natd (ipmasq),ipfw (Firewall) Router/Gateway konfigurieren:
Das aufgeführte Beispiel ist für einen iMac/G3 PPC mit MacOS-X 10.3.9 und Modem/Webshuttle II. (USB) zutreffend,kann aber auch für andere Mac's (NICHT andere Systeme!Z.B.:10.4) und Internetanschlüsse (DSL) verwendet werden!Diese anleitung gibt es nur hier bei Apfeltalk und ist so nicht (oder nur teilweise!) im WWW zu finden...die benötigten Scripts sind am Ende dieses Tutorials zu finden...
(Beschreibung/Scripte wurden geprüft unter MacOS-X 10.3.9/Panther "CLIENT")
--->IPFW ist der standard Firewall für FreeBSD und MacOSX<---
Quellen (nur teilweise da eben auch teilweise von mir erstellt):
NATd: http://www.la-grange.net/2002/09/27-masqfirewall.html
Firewall: http://www.novajo.ca/firewall.html
ACHTUNG:
1.Damit NATD (unter BSD,FreeBSD,UNIX & MacOS-X) funktioniert muss gewährleistet sein das bereits eine Firewall (Schritt 5) konfiguriert und aktiv ist,da die Dienste/Services unter MacOS-X nach dem Bootvorgang in der Reihenfolge 1. Firewall 2.NATd starten!
2.Vor dem aktivieren muss gewährleistet sein das unter Systemeinstellungen/Sharing (Firewall/Internet.Betrifft NICHT Dienste z.b. Printer Sharing!) ALLES deaktiviert ist.(Die Apple Original Funktionen:Firewall und Internet Sharing werden gegen die im folgendem beschriebenen Scripte ersetzt!)
Schritt 1.:Vorbereitung und Erklärung
Internetverbindung erfolgt mit Modem -oder ISDN und Dynamischer IP Adressenvergabe!
Mit NATd (ipmasq) sind auf einem Netzwerk Client alle WWW funktionen möglich
die auch auf dem Router möglich sind,d.h. die IP Adressen werden 1:1 im LAN
"Maskiert"/"überzogen",also identisch.
Damit sind im gegensatz zu Apples Original Internet Sharing,welches kein RICHTIGES maskieren ist (eher ein halbes,da hier weder FTP noch POP/SMTP funktionieren!) alle Internetfunktionen auf einem LAN Client möglich (FTP,HTTP,HTTPS,POP,SMTP,Filesharing z.b. xMule usw.)!
Router IP Adresse 192.168.0.1
Subnet 255.255.255.0
Client IP Adresse 192.168.0.2
Subnet 255.255.255.0
Router 192.168.0.1
DNS 123.456.789.XXX
(Auf dem Client müssen zusätzlich die DNS Adressen des Internet Providers,ISPs,und NICHT die des Routers,eingetragen sein,z.b. 123.456.789.XXX!)
Schritt 2.:NATd
NATd = Komplett vorkonfiguriertes Script für pppd / ppp0 ,also Modem,ISDN 1.Kanal/2. Kanal oder (Dynam.) Kanalbündelung (kann auch für DSL konfiguriert werden:Netzwerkkarte 2 bei DSL ist en1 für die LAN anbindung,Netzwerkkarte 1 bei DSL ist en0 für die Internetverbindung.Also einfach ppp0 gegen en0 ersetzen) auf Netzwerkkarte 1/ en0 für die LAN Client anbindung (Script ist bereits vorkonfiguriert auf ppp0/en0 und kann so verwendet werden!).
Im Verzeichnis /Library/StartupItems/ einen Ordner mit dem namen NATd
anlegen.Die beiden Files NATd und StartupParameters.plist nach /Library/StartupItems/NATd kopieren!
StartupParameters.plist sorgt dafür das NATd beim starten des Systems aktiv wird (Autostart!)!
Schritt 3.:hostconfig
In /etc die Datei "hostconfig" (unsichtbare Datei!) anpassen (von -no- auf -yes-):
IPFORWARDING=-YES-
Achtung (Nur noch einmal zur Erinnerung):
Die Sripte aktivieren natD/Firewall (ipfw) unter MacOS-X und sind "echte" ipmasquerading (ipmasq) Scripte mit Firewall funktion.
Vor dem aktivieren muss gewährleistet sein das unter Systemeinstellungen/Sharing (Firewall/Internet!Betrifft NICHT Dienste z.b. Printer Sharing!) ALLES deaktiviert ist.
Schritt 4.:Userrechte für NATd setzen
Nach dem einfügen des NATd Scriptes:
Terminal öffnen (Userrechte setzen!):
#sudo su (Administrator Kennwort!)
#cd /Library/StartupItems/NATd
#chown root:wheel *
#chmod u+s *
#exit
Schritt 5.:Firewall
1) Damit NATd funktioniert muss in der rc.firewall.current erst einmal NATd aktiviert werden bzw. die Zeile #$fwcmd add divert natd all from any to any via $oif -auskommentiert werden (# entfernen!):
If you use NATD (for your 192.168.0.1 interface for instance)
# you must uncomment the following. If you don't or if you don't know,
# make sure next rule (divert) is commented.
# Divert all packets through natd
$fwcmd add divert natd all from any to any via $oif
Anmerk.:$oif steht für ppp0
2) Copy rc.firewall.current to /usr/local/sbin/. If it does not exist, create it with
sudo mkdir /usr/local/
sudo mkdir /usr/local/sbin
3) If you have a dynamic IP and you use PPP to connect, copy ip-up into /etc/ppp/. If the directory does not exist, create it. Disconnect and reconnect, the firewall will be activated.
