floppy-isdn4linux Version 3.6.2 - Fli4l

3. Basiskonfiguration
PF_INPUT_ACCEPT_DEF Steht diese Variable auf ‘yes’, werden default-Regeln generiert,
die für ein korrektes Funktionieren des Routers notwendig sind. Standardmäßig sollte
man hier ‘yes’ eintragen.
Möchte man das Verhalten komplett selbst definieren, kann man hier ‘no’ eintragen,
muss dann jedoch alle Regeln selbst definieren. Eine zum Standardverhalten äquivalente
Konfiguration würde wie folgt aussehen (die Beschreibung der Liste nutzerdefinierter
Chains erfolgt hier (Seite 60):
PF_INPUT_ACCEPT_DEF=’no’
#
# limit icmp echo requests - use a seperate chain
#
PF_USR_CHAIN_N=’1’
PF_USR_CHAIN_1_NAME=’usr-in-icmp’
PF_USR_CHAIN_1_RULE_N=’1’
PF_USR_CHAIN_1_RULE_1=’prot:icmp:echo-request length:0-100 limit:1/second:5 ACCEPT’
PF_INPUT_N=’4’
PF_INPUT_1=’state:ESTABLISHED,RELATED ACCEPT’
PF_INPUT_2=’prot:icmp usr-in-icmp’
PF_INPUT_3=’if:lo:any ACCEPT’
PF_INPUT_4=’state:NEW 127.0.0.1 DROP BIDIRECTIONAL’
Die erste Regel akzeptiert nur solche Pakete, die zu bestehenden Verbindungen gehören
(’state:ESTABLISHED,RELATED ACCEPT’, damit auch alle icmp pakete, die Resultat
einer bestehenden Verbindung sind), die zweite Regel verzweigt zur ratenlimitierenden
usr-in-icmp chain und die dritte erlaubt lokale Kommunikation (’if:lo:any ACCEPT’).
Die vierte filtert Pakete heraus, die behaupten, lokale Kommunikation zu sein, aber
nicht bereits von der vorherigen Regel akzeptiert wurden.
Verwendet man eine DMZ oder arbeitet mit OpenVPN, muss man die Regeln noch ergänzen,
um die von diesen Paketen verwendeteten chains einzubinden.
PF_INPUT_N=’6’
...
PF_INPUT_5=’dmz-chain’
PF_INPUT_6=’ovpn-chain’
PF_INPUT_LOG Definiert, ob abgelehnte Pakete vom Kernel protokolliert werden sollen.
Dabei können die Meldungen durch Aktivierung von KLOGD an den SYSLOGD überund
durch diesen, entsprechend der Konfiguration ausgegeben werden.
PF_INPUT_N PF_INPUT_x PF_INPUT_x_COMMENT Liste der Regeln, die beschreiben,
welche Pakete vom Router angenommen bzw. verworfen werden.
PF_INPUT_LOG_LIMIT Definiert, wie häufig Log-Einträge generiert werden, die Häufigkeit
wird analog zur Limit-Einschränkung als n pro Zeiteinheit mit Bursts beschrieben, also
z.B. ’3/minute:5’. Ist dieser Eintrag leer, wird der Standardwert ’1/second:5’ verwendet,
enhält er ’none’, wird keine Limitierung durchgeführt.
58