7.10.3. Paketfilter mit Univention Firewall#
Univention Corporate Server (UCS) enthält Univention Firewall, die iptables in die Univention Configuration Registry (UCR) integriert.
Mit Univention Firewall können Sie eingehenden Netzwerkverkehr nach Protokoll, Port und Aktion steuern. Während der Installation weist UCS eingehenden Netzwerkverkehr standardmäßig ab.
Standardmäßig blockiert UCS eingehende Ports. UCS-Pakete können Regeln bereitstellen, die die benötigten Ports öffnen. Firewall-Regeln konfigurieren Sie hauptsächlich über UCR-Variablen.
Informationen über Paketfilterregeln finden Sie unter Network packet filter in Univention Developer Reference [6].
Außerdem enthält das Verzeichnis /etc/security/packetfilter.d/ Skripte mit Firewall-Regeln. Das Skript 50_local.sh wird nach den durch UCR definierten Standardregeln ausgeführt. Der Befehl run-parts führt ausführbare Skripte in lexikografischer Reihenfolge der Dateinamen aus. Verwenden Sie gemäß Konvention ein zweistelliges Präfix, um die erforderliche Reihenfolge auszudrücken. Der vollständige Dateiname bestimmt die Reihenfolge.
Informationen über die Konfiguration von UCR basierten Firewall-Regeln für IPv4 und IPv6 finden Sie unter Network packet filter in Univention Developer Reference [6].
Warnung
Änderungen an der Firewall können den Fernzugriff auf das System unterbrechen. Stellen Sie sicher, dass Sie über eine alternative Zugriffsmethode verfügen, bevor Sie den Dienst univention-firewall neu starten.
Nachdem Sie die Paketfiltereinstellungen geändert haben, starten Sie den Dienst univention-firewall neu. Testen Sie die betroffenen TCP- und UDP-Ports von einem geeigneten Host aus.
Warnung
Das Deaktivieren von Univention Firewall verringert den Schutz des Systems. Stellen Sie sicher, dass Sie die Auswirkung auf den Netzwerkzugriff des Systems verstehen, bevor Sie die Einstellung ändern.
Um Univention Firewall zu deaktivieren, setzen Sie die UCR-Variable security/packetfilter/disabled auf true.
Um vorhandene Firewall-Regeln zu entfernen, führen Sie den Befehl in Listing 7.31 aus. Überprüfen Sie den resultierenden Netzwerkzugriff von einem geeigneten Host aus.
$ service univention-firewall flush
Siehe auch
- netfilter/iptables-Dokumentation
bietet einen Überblick über die verfügbare iptables-Dokumentation.
- Iptables-Tutorial
bietet ein Tutorial zu iptables von Oscar Andreasson.
- iptables(8)-Manpage
enthält Informationen über die Konfiguration von Firewall-Regeln mit iptables.
- HOWTO zur Paketfilterung
erklärt die Paketfilterung mit iptables.