Ero sivun ”Palomuuri” versioiden välillä
(→Mikä on palomuuri?: Viilattu määritelmää) |
Pb (keskustelu | muokkaukset) p (otsikkokoot "standardinmukaiseksi") |
||
| Rivi 1: | Rivi 1: | ||
= Mikä on palomuuri? = | ==Mikä on palomuuri? == | ||
Palomuuri (englanniksi firewall) tarkoittaa ohjelmistoa tai | Palomuuri (englanniksi firewall) tarkoittaa ohjelmistoa tai | ||
laitetta joka suodattaa tietoliikennettä kahden verkon välillä. | laitetta joka suodattaa tietoliikennettä kahden verkon välillä. | ||
Palomuuri siis estää luvattoman liikenteen ja sallii vain sen | Palomuuri siis estää luvattoman liikenteen ja sallii vain sen | ||
mikä on määritetty palomuurin asetuksissa (säännöissä) | mikä on määritetty palomuurin asetuksissa (säännöissä). | ||
Normaalin kotikäyttöön riittää asetus, joka estää | Normaalin kotikäyttöön riittää asetus, joka estää | ||
| Rivi 11: | Rivi 11: | ||
useita helppokäyttöisiä ohjelmia. | useita helppokäyttöisiä ohjelmia. | ||
= Toimintaperiaate = | == Toimintaperiaate == | ||
Linuxissa kaikki verkkoliikenne kulkee [http://www.netfilter.org/ netfilter]-nimisen rajapinnan kautta. | Linuxissa kaikki verkkoliikenne kulkee [http://www.netfilter.org/ netfilter]-nimisen rajapinnan kautta. | ||
Kaikki verkkoliikenteen suodattaminen tapahtuu sen avulla. | Kaikki verkkoliikenteen suodattaminen tapahtuu sen avulla. | ||
| Rivi 21: | Rivi 21: | ||
Yleensä jakelut tarjoavat kuitenkin myös graafisen liittymän, jolla on helppo ottaa käyttöön yksinkertainen ja peruskäyttöön täysin riittävä palomuuri. | Yleensä jakelut tarjoavat kuitenkin myös graafisen liittymän, jolla on helppo ottaa käyttöön yksinkertainen ja peruskäyttöön täysin riittävä palomuuri. | ||
= Jakelukohtaiset ohjeet = | == Jakelukohtaiset ohjeet == | ||
Seuraavassa on ohjeet yksinkertaisen palomuurin käyttöönottoon eri jakeluissa: | Seuraavassa on ohjeet yksinkertaisen palomuurin käyttöönottoon eri jakeluissa: | ||
* [[SUSEn palomuuriohje|SUSE Linux]] | * [[SUSEn palomuuriohje|SUSE Linux]] | ||
= Muita valmiita ratkaisuja = | == Muita valmiita ratkaisuja == | ||
Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia kuten [http://www.simonzone.com/software/guarddog/ Guarddog], [http://www.fs-security.com firestarter], [http://www.fwbuilder.org fwbuilder], [http://fedora.redhat.com/projects/config-tools/redhat-config-securitylevel.html redhat-config-securitylevel/system-config-securitylevel] ja [http://packages.debian.org/lokkit lokkit]. On olemassa jopa [http://easyfwgen.morizot.net/gen/ nettipalvelu] joka generoi skriptin parin kysymyksen pohjalta. [http://firehol.sf.net Firehol] pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä. Suositeltavaa on myös kokeilla [http://www.shorewall.net/] shorewall palomuuria jolla iptablejen ohjailu on todella kätevää, shorewall:ssa on oletuksena mukana saapuvan ja lähtevän liikenteen "torppaaminen". | Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia kuten [http://www.simonzone.com/software/guarddog/ Guarddog], [http://www.fs-security.com firestarter], [http://www.fwbuilder.org fwbuilder], [http://fedora.redhat.com/projects/config-tools/redhat-config-securitylevel.html redhat-config-securitylevel/system-config-securitylevel] ja [http://packages.debian.org/lokkit lokkit]. On olemassa jopa [http://easyfwgen.morizot.net/gen/ nettipalvelu] joka generoi skriptin parin kysymyksen pohjalta. [http://firehol.sf.net Firehol] pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä. Suositeltavaa on myös kokeilla [http://www.shorewall.net/] shorewall palomuuria jolla iptablejen ohjailu on todella kätevää, shorewall:ssa on oletuksena mukana saapuvan ja lähtevän liikenteen "torppaaminen". | ||
