Firewall mit ipchains

[linux luder]

firewalling
Hi

Im Moment fahre ich folgendes System:
SuSE 7.1 Kernel 2.2.18, das sollte nach Möglichkeit auch so bleiben (an den Kernel möchte ich zunächst nicht ran).
Als "Firewall" benutze ich das Skript firewall.rc.config, das ich über die rc.config starte. Das ganze funktioniert eher schlecht als recht. Von Sicherheit

ist da keine Rede. Wenn ich die Firewall von außen rechtig scannen lasse, ist die offen wie eine Scheunentor. Nun gut.
Unter http://www.linux-praxis.de/linux3/Firewallbuch/html/Buch.html ist eine wie ich finde recht gute Anleitung zu finden, wie man das alles quasi

professionel hochziehen kann. Was die ganzen Netzwerktechnischen Grundlagen angeht habe ich keinerlei Probleme. Bei mir haperts eben etwas an meinen

Linuxkenntnissen. Bin noch nicht so lange dabei, bei Linux meine ich.
Unter der besagten Site findet man eben auch ein Beispiel-Script:

http://www.linux-praxis.de/linux3/Firewallbuch/html/node11.html#SECTION001110000000000000000
Auch das kapiere ich. So, was ich nicht kapiere ist folgendes:
- Ein Skript beginnt doch eben in der Regel mit #!/bin/bash ..... - dieses hier nicht.
- Gesetzt dem Fall, dass das hier nicht nötig ist, wo lege ich das Skript ab, und wie lass ich es beim Hochfahren starten
- das Skript darf ja erst dann abgearbeitet werden, wenn die neue, dynamisch zugewiesene IP-Adresse bekannt ist: geht mit der vorhergehenden Frage einher

Eines vielleicht noch, ganz allgmein: Ich habe schon stundenlang im Netz gesucht, aber leider nicht gefunden, das den Unterschied zwischen iptables, ipchains

erklärt.

Ok, das wars. Ist irgendwie etwas lang geworden. Eine Antwort würde mich sehr freuen.

Jo

[Falk Wachholz]

Hi,

Wenn ich mich recht erinnere war das #!/bin/bash nur für die interpretation von Schleifen und ähnlichem nötig. Das liegt daran, daß die verschiedenen Shells andere Syntaxregeln für die Schreibweise haben.
Das Script selbst würde ich mit zu den Runlevelscripten legen, dann kann man es sehr praktisch bei Masqueraring per Runlevel starten/stoppen. Bei SuSE 7.1 war das /sbin/rc.d/ (kann mich aber täuschen).
Wenn du die dynamisch erhaltene IP an das Script übergeben möchtest hängst du den Aufruf am besten in das ip-up (/etc/ppp/ip-up). Am besten dann das script so schreiben, das du den Übergabeparameter auswertest. Außerdem solltest du dann mehrere Bereiche (z.B. start, stop, secure, restart, insecure,...) einbauen. Dazu am besten das skeleton-Script der Runlevel anschauen.

Bei den iptables handelt es sich um eine verbesserte Firewall, welche dir mehr ;öglichkeiten bietet, aber den 2.4er Kernel voraussetzt. Du kannst dann zum BEispiel Filterregeln anhand des Verbindungsstatus beeinflussen (z.B. State New; established; invalid; ...). Dadurch müssen im ungünstigsten Fall nicht alle Regeln durchlaufen werden, was eine bessere Performance bedeuted. Mein Script mit ipchains war ca 15000 Byte groß, daß selbe unter iptables schaffe ich mit ca 3000 Zeichen.

MfG

Fal

[skato]

Jetzt habe ich gleich noch eine zusätzliche Frage!!

Wenn ich jetzt mein Netzwerk und mein Internet verschieden absichern möchte!!
z.B. ich möchte über das Netzwerk nicht erlauben auf meinen WebServer Port zuzugreifen, über das Internet aber schon!!
Ich habe im Augenblick das Problem, das bei meiner selbstgebastelten Firewall (aus dem Werk "linux firewalls" Verlag: Markt + Technik) gesagt wird, ich muß eben nur die verschiedenen Schnittstellen aufführen!!
"eth0", "ppp0", "eth1"
Doch wenn ich jetzt mein Skript starte gehen entweder alle Schotten dicht, oder alle bleiben offen!!

Was muß ich beachten?

Zum anderen, liege ich richtig in der Annahme, daß das Tool "dhcpcd" zum ermitteln der dynamischen IP-Adresse ist!?
Oder wie kann ich die IP-Adresse herausfinden, die mir mein Provider zuteilt!