCEPT

			Um diese Regeln bei jedem Systemstart automatisch zu aktivieren, müssen die Regeln nach <code>/etc/iptables/iptables.rules</code> exportiert werden und der Dienst <code>iptables.service</code> aktiviert werden:

			iptables-save > /etc/iptables/iptables.rules
			systemctl enable iptables.service

	== Siehe auch ==		== Siehe auch ==

Dirk: synt, strukt, stil

2013-01-19T22:38:13Z

synt, strukt, stil

← Nächstältere Version		Version vom 20. Januar 2013, 00:38 Uhr
Zeile 1:		Zeile 1:
	{{unvollständig}}		{{unvollständig}}
			Eine Firewall ist ein Sicherheitskonzept, das es ermöglicht, nur ausgewählte Netzwerkkommunikation zuzulassen; und ist ein wichtiger Teil des Datenschutzes und der Datenintegrität. Häufig wird der Begriff „Firewall“ synonym zu einer einzelnen Schutzanwendung verwendet.

	~~Eine~~ Firewall ~~ist ein Programm, welches~~ es ~~ermöglicht~~, nur ~~ausgewählte Netzwerkkommunikation zuzulassen; und~~ ist ~~ein wichtiger Teil eines Sicherheitskonzeptes auch für den heimischen PC. Grundlegend wird dabei zwischen zwei Typen von Firewalls unterschieden~~, ~~deren Vor–~~ und ~~Nachteile kurz angeschnitten werden:~~		== Personal Firewall ==
			Die evtl. von Windows bekannten ''Personal Firewalls'' ermöglichen es, entweder nur einzelnen Programmen Zugriff aufs Internet zu gewähren (so genanntes Whitelisting – nur bestimmten Programmen diesen zu verweigern nennt man Blacklisting). Vorteil einer Personal Firewall ist, dass sie oft sehr einfach zu installieren ist, und meist eine grafische Schnittstelle anbietet.

	~~Die evtl.~~ von Windows bekannten „Personal Firewalls“ ermöglichen es, entweder nur einzelnen Programmen Zugriff aufs Internet zu gewähren (so genanntes Whitelisting, nur bestimmten Programmen diesen zu verweigern nennt man Blacklisting). Vorteil einer Personal ~~Firewall~~ ist, dass sie oft ~~sehr einfach zu installieren ist~~, und ~~meist eine bunte Oberfläche mitbringt~~.		Das größte Problem von Personal Firewalls ist, dass sie in Händen eines unversierten Nutzers oft dazu neigen, mehr Schaden als Nutzen anzurichten. Die ständigen Fragen, wenn ein Systemdienst oder ein Teil eines Programms (Updatefunktionen sind unter Windows oft in einer zweiten Programmdatei), werden lästig, und irgendwann erlaubt der genervte Nutzer jedem Programm Internetzugriff.

	Unter Linux hingegen kommt meist eine ~~so genannte „Paketfilterfirewall“~~ zum Einsatz. Diese analysiert und filtert die ~~kleinste über Netzwerke versendete Dateneinheit, die so genannten Pakete~~. ~~as wohl größte Problem von Personal Firewalls ist, dass sie in Händen eines unversierten Nutzers oft dazu neigen, mehr Schaden als Nutzen anzurichten~~. ~~Die ständigen Fragen~~, ~~wenn ein Systemdienst oder ein Teil eines Programms (Updatefunktionen sind unter Windows oft in einer Zweiten Programmdatei)~~, werden ~~lästig~~, ~~und irgendwann erlaubt der genervte Nutzer jedem Programm Internetzugriff~~.		== Paketfilter ==
			Unter Linux hingegen kommt meist eine ''Paketfilterfirewall'' zum Einsatz. Diese analysiert und filtert die Datenpakete der Netzwerkübertragung. Paketfilterfirewalls (üblicher weise wird [[iptables]] verwendet) fragt nicht nach. Sie arbeitet einen vorher definierten Regelsatz ab, und entscheidet so, ob Daten übermittelt werden, oder nicht.

	~~Die Paketfilterfirewall hingegen (Unter Linux ist dies [[iptables]]) fragt nicht nach~~. ~~Sie arbeitet einfach Ihren Regelsatz ab~~, ~~und entscheidet so~~, ~~ob Daten übermittelt werden, oder nicht~~. ~~Und da ist auch schon der große Unterschied zu sehen:~~		Statt dass dem Browser Zugriff auf das Internet gewährt wird, wird Zugriff auf den hierzu üblicher Weise verwendeten Port 80 zugelassen. Auf normalen Systemen reicht es allerdings, statt auch den ausgehenden Datenverkehr zu filtern, nur den am Rechner ankommenden Datenverkehr zu filtern.

