Ero sivun ”Palomuuri” versioiden välillä
Ei muokkausyhteenvetoa |
(+Guarddog) |
||
| Rivi 8: | Rivi 8: | ||
== Valmiita ratkaisuja == | == Valmiita ratkaisuja == | ||
Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia, kuten [http://www.fs-security.com firestarter] ja [http://www.fwbuilder.org fwbuilder]. On olemassa jopa [http://easyfwgen.morizot.net/gen/ nettipalvelu] joka generoi skriptin parin kysymyksen pohjalta. [http://firehol.sf.net Firehol] pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä. | Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia, kuten [http://www.simonzone.com/software/guarddog/ Guarddog], [http://www.fs-security.com firestarter] ja [http://www.fwbuilder.org fwbuilder]. On olemassa jopa [http://easyfwgen.morizot.net/gen/ nettipalvelu] joka generoi skriptin parin kysymyksen pohjalta. [http://firehol.sf.net Firehol] pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä. | ||
Ominaisuuksia, joita peruskäyttäjät tarvitsevat, ovat yleisesti [http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO.html NAT(SNAT tai MASQUERADE)] (eng. network address translation) ja porttien ohjaus ([http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.2 DNAT]). Jos käytössä on kiinteä verkko-osoite, kannattaa käyttää MASQUERADE:in sijasta [http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.1 SNAT:a.] | Ominaisuuksia, joita peruskäyttäjät tarvitsevat, ovat yleisesti [http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO.html NAT(SNAT tai MASQUERADE)] (eng. network address translation) ja porttien ohjaus ([http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.2 DNAT]). Jos käytössä on kiinteä verkko-osoite, kannattaa käyttää MASQUERADE:in sijasta [http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.1 SNAT:a.] | ||
Versio 9. lokakuuta 2005 kello 17.57
Toimintaperiaate
Linuxissa kaikki verkkoliikenne kulkee yhden rajapinnan kautta. Tätä kutsutaan netfilterksi. Kaikki verkkoliikenteen suodattaminen tapahtuu tämän rajapinnan avulla.
Verkkoliikenteen suodattamisen säännöt asetetaan iptables -työkalulla. Iptables purkaa tämänhetkiset säännöt ytimestä, muuttaa niitä tai lisää niihin uusia, ja pakkaa säännöt takaisin ytimeen.
Palomuuri tehdään yleensä kirjoittamalla skripti, joka kutsuu iptablesia useita kertoja asettaen joka kerralla yhden säännön. Tämän jälkeen tallennetaan säännöt antamalla komento /etc/init.d/iptables save
Valmiita ratkaisuja
Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia, kuten Guarddog, firestarter ja fwbuilder. On olemassa jopa nettipalvelu joka generoi skriptin parin kysymyksen pohjalta. Firehol pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä.
Ominaisuuksia, joita peruskäyttäjät tarvitsevat, ovat yleisesti NAT(SNAT tai MASQUERADE) (eng. network address translation) ja porttien ohjaus (DNAT). Jos käytössä on kiinteä verkko-osoite, kannattaa käyttää MASQUERADE:in sijasta SNAT:a.
On myös olemassa erikoistuneita palomuurilevityksiä, joissa on palomuuriasennus ja www-pohjainen työkalu tähän tarkoitukseen. Hyvänä esimerkkinä on esimerkiksi Smoothwall
Myös kaupallisia levityksiä palomuuritekniikan suhteen on olemassa esimerkiksi Astaro.
VPN/IPSEC-laitteet
Ciscon halpamerkki, Linksys sisältää Linux-pohjaisia ratkaisuja palomuureiksi. Kotireittittimeksi nämä laitteet ovat edullisia ja erittäin hyviä.
Linksys-tuotevalikoima sisältää myös VPN-palvelimia kohtuulliseen hintaan.
- Linksys BEFVP41 on 70 vpn tunneloinnin mahdollistava laitteisto
- Linksys BEFSX41 on 2 vpn tunneloinnin mahdollistava laitteisto
- Ohje vpn-tunnelin rakentamiseen
Näiden laitteiden etuna on ipsec/freeswan ilman lisenssikustannuksia.
Myös Snapgear tarjoaa edullista Linux-rautaa palomuurikäyttöön.