| Rivi 37: | Rivi 34: | ||
Myös kaupallisia levityksiä palomuuritekniikan suhteen on olemassa esimerkiksi [http://www.astaro.de/ Astaro]. | Myös kaupallisia levityksiä palomuuritekniikan suhteen on olemassa esimerkiksi [http://www.astaro.de/ Astaro]. | ||
= Erilliset palomuurilaitteet = | == Erilliset palomuurilaitteet == | ||
Linux on tullut myös laitteistopohjaisiin palomuureihin. Kotimaisen Online Solutionsin [http://www.solutions.fi/page_view?t=1&l=1&s=12&p=12 Sec] tuoteperhe on Linux-pohjaisista ratkaisuista rakennettu kokonaisuus, jolla voidaan suojata erillisiä palvelimia tai koko lähiverkko. | Linux on tullut myös laitteistopohjaisiin palomuureihin. Kotimaisen Online Solutionsin [http://www.solutions.fi/page_view?t=1&l=1&s=12&p=12 Sec] tuoteperhe on Linux-pohjaisista ratkaisuista rakennettu kokonaisuus, jolla voidaan suojata erillisiä palvelimia tai koko lähiverkko. | ||
| Rivi 49: | Rivi 46: | ||
Joissain [http://www.linksys.com Linksysin] WRT-sarjan reitittimissä on Linux-käyttöjärjestelmä, jota voi avoimen lähdekoodin ansiosta muokata. [http://openwrt.org/ OpenWRT-projekti] on erikoistunut Linksysin WRT-reitittimen Linux-pohjaisen firmwaren muokkaamiseen, jolla saadaan helposti toteutettua kotiverkkoon soveltuva NAT-palomuuri. Valitettavasti WRTn reititysteho ei riitä yli 10Mbit uplinkin käsittelyyn, joten se ei sovellu nopeimpiin saatavilla oleviin kuluttajaliittymiin. | Joissain [http://www.linksys.com Linksysin] WRT-sarjan reitittimissä on Linux-käyttöjärjestelmä, jota voi avoimen lähdekoodin ansiosta muokata. [http://openwrt.org/ OpenWRT-projekti] on erikoistunut Linksysin WRT-reitittimen Linux-pohjaisen firmwaren muokkaamiseen, jolla saadaan helposti toteutettua kotiverkkoon soveltuva NAT-palomuuri. Valitettavasti WRTn reititysteho ei riitä yli 10Mbit uplinkin käsittelyyn, joten se ei sovellu nopeimpiin saatavilla oleviin kuluttajaliittymiin. | ||
== VPN/IPSEC-laitteet == | === VPN/IPSEC-laitteet === | ||
Ciscon halpamerkki, Linksys valmistaa Linux-pohjaisia ratkaisuja palomuureiksi. Kotireittittimeksi nämä laitteet ovat edullisia ja erittäin hyviä. | Ciscon halpamerkki, Linksys valmistaa Linux-pohjaisia ratkaisuja palomuureiksi. Kotireittittimeksi nämä laitteet ovat edullisia ja erittäin hyviä. | ||
Versio 23. helmikuuta 2007 kello 23.08
Mikä on palomuuri?
Palomuuri (englanniksi firewall) tarkoittaa ohjelmistoa tai laitetta joka suodattaa tietoliikennettä kahden verkon välillä. Palomuuri siis estää luvattoman liikenteen ja sallii vain sen mikä on määritetty palomuurin asetuksissa (säännöissä).
Normaalin kotikäyttöön riittää asetus, joka estää kaikki ulkoapäin tulevat yhteydenotot.
Palomuuri kuluu Linuxin ytimeen ja sen säätämiseen löytyy useita helppokäyttöisiä ohjelmia.
Toimintaperiaate
Linuxissa kaikki verkkoliikenne kulkee netfilter-nimisen rajapinnan kautta. Kaikki verkkoliikenteen suodattaminen tapahtuu sen avulla.
Suodattamisen säännöt asetetaan iptables-työkalulla. Iptables purkaa tämänhetkiset säännöt ytimestä, muuttaa niitä tai lisää niihin uusia, ja pakkaa säännöt takaisin ytimeen.