	~~Statt dass dem Browser Zugriff auf das Internet gewährt wird, wird Zugriff auf das World Wide Web (Das Protokoll http) zugelassen. Für einen Anfänger ist es jedoch einfacher, statt~~ auch den ausgehenden Datenverkehr zu filtern, nur den am Rechner ankommenden Datenverkehr zu filtern. Und somit z.B. Zugriff auf Windows Dateifreigaben zu gewähren, eventuelle Hintertüren jedoch am Funktionieren zu hindern. Eins noch vorweg: Eine Firewall ist eine Software. Software wird von Menschen geschrieben, und Menschen machen Fehler. Einen 100%igen Schutz wird es saher niemals geben.		== Siehe auch ==
			* [[iptables]] zur Konfiguration des Kerneleigenen ''Netfilter''s

			== Weblinks ==
			* [http://ulm.ccc.de/PersonalFirewalls/Angriffe Grundlagen zu Angriffen auf den PC vom Ulmener CCC] {{sprache\|de}}

	[[Kategorie:Netzwerk]]		[[Kategorie:Netzwerk]]
			[[Kategorie:Grundlagen]]
			[[Kategorie:Sicherheit]]

Malte: Alten Artikel in Firewall eingepflegt, und neue Einleitung verfasst.

2013-01-04T10:16:54Z

Alten Artikel in Firewall eingepflegt, und neue Einleitung verfasst.

← Nächstältere Version		Version vom 4. Januar 2013, 12:16 Uhr
Zeile 1:		Zeile 1:
	~~Dieser Artikel richtet sich an Arch–Nutzer, die noch nie eine Firewall unter Linux benutzt haben.~~		{{unvollständig}}

	~~Wer schonmal mit Windows zu tun hatte~~, ~~kennt sicherlich Personal Firewalls. Ein möglich buntes Programm~~ ermöglicht ~~es einem~~, ~~einzelnen Programmen~~ den ~~Zugriff auf das Internet zu gewähren bzw~~. ~~zu verweigern. Unter einem Mehrbenutzersystem wie Linux hingegen filtert eine Firewall in der Regel auf Paketebene. Pakete sind die kleinste Dateneinheit~~, ~~die beim Netzwerkverkehr auf einmal versendet wird. In der Regel greift man unter Linux auf iptables zurück.~~		Eine Firewall ist ein Programm, welches es ermöglicht, nur ausgewählte Netzwerkkommunikation zuzulassen; und ist ein wichtiger Teil eines Sicherheitskonzeptes auch für den heimischen PC. Grundlegend wird dabei zwischen zwei Typen von Firewalls unterschieden, deren Vor– und Nachteile kurz angeschnitten werden:

	~~== Firewall zurücksetzen ==~~		Die evtl. von Windows bekannten „Personal Firewalls“ ermöglichen es, entweder nur einzelnen Programmen Zugriff aufs Internet zu gewähren (so genanntes Whitelisting, nur bestimmten Programmen diesen zu verweigern nennt man Blacklisting). Vorteil einer Personal Firewall ist, dass sie oft sehr einfach zu installieren ist, und meist eine bunte Oberfläche mitbringt.
	~~Der Aufbau neuer Regeln sollte immer damit beginnen~~, ~~alle vorhandenen Regeln~~ zu ~~löschen~~ (~~flush~~):

	~~iptables -F~~		Unter Linux hingegen kommt meist eine so genannte „Paketfilterfirewall“ zum Einsatz. Diese analysiert und filtert die kleinste über Netzwerke versendete Dateneinheit, die so genannten Pakete. as wohl größte Problem von Personal Firewalls ist, dass sie in Händen eines unversierten Nutzers oft dazu neigen, mehr Schaden als Nutzen anzurichten. Die ständigen Fragen, wenn ein Systemdienst oder ein Teil eines Programms (Updatefunktionen sind unter Windows oft in einer Zweiten Programmdatei), werden lästig, und irgendwann erlaubt der genervte Nutzer jedem Programm Internetzugriff.