Schritt 6.:Firewall und Routing prüfen
Beide Rechner neustarten und anschliessend am Router überprüfen ob natD unter "Aktivitäts-Anzeige" (Prozesse) aktiv ist und ipfw unter "Über diesen MAC/Weitere Informationen/Protokolldateien/system.log aktiv ist (ipfw wird,wenn aktiv in Echtzeit geloggt)!
Überprüfen ob Internet,POP,SMTP,FTP,Filesharing & HTTPS am Client funktionieren!
Firewall online prüfen auf "Shields up":
https://www.grc.com/x/ne.dll?bh0bkyd2
Nach der Firewall prüfung sollten ALLE (bis auf Port 0 = Closed) Ports "STEALTH" sein,also sehr sicher...
(Port Status unterschiede Closed/Stealth siehe: Was bedeuted was?)
oder
Firewall von ausserhalb (WWW) überprüfen mit NMAP:
http://www.linux-sec.net/Audit/nmap.test.gwif.html
Firewall von innen (LAN) überprüfen mit NMAPFE for MacOSX!
Schritt 7.: (Optional) Connection Logging
Das Logging ist vorkonfiguriert und kann im system.log ausgelesen werden:
Über diesen MAC/Weitere Informationen/Protokolldateien/system.log
Alternativ kann es mit der unten beschriebenen anleitung auch nach ipfw.log "umgelenkt" werden:
By default, if you don't change anything, every logged connection (i.e. those with a "log" option) will be written to /var/log/system.log.
With Mac OS X 10.3, connections now get logged as "ipfw" and can be sent to a separate file. All you need to do is modifiy the file called /etc/syslog.conf.
Add this at the top of /etc/syslog.conf:
# Exclude ipfw entries from other logs
!-ipfw
Add this at the bottom:
# Redirect ipfw entries to ipfw.log
!ipfw
*.* /var/log/ipfw.log
Then call sudo kill -HUP `cat /var/run/syslog.pid`. Now all logged connections (denied or accepted) will be sent to /var/log/ipfw.log instead of system.log.
Schritt 8.: (Optional) Netzwerk Diagnose Tools wie PING und Traceroute von ausserhalb (WWW) auf Router unterdrücken:
In der rc.firewall.current die zeile - $fwcmd add allow icmp from any to any
"kommentieren" (# einsetzen!),wie unten beschrieben:
# Allow icmp packets for diagnostic purposes (ping traceroute)
# you may wish to leave commented out.
# $fwcmd add allow icmp from any to any
Schritt 9.
Optional) Server & HTTP Server freischalten:
Um z.b. einen Apache Server auf Port 80 freizugeben oder einen FTP Server auf Port 21,muss die zeile:
#$fwcmd add allow tcp from $oip to $iip 548 setup -auskommentiert (# entfernen) werden (siehe unten):
# ADJUST: Allow incoming requests to reach the various services.
# To allow multiple services you may list them separated
# by a coma, for example ...to $oip 22,25,110,80 setup
# If you have an internal interface (e.g. if you do not run NATd)
# uncomment the second line to enable AppleTalk on it.
# $fwcmd add allow tcp from any to $oip ftp,ssh,http,svrloc,afpovertcp setup
$fwcmd add allow tcp from $oip to $iip 548 setup
Schritt 10.Optional)SSH Server freischalten (ident Server,Port 113 für entferntes einloggen):
Die zeile #$fwcmd add reset tcp from any to $oip 113 -auskommentieren (siehe unten):
# Politely and quickly rejects AUTH requests (e.g. email and ftp)
$fwcmd add reset tcp from any to $oip 113
Schritt 11.Optional) HenWen NIDS (Snort bzw. Snort GUI) bzw. SNORT IDS (Intrusion Detection System installieren zur überwachung des Firewalls und der Ports!
Schritt 12.: (Optional) Router Status anzeige (UP/Down)
Ein einfacher Router Status kann mit dem "ipfinder" Widget (Konfabulator) angezeigt werden!
Anmerk.:
Bei Problemen:
NATd manuell starten und überprüfen: (mit Administratorrechten) ,vorher evtl. den Prozess "natd" beenden (Aktivitäts anzeige):
Terminal öffnen,NATd starten:
#sudo su (Administrator Kennwort!)
#cd /library/Startupitems/NATd
#./NATd
Nach dem aktivieren (./NATd) sollte jetzt etwa folgendes im Terminal stehen:
Flushed all rules.
00100 divert 8668 ip from any to any via ppp0
00200 allow ip from any to any
Tip:
Funktioniert es dennoch nicht (kein Seitenaufbau am Client),liegt es evtl. an dem ip-up Script (fehlt,falsch konfiguriert,keine Userrechte,im falschen verzeichnis oder Fehlerhaft)!
Liegt der Fehler am ip-up Script ,muss NATd nach jedem Neustart erst einmal beendet werden (mit ROOT Rechten!) und dann (mit ROOT Rechten!) neu gestartet werden,da sonst am Client kein Seitenaufbau erfolgt!
--->NATd kann also auch ohne ip-up gestartet werden.NATd muss dann allerdings nach jedem Rechnerneustart "resetet" werden<---
Zusätzlich am Client prüfen ob wirklich die korrekten DNS Adressen des ISPs eingetragen sind!
Sonstiges:
Das Firewall Script rc.firewall.current kann natürlich zusätzlich entsprechenden anforderungen eingestellt werden (Siehe Schritt 7,8,9 & 10)!
