Handbuch - Univention

9.4 Paketfilter mit Univention Firewall
9.4 Paketfilter mit Univention Firewall
Die Univention Firewall integriert einen Paketfilter auf Basis von iptables in Univention Corporate Server.
Dies ermöglicht die gezielte Filterung unerwünschter Dienste, die Absicherung von Rechnern während
Installationsarbeiten, und stellt die Basis für komplexere Szenarien wie Firewalls oder Application Le-
vel Gateways bereit. Univention Firewall ist in der standardmäßig auf allen Univention Corporate Server-
Installationen enthalten.
In der Grundeinstellung werden eingehende Pakete für alle Ports blockiert/abgelehnt. Jedes UCS-Paket
bringt Regeln mit, die die von dem Paket benötigten Ports wieder freigeben.
Die Konfiguration erfolgt im Wesentlichen über Univention Configuration Registry-Variablen.
Darüber hinaus werden die im Verzeichnis /etc/security/packetfilter.d/ liegenden
Konfigurations-Skripte in alphabetischer Reihenfolge ausgeführt. Standardmäßig sind alle Skripte
mit zwei führenden Ziffern benannt, so dass eine einfache Festlegung der Reihenfolge möglich ist. Die
Skripte müssen als ausführbar markiert sein.
Nach Änderungen der Paketfilter-Einstellungen muss der Dienst univention-firewall neu gestartet wer-
den.
Die Univention Firewall kann durch Setzen der Univention Configuration Registry-Variable
security/packetfilter/disabled auf true deaktiviert werden.
9.5 Web-Proxy für Caching und Policy Management/Virenscan
Die Proxy-Integration ermöglicht die Verwendung eines Web-Caches zur Verbesserung der Performance
und Kontrolle des Datenverkehrs. Sie basiert auf dem bewährten Proxy-Server Squid und unterstützt die
Protokolle HTTP, FTP und HTTPS.
Ein Proxy-Server nimmt Anfragen nach Internetinhalten entgegen und prüft, ob diese Inhalte bereits in
einem lokalen Cache vorhanden sind. Ist dies der Fall, werden die angefragten Daten aus dem lokalen
Cache bereitgestellt. Sind die Daten noch nicht vorhanden, werden die Inhalte vom jeweiligen Webserver
abgerufen und in den lokalen Cache eingefügt. Hierdurch können die Antwortzeiten für die Anwender
sowie das Transfervolumen über den Internetzugang verringert werden.
Als zusätzliche Komponente kann die Software Dansguardian installiert werden. Damit ist es möglich,
dass Internetinhalte vor der Auslieferung an den Anwender überprüft und gefiltert werden, um so Dateien
auf Viren zu scannen oder den Zugriff auf unerwünschte Inhalte zu unterbinden.
Einige weiterführende Funktionen der Proxy-Dienste - wie etwa die Kaskadierung von Proxy-Servern oder
die Einrichtung von Authentifizierung bei der Proxy-Anmeldung sind über Univention Configuration Regis-
try konfigurierbar, werden aber in dieser Dokumentation nicht weitergehend beschrieben.
9.5.1 Installation
Der Web-Proxy kann auf jeder UCS Server-Systemrolle mit dem Paket univention-squid installiert wer-
den.
159