	~~== Standardverhalten festlegen ==~~		Die Paketfilterfirewall hingegen (Unter Linux ist dies [[iptables]]) fragt nicht nach. Sie arbeitet einfach Ihren Regelsatz ab, und entscheidet so, ob Daten übermittelt werden, oder nicht. Und da ist auch schon der große Unterschied zu sehen:
	~~Bei~~ iptables ~~Stellen alle Regeln Ausnahmen vom Standardverhalten~~ ab~~. Dabei stellt man die Richtlinien OUTPUT~~, ~~INPUT~~ und ~~FORWARD ein. Wie die Namen suggerieren~~, ~~steht OUTPUT für alle ausgehenden Pakete~~, ~~INPUT für alle eingehenden und FORWARD für alle Weitergeleiteten. Solange es sich~~ nicht ~~um eine Firewall oder einen Router handelt, sollte FORWARD auf das Verhalten DROP gesetzt werden, d.h. alle Pakete werden einfach „fallen gelassen“~~.

	~~iptables -P FORWARD DROP~~		Statt dass dem Browser Zugriff auf das Internet gewährt wird, wird Zugriff auf das World Wide Web (Das Protokoll http) zugelassen. Für einen Anfänger ist es jedoch einfacher, statt auch den ausgehenden Datenverkehr zu filtern, nur den am Rechner ankommenden Datenverkehr zu filtern. Und somit z.B. Zugriff auf Windows Dateifreigaben zu gewähren, eventuelle Hintertüren jedoch am Funktionieren zu hindern. Eins noch vorweg: Eine Firewall ist eine Software. Software wird von Menschen geschrieben, und Menschen machen Fehler. Einen 100%igen Schutz wird es saher niemals geben.

	~~Eine einfache Firewall erlaubt allen Ausgehenden Datenverkehr:~~

	~~iptables -P OUTPUT ACCEPT~~

	~~Im Gegensatz dazu wird aller Eingehender Verkehr Blockiert, und nur, wenn benötigt, einzelne Ports geöffnet:~~

	~~iptables -P INPUT DROP~~

	~~== Einzelne Ports öffnen ==~~
	~~In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit [[SSH]] zuzugreifen. Dafür muss der Port 22 für TCP geöffnet werden:~~

	~~iptables -A INPUT -p tcp --dport 22 -j ACCEPT~~

	~~Zudem ist es in heterogenen Netzwerken meist erwünscht, Datenverkehr zum [[Samba\|Sambaserver]] zuzulassen:~~

	~~iptables -A INPUT -p tcp --dport 139 -j ACCEPT~~
	~~iptables -A INPUT -p tcp --dport 445 -j ACCEPT~~

	~~== Alle Aufgebauten Verbindungen Durchwinken ==~~
	~~Damit nicht eingehender Verkehr, der als Antwort auf ausgehenden Verkehr erfolgte, blockiert wird, werden die entsprechenden Pakete anhand ihres Status durchgewinkt:~~

	~~iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT~~

	~~== Lokalen Netzwerkverkehr zulassen ==~~
	~~Viele Systemdienste verlassen sich darauf, dass sie über die Loopback–Schnittstelle kommunizieren können. Daher sollte jeglicher Datenverkehr über die Schnittstelle lo zugelassen werden:~~

	~~iptables -A INPUT -i lo -j ACCEPT~~

	[[Kategorie:Netzwerk]]		[[Kategorie:Netzwerk]]

Malte: Zur Kategorie Netzwerk hinzugefügt

2013-01-03T21:32:31Z

Zur Kategorie Netzwerk hinzugefügt

← Nächstältere Version		Version vom 3. Januar 2013, 23:32 Uhr
Zeile 40:		Zeile 40:

	iptables -A INPUT -i lo -j ACCEPT		iptables -A INPUT -i lo -j ACCEPT

			[[Kategorie:Netzwerk]]

Malte: Tippfehler korrigiert; ein paar Erklärungen hinzugefügt; Interne Links hinzugefügt; Keine Baustelle mehr

2013-01-03T21:31:36Z

Tippfehler korrigiert; ein paar Erklärungen hinzugefügt; Interne Links hinzugefügt; Keine Baustelle mehr

← Nächstältere Version		Version vom 3. Januar 2013, 23:31 Uhr
Zeile 1:		Zeile 1:
	~~{{unvollständig}}~~
	Dieser Artikel richtet sich an Arch–Nutzer, die noch nie eine Firewall unter Linux benutzt haben.		Dieser Artikel richtet sich an Arch–Nutzer, die noch nie eine Firewall unter Linux benutzt haben.