Firewall Regeln im Terminal (Live,in Echtzeit) anschauen:
#sudo /sbin/ipfw list
(anschliessend wird im Terminal eine ähnliche ausgabe
wie im Beispiel unten aufgelistet)
02000 allow ip from any to any via lo*
02010 deny ip from 127.0.0.0/8 to any in
02020 deny ip from any to 127.0.0.0/8 in
02030 deny ip from 224.0.0.0/3 to any in
02040 deny tcp from any to 224.0.0.0/3 in
02050 allow tcp from any to any out
02060 allow tcp from any to any established
02070 allow tcp from any to any 80 in
02080 allow tcp from any to any 427 in
02090 allow tcp from any to any 548 in
02100 allow tcp from any to any 427 in
02110 allow tcp from any to any 22 in
02120 allow tcp from any to any 139 in
12190 deny tcp from any to any
65535 allow ip from any to any
Was bedeuted was?
ipmasq (ipmasquerading):
Im Betrieb konvertiert das ipmasq-System oder ipmasq-Gateway alle ausgehenden Verbindungen, so dass sie vom ipmasq-Gateway selbst zu stammen scheinen. Zurckkommende Daten werden von ipmasq-Gateway auch umkonvertiert und zu dem internen Computer geschickt, der sie angefordert hat. Auf diese Weise bekommen die Computer im Netzwerk eine Route zum Internet und erfahren nicht, dass ihre Daten maskiert werden. Es ist eine transparente Verbindung.
Hinter dem ipmasq Router können alle Clients angebunden werden die TCP/IP verstehen (Windows,Macintosh,Unix,Linux).
Der ipmasq Router selbst ist meistens ein Linux,Unix oder MacOSX Rechner!
ip-up:
Das Script etc/ppp/ip-up wird nach jedem Verbindungsaufbau automatisch abgearbeitet.ip-up sorgt dafür das NATd nach jeder anwahl "zurückgesetzt" wird!Ist das ip-up Script fehlerhaft oder fehlt sogar komplett erfolgt an den Clients kein Seitenaufbau und
NATd muss nach jedem Rechner (Router) neustart erst einmal beendet und dann neu gestartet werden!Dies kann allerdings nur mit SUDO,also ROOT Rechten erfolgen!
An das Ende des ip-up Scriptes kann man Befehle wie z.b. zum Abholen und Verschicken von Post oder sonstige befehle anhängen (Beispiel UNIX/Linux-Sendmail,Fetchmail):
# Mail abholen
fetchmail -f /etc/fetchmailrc --invisible --syslog
# Mail verschicken
sendmail -q
Port Status unterschiede Closed/Stealth :
Stealth:
A "Stealth" port is one that completely ignores and simply "drops" any incoming packets without telling the sender whether the port is "Open" or "Closed" for business. When all of your system's ports are stealth (and assuming that your personal firewall security system doesn't make the mistake of "counter-probing" the prober), your system will be completely opaque and invisible to the random scans which continually sweep through the Internet.
Even if this machine had previously been scanned and logged by a would-be intruder, a methodical return to this IP address will lead any attacker to believe that your machine is turned off, disconnected, or no longer exists. You couldn't ask for anything better. Your personal firewall or NAT router protected system is acting like a black hole for TCP/IP packets. That's very cool.
Closed:
"Closed" is the best you can hope for without a stealth firewall or NAT router in place. At least the port is not "Open" for business and accepting connections from the probes which are continually sweeping the Internet searching for exploitable systems.
Open:
"Offen wie ein Scheunen-Tor"!
Und hier die Scripts:
1. rc.firewall.current (Das unten aufgeführte Script so kopieren und als rc.firewall.current Speichern!)
#!/bin/sh
# Originally found at http://www.bsdtoday.com/2000/December/Features359.html
# By Peter Brezny
# Modifications done to support dynamic IP and default OS X configuration
# by D. Cote, available at: http://www.novajo.ca/firewall.html
#
# Simple stateful network firewall rules for IPFW with NAT v. 1.01
# See bottom of file for instructions and description of rules
# Created 20001206206 by Peter Brezny, [email protected] (with a great
# deal of help from [email protected]). Specific questions
# about the use of ipfw should be directed to [email protected] or
# more general security questions to [email protected].
# Use this script at your own risk.
#
# if you don't know the a.b.c.0/xx notation for ip networks the ipsubnet
# calculator can help you. /usr/ports/net/ipsc-0.4.2
#
############################
# Make sure logging is enabled (disabled by default)
if [ `/usr/sbin/sysctl -n net.inet.ip.fw.verbose` == 0 ] ; then
/usr/sbin/sysctl -w net.inet.ip.fw.verbose=1
fi
#
# Define your variables
#
fwcmd="/sbin/ipfw" # leave as is if using ipfw
oif="ppp0" # set to outside interface name (for DSL pppoe0 in 10.0.x,
# pppoe0 in > 10.1.x)
# set following line to outside ip address
# or leave as is for dynamic IP address)
oip=`/sbin/ifconfig $oif| grep -w inet | awk '{ print $2 }'`;
