In diesem Dialogfeld legen Sie das Startverhalten fest. In einer Standardinstallation wird SuSEfirewall2 automatisch gestartet. Außerdem können Sie in diesem Dialogfeld die Firewall starten und stoppen. Um die neuen Einstellungen für eine aktive Firewall zu übernehmen, wählen Sie Einstellungen speichern und Firewall nun neu starten.

Abbildung 33.2. Die YaST-Firewall-Konfiguration

Hier werden alle bekannten Netzwerkschnittstellen aufgelistet. Um eine Schnittstelle aus einer Zone zu entfernen, markieren Sie sie, klicken Sie auf Bearbeiten und wählen Sie Keine Zone zugewiesen. Um eine Schnittstelle zu einer Zone hinzuzufügen, markieren Sie sie, klicken Sie auf Bearbeiten und wählen Sie anschließend eine der verfügbaren Zonen. Mit der Option Benutzerdefiniert können Sie auch eine spezielle Schnittstelle mit eigenen Einstellungen erstellen.

Diese Option benötigen Sie, um einer Zone Dienste Ihres Systems zur Verfügung zu stellen, vor der es geschützt ist. Das System ist standardmäßig nur vor externen Zonen geschützt. Sie müssen alle Dienste explizit zulassen, die den externen Hosts zur Verfügung stehen sollen. Aktivieren Sie nach der Auswahl der gewünschten Zone die Dienste unter Erlaubte Dienste für gewählte Zone.

Mit der Masquerading-Funktionalität verbergen Sie das interne Netzwerk vor externen Netzwerken, z. B. dem Internet, und ermöglichen den Hosts im internen Netzwerk gleichzeitig den transparenten Zugriff auf das externe Netzwerk. Anforderungen vom externen an das interne Netzwerk werden blockiert. Anforderungen aus dem internen Netzwerk werden scheinbar vom Masquerading-Server ausgegeben, der extern sichtbar ist. Wenn dem externen Netzwerk spezielle Dienste eines internen Computers zur Verfügung gestellt werden sollen, fügen Sie für den Dienst eine spezielle Umadressierungsregel hinzu.

In diesem Dialogfeld konfigurieren Sie die UDP-Ports, die Broadcasts zulassen sollen. Fügen Sie die erforderlichen Nummern der Ports oder Dienste getrennt durch Leerzeichen für die entsprechende Zone hinzu. Weitere Informationen hierzu finden Sie in der Datei /etc/services.

Hier können Sie auch das Protokollieren von Broadcasts aktivieren, die nicht akzeptiert werden. Dies kann problematisch sein, da sich Windows-Hosts über Broadcasts miteinander bekannt machen und daher viele Pakete generieren, die nicht akzeptiert werden.

In diesem Dialogfeld konfigurieren Sie, ob dem externen Netzwerk der IPsec-Dienst zur Verfügung stehen soll. Unter Details konfigurieren Sie, welche Pakete als vertrauenswürdig angesehen werden sollen.

Es gibt zwei Regeln für die Protokollierung: akzeptierte und nicht akzeptierte Pakete. Nicht akzeptierte Pakete werden verworfen (DROPPED) oder abgelehnt (REJECTED). Wählen Sie die Option Alles protokollieren, Nur kritische protokollieren oder Keine protokollieren für beide Regeln.

Legen Sie hier spezielle Firewall-Regeln fest, die Verbindungen nach angegebenen Kriterien wie einem Ausgangsnetzwerk, Protokoll, Zielport und Ausgangsport entsprechen. Konfigurieren Sie solche Regeln für externe, interne und entmilitarisierte Zonen.

Das mit dem Internet verbundene Gerät. Geben Sie für eine Modemverbindung ppp0 ein. Verwenden Sie für eine ISDN-Verbindung ippp0. DSL-Verbindungen verwenden dsl0. Um die der Standardroute entsprechende Schnittstelle zu verwenden, geben Sie auto an.

Das mit dem internen, privaten Netzwerk verbundene Gerät (z. B. eth0). Wenn es kein internes Netzwerk gibt und die Firewall nur den Host schützt, auf dem sie ausgeführt wird, machen Sie keine Angaben.

