firewall script wo und wie starten?

[feldmaus]

Hallo,

nun es gibt viele Berichte über die Firewall unter Linux, aber
nur wenige Beiträge befassen sich mit der Frage,
wie man ein Firewall Script richtig startet?

Soll man es über ein init run level starten?
oder unter /etc/network/ifup.d ablegen?

Wollte das meine Firewall bei einem Restart des Netwerkes
dementsprechend auch neugestartet wird.

Wird das Netzwerk runter gefahren soll erst Netzwerk runtergefahren werden, danach die Firewall.
U.s.w.

Was seht ihr da noch für weitere Probleme und Überlegungen?

mfg Markus[/url]

[H4kk3r]

kleiner Denkansatz:

Code: Alles auswählen

iface eth1 inet dhcp
up vpnc-connect
down vpnc-disconnect

[pagaty]

hi,

bis das script 100%ig läuft empfehle ich es per hand zu starten.

dann über inet.d starten lassen.
ich glaube in runlevel 2 wird NIC initialisiert. da würde ich die IP-Tables als letztes starten lassen.

was macht die auflösung ??

pagaty

[cliff99]

Um was für ein Netzwerk geht es denn?
Für meine DSL-Internetverbindung starte ich die Firewall in /etc/ppp/ip-up.d und stoppe sie in /etc/ppp/ip-down.d.

[feldmaus]

Es geht um meinen Debian Router/server.

Benutzen tue ich DSL, also pppoe.
Es ist eine Netzwerkbrücke vorhanden um Clients zuverbinden und ins Internet zu lassen.

Mein Firewall Script ist schon fertig und läuft auch sehr gut.

Allerdings bereitet mir das starten des firewall scripts ein bischen Probleme.

Wenn ich Änderungen gemacht habe möchte ich das Netzwerk
komplett neustarten mit nur einem einzigen Befehl,
/etc/init.d/network restart

Wäre jedenfalls nett.

Zur zeit liegt mein firewall(nur Verknüpfung) script unter /etc/rc2.d/firewall.

Ich finde dies nicht so ganz sauber.

Bei einem network restart wird somit mein Firewall script nicht vorher runtergefahren,
und anschliessend wieder hochgefahren.
Auch soll das pppoe da mit einbezogen werden.

Daher meine Frage, wie ihr das sieht, gelöst habt?

mfg Markus

[feldmaus]

Starte nun meine Firewall über mein br0 Interface(Netzwerkbrücke), im
/etc/network/interfaces da die als erstes gestartet wird,

Code: Alles auswählen

auto br0
iface br0 inet static
        address 192.168.0.186
        netmask 255.255.255.0
        broadcast 192.168.0.255
        bridge_ports eth1 eth2 eth3
        pre-up /root/bin/check-mac-address.sh eth0 00:60:08:40:84:F9
        post-up /root/bin/firewallscriptbr0 start
        post-up route del -net 192.168.0.0 netmask 255.255.255.0 dev eth0
        post-up route del -net 192.168.0.0 netmask 255.255.255.0 dev eth1
        post-up route del -net 192.168.0.0 netmask 255.255.255.0 dev eth2
        post-up route del -net 192.168.0.0 netmask 255.255.255.0 dev eth3
        post-down /root/bin/firewallscriptbr0 stop
        down ifdown br0
        up ifup br0

mein ppp0 INterface halte ich nicht für so zuverlässig wie das br0,
würde ich die Firewall über ppp0 starten, dann müsste ich davon
ausgehen, dass ppp0 auch immer hochgefahren wird beim booten.
Ist dies mal nicht der Fall, dann läuft im LAN auch nichts mehr,
da ich ja auch noch Dienste wie samba, dhcp, wins anbiete.

Daher lieber über br0

Das läuft immer, auch wenn welche von den Netzwerkarten der Netzwerkbrücke nicht aktiv sind.

Als initrd Script halte ich es auch nicht so gut wie schon im vorherigen Beitrag erklärt.

mfg Markus