onwr="$oip/8" #set to outside network range
iif="en0" #set to internal interface name
inwr="192.168.0.0/16" #set to internal network range
iip="192.168.0.1" #set to internal ip address
#
# End of required user input if you only intend to allow ssh connections to
# this box from the outside. If other services are required, edit line 96
# as necessary.
#
###
# Rules with descriptions
#
# Basic rules: there is no need to modify anything in this first section.
# This is the bare minimum to block simple spoofing.
###
#
# Force a flush of the current firewall rules before we reload
$fwcmd -f flush
# Allow your loop back to work
$fwcmd add allow all from any to any via lo0
# Prevent spoofing of your loopback
$fwcmd add deny log all from any to 127.0.0.0/8
#
# Stop spoofing of your internal network range
$fwcmd add deny log ip from $inwr to any in via $oif
#
# Stop spoofing from inside your private ip range
$fwcmd add deny log ip from not $inwr to any in via $iif
#
# Stop private networks (RFC1918) from entering the outside interface.
$fwcmd add deny log ip from 192.168.0.0/16 to any in via $oif
$fwcmd add deny log ip from 172.16.0.0/12 to any in via $oif
$fwcmd add deny log ip from 10.0.0.0/8 to any in via $oif
$fwcmd add deny log ip from any to 192.168.0.0/16 in via $oif
$fwcmd add deny log ip from any to 172.16.0.0/12 in via $oif
$fwcmd add deny log ip from any to 10.0.0.0/8 in via $oif
#
# Stop draft-manning-dsua-01.txt nets on the outside interface
# $fwcmd add deny log all from 0.0.0.0/8 to any in via $oif
# $fwcmd add deny log all from 169.254.0.0/16 to any in via $oif
# $fwcmd add deny log all from 192.0.2.0/24 to any in via $oif
# $fwcmd add deny log all from 224.0.0.0/4 to any in via $oif
# $fwcmd add deny log all from 240.0.0.0/4 to any in via $oif
# $fwcmd add deny log all from any to 0.0.0.0/8 in via $oif
# $fwcmd add deny log all from any to 169.254.0.0/16 in via $oif
# $fwcmd add deny log all from any to 192.0.2.0/24 in via $oif
# $fwcmd add deny log all from any to 224.0.0.0/4 in via $oif
# $fwcmd add deny log all from any to 240.0.0.0/4 in via $oif
#
###
# User rules: Some of the rules below are dependent on your configuration.
# They might require some adjustments. They are emphasized with the
# word "ADJUST".
###
# ADJUST: If you use NATD (for your 192.168.0.1 interface for instance)
# you must uncomment the following. If you don't or if you don't know,
# make sure next rule (divert) is commented.
# Divert all packets through natd
$fwcmd add divert natd all from any to any via $oif
#
# Allow all established connections to persist (setup required
# for new connections).
$fwcmd add allow tcp from any to any established
#
# ADJUST: Allow incoming requests to reach the various services.
# To allow multiple services you may list them separated
# by a coma, for example ...to $oip 22,25,110,80 setup
# If you have an internal interface (e.g. if you do not run NATd)
# uncomment the second line to enable AppleTalk on it.
# $fwcmd add allow tcp from any to $oip ftp,ssh,http,svrloc,afpovertcp setup
# $fwcmd add allow tcp from $oip to $iip 548 setup
#
# NOTE: you may have to change your client to passive or active mode
# to get ftp to work once enabled, only ssh, ftp and appletalk enabled by default.
# 21: ftp enabled by default
# 22: ssh enabled by default
# 23: telnet
# 25: smtp
# 80: http enabled by default
# 110: pop
# 143: imap
# 80: http
# 427: svrloc (?)
# 443: ssl
# 548: appleshare enabled by default
# 2401: cvs
# 5900-5909: VNC server, screen 0 through 9
# 6669: Limewire
#
#
# Allow icmp packets for diagnostic purposes (ping traceroute)
# you may wish to leave commented out.
# $fwcmd add allow icmp from any to any
#
# Allow required ICMP
$fwcmd add allow icmp from any to any icmptypes 3,4,11,12
# Politely and quickly rejects AUTH requests (e.g. email and ftp)
# $fwcmd add reset tcp from any to $oip 113
#
# Checks packets against dynamic rule set below.
$fwcmd add check-state
#
# Allow any traffic from firewall ip to any going out the
# external interface
$fwcmd add allow ip from $oip to any keep-state out via $oif
#
# Allow any traffic from local network to any passing through the
# internal interface
$fwcmd add allow ip from $inwr to any keep-state via $iif
#
# Deny everything else
$fwcmd add 65435 deny log ip from any to any
#
#####################################################
#
# End firewall script.
2. StartupParameters.plist (Das unten aufgeführte Script so kopieren und als StartupParameters.plist Speichern!)
{
Description = "Network Address Translation Setup";
Provides = ("NAT");
Requires = ("Resolver");
Uses = ("Network Time", "NFS");
Preference = "None";
Messages =
{
start = "Starting NAT";
};
}
3. ip-up (Das unten aufgeführte Script so kopieren und als ip-up Speichern!)
#!/bin/sh
# This following line is to work around a bug in 10.1 where natd
# is not reset automatically with a new connection
# Even if you do not use natd, it does not hurt to have it there.
NATD_PID=`ps -uxc -U root | grep ' natd$' | awk '{ print $2 }'`
if [ "$NATD_PID" != "" ]; then
logger -i -t $0 "Sending SIGHUP to natd (PID $NATD_PID)"
kill -HUP $NATD_PID
fi
#logger -i -t $0 "Setting up the firewall"
sh /usr/local/sbin/rc.firewall.current
# Parameters are passed to ip-up (see man pppd).
# We get ip address and network interface
ip=$4
logger -i -t $0 "Updating IP with EasyDNS.com"
/usr/local/bin/easydnsupdate $ip
4. NATd (Das unten aufgeführte Script so kopieren und als NATd Speichern!)
#!/bin/sh
/usr/sbin/natd -dynamic -interface ppp0
/sbin/ipfw -f flush
/sbin/ipfw add divert natd all from any to any via ppp0
/sbin/ipfw add pass all from any to any
NATd Grafik:
Das aufgeführte Beispiel ist für einen iMac/G3 PPC mit MacOS-X 10.3.9 und Modem/Webshuttle II. (USB) zutreffend,kann aber auch für andere Mac's (NICHT andere Systeme!Z.B.:10.4) und Internetanschlüsse (DSL) verwendet werden!Diese anleitung gibt es nur hier bei Apfeltalk und ist so nicht (oder nur teilweise!) im WWW zu finden...die benötigten Scripts sind am Ende dieses Tutorials zu finden...
