Paketfilter: Unterschied zwischen den Versionen

Aus Xinux Wiki
Zur Navigation springen Zur Suche springen
 
(14 dazwischenliegende Versionen von 2 Benutzern werden nicht angezeigt)
Zeile 22: Zeile 22:
 
**DROP - Das Paket wird verworfen der Absender bekommt keine ICMP Nachricht
 
**DROP - Das Paket wird verworfen der Absender bekommt keine ICMP Nachricht
 
**ACCEPT - Das Paket darf pasieren.
 
**ACCEPT - Das Paket darf pasieren.
−
=Stateful=
 
−
*Ein Paketfilter heißt „stateful“, wenn er für ein ausgehendes Paket automatisch eine Regel erzeugt,
 
−
*Dies gilt in einem bestimmten Zeitfenster und solange wird die Antwort auf dieses Paket akzeptiert.
 
−
*Kommt die Antwort nicht oder wird die Zeit überschritten, verfällt die Regel.
 
−
*Prinzipiell können solche Filter auch mit Protokollen umgehen, die auf zwei Ports arbeiten, zum Beispiel FTP.
 
 
=Paketfilterbeispiel=
 
=Paketfilterbeispiel=
−
*Der Paketfilter ist für Aufgaben wie das Vergleichen von Quell- oder Zieladresse der Pakete, die die Firewall passieren, zuständig und muss dafür bestimmte Filterungen oder Reglementierungen im Datenverkehr vornehmen. Wenn man sich das Internet als eine gigantische Ansammlung von Häusern vorstellt, dann stellen die IP-Adressen sozusagen die Hausnummern dar. Unter einer bestimmten IP-Adresse kann man direkt mit einem Rechner kommunizieren.
+
*Ein Paketfilter ist in der Regel auch ein Router
 +
*Es prüft meist die Absender IP, Absender Port sowie Ziel IP und Ziel Port.
 +
*Diese Informationen werden nun mit den Regeln von oben nach unten verglichen.
 +
*Wenn eine Regel zutrifft, wird ein Ziel meist ACCEPT oder DROP ausgewählt
 +
*Je nachdem darf das Paket das den Paketfilter passieren oder nicht.
 +
*Wenn keine Regel auf ein Paket zutrifft, zieht die Default Policy
  
−
In den einzelnen „Etagen“ dieser Rechner (gekennzeichnet mit einer Nummer, die man auch Port nennt) wohnen nun die verschiedenen Dienste wie HTTP, FTP oder SSH. Ein Paketfilter kann verschiedene Ports für die Besucher aus dem Internet sperren, d. h., jede Verbindung aus dem Internet wird an der Haustür abgewiesen. Durch die entsprechende Konfiguration einer Firewall kann so ein Rechnernetz vor Angriffen oder Zugriffen geschützt werden.
+
=Konzepte=
 +
*Es gibt zwei Arten von Firewall Konzepten
 +
*Man erlaubt gewissen Paketen die Firewall zu passieren (Default Policy Drop)
 +
*Man verbietet gewissen Paketen die Firewall zu passieren (Default Policy ACCEPT)
 +
*Je nach Situation machen beide Sinn
 +
==Default Policy Drop==
 +
*Man stellt Anfangs die Default Policy auf Drop
 +
*Danach muss man sich sehr genau überlegen welche Pakete man durchlassen will
 +
*Das Konzept ist sicherer das nur das passiert was der Admin zulässt
 +
*Auf der anderen Seite muss man genau wissen wie Protokolle funktionieren
 +
*Eine zu restriktive Firewall kann auch den Unmut der Benutzer hervor rufen.
 +
{{#drawio:fw-drop}}
  
−
Ein Paketfilter definiert Regeln, die festlegen, ob einzelne oder zusammenhängende Pakete das Zugangsschutzsystem passieren dürfen oder abgeblockt werden. Eine solche Regel wäre zum Beispiel: Verwirf alle Pakete, die von der IP-Adresse 1.2.3.4 kommen. Da Angreifer jedoch von beliebigen IP-Adressen kommen können, ist es praktikabler, den umgekehrten Weg zu gehen und nur Pakete durchzulassen, die von bestimmten IP-Adressen kommen.
+
==Default Policy ACCEPT==
−
 
+
*Man stellt Anfangs die Default Policy auf ACCEPT
−
Prinzipiell ist dies aber auch kein wirklich sicherer Weg, da ein Übeltäter die Hausnummer ohne größere technische Probleme fälschen kann. Eine sichere Kommunikation, z. B. zwischen Firmennetzen, ist nur möglich, wenn Protokolle verwendet werden, die eine Authentifikation und Autorisierung der beteiligten Benutzer oder Systeme vornehmen.
+
*Danach verbietet man gewisse Pakete
 +
*So wird beispielsweise häufig der SSH Port 22 geblockt, weil er oft angegriffen wird.
 +
*Das Konzept ist unsicherer da man nur gewisse Sachen einschränkt.
 +
*Sie ist einfacher zu warten.
 +
*Würde sie eher nicht empfehlen.
 +
{{#drawio:fw-accept}}
  
 
=Implementierungen von Paketfiltern=
 
=Implementierungen von Paketfiltern=
Zeile 42: Zeile 58:
 
*ipchains (Linux 2.2, obsolet)
 
*ipchains (Linux 2.2, obsolet)
 
*ip(6)tables (Linux ab 2.4)
 
