Welke systeem/tools om firewall met deze functionaliteiten..

[Goldme]

...te bouwen.


Ik heb als opdracht voor school een firewall te bouwen die bepaalde gedrag vertoont:

1. Zo moet het systeem een minimalist zijn, geen red hat of mandrake dus zodat het systeem overzichtelijk is en goed te controleren(het dient enkel en alleen als firewall).

2. Het moet DOS-attacks proberen te voorkomen.

3. Het moet slecht gedrag van binnenaf afstraffen. Als een client van binnen het werk binnen een paar seconden bijvoorbeeld tig SMTP pakketjes verstuurt kan dat duiden op grootschalige mailing, die client moet dan een tijdje afgestraft worden(een uur bijv.) en wordt daarna weer in staat gesteld om pakketten te ontvangen en te verzenden.

4. Het moet remote ingesteld/bekeken kunnen worden.


Tot zover heb ik de volgende oplossingen voor bovenstaande punten:

1. Besturingssysteem is de minimalist linux-distro Floppyfw. Een distro die op 1 diskette past en die toegepast wordt als router/firewall. Ik heb het weliswaar draaiende maar weet niet in hoeverre het mogelijk is met dit systeem om bovenstaande punten te bereiken. Het zou zonde zijn om met dit systeem door te gaan terwijl bovenstaande punten daarmee niet mogelijk zijn.

2. DOS-attacks en ander slecht gedrag kan voorkomen worden via IPTables in combinatie met goede rules in de chains. Vul ajb aan als ik het fout heb.

3. Op dit punt is het mij absoluut onduidelijk welke tool dit kan? met welke tool kan ik dit gedrag detecteren en er passend op reageren?

4. Om remote te kunnen inloggen moet er gebruik gemaakt worden van SSH.


Ik ben zelf een beetje een newbee op linux- en netwerkgebied dus als iemand tips heeft om dit systeem te kunnen realiseren dan zou ik dat zeer op prijs stellen. Ik ben zelf vrij inventief dus ik hoef niet alles voorgekouwd te krijgen maar een duw in de goede richting zou mij zeer helpen.

[_-= Erikje =-_]

ehm, tig smtp pakketjes? als ik nou gewoon een GROOT mailtje verstuur (psd-tje of zo) wordt ik afgesloten? Dat is niet handig denk ik.

[Bor]

Oplossing 2 is niet juist. Overigens hoort deze vraag ook niet in professional networking thuis.

[ Voor 61% gewijzigd door Bor op 16-01-2003 19:27 ]

[Underground75]

Kijk een op http://ipcop.org/cgi-bin/twiki/view/IPCop/WebHome

[Goldme]

_-= Erikje =-_ schreef op 16 January 2003 @ 19:23:
ehm, tig smtp pakketjes? als ik nou gewoon een GROOT mailtje verstuur (psd-tje of zo) wordt ik afgesloten? Dat is niet handig denk ik.

Hoe kan je dan detecteren dat er gemaild wordt naar veel adressen tegelijkertijd? Als er in een kort tijdbestek naar veel verschillende destinations pakketjes worden gestuurd kan dat duiden op een mailing. Of is dat niet zo?

[Predator]

PNS -> NT

[Verwijderd]

Checkpoint firewall-1 met floodgate.

[-SpaceMaker-]

www.ipcop.org [beste naar mijn mening]
www.smoothwall.org
www.clarkconnect.org
www.astaro.com
www.e-smith.org

zie http://www.distrowatch.com voor meer

[Goldme]

Bor_de_Wollef schreef op 16 januari 2003 @ 19:26:
Oplossing 2 is niet juist. Overigens hoort deze vraag ook niet in professional networking thuis.

Wat vor tool kan je daar beter voor gebruiken dan?

[Predator]

Goldme schreef op 16 januari 2003 @ 22:00:
[...]


Wat vor tool kan je daar beter voor gebruiken dan?

2 is niet mogelijk
Een DOS attack voorkomen.
Dan moet je al helderziende zijn...

en tegen een DOS waarbij men je verbinding laat dichtslippen met enorme hoeveelheden data is ook weinig tegen te doen behalve:
• hopen dat je verbinding genoeg bandbreedte heeft
• kabel uittrekken (spaart traffic uit en dan belast je je systeem niet)

Bij 3) zou je bv het aantal connectie naar een mailserver kunnen beperken, maar dat is geen garantie ...

[Goldme]

Predator schreef op 16 January 2003 @ 22:09:

[...]

2 is niet mogelijk
Een DOS attack voorkomen.
Dan moet je al helderziende zijn...

en tegen een DOS waarbij men je verbinding laat dichtslippen met enorme hoeveelheden data is ook weinig tegen te doen behalve:
• hopen dat je verbinding genoeg bandbreedte heeft
• kabel uittrekken (spaart traffic uit en dan belast je je systeem niet)

Ik weet ook wel dat je het niet kan voorkomen. Alleen is de prijs die je voor betaalt een stuk lager. Bij een DOS-attack gaat in het ergste geval de firewall down, terwijl in het andere geval de server down zou gaan. Welke zou jij willen?

Laat ik het anders zeggen: stel dat er een destination is die het systeem de hele "lastigvalt"(veel requests), hoe zou je die host dan automatisch kunnen blocken voor een beperkte tijd? welke tool gebruik je daarvoor?

[Underground75]

Zou je je firewall zo kunnen instellen dat bij teveel netwerkverkeer van het internet naar de server bij bv een DOS attack, de Firewall de internet verbinding platgooit
Ik denk dat als dit kan het moeilijk is om aan te geven wanneer, zeker gezien het feit dat ik 24/7 draai en verkeer heb.

[Bor]

Goldme schreef op 16 januari 2003 @ 23:46:
[...]


Ik weet ook wel dat je het niet kan voorkomen. Alleen is de prijs die je voor betaalt een stuk lager. Bij een DOS-attack gaat in het ergste geval de firewall down, terwijl in het andere geval de server down zou gaan. Welke zou jij willen?

Laat ik het anders zeggen: stel dat er een destination is die het systeem de hele "lastigvalt"(veel requests), hoe zou je die host dan automatisch kunnen blocken voor een beperkte tijd? welke tool gebruik je daarvoor?

Geheel klopt niet. Een DOS of DDOS hoeft niet je firewall down te gooien hoor. Wat denk je dat er gebeurt als je een DOS op een toegestane poort uitvoerd waarbij de firewall een veel sterker systeem is als je server? Trouwens als de firewall down is is je server ook niet meer te bereiken.

[Bor]

The Undertaker schreef op 17 januari 2003 @ 07:30:
Zou je je firewall zo kunnen instellen dat bij teveel netwerkverkeer van het internet naar de server bij bv een DOS attack, de Firewall de internet verbinding platgooit

Dan heb je dus gelijk de perfecte DOS geintroduceerd. Ik hoef alleen maar genoeg netwerkverkeer te genereren zodat jouw firewall de verbinding ophangt