(Beschreibung/Scripte wurden geprüft unter MacOS-X 10.3.9/Panther "CLIENT")
--->IPFW ist der standard Firewall für FreeBSD und MacOSX<---
Quellen (nur teilweise da eben auch teilweise von mir erstellt):
NATd: http://www.la-grange.net/2002/09/27-masqfirewall.html
Firewall: http://www.novajo.ca/firewall.html
ACHTUNG:
1.Damit NATD (unter BSD,FreeBSD,UNIX & MacOS-X) funktioniert muss gewährleistet sein das bereits eine Firewall (Schritt 5) konfiguriert und aktiv ist,da die Dienste/Services unter MacOS-X nach dem Bootvorgang in der Reihenfolge 1. Firewall 2.NATd starten!
2.Vor dem aktivieren muss gewährleistet sein das unter Systemeinstellungen/Sharing (Firewall/Internet.Betrifft NICHT Dienste z.b. Printer Sharing!) ALLES deaktiviert ist.(Die Apple Original Funktionen:Firewall und Internet Sharing werden gegen die im folgendem beschriebenen Scripte ersetzt!)
Schritt 1.:Vorbereitung und Erklärung
Internetverbindung erfolgt mit Modem -oder ISDN und Dynamischer IP Adressenvergabe!
Mit NATd (ipmasq) sind auf einem Netzwerk Client alle WWW funktionen möglich
die auch auf dem Router möglich sind,d.h. die IP Adressen werden 1:1 im LAN
"Maskiert"/"überzogen",also identisch.
Damit sind im gegensatz zu Apples Original Internet Sharing,welches kein RICHTIGES maskieren ist (eher ein halbes,da hier weder FTP noch POP/SMTP funktionieren!) alle Internetfunktionen auf einem LAN Client möglich (FTP,HTTP,HTTPS,POP,SMTP,Filesharing z.b. xMule usw.)!
Router IP Adresse 192.168.0.1
Subnet 255.255.255.0
Client IP Adresse 192.168.0.2
Subnet 255.255.255.0
Router 192.168.0.1
DNS 123.456.789.XXX
(Auf dem Client müssen zusätzlich die DNS Adressen des Internet Providers,ISPs,und NICHT die des Routers,eingetragen sein,z.b. 123.456.789.XXX!)
Schritt 2.:NATd
NATd = Komplett vorkonfiguriertes Script für pppd / ppp0 ,also Modem,ISDN 1.Kanal/2. Kanal oder (Dynam.) Kanalbündelung (kann auch für DSL konfiguriert werden:Netzwerkkarte 2 bei DSL ist en1 für die LAN anbindung,Netzwerkkarte 1 bei DSL ist en0 für die Internetverbindung.Also einfach ppp0 gegen en0 ersetzen) auf Netzwerkkarte 1/ en0 für die LAN Client anbindung (Script ist bereits vorkonfiguriert auf ppp0/en0 und kann so verwendet werden!).
Im Verzeichnis /Library/StartupItems/ einen Ordner mit dem namen NATd
anlegen.Die beiden Files NATd und StartupParameters.plist nach /Library/StartupItems/NATd kopieren!
StartupParameters.plist sorgt dafür das NATd beim starten des Systems aktiv wird (Autostart!)!
Schritt 3.:hostconfig
In /etc die Datei "hostconfig" (unsichtbare Datei!) anpassen (von -no- auf -yes-):
IPFORWARDING=-YES-
Achtung (Nur noch einmal zur Erinnerung):
Die Sripte aktivieren natD/Firewall (ipfw) unter MacOS-X und sind "echte" ipmasquerading (ipmasq) Scripte mit Firewall funktion.
Vor dem aktivieren muss gewährleistet sein das unter Systemeinstellungen/Sharing (Firewall/Internet!Betrifft NICHT Dienste z.b. Printer Sharing!) ALLES deaktiviert ist.
Schritt 4.:Userrechte für NATd setzen
Nach dem einfügen des NATd Scriptes:
Terminal öffnen (Userrechte setzen!):
#sudo su (Administrator Kennwort!)
#cd /Library/StartupItems/NATd
#chown root:wheel *
#chmod u+s *
#exit
Schritt 5.:Firewall
1) Damit NATd funktioniert muss in der rc.firewall.current erst einmal NATd aktiviert werden bzw. die Zeile #$fwcmd add divert natd all from any to any via $oif -auskommentiert werden (# entfernen!):
If you use NATD (for your 192.168.0.1 interface for instance)
# you must uncomment the following. If you don't or if you don't know,
# make sure next rule (divert) is commented.
# Divert all packets through natd
$fwcmd add divert natd all from any to any via $oif
Anmerk.:$oif steht für ppp0
2) Copy rc.firewall.current to /usr/local/sbin/. If it does not exist, create it with
sudo mkdir /usr/local/
sudo mkdir /usr/local/sbin
3) If you have a dynamic IP and you use PPP to connect, copy ip-up into /etc/ppp/. If the directory does not exist, create it. Disconnect and reconnect, the firewall will be activated.
