UCS-Handbuch - Univention

10.3 Paketfilter mit Univention Firewall
10.3 Paketfilter mit Univention Firewall
Univention Firewall bietet eine Integration des Paketfilters IPTables in Univention Corporate Server. Es
ermöglicht die gezielte Filterung unerwünschter Dienste, die Absicherung von Rechnern während Installa-
tionsarbeiten und stellt die Basis für komplexere Szenarien wie Firewalls oder Application Level Gateways
bereit. Univention Firewall ist standardmässig auf allen Univention Corporate Server-Installationen enthal-
ten.
Die Konfiguration des Paketfilters befindet sich im Verzeichnis /etc/security/netfilter.d/. Die
dort befindlichen Konfigurations-Elemente werden in alphabetischer Reihenfolge ausgeführt. Standard-
mässig sind alle Script mit zwei führenden Ziffern benannt, so dass eine einfache Nummerierung möglich
ist.
Nach Änderungen der Paketfilter-Einstellungen muss der Dienst univention-iptables neu gestartet wer-
den.
Univention Firewall kann durch Setzen der Univention Configuration Registry-Variable
security/packetfilter/disabled auf true deaktiviert werden.
10.3.1 Service-Definitionen
Univention Firewall erlaubt die selektive Filterung einzelner Dienste durch Univention Configuration Re-
gistry, beispielsweise weil ein Dienst temporär nicht benötigt wird oder zu Testzwecken deaktiviert werden
soll. Momentan werden in UCS folgende Dienste unterstützt:
smtp pop3 imap kerberos
krsh nfs umc nagios
ipp notifier dhcp dns
ftp http x11 https
ldap postgres samba ssh
telnet ftp
Wird die Univention Configuration Registry-Variable security/services/DIENST auf disabled gesetzt, so
wird ein Dienst gefiltert.
Achtung:
Diese Dienste werden anhand der standardmässig verwendeten Ports gefiltert. Wird ein Dienst auf ab-
weichenden Ports betrieben, so muss das entsprechende Univention Configuration Registry-Template
angepasst werden.
10.3.2 Service-Profile
Univention Firewall unterstützt vordefinierte Service-Profile für jede einzelne Rechner-Rolle. Für diese
ist über die vorher erwähnten Univention Configuration Registry-Einstellungen definiert, welche Dienste
gefiltert werden.
243