2.14. Firewall-Konfiguration

Red Hat Enterprise Linux bietet einen Firewall-Schutz als weitere Sicherheit für Ihr System. Die Firewall befindet sich zwischen Ihrem Computer und dem Netzwerk und bestimmt, auf welche Ressourcen Ihres Computers Remote-Benutzer des Netzwerks zugreifen können. Eine korrekt konfigurierte Firewall kann die Sicherheit Ihres Systems erheblich verbessern.

Abbildung 2-12. Firewall-Konfiguration

Wählen Sie den geeigneten Sicherheitslevel für Ihr System.

Keine Firewall

No firewall erlaubt vollständigen Zugang und führt keine Sicherheitsprüfungen durch. Sie sollten dies nur wählen, wenn Sie sich in einem sicheren Netzwerk befinden (nicht im Internet), oder wenn Sie planen, eine detaillierte Firewall-Konfiguration später durchzuführen.

Firewall aktivieren

Wenn Sie Firewall aktivieren wählen, akzeptiert Ihr System keine Verbindungen (mit Ausnahme der Standardeinstellungen), die nicht ausdrücklich von Ihnen festgelegt wurden. Standardmäßig sind ausschließlich Verbindungen erlaubt, die Antworten auf ausgehende Anfragen darstellen, wie DNS-Antworten und DHCP-Anforderungen. Sollte Zugriff auf bestimmte Services erfordert werden, können diese durch die Firewall gelassen werden.

Wenn Sie Ihr System mit Internet verbinden, aber keinen Server verwenden möchten, so ist dies die sicherste Wahl.

Wählen Sie als nächstes die Services, falls vorhanden, die durch die Firewall gelassen werden sollen.

Indem Sie diese Option aktivieren, erlauben Sie den ausgewählten Diensten, die Firewall zu passieren. Beachten Sie bitte, dass diese Dienste nicht standardmäßig im System installiert werden. Stellen Sie daher sicher, dass Sie alle Optionen, die Sie evtl. benötigen, aktivieren.

WWW (HTTP)

Das HTTP-Protokoll wird von Apache (und anderen Webservern) für das Bereitstellen von Webseiten benutzt. Wenn Sie vorhaben, Ihren Webserver öffentlich verfügbar zu machen, aktivieren Sie diese Option. Diese Option ist nicht nötig, um Seiten lokal anzuzeigen oder um Webseiten zu entwickeln. Sie müssen das Paket httpd installieren, wenn Sie Webseiten bereitstellen wollen.

Das Aktivieren von WWW (HTTP) öffnet keinen Port für HTTPS. HTTPS wird aktiviert, indem es im Dialogfeld Andere Ports festgelegt wird.

FTP

Das FTP-Protokoll wird verwendet, um Dateien zwischen verschiedenen Computern eines Netzwerks zu übertragen. Wenn Sie Ihren FTP-Server öffentlich zur Verfügung stellen möchten, aktivieren Sie diese Option.

SSH

Secure SHell (SSH) ist ein Protokoll für das Anmelden und Ausführen von Befehlen auf einem Remote-Rechner. Wenn Sie auf Ihren Computer über eine Firewall mit SSH-Tools zugreifen wollen, sollten Sie die Option aktivieren. Das Paket openssh-server muss zum Zugreifen auf Ihren Computer installiert sein.

Telnet

Telnet ist ein Protokoll für das Anmelden auf anderen Rechnern. Es ist unverschlüsselt und bietet keinerlei Sicherheit vor Netzwerkspionage. Telnet zu aktivieren ist nicht empfehlenswert. Wenn Sie den Telnet-Zugriff zulassen möchten, muss das Paket telnet-server installiert sein.

Mail (SMTP)

Wenn Sie die eingehende Mail durch die Firewall zulassen möchten, so dass sich Remote-Rechner direkt mit Ihrem Computer verbinden können, um die Mail zu übergeben, aktivieren Sie diese Option. Sie brauchen dies nicht zu tun, wenn Sie Ihre Mail vom ISP Server über POP3 oder IMAP erhalten oder wenn Sie ein Tool wie fetchmailbenutzen. Achtung: ein nicht korrekt konfigurierter SMTP-Server kann es Remote-Rechnern ermöglichen, Ihren Server zu benutzen, um Junk-Mails zu senden.

Sie können den Zugriff auf Ports erlauben, die hier nicht aufgelistet sind, indem Sie sie im Feld Andere Ports angeben. Verwenden Sie das folgende Format: port:protocol. Wenn Sie IMAP Zugang durch Ihre Firewall ermöglichen wollen, können Sie imap:tcp angeben. Sie können auch numerische Ports angeben, für UDP Pakete auf Port 1234 geben Sie 1234:udp an. Bei mehreren Ports, trennen Sie diese durch Kommas.

Wählen Sie zum Abschluss die Geräte, für die jeglicher Verkehr zugelassen wird.

Wird ein beliebiges sicheres Gerät ausgewählt, so wird dieses aus den Firewall-Regeln herausgenommen. Wenn Sie ein lokales Netzwerk verwenden, wie eth0, jedoch über eine eth1 mit dem Internet verbunden sind, können Sie eth0 anwählen, um den Verkehr von Ihrem lokalen Netzwerk zuzulassen. Wird eth0 als sicheres Gerät ausgewählt, so wird der gesamte Verkehr über Ethernet erlaubt, eth0 unterliegt jedoch weiterhin den Firewall-Regeln. Wenn Sie den Verkehr auf einem Interface einschränken möchten, dann wählen Sie es nicht.

Es wird nicht empfohlen, aus jedem Gerät, das mit öffentlichen Netzwerken wie z.B. dem Internet verbunden ist, ein sicheres Gerät zu machen.

TippTipp
 

Wenn Sie die Konfiguration des Sicherheitslevels nach der Installation ändern möchten, verwenden Sie hierzu das Security Level Configuration Tool.

Geben Sie den Befehl redhat-config-securitylevel an einem Shell-Prompt ein, um das Security Level Configuration Tool zu starten. Wenn Sie nicht als root angemeldet sind, werden Sie aufgefordert, das root-Passwort einzugeben, um fortfahren zu können.