Schritt 6.:Firewall und Routing prüfen
Beide Rechner neustarten und anschliessend am Router überprüfen ob natD unter "Aktivitäts-Anzeige" (Prozesse) aktiv ist und ipfw unter "Über diesen MAC/Weitere Informationen/Protokolldateien/system.log aktiv ist (ipfw wird,wenn aktiv in Echtzeit geloggt)!
Überprüfen ob Internet,POP,SMTP,FTP,Filesharing & HTTPS am Client funktionieren!
Firewall online prüfen auf "Shields up":
https://www.grc.com/x/ne.dll?bh0bkyd2
Nach der Firewall prüfung sollten ALLE (bis auf Port 0 = Closed) Ports "STEALTH" sein,also sehr sicher...
(Port Status unterschiede Closed/Stealth siehe: Was bedeuted was?)
oder
Firewall von ausserhalb (WWW) überprüfen mit NMAP:
http://www.linux-sec.net/Audit/nmap.test.gwif.html
Firewall von innen (LAN) überprüfen mit NMAPFE for MacOSX!
Schritt 7.: (Optional) Connection Logging
Das Logging ist vorkonfiguriert und kann im system.log ausgelesen werden:
Über diesen MAC/Weitere Informationen/Protokolldateien/system.log
Alternativ kann es mit der unten beschriebenen anleitung auch nach ipfw.log "umgelenkt" werden:
By default, if you don't change anything, every logged connection (i.e. those with a "log" option) will be written to /var/log/system.log.
With Mac OS X 10.3, connections now get logged as "ipfw" and can be sent to a separate file. All you need to do is modifiy the file called /etc/syslog.conf.
Add this at the top of /etc/syslog.conf:
# Exclude ipfw entries from other logs
!-ipfw
Add this at the bottom:
# Redirect ipfw entries to ipfw.log
!ipfw
*.* /var/log/ipfw.log
Then call sudo kill -HUP `cat /var/run/syslog.pid`. Now all logged connections (denied or accepted) will be sent to /var/log/ipfw.log instead of system.log.
Schritt 8.: (Optional) Netzwerk Diagnose Tools wie PING und Traceroute von ausserhalb (WWW) auf Router unterdrücken:
In der rc.firewall.current die zeile - $fwcmd add allow icmp from any to any
"kommentieren" (# einsetzen!),wie unten beschrieben:
# Allow icmp packets for diagnostic purposes (ping traceroute)
# you may wish to leave commented out.
# $fwcmd add allow icmp from any to any
Schritt 9.
Optional) Server & HTTP Server freischalten:Um z.b. einen Apache Server auf Port 80 freizugeben oder einen FTP Server auf Port 21,muss die zeile:
#$fwcmd add allow tcp from $oip to $iip 548 setup -auskommentiert (# entfernen) werden (siehe unten):
# ADJUST: Allow incoming requests to reach the various services.
# To allow multiple services you may list them separated
# by a coma, for example ...to $oip 22,25,110,80 setup
# If you have an internal interface (e.g. if you do not run NATd)
# uncomment the second line to enable AppleTalk on it.
# $fwcmd add allow tcp from any to $oip ftp,ssh,http,svrloc,afpovertcp setup
$fwcmd add allow tcp from $oip to $iip 548 setup
Schritt 10.
Optional)SSH Server freischalten (ident Server,Port 113 für entferntes einloggen):Die zeile #$fwcmd add reset tcp from any to $oip 113 -auskommentieren (siehe unten):
# Politely and quickly rejects AUTH requests (e.g. email and ftp)
$fwcmd add reset tcp from any to $oip 113
Schritt 11.
Optional) HenWen NIDS (Snort bzw. Snort GUI) bzw. SNORT IDS (Intrusion Detection System installieren zur überwachung des Firewalls und der Ports!Schritt 12.: (Optional) Router Status anzeige (UP/Down)
Ein einfacher Router Status kann mit dem "ipfinder" Widget (Konfabulator) angezeigt werden!
Anmerk.:
Bei Problemen:
NATd manuell starten und überprüfen: (mit Administratorrechten) ,vorher evtl. den Prozess "natd" beenden (Aktivitäts anzeige):
Terminal öffnen,NATd starten:
#sudo su (Administrator Kennwort!)
#cd /library/Startupitems/NATd
#./NATd
Nach dem aktivieren (./NATd) sollte jetzt etwa folgendes im Terminal stehen:
Flushed all rules.
00100 divert 8668 ip from any to any via ppp0
00200 allow ip from any to any
Tip:
Funktioniert es dennoch nicht (kein Seitenaufbau am Client),liegt es evtl. an dem ip-up Script (fehlt,falsch konfiguriert,keine Userrechte,im falschen verzeichnis oder Fehlerhaft)!
Liegt der Fehler am ip-up Script ,muss NATd nach jedem Neustart erst einmal beendet werden (mit ROOT Rechten!) und dann (mit ROOT Rechten!) neu gestartet werden,da sonst am Client kein Seitenaufbau erfolgt!
--->NATd kann also auch ohne ip-up gestartet werden.NATd muss dann allerdings nach jedem Rechnerneustart "resetet" werden<---
Zusätzlich am Client prüfen ob wirklich die korrekten DNS Adressen des ISPs eingetragen sind!
Sonstiges:
Das Firewall Script rc.firewall.current kann natürlich zusätzlich entsprechenden anforderungen eingestellt werden (Siehe Schritt 7,8,9 & 10)!
