Erinevus lehekülje "OpenBSD tulemüür" redaktsioonide vahel
Allikas: Kuutõrvaja
(→Teemad) |
|||
| (ei näidata 2 kasutaja 109 vahepealset redaktsiooni) | |||
| 1. rida: | 1. rida: | ||
| − | === | + | ===OpenBSD tulemüür=== |
| − | OpenBSD operatsioonisüsteemi kasutamine võrgusõlmes on tema üheks oluliseks kasutusalaks. OpenBSD tulemüüril | + | Järgnevad tekstid eeldavad, et ollakse tuttav OpenBSD kui operatsioonisüsteemi kasutamisega ning on olemas mõõdukas ettekujutus TCP/IP protokollist. |
| + | |||
| + | OpenBSD operatsioonisüsteemi kasutamine võrgusõlmes on tema üheks oluliseks kasutusalaks. Sõltuvalt konkreetsetest vajadustest võib OpenBSD tulemüüril olla realiseeritud selliseid funktsioone | ||
* liikluse filtreerimine - pf, mitmesugustele tingimustele põhinevate piirangute seadmine sh automaatselt täituvad ja tühjenevad blacklistid, synproxy | * liikluse filtreerimine - pf, mitmesugustele tingimustele põhinevate piirangute seadmine sh automaatselt täituvad ja tühjenevad blacklistid, synproxy | ||
| + | * NAT - mitte-avalike aadressidega arvutite interneti ühendamine | ||
* liikluse prioritiseerimine - altq | * liikluse prioritiseerimine - altq | ||
| − | * koormusjaotur - pf | + | * koormusjaotur - pf, relayd |
| − | * statistika ja andmete analüüsiks | + | * tulemüüri kluster - mitmest erinevast füüsilisest arvutist koosnev üks loogiline tulemüür (nn active/passive või active/active režiimis; carp, pfsync) |
| − | * | + | * statistika ja andmete analüüsiks kogumine (pfctl, pftop, tcpstat, pflogd, tcpdump, symon, syweb, netflow) |
| − | + | * Sild (ingl. k. bridge) | |
| − | + | * ruutinguprotokollide bgp ja ospf kasutamine | |
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | + | Muude populaarsete tulemüürilahenduste seas paistab OpenBSD paketifilter (tulemüür) silma sellistes aspektides | |
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | |||
| − | + | * reeglite kirjutamise efektiivsus - mitme pordi või aadressi näitamine ühes reeglis, tabeli konstruktsioon, include'id ja ankrud mitmete failide vahel jaotatud seadistuste kasutamiseks | |
| + | * tulemüüri oleku jälgimise võimalus - pfctl utiliidi abil saab suvalisel ajahetkel täpselt kontrollida, millised ühendused tulemüürist läbi käivad ja millised paketifiltri reeglid on ühendusega seotud | ||
| + | * tulemüüri paketifiltri tegevuste logimine - saab täpselt logida, millised pakette on lubatud läbi või milliseid on takistatud, label'ite kasutamine | ||
| + | * synproxy - tulemüür tekitab tulemüüri taga töötava serveri eest ära 3-way tcp handshake, et kaitsta serverit syn-floodi eest | ||
| + | * tcpcookies kasutamise võimalus puudub | ||
| + | * aktiivne/passiivne kluster - kahest arvutist saab moodustada ühe loogilise tulemüüri, igal ajahetkel pakub teenust vaid üks klustri komponent, kusjuures ümberlülitumisel võetakse üle ka ühendused, st olemasolevad tcp ühendused ei katke | ||
| + | * aktiivne/aktiivne kluster - kahest arvutist saab moodustada ühe loogilise tulemüüri, nt src ip aadressi alusel käib kliendi ühendus tulemüüri taga oleva serveriga kas läbi ühe või teise tulemüüri | ||