Zeile 10:		Zeile 9:

	== Standardverhalten festlegen ==		== Standardverhalten festlegen ==
	Bei iptables Stellen alle Regeln Ausnahmen vom Standardverhalten ab. Dabei stellt man die Richtlinien OUTPUT, INPUT und FORWARD ein. Wie die Namen suggerieren, steht OUTPUT für alle ausgehenden Pakete, INPUT für alle eingehenden und FORWARD für alle Weitergeleiteten. Solange es sich nicht um eine Firewall handelt~~, die Pakete über NAT weiterleitet~~, sollte FORWARD auf das Verhalten DROP gesetzt werden, d.h. alle Pakete werden einfach „fallen gelassen“.		Bei iptables Stellen alle Regeln Ausnahmen vom Standardverhalten ab. Dabei stellt man die Richtlinien OUTPUT, INPUT und FORWARD ein. Wie die Namen suggerieren, steht OUTPUT für alle ausgehenden Pakete, INPUT für alle eingehenden und FORWARD für alle Weitergeleiteten. Solange es sich nicht um eine Firewall oder einen Router handelt, sollte FORWARD auf das Verhalten DROP gesetzt werden, d.h. alle Pakete werden einfach „fallen gelassen“.

	iptables -P FORWARD DROP		iptables -P FORWARD DROP
Zeile 23:		Zeile 22:

	== Einzelne Ports öffnen ==		== Einzelne Ports öffnen ==
	In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit SSH zuzugreifen. Dafür muss der Port 22 ~~über~~ TCP geöffnet werden:		In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit [[SSH]] zuzugreifen. Dafür muss der Port 22 für TCP geöffnet werden:

	iptables -A INPUT -p tcp --dport 22 -j ACCEPT		iptables -A INPUT -p tcp --dport 22 -j ACCEPT

	Zudem ist es in heterogenen Netzwerken meist erwünscht, Datenverkehr zum Sambaserver zuzulassen:		Zudem ist es in heterogenen Netzwerken meist erwünscht, Datenverkehr zum [[Samba\|Sambaserver]] zuzulassen:

	iptables -A INPUT -p tcp --dport 139 -j ACCEPT		iptables -A INPUT -p tcp --dport 139 -j ACCEPT
Zeile 33:		Zeile 32:

	== Alle Aufgebauten Verbindungen Durchwinken ==		== Alle Aufgebauten Verbindungen Durchwinken ==
	Damit nicht eingehender Verkehr, der als Antwort auf ~~Ausgehenden nVerkehr~~ erfolgte, blockiert wird, werden die entsprechenden Pakete anhand ihres Status durchgewinkt:		Damit nicht eingehender Verkehr, der als Antwort auf ausgehenden Verkehr erfolgte, blockiert wird, werden die entsprechenden Pakete anhand ihres Status durchgewinkt:

	iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT		iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

	== Lokalen Netzwerkverkehr zulassen ==		== Lokalen Netzwerkverkehr zulassen ==
	Viele Systemdienste verlassen sich darauf, dass sie über die Loopback–Schnittstelle kommunizieren können:		Viele Systemdienste verlassen sich darauf, dass sie über die Loopback–Schnittstelle kommunizieren können. Daher sollte jeglicher Datenverkehr über die Schnittstelle lo zugelassen werden:

	iptables -A INPUT -i lo -j ACCEPT		iptables -A INPUT -i lo -j ACCEPT

	~~== TODO ==~~
	* Ausführlichere Erklärungen

Malte: Hinwies Loopback hinzugefügt; Todo erstellt

2012-12-19T18:27:05Z

Hinwies Loopback hinzugefügt; Todo erstellt

← Nächstältere Version		Version vom 19. Dezember 2012, 20:27 Uhr
Zeile 23:		Zeile 23:

	== Einzelne Ports öffnen ==		== Einzelne Ports öffnen ==
	In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit SSH zuzugreifen. Dafür muss der Port 22 geöffnet werden:		In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit SSH zuzugreifen. Dafür muss der Port 22 über TCP geöffnet werden:

	iptables -A INPUT --dport 22 -j ACCEPT		iptables -A INPUT -p tcp --dport 22 -j ACCEPT

