UCS-Handbuch - Univention

10 Basis-Systemdienste
Achtung:
Es ist zu beachten, dass hier nur eine selektive Filterung verwendet wird. Werden Dienste zusätzlich lokal
eingerichtet, so müssen diese ggf. nachgetragen werden.
Die Service-Profile lassen sich während der Installation auswählen (etwa für eine abgesicherte Installa-
tion) und auf einem installierten System nachträglich mit univention-system-setup-security ver-
ändern.
Es gibt drei Profile, die während der Installation oder zur Laufzeit über Univention System Setup ausge-
wählt werden können:
• Deaktiviert (keine Dienste werden geblockt)
• Empfohlene Auswahl an Systemdiensten (siehe unten)
• Abgesicherte Grundinstallation. Nur SSH, LDAP und HTTPS sind erlaubt.
Bei der empfohlenen Auswahl werden einige typischerweise nicht benötigte Dienste gefiltert.
• Auf Domänencontroller Master/Backup/Slave und Memberservern: Telnet und FTP
• Auf Managed, Mobile Clients und Basis-Systemen: SMTP, Pop3, Notifier, KRSH, Kerberos, IMAP,
Nagios, DHCP, DNS, FTP, LDAP, Postgres, Telnet und TFTP
10.3.3 Lokale Filterregeln durch Univention Configuration Registry
Neben vordefinierten Service-Defitionen erlaubt Univention Firewall auch die Einrichtung von Paketfilter-
Regeln über Univention Configuration Registry. Diese werden über ein Univention Configuration Registry-
Modul in /etc/security/netfilter.d/ eingebunden.
Alle Univention Configuration Registry-Einstellungen für lokale Filterregeln werden in folgender Form ein-
gegeben:
security/packetfilter/[tcp|udp]/[accept|deny]=Ports
tcp wird für Serverdienste über das Transmission Control Protocol und udp für verbindungslose
Datagramm-Dienste verwendet.
Wird eine Regel als deny registriert, so werden Pakete an diesen Port verworfen, durch accept kann
eine Filterung überlagert werden. (IPTables-Regeln werden abgearbeitet, bis eine Regel zutrifft Wird ein
Paket also durch eine Regel angenommen, die von einer später folgenden Regel verworfen wird, so tritt
die Regel zum Verwerfen des Pakets nicht in Kraft).
Die Ports können entweder als eine Zahl oder als Bereich mit einem Doppelpunkt definiert werden X:Y
Einige Beispiele:
244
• security/packetfilter/tcp/deny=2000
• security/packetfilter/udp/accept=500:600