Grundlagen der Netzwerktechnik Teil I: Kommunikation - GWDG

Paketfilter
• Im Prinzip ein filternder Router oder „Screening Router“
• Filterung nach Kriterien
– IP-Adressen
– IP-Protokollen (UDP, TCP, ICMP u.a.)
– TCP/UDP-Ports, ICMP-Typen
– TCP-Flags (z.B. Verbindungsaufbau nur in eine Richtung erlaubt)
– Eingangs- und/oder Ausgangs-Interface
– Fragmente
• Stateful Inspection (oder nicht)
– einfache Paketfilter führen nicht über vorhandene Kommunikationen Buch,
– lassen daher Pakete durch, die nur scheinbar zu einer bestehenden Verbindung
gehören
– Fragmente können so nicht wirklich behandelt werden
– Dynamisch aufgebaute UDP-Kanäle (z.B. bei Videoübertragungen) können nicht
sinnvoll gefiltert werden
– Hier hilft nur eine Aufzeichnung des Zustands von Verbindungen und / oder
detailierte Kenntnis von Protokollen
– also: Stateful Inspection
Holger Beck – Grundlagen der Netzwerktechnik – Februar 2003 217
Paketfilterbeispiele (1)
• Filter auf Cisco-Router
• Netz ohne Zugriff von außen
interface Vlan6
ip address 134.76.7.254 255.255.254.0
ip access-group 161 in
ip access-group 163 out
access-list 161 permit ip 134.76.6.0 0.0.1.255 any
access-list 161 permit ip 224.0.0.0 31.255.255.255 any
access-list 161 deny ip any any
access-list 163 deny ip 134.76.6.0 0.0.1.255 any
access-list 163 permit tcp any any established
access-list 163 permit ip 134.76.10.0 0.0.1.255 any
access-list 163 permit ip host 134.76.22.1 any
access-list 163 permit icmp any any echo
access-list 163 permit icmp any any echo-reply
access-list 163 permit icmp any any port-unreachable
access-list 163 permit icmp any any time-exceeded
access-list 163 deny tcp any any eq www
access-list 163 deny ip any any
Holger Beck – Grundlagen der Netzwerktechnik – Februar 2003 218