	Zudem ist es in heterogenen Netzwerken meist erwünscht, Datenverkehr zum Sambaserver zuzulassen:		Zudem ist es in heterogenen Netzwerken meist erwünscht, Datenverkehr zum Sambaserver zuzulassen:

	iptables -A INPUT --dport 139 -j ACCEPT		iptables -A INPUT -p tcp --dport 139 -j ACCEPT
	iptables -A INPUT --dport 445 -j ACCEPT		iptables -A INPUT -p tcp --dport 445 -j ACCEPT

	== Alle Aufgebauten Verbindungen Durchwinken ==		== Alle Aufgebauten Verbindungen Durchwinken ==
Zeile 36:		Zeile 36:

	iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT		iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT

			== Lokalen Netzwerkverkehr zulassen ==
			Viele Systemdienste verlassen sich darauf, dass sie über die Loopback–Schnittstelle kommunizieren können:

			iptables -A INPUT -i lo -j ACCEPT

			== TODO ==
			* Ausführlichere Erklärungen

Malte: Samba hinzugefügt

2012-12-19T18:17:02Z

Samba hinzugefügt

← Nächstältere Version		Version vom 19. Dezember 2012, 20:17 Uhr
Zeile 22:		Zeile 22:
	iptables -P INPUT DROP		iptables -P INPUT DROP

	== ~~Einen Port~~ öffnen ==		== Einzelne Ports öffnen ==
	In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit SSH zuzugreifen. Dafür muss der Port 22 geöffnet werden:		In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit SSH zuzugreifen. Dafür muss der Port 22 geöffnet werden:

	iptables -A INPUT --dport 22 -j ACCEPT		iptables -A INPUT --dport 22 -j ACCEPT

			Zudem ist es in heterogenen Netzwerken meist erwünscht, Datenverkehr zum Sambaserver zuzulassen:

			iptables -A INPUT --dport 139 -j ACCEPT
			iptables -A INPUT --dport 445 -j ACCEPT

	== Alle Aufgebauten Verbindungen Durchwinken ==		== Alle Aufgebauten Verbindungen Durchwinken ==

Malte: Seite erstellt

2012-12-19T18:13:44Z

Seite erstellt

Neue Seite

{{unvollständig}}
Dieser Artikel richtet sich an Arch–Nutzer, die noch nie eine Firewall unter Linux benutzt haben.

Wer schonmal mit Windows zu tun hatte, kennt sicherlich Personal Firewalls. Ein möglich buntes Programm ermöglicht es einem, einzelnen Programmen den Zugriff auf das Internet zu gewähren bzw. zu verweigern. Unter einem Mehrbenutzersystem wie Linux hingegen filtert eine Firewall in der Regel auf Paketebene. Pakete sind die kleinste Dateneinheit, die beim Netzwerkverkehr auf einmal versendet wird. In der Regel greift man unter Linux auf iptables zurück.

== Firewall zurücksetzen ==
Der Aufbau neuer Regeln sollte immer damit beginnen, alle vorhandenen Regeln zu löschen (flush):

iptables -F

== Standardverhalten festlegen ==
Bei iptables Stellen alle Regeln Ausnahmen vom Standardverhalten ab. Dabei stellt man die Richtlinien OUTPUT, INPUT und FORWARD ein. Wie die Namen suggerieren, steht OUTPUT für alle ausgehenden Pakete, INPUT für alle eingehenden und FORWARD für alle Weitergeleiteten. Solange es sich nicht um eine Firewall handelt, die Pakete über NAT weiterleitet, sollte FORWARD auf das Verhalten DROP gesetzt werden, d.h. alle Pakete werden einfach „fallen gelassen“.

iptables -P FORWARD DROP

Eine einfache Firewall erlaubt allen Ausgehenden Datenverkehr:

iptables -P OUTPUT ACCEPT

Im Gegensatz dazu wird aller Eingehender Verkehr Blockiert, und nur, wenn benötigt, einzelne Ports geöffnet:

iptables -P INPUT DROP

== Einen Port öffnen ==
In vielen Fällen kann es hilfreich sein, auch auf Desktopmaschinen mit SSH zuzugreifen. Dafür muss der Port 22 geöffnet werden:

iptables -A INPUT --dport 22 -j ACCEPT

== Alle Aufgebauten Verbindungen Durchwinken ==
Damit nicht eingehender Verkehr, der als Antwort auf Ausgehenden nVerkehr erfolgte, blockiert wird, werden die entsprechenden Pakete anhand ihres Status durchgewinkt:

iptables -A INPUT -m state --state RELATED,ESTABLISHED -j ACCEPT