Kaikissa jakeluissa on mahdollista luoda palomuuri kirjoittamalla skripti, joka kutsuu iptablesia useita kertoja asettaen joka kerralla yhden säännön. Tämän jälkeen tallennetaan säännöt antamalla komento /etc/init.d/iptables save.
Yleensä jakelut tarjoavat kuitenkin myös graafisen liittymän, jolla on helppo ottaa käyttöön yksinkertainen ja peruskäyttöön täysin riittävä palomuuri.
Jakelukohtaiset ohjeet
Seuraavassa on ohjeet yksinkertaisen palomuurin käyttöönottoon eri jakeluissa:
Muita valmiita ratkaisuja
Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia kuten Guarddog, firestarter, fwbuilder, redhat-config-securitylevel/system-config-securitylevel ja lokkit. On olemassa jopa nettipalvelu joka generoi skriptin parin kysymyksen pohjalta. Firehol pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä. Suositeltavaa on myös kokeilla [1] shorewall palomuuria jolla iptablejen ohjailu on todella kätevää, shorewall:ssa on oletuksena mukana saapuvan ja lähtevän liikenteen "torppaaminen".
Ominaisuuksia, joita peruskäyttäjät tarvitsevat, ovat yleisesti NAT (eng. network address translation) ja porttien ohjaus (DNAT). Jos käytössä on kiinteä verkko-osoite, kannattaa käyttää MASQUERADE:in sijasta SNAT:a.
On myös olemassa erikoistuneita palomuurilevityksiä, joissa on palomuuriasennus ja www-pohjainen työkalu tähän tarkoitukseen. Hyvänä esimerkkinä on esimerkiksi Smoothwall ja ClarkConnect.
Myös kaupallisia levityksiä palomuuritekniikan suhteen on olemassa esimerkiksi Astaro.
Erilliset palomuurilaitteet
Linux on tullut myös laitteistopohjaisiin palomuureihin. Kotimaisen Online Solutionsin Sec tuoteperhe on Linux-pohjaisista ratkaisuista rakennettu kokonaisuus, jolla voidaan suojata erillisiä palvelimia tai koko lähiverkko.
Secwall on modulaarinen tilallinen muuri, jolla voidaan joustavasti säännöstön avulla määrittää mitä liikennettä sallitaan työasemille sekä työasemilta internetiin. Laitteesta löytyy myös VPN-keskitin, jonka avulla voidaan rakentaa turvallinen etäkäyttöympäristö.
Smoothwall distribuution tekijät myyvät omaa tuotettaan erillisenä laitteena nimeltä Smoothwall Rack-Mount Network Appliance. Smoothwallia voidaan laajentaa erillisillä softalisäosilla, jolloin siihen saadaan lisää toimintoja.
Ero rautamuurien ja normaalin iptables-muurin välillä ei ole suuri. Rautamuurikoneissa on vain jätetty pois suurin osa palveluista ja ohjelmista joita ei laitteessa tarvita, jolloin järjestelmästä tulee mahdollisimman pelkistetty. Turhien osien karsimisella lisätään laitteen tietoturvaa.
Joissain Linksysin WRT-sarjan reitittimissä on Linux-käyttöjärjestelmä, jota voi avoimen lähdekoodin ansiosta muokata. OpenWRT-projekti on erikoistunut Linksysin WRT-reitittimen Linux-pohjaisen firmwaren muokkaamiseen, jolla saadaan helposti toteutettua kotiverkkoon soveltuva NAT-palomuuri. Valitettavasti WRTn reititysteho ei riitä yli 10Mbit uplinkin käsittelyyn, joten se ei sovellu nopeimpiin saatavilla oleviin kuluttajaliittymiin.
VPN/IPSEC-laitteet
Ciscon halpamerkki, Linksys valmistaa Linux-pohjaisia ratkaisuja palomuureiksi. Kotireittittimeksi nämä laitteet ovat edullisia ja erittäin hyviä.
Linksys-tuotevalikoima sisältää myös VPN-palvelimia kohtuulliseen hintaan.
- Linksys BEFVP41 on 70 vpn tunneloinnin mahdollistava laitteisto
- Linksys BEFSX41 on 2 vpn tunneloinnin mahdollistava laitteisto
- Ohje vpn-tunnelin rakentamiseen
Näiden laitteiden etuna on ipsec/freeswan ilman lisenssikustannuksia.
Myös Snapgear tarjoaa edullista Linux-rautaa palomuurikäyttöön.