Firewall Regeln im Terminal (Live,in Echtzeit) anschauen:
#sudo /sbin/ipfw list
(anschliessend wird im Terminal eine ähnliche ausgabe
wie im Beispiel unten aufgelistet)
02000 allow ip from any to any via lo*
02010 deny ip from 127.0.0.0/8 to any in
02020 deny ip from any to 127.0.0.0/8 in
02030 deny ip from 224.0.0.0/3 to any in
02040 deny tcp from any to 224.0.0.0/3 in
02050 allow tcp from any to any out
02060 allow tcp from any to any established
02070 allow tcp from any to any 80 in
02080 allow tcp from any to any 427 in
02090 allow tcp from any to any 548 in
02100 allow tcp from any to any 427 in
02110 allow tcp from any to any 22 in
02120 allow tcp from any to any 139 in
12190 deny tcp from any to any
65535 allow ip from any to any
Was bedeuted was?
ipmasq (ipmasquerading):
Im Betrieb konvertiert das ipmasq-System oder ipmasq-Gateway alle ausgehenden Verbindungen, so dass sie vom ipmasq-Gateway selbst zu stammen scheinen. Zurckkommende Daten werden von ipmasq-Gateway auch umkonvertiert und zu dem internen Computer geschickt, der sie angefordert hat. Auf diese Weise bekommen die Computer im Netzwerk eine Route zum Internet und erfahren nicht, dass ihre Daten maskiert werden. Es ist eine transparente Verbindung.
Hinter dem ipmasq Router können alle Clients angebunden werden die TCP/IP verstehen (Windows,Macintosh,Unix,Linux).
Der ipmasq Router selbst ist meistens ein Linux,Unix oder MacOSX Rechner!
ip-up:
Das Script etc/ppp/ip-up wird nach jedem Verbindungsaufbau automatisch abgearbeitet.ip-up sorgt dafür das NATd nach jeder anwahl "zurückgesetzt" wird!Ist das ip-up Script fehlerhaft oder fehlt sogar komplett erfolgt an den Clients kein Seitenaufbau und
NATd muss nach jedem Rechner (Router) neustart erst einmal beendet und dann neu gestartet werden!Dies kann allerdings nur mit SUDO,also ROOT Rechten erfolgen!
An das Ende des ip-up Scriptes kann man Befehle wie z.b. zum Abholen und Verschicken von Post oder sonstige befehle anhängen (Beispiel UNIX/Linux-Sendmail,Fetchmail):
# Mail abholen
fetchmail -f /etc/fetchmailrc --invisible --syslog
# Mail verschicken
sendmail -q
Port Status unterschiede Closed/Stealth :
Stealth:
A "Stealth" port is one that completely ignores and simply "drops" any incoming packets without telling the sender whether the port is "Open" or "Closed" for business. When all of your system's ports are stealth (and assuming that your personal firewall security system doesn't make the mistake of "counter-probing" the prober), your system will be completely opaque and invisible to the random scans which continually sweep through the Internet.
Even if this machine had previously been scanned and logged by a would-be intruder, a methodical return to this IP address will lead any attacker to believe that your machine is turned off, disconnected, or no longer exists. You couldn't ask for anything better. Your personal firewall or NAT router protected system is acting like a black hole for TCP/IP packets. That's very cool.
Closed:
"Closed" is the best you can hope for without a stealth firewall or NAT router in place. At least the port is not "Open" for business and accepting connections from the probes which are continually sweeping the Internet searching for exploitable systems.
Open:
"Offen wie ein Scheunen-Tor"!
Und hier die Scripts:
1. rc.firewall.current (Das unten aufgeführte Script so kopieren und als rc.firewall.current Speichern!)
#!/bin/sh
# Originally found at http://www.bsdtoday.com/2000/December/Features359.html
# By Peter Brezny
# Modifications done to support dynamic IP and default OS X configuration
# by D. Cote, available at: http://www.novajo.ca/firewall.html
#
# Simple stateful network firewall rules for IPFW with NAT v. 1.01
# See bottom of file for instructions and description of rules
# Created 20001206206 by Peter Brezny, [email protected] (with a great
# deal of help from [email protected]). Specific questions
# about the use of ipfw should be directed to [email protected] or
# more general security questions to [email protected].
# Use this script at your own risk.
#
# if you don't know the a.b.c.0/xx notation for ip networks the ipsubnet
# calculator can help you. /usr/ports/net/ipsc-0.4.2
#
############################
# Make sure logging is enabled (disabled by default)
if [ `/usr/sbin/sysctl -n net.inet.ip.fw.verbose` == 0 ] ; then
/usr/sbin/sysctl -w net.inet.ip.fw.verbose=1
fi
#
# Define your variables
#
fwcmd="/sbin/ipfw" # leave as is if using ipfw
oif="ppp0" # set to outside interface name (for DSL pppoe0 in 10.0.x,
# pppoe0 in > 10.1.x)
# set following line to outside ip address
# or leave as is for dynamic IP address)
oip=`/sbin/ifconfig $oif| grep -w inet | awk '{ print $2 }'`;
