https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Stateful_Firewall_vs._Stateless_Firewall 2026-05-14T19:32:59Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=Stateful_Firewall_vs._Stateless_Firewall&diff=66887&oldid=prev 2026-02-16T08:38:41Z

<p>Die Seite wurde neu angelegt: „=ipchains Client-Only Firewall (strenger Block)= ==Ziel== *Default Policy DENY *Nur ausgehende TCP-Verbindungen zu 80, 443, 993, 25 *Antwortverkehr nur von di…“</p> <p><b>Neue Seite</b></p><div>=ipchains Client-Only Firewall (strenger Block)=<br /> <br /> ==Ziel==<br /> *Default Policy DENY<br /> *Nur ausgehende TCP-Verbindungen zu 80, 443, 993, 25<br /> *Antwortverkehr nur von diesen Ports<br /> *Nur Ephemeral-Zielports (1024–65535)<br /> *Keine pauschalen ! -y Regeln<br /> <br /> ==Reset und Default Policies==<br /> *ipchains -F<br /> *ipchains -P input DENY<br /> *ipchains -P output DENY<br /> *ipchains -P forward DENY<br /> <br /> ==Loopback erlauben==<br /> *ipchains -A input -i lo -j ACCEPT<br /> *ipchains -A output -i lo -j ACCEPT<br /> <br /> ==Ausgehende Verbindungen (strikt mit Ephemeral Source Ports)==<br /> *ipchains -A output -p tcp --sport 1024:65535 --dport 80 -j ACCEPT<br /> *ipchains -A output -p tcp --sport 1024:65535 --dport 443 -j ACCEPT<br /> *ipchains -A output -p tcp --sport 1024:65535 --dport 993 -j ACCEPT<br /> *ipchains -A output -p tcp --sport 1024:65535 --dport 25 -j ACCEPT<br /> <br /> ==Eingehende Antworten (kein reines SYN, nur erlaubte Service-Ports)==<br /> *ipchains -A input -p tcp ! -y --sport 80 --dport 1024:65535 -j ACCEPT<br /> *ipchains -A input -p tcp ! -y --sport 443 --dport 1024:65535 -j ACCEPT<br /> *ipchains -A input -p tcp ! -y --sport 993 --dport 1024:65535 -j ACCEPT<br /> *ipchains -A input -p tcp ! -y --sport 25 --dport 1024:65535 -j ACCEPT<br /> <br /> ==Ergebnis==<br /> *Nur definierte Client-Verbindungen erlaubt<br /> *Keine eingehenden neuen TCP-Verbindungen möglich<br /> *Antwortverkehr nur passend zu erlaubten Zielports<br /> *Maximal saubere Umsetzung innerhalb der ipchains-Architektur<br /> <br /> =iptables Client-Only Firewall (stateful, sauber)=<br /> <br /> ==Ziel==<br /> *Default Policy DROP<br /> *Nur ausgehende TCP-Verbindungen zu 80, 443, 993, 25<br /> *Antwortverkehr ausschließlich ESTABLISHED,RELATED<br /> *Keine Pseudo-State-Tricks notwendig<br /> <br /> ==Reset und Default Policies==<br /> *iptables -F<br /> *iptables -X<br /> *iptables -P INPUT DROP<br /> *iptables -P OUTPUT DROP<br /> *iptables -P FORWARD DROP<br /> <br /> ==Loopback erlauben==<br /> *iptables -A INPUT -i lo -j ACCEPT<br /> *iptables -A OUTPUT -o lo -j ACCEPT<br /> <br /> ==Bereits bestehende Verbindungen erlauben==<br /> *iptables -A INPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT<br /> *iptables -A OUTPUT -m conntrack --ctstate ESTABLISHED,RELATED -j ACCEPT<br /> <br /> ==Neue ausgehende Verbindungen erlauben==<br /> *iptables -A OUTPUT -p tcp --dport 80 -m conntrack --ctstate NEW -j ACCEPT<br /> *iptables -A OUTPUT -p tcp --dport 443 -m conntrack --ctstate NEW -j ACCEPT<br /> *iptables -A OUTPUT -p tcp --dport 993 -m conntrack --ctstate NEW -j ACCEPT<br /> *iptables -A OUTPUT -p tcp --dport 25 -m conntrack --ctstate NEW -j ACCEPT<br /> <br /> ==Ergebnis==<br /> *Nur definierte Client-Verbindungen möglich<br /> *Keine eingehenden neuen TCP-Verbindungen<br /> *Antwortverkehr nur für tatsächlich bestehende Sessions<br /> *Echtes Stateful Filtering durch Conntrack</div>

Thomas.will