*ip(6)tables (Linux ab 2.4)
−
*nftables (Linux ab 3.13)
+
*[[nftables]] (Linux ab 3.13)
 
*pf Paketfilter von allen BSD-Derivaten, vornehmlich OpenBSD, aber inzwischen auch FreeBSD und NetBSD
 
*pf Paketfilter von allen BSD-Derivaten, vornehmlich OpenBSD, aber inzwischen auch FreeBSD und NetBSD
 +
 +
=Links=
 +
*https://de.wikipedia.org/wiki/Paketfilter

Aktuelle Version vom 24. Juli 2025, 13:43 Uhr

Grundsätzliches

  • Ein Paketfilter ist eine Anwendung oder Software, die den ein- und ausgehenden Datenverkehr in einem Rechnernetz filtert.
  • Dies dient in der Regel dem Schutz des Netzes vor Angreifern.
  • Ebenso wichtig wie der Schutz gegen Angreifer von Außen ist der Schutz gegen ungewollt ausgehende Pakete
  • Damit kann beispielsweise erschwert werden, dass der eigene Rechner ungewollt und unbemerkt Viren im Internet verbreitet.
  • Ein Paketfilter kann Teil einer Firewall sein.

Verwendung

  • Paketfilter werden verwendet, um das Konzept einer Firewall umzusetzen.
  • Auf Routern kommen sie zum Einsatz um sogenannte Ingress-Filter zu implementieren.
  • Mit solchen Filtern wird verhindert, dass Datenpakete aus oder in ein Netz gesendet werden, die ungültige Absender- oder Ziel-Adressen beinhalten.
  • Ist zum Beispiel an einer Router-Schnittstelle nur das Netz 10.1.1.0/24 angeschlossen
  • Und es kommt ein Datenpaket mit der Absender-Adresse 172.16.1.42 aus diesem Netz, sollte der Router das Paket verwerfen.
  • Es liegt entweder ein Konfigurationsfehler vor oder ein Angreifer versucht seine Absender-Adresse zu fälschen.
  • Auch Multicast- und Broadcast-Absender-Adressen lassen sich so filtern.
  • Alternativ zu Paketfiltern steht mit Unicast Reverse Path Forwarding hier eine alternative Möglichkeit zur Verfügung.

Funktionsweise

  • Die Daten werden in einem Netz von dem sendenden Host in Datenpakete verpackt und versendet.
  • Jedes Paket, das den Paketfilter passieren will, wird untersucht.
  • Anhand der in jedem Paket vorhandenen Daten, wie Absender- und Empfänger-Adresse, entscheidet der Paketfilter aufgrund von Filterregeln, was mit diesem Paket geschieht.
  • Ein unzulässiges Paket wird normalerweise folgendermassen behandelt
    • REJECT - Das Paket wird verworfen der Absender bekommt eine ICMP Nachricht
    • DROP - Das Paket wird verworfen der Absender bekommt keine ICMP Nachricht
    • ACCEPT - Das Paket darf pasieren.

Paketfilterbeispiel

  • Ein Paketfilter ist in der Regel auch ein Router
  • Es prüft meist die Absender IP, Absender Port sowie Ziel IP und Ziel Port.
  • Diese Informationen werden nun mit den Regeln von oben nach unten verglichen.
  • Wenn eine Regel zutrifft, wird ein Ziel meist ACCEPT oder DROP ausgewählt
  • Je nachdem darf das Paket das den Paketfilter passieren oder nicht.
  • Wenn keine Regel auf ein Paket zutrifft, zieht die Default Policy

Konzepte

  • Es gibt zwei Arten von Firewall Konzepten
  • Man erlaubt gewissen Paketen die Firewall zu passieren (Default Policy Drop)
  • Man verbietet gewissen Paketen die Firewall zu passieren (Default Policy ACCEPT)
  • Je nach Situation machen beide Sinn

Default Policy Drop

  • Man stellt Anfangs die Default Policy auf Drop
  • Danach muss man sich sehr genau überlegen welche Pakete man durchlassen will
  • Das Konzept ist sicherer das nur das passiert was der Admin zulässt
  • Auf der anderen Seite muss man genau wissen wie Protokolle funktionieren
  • Eine zu restriktive Firewall kann auch den Unmut der Benutzer hervor rufen.

Default Policy ACCEPT

  • Man stellt Anfangs die Default Policy auf ACCEPT
  • Danach verbietet man gewisse Pakete
  • So wird beispielsweise häufig der SSH Port 22 geblockt, weil er oft angegriffen wird.
  • Das Konzept ist unsicherer da man nur gewisse Sachen einschränkt.
  • Sie ist einfacher zu warten.
  • Würde sie eher nicht empfehlen.

Implementierungen von Paketfiltern

  • IPFilter portabler Paketfilter für Solaris, FreeBSD u. a.
  • ipfw Paketfilter von FreeBSD und Mac OS X
  • ipfwadm (Linux 2.0, obsolet)
  • ipchains (Linux 2.2, obsolet)
  • ip(6)tables (Linux ab 2.4)
  • nftables (Linux ab 3.13)
  • pf Paketfilter von allen BSD-Derivaten, vornehmlich OpenBSD, aber inzwischen auch FreeBSD und NetBSD

Links

Abgerufen von „http://wiki.ixheim.de/index.php?title=Paketfilter&oldid=63970“