| + | * automaatne blacklistimine - sõltuvalt allika iseloomust (nt kui palju ühendusi tehakse ajaühikus) saab korraldada allika ip aadressi täpsusega automaatse blacklistimise (sh blacklistist väljatoomise) | ||
| + | * tcp/ip protokolli nö fundamentaalsete omaduste kasutamine tulemüüri seadistamisel - nt saab kontrollida tcp ühenduse pidamisega seotud timeout väärtuste alusel tulemüüri olekuid (nt unustatakse ära olekud, mis on tekkinud syn pakettidest, millele ei järgnenud kliendi poolset ack'i ettenäidatud aja jooksul; või unustatakse ära olekud, millega seoses ei ole toimunud reaalset andmevahtust etteantud aja vältel) | ||
| + | * siltide (ingl. k. tag) kasutamine - tulemüüris on võimalik ühest seadmest sisenenud paketile lisada silt ning selle alusel teha otsustusi kui ta teisest seadmest väljub; tundub, et see ongi ainuvõimalik moodus turvalise (kontrollitakse sisenevat ja väljuvat liiklust), efektiivselt töötava ja efektiivselt hallatava tulemüüri moodustamiseks | ||
| − | + | OpenBSD pf on seejuures täies mahus porditud ka FreeBSD peale seega töötab 99% siin palas leiduvast süntaksist ja näitematerjalist | |
| + | erinevad on peamiselt vaid rajad ning mõned konkreetse süsteemi utiliidid | ||
| − | + | Lisaks saab sõltuvalt vajadusest tulemüüril kasutada nt selliseid teenuseid, mis küll iseenesest ei tulemüürimisega seotud | |
| − | + | * dhcp server | |
| + | * nimeserver - bind | ||
| + | * VPN - IPsec, OpenVPN | ||
| + | * veebivahendaja - squid | ||
| + | * greylisting tarkvara - spamd | ||
| + | * tftp | ||
| + | * ntp | ||
| − | + | ===Teemad=== | |
| − | + | Käesolev käsitlus esineb pigem reaalselt tõenäoliselt esinevatele probleemidele sobivate lahenduste väljapakkumisena kui keskendub tähestikulises järjekorras erinevate programmide manuaalide (ingl. k. manpages) ümberjutustamisele. | |
| − | + | * [[:Tulemüüri kasutamise vajadus]] | |
| + | * Tulemüüri ettevalmistamiseks vajalik riistvara ja tarkvara | ||
| + | * [[Packet Filter]] - OpenBSD tulemüüritarkvara PF süntaksi tutvustus | ||
| + | * [[OpenBSD v. 4.7 paketifilter]] | ||
| + | * [[:Kahe võrgukaardiga ruutiv tulemüür]] | ||
| + | * [[:Kahe võrgukaardiga aadressteisendav tulemüür]] | ||
| + | * [[:Enam kui kahe võrgukaardiga aadressteisendav tulemüür]] | ||
| + | * [[:Liikluse prioritiseerimine tulemüüris]] | ||
| + | * [[:Mitme välisühendusega tulemüür]] | ||
| + | * Passive-active tulemüürikluster | ||
| + | * Active-active tulemüürikluster | ||
| + | * Sild | ||
| + | * [[:Ruuting domeenid]] | ||
| + | * [[:FTP kasutamine OpenBSD paketifiltriga]] | ||
| − | + | ===Märkused=== | |
| − | + | * Paketifiltri abil ei saa kirjutada ümber OpenBSD arvutis lokaalselt genereeritud paketi dst ip aadressi ja porti. | |
| − | + | ===Kasulikud lisamaterjalid=== | |
| − | + | * http://home.nuug.no/~peter/pf/en/long-firewall.html | |
| − | + | * Pf ja iptables ning ipfilter testid | |
| + | * http://www.benzedrine.cx/pf-paper.html | ||
| + | * http://undeadly.org/cgi?action=article&sid=20060927091645 (kolmeosalise artikli esimene osas, viited teistele seal) | ||
Viimane redaktsioon: 20. mai 2010, kell 20:23
OpenBSD tulemüür
Järgnevad tekstid eeldavad, et ollakse tuttav OpenBSD kui operatsioonisüsteemi kasutamisega ning on olemas mõõdukas ettekujutus TCP/IP protokollist.