Wenn Sie die Masquerading-Funktion benötigen, setzen Sie diese Variable auf yes. Die internen Hosts sind von außen nicht sichtbar, da ihre private Netzwerkadressen (z. B. 192.168.x.x) von Internetroutern ignoriert werden.

Setzen Sie diese Variable für Firewalls ohne Masquerading auf yes, wenn der Zugriff auf das interne Netzwerk zugelassen werden soll. In diesem Fall müssen die internen Computer offiziell registrierte IP-Adressen verwenden. Sie sollten den externen Zugriff auf das interne Netzwerk in der Regel jedoch nicht zulassen.

Setzen Sie diese Variable auf yes, wenn Sie die Masquerading-Funktion benötigen. Dadurch wird den internen Hosts eine virtuelle direkte Verbindung zum Internet zur Verfügung gestellt. Es ist jedoch weitaus sicherer, wenn zwischen den Hosts des internen Netzwerks und dem Internet ein Proxyserver geschaltet ist. Für die von einem Proxyserver zur Verfügung gestellten Dienste ist das Masquerading nicht erforderlich.

Geben Sie die Hosts oder Netzwerke, für die die Masquerading-Funktion aktiviert werden soll, durch Leerzeichen getrennt an. Beispiel:

FW_MASQ_NETS="192.168.0.0/24 192.168.10.1"

Setzen Sie diese Variable auf yes, um den Firewall-Host vor Angriffen aus dem internen Netzwerk zu schützen. Dem internen Netzwerk stehen nur die explizit aktivierten Dienste zur Verfügung. Weitere Informationen hierzu finden Sie auch unter FW_SERVICES_INT_TCP und FW_SERVICES_INT_UDP.

Geben Sie die zu öffnenden TCP-Ports an. Für eine normale Arbeitsstation, die in der Regel keine Dienste benötigt, müssen Sie hier keine Angaben machen.

Lassen Sie dieses Feld leer, es sei denn, Sie möchten einen aktiven UDP-Dienst verfügbar machen. UDP wird von Diensten wie DNS-Servern, IPSec, TFTP, DHCP und anderen verwendet. Geben Sie in diesem Fall die zu verwendenden UDP-Ports an.

Listen Sie die Services auf, die über das Internet erlaubt sein sollen. Dies ist eine allgemeinere Form der Einstellungen FW_SERVICES_EXT_TCP und FW_SERVICES_EXT_UDP und spezifischer als FW_TRUSTED_NETS. Die Notation erfolgt in einer durch Leerzeichen getrennten Liste von net,protocol[,dport][,sport], z. B. 0/0,tcp,22.

Mit dieser Variablen legen Sie die für das interne Netzwerk verfügbaren Dienste fest. Die Notation ist dieselbe wie für FW_SERVICES_EXT_TCP, aber die Einstellungen werden auf das interne Netzwerk angewendet. Diese Variable muss nur gesetzt werden, wenn FW_PROTECT_FROM_INT auf yes gesetzt ist.

Siehe FW_SERVICES_INT_TCP.

Listen Sie Services auf, die von internen Hosts aus erlaubt sein sollen. Siehe FW_SERVICES_ACCEPT_EXT.

SuSEfirewall2 führt nun eine kleine Änderung ein hinsichtlich der Pakete, die vom Netzfilter als RELATED betrachtet werden.

Um beispielsweise eine feinere Filterung der Samba Broadcast-Pakete zu erlauben, werden RELATED-Pakete nicht mehr bedingungslos akzeptiert. Die neuen Variablen, die mit FW_SERVICES_ACCEPT_RELATED_ beginnen, wurden eingeführt, um die Verarbeitung von RELATED-Paketen auf bestimmte Netzwerke, Protokolle und Ports zu beschränken.

Das bedeutet, dass ein Hinzufügen von Modulen zur Verbindungsverfolgung (conntrack-Modulen) zu FW_LOAD_MODULES nicht mehr automatisch dazu führt, dass die Pakete, die durch diese Module markiert werden, übernommen werden. Zusätzlich müssen Sie Variablen, die mit FW_SERVICES_ACCEPT_RELATED_ beginnen, auf einen passenden Wert festlegen.