7.6. iptables und dynamische Paketfilterung

iptables beinhaltet ein Modul, welches Administratoren erlaubt, Verbindungen zu Diensten auf einem internen Netzwerk zu �berpr�fen und einzuschr�nken mittels einer Methode, die Connection Tracking oder auch Dynamische Paketfilterung genannt wird. Dynamische Paketfilterung legt eine Tabelle an, welche es Administratoren erm�glicht, Zugang zu erlauben oder abzulehnen, basierend auf folgenden Verbindungs-Zust�nden:

• NEW — Ein Paket fragt eine neue Verbindung an, wie z.B. eine HTTP-Anfrage.

• ESTABLISHED — Ein Paket, welches Teil einer bestehenden Verbindung ist.

• RELATED — Ein Paket, welches eine neue Verbindung anfragt, jedoch Teil einer bestehenden Verbindung ist, wie z.B. passive FTP-Verbindungen, wo der Verbindungsport 20 ist und der Transfer- oder �bertragungs-Port jeder unbenutzte Port 1024 und h�her sein kann.

• INVALID — Ein Paket, welches kein Teil irgendeiner Verbindung in der dynamischen Paketfilterungstabelle ist.

Sie k�nnen die Zustandsfunktionalit�t der dynamischen Paketfilterung von iptables mit jedem Netzwerkprotokoll benutzen, auch wenn das Protokoll selbst statuslos ist (wie z.B. UDP). Das folgende Beispiel zeigt eine Regel, welche dynamische Paketfilterung dazu benutzt, um nur die Pakete, die mit einer unzweifelhaften Verbindung in Zusammenhang stehen.

iptables -A FORWARD -m state --state ESTABLISHED,RELATED -j ALLOW