OpenBSD operatsioonisüsteemi kasutamine võrgusõlmes on tema üheks oluliseks kasutusalaks. Sõltuvalt konkreetsetest vajadustest võib OpenBSD tulemüüril olla realiseeritud selliseid funktsioone
- liikluse filtreerimine - pf, mitmesugustele tingimustele põhinevate piirangute seadmine sh automaatselt täituvad ja tühjenevad blacklistid, synproxy
- NAT - mitte-avalike aadressidega arvutite interneti ühendamine
- liikluse prioritiseerimine - altq
- koormusjaotur - pf, relayd
- tulemüüri kluster - mitmest erinevast füüsilisest arvutist koosnev üks loogiline tulemüür (nn active/passive või active/active režiimis; carp, pfsync)
- statistika ja andmete analüüsiks kogumine (pfctl, pftop, tcpstat, pflogd, tcpdump, symon, syweb, netflow)
- Sild (ingl. k. bridge)
- ruutinguprotokollide bgp ja ospf kasutamine
Muude populaarsete tulemüürilahenduste seas paistab OpenBSD paketifilter (tulemüür) silma sellistes aspektides
- reeglite kirjutamise efektiivsus - mitme pordi või aadressi näitamine ühes reeglis, tabeli konstruktsioon, include'id ja ankrud mitmete failide vahel jaotatud seadistuste kasutamiseks
- tulemüüri oleku jälgimise võimalus - pfctl utiliidi abil saab suvalisel ajahetkel täpselt kontrollida, millised ühendused tulemüürist läbi käivad ja millised paketifiltri reeglid on ühendusega seotud
- tulemüüri paketifiltri tegevuste logimine - saab täpselt logida, millised pakette on lubatud läbi või milliseid on takistatud, label'ite kasutamine
- synproxy - tulemüür tekitab tulemüüri taga töötava serveri eest ära 3-way tcp handshake, et kaitsta serverit syn-floodi eest
- tcpcookies kasutamise võimalus puudub
- aktiivne/passiivne kluster - kahest arvutist saab moodustada ühe loogilise tulemüüri, igal ajahetkel pakub teenust vaid üks klustri komponent, kusjuures ümberlülitumisel võetakse üle ka ühendused, st olemasolevad tcp ühendused ei katke
- aktiivne/aktiivne kluster - kahest arvutist saab moodustada ühe loogilise tulemüüri, nt src ip aadressi alusel käib kliendi ühendus tulemüüri taga oleva serveriga kas läbi ühe või teise tulemüüri
- automaatne blacklistimine - sõltuvalt allika iseloomust (nt kui palju ühendusi tehakse ajaühikus) saab korraldada allika ip aadressi täpsusega automaatse blacklistimise (sh blacklistist väljatoomise)
- tcp/ip protokolli nö fundamentaalsete omaduste kasutamine tulemüüri seadistamisel - nt saab kontrollida tcp ühenduse pidamisega seotud timeout väärtuste alusel tulemüüri olekuid (nt unustatakse ära olekud, mis on tekkinud syn pakettidest, millele ei järgnenud kliendi poolset ack'i ettenäidatud aja jooksul; või unustatakse ära olekud, millega seoses ei ole toimunud reaalset andmevahtust etteantud aja vältel)
- siltide (ingl. k. tag) kasutamine - tulemüüris on võimalik ühest seadmest sisenenud paketile lisada silt ning selle alusel teha otsustusi kui ta teisest seadmest väljub; tundub, et see ongi ainuvõimalik moodus turvalise (kontrollitakse sisenevat ja väljuvat liiklust), efektiivselt töötava ja efektiivselt hallatava tulemüüri moodustamiseks
OpenBSD pf on seejuures täies mahus porditud ka FreeBSD peale seega töötab 99% siin palas leiduvast süntaksist ja näitematerjalist erinevad on peamiselt vaid rajad ning mõned konkreetse süsteemi utiliidid
Lisaks saab sõltuvalt vajadusest tulemüüril kasutada nt selliseid teenuseid, mis küll iseenesest ei tulemüürimisega seotud
- dhcp server
- nimeserver - bind
- VPN - IPsec, OpenVPN
- veebivahendaja - squid
- greylisting tarkvara - spamd
- tftp
- ntp
Teemad
Käesolev käsitlus esineb pigem reaalselt tõenäoliselt esinevatele probleemidele sobivate lahenduste väljapakkumisena kui keskendub tähestikulises järjekorras erinevate programmide manuaalide (ingl. k. manpages) ümberjutustamisele.
- Tulemüüri kasutamise vajadus
- Tulemüüri ettevalmistamiseks vajalik riistvara ja tarkvara
- Packet Filter - OpenBSD tulemüüritarkvara PF süntaksi tutvustus
- OpenBSD v. 4.7 paketifilter
- Kahe võrgukaardiga ruutiv tulemüür
- Kahe võrgukaardiga aadressteisendav tulemüür
- Enam kui kahe võrgukaardiga aadressteisendav tulemüür
- Liikluse prioritiseerimine tulemüüris
- Mitme välisühendusega tulemüür
- Passive-active tulemüürikluster
- Active-active tulemüürikluster
- Sild
- Ruuting domeenid
- FTP kasutamine OpenBSD paketifiltriga
Märkused
- Paketifiltri abil ei saa kirjutada ümber OpenBSD arvutis lokaalselt genereeritud paketi dst ip aadressi ja porti.
Kasulikud lisamaterjalid
- http://home.nuug.no/~peter/pf/en/long-firewall.html
- Pf ja iptables ning ipfilter testid
- http://www.benzedrine.cx/pf-paper.html
- http://undeadly.org/cgi?action=article&sid=20060927091645 (kolmeosalise artikli esimene osas, viited teistele seal)