onwr="$oip/8" #set to outside network range
iif="en0" #set to internal interface name
inwr="192.168.0.0/16" #set to internal network range
iip="192.168.0.1" #set to internal ip address
#
# End of required user input if you only intend to allow ssh connections to
# this box from the outside. If other services are required, edit line 96
# as necessary.
#
###
# Rules with descriptions
#
# Basic rules: there is no need to modify anything in this first section.
# This is the bare minimum to block simple spoofing.
###
#
# Force a flush of the current firewall rules before we reload
$fwcmd -f flush
# Allow your loop back to work
$fwcmd add allow all from any to any via lo0
# Prevent spoofing of your loopback
$fwcmd add deny log all from any to 127.0.0.0/8
#
# Stop spoofing of your internal network range
$fwcmd add deny log ip from $inwr to any in via $oif
#
# Stop spoofing from inside your private ip range
$fwcmd add deny log ip from not $inwr to any in via $iif
#
# Stop private networks (RFC1918) from entering the outside interface.
$fwcmd add deny log ip from 192.168.0.0/16 to any in via $oif
$fwcmd add deny log ip from 172.16.0.0/12 to any in via $oif
$fwcmd add deny log ip from 10.0.0.0/8 to any in via $oif
$fwcmd add deny log ip from any to 192.168.0.0/16 in via $oif
$fwcmd add deny log ip from any to 172.16.0.0/12 in via $oif
$fwcmd add deny log ip from any to 10.0.0.0/8 in via $oif
#
# Stop draft-manning-dsua-01.txt nets on the outside interface
# $fwcmd add deny log all from 0.0.0.0/8 to any in via $oif
# $fwcmd add deny log all from 169.254.0.0/16 to any in via $oif
# $fwcmd add deny log all from 192.0.2.0/24 to any in via $oif
# $fwcmd add deny log all from 224.0.0.0/4 to any in via $oif
# $fwcmd add deny log all from 240.0.0.0/4 to any in via $oif
# $fwcmd add deny log all from any to 0.0.0.0/8 in via $oif
# $fwcmd add deny log all from any to 169.254.0.0/16 in via $oif
# $fwcmd add deny log all from any to 192.0.2.0/24 in via $oif
# $fwcmd add deny log all from any to 224.0.0.0/4 in via $oif
# $fwcmd add deny log all from any to 240.0.0.0/4 in via $oif
#
###
# User rules: Some of the rules below are dependent on your configuration.
# They might require some adjustments. They are emphasized with the
# word "ADJUST".
###
# ADJUST: If you use NATD (for your 192.168.0.1 interface for instance)
# you must uncomment the following. If you don't or if you don't know,
# make sure next rule (divert) is commented.
# Divert all packets through natd
$fwcmd add divert natd all from any to any via $oif
#
# Allow all established connections to persist (setup required
# for new connections).
$fwcmd add allow tcp from any to any established
#
# ADJUST: Allow incoming requests to reach the various services.
# To allow multiple services you may list them separated
# by a coma, for example ...to $oip 22,25,110,80 setup
# If you have an internal interface (e.g. if you do not run NATd)
# uncomment the second line to enable AppleTalk on it.
# $fwcmd add allow tcp from any to $oip ftp,ssh,http,svrloc,afpovertcp setup
# $fwcmd add allow tcp from $oip to $iip 548 setup
#
# NOTE: you may have to change your client to passive or active mode
# to get ftp to work once enabled, only ssh, ftp and appletalk enabled by default.
# 21: ftp enabled by default
# 22: ssh enabled by default
# 23: telnet
# 25: smtp
# 80: http enabled by default
# 110: pop
# 143: imap
# 80: http
# 427: svrloc (?)
# 443: ssl
# 548: appleshare enabled by default
# 2401: cvs
# 5900-5909: VNC server, screen 0 through 9
# 6669: Limewire
#
#
# Allow icmp packets for diagnostic purposes (ping traceroute)
# you may wish to leave commented out.
# $fwcmd add allow icmp from any to any
#
# Allow required ICMP
$fwcmd add allow icmp from any to any icmptypes 3,4,11,12
# Politely and quickly rejects AUTH requests (e.g. email and ftp)
# $fwcmd add reset tcp from any to $oip 113
#
# Checks packets against dynamic rule set below.
$fwcmd add check-state
#
# Allow any traffic from firewall ip to any going out the
# external interface
$fwcmd add allow ip from $oip to any keep-state out via $oif
#
# Allow any traffic from local network to any passing through the
# internal interface
$fwcmd add allow ip from $inwr to any keep-state via $iif
#
# Deny everything else
$fwcmd add 65435 deny log ip from any to any
#
#####################################################
#
# End firewall script.
2. StartupParameters.plist (Das unten aufgeführte Script so kopieren und als StartupParameters.plist Speichern!)
{
Description = "Network Address Translation Setup";
Provides = ("NAT");
Requires = ("Resolver");
Uses = ("Network Time", "NFS");
Preference = "None";
Messages =
{
start = "Starting NAT";
};
}
3. ip-up (Das unten aufgeführte Script so kopieren und als ip-up Speichern!)
#!/bin/sh
# This following line is to work around a bug in 10.1 where natd
# is not reset automatically with a new connection
# Even if you do not use natd, it does not hurt to have it there.
NATD_PID=`ps -uxc -U root | grep ' natd$' | awk '{ print $2 }'`
if [ "$NATD_PID" != "" ]; then
logger -i -t $0 "Sending SIGHUP to natd (PID $NATD_PID)"
kill -HUP $NATD_PID
fi
#logger -i -t $0 "Setting up the firewall"
sh /usr/local/sbin/rc.firewall.current
# Parameters are passed to ip-up (see man pppd).
# We get ip address and network interface
ip=$4
logger -i -t $0 "Updating IP with EasyDNS.com"
/usr/local/bin/easydnsupdate $ip
4. NATd (Das unten aufgeführte Script so kopieren und als NATd Speichern!)
#!/bin/sh
/usr/sbin/natd -dynamic -interface ppp0
/sbin/ipfw -f flush
/sbin/ipfw add divert natd all from any to any via ppp0
/sbin/ipfw add pass all from any to any
NATd Grafik:
Zuletzt bearbeitet von einem Moderator:
