4.12 Konfiguration des Paketfilters

#
4.12 Konfiguration des Paketfilters

Der von Fli4l verwendete Linux-Kern stellt einen Paketfilter zur Verfügung. Mit Hilfe dieses Paketfilters wird gesteuert, wer mit dem Router bzw. über ihn hinweg kommunizieren darf. Weiterhin können Dinge wie Port-Forwarding (ein an den Router gerichtetes Paket wird an einen anderen internen Rechner weitergereicht) und Masquerading (Pakete, die von einem Rechner hinter dem Router kommen, werden so verändert, daß sie so aussehen, als kämen sie vom Router selbst) realisiert werden. Für die Konfiguration gibt es zwei Varianten, die alte auch in 2.0.x vorhandene Variante und eine neue, die eine flexiblere Konfiguration des Paketfilters gestattet. Welche Variante genutzt wird, wird durch die Variablen ORIG_FW_CONFIG und NEW_FW_CONFIG bestimmt. Standardmäßig steht NEW_FW_CONFIG auf `'yes'` und wählt damit die neue Konfiguration aus. Hier beschreiben wir allerdings zuerst die originale Konfiguration, die einfacher zu verstehen ist und im Anschluss daran die neue Konfiguration, die wesentlich flexibler ist, aber auch mehr Einarbeitung erfordert. Wählt man die originale Konfiguration aus, zeigt der Router beim Booten an, wie diese Konfiguration im neuen Format aussehen würde. Man kann sich das in aller Ruhe ansehen und evtl, bei Bedarf auf die neue, flexiblere Konfiguration wechseln.

Die Struktur des Paketfilters ist in Abbildung 4.1 angedeutet. Pakete kommen auf einem Netzwerkinterface rein und durchlaufen die Pre-Routing-Chain. Hier werden evtl. an den Router gerichtete Pakete an einen anderen Rechner weitergereicht, indem die Ziel-Ip-Adresse und der Zielport manipuliert werden. Ist das Paket an den Router gerichtet, wird es an die Input-Chain, andernfalls an die Forward-Chain weitergereicht. Beide Chains prüfen, ob das Paket zulässig ist. Wird das Paket akzeptiert, wird es an den lokalen Zielprozeß zugestellt oder über die Post-Routing-Chain (in der das Masquerading stattfindet) an das Netzwerkinterface weitergereicht, über das das Paket sein Ziel erreichen kann.

Abbildung 4.1: Struktur des Paketfilters

Das Fli4l-Team
23. Februar 2006