Die Protokolle TCP und UDP¶

Die Dienste im Internet werden allgemein über zwei unterschiedliche Protokolle abgewickelt, TCP und UDP. Beide benutzen nummerierte sogenannte "Ports", um die ankommenden Netzwerk-Pakete zu den passenden Programmen zu leiten. Jedes dieser Protokolle hat 65535 solcher Ports, die aber unabhängig voneinander sind. Port "22/tcp" ist also ein anderer Port als "22/udp".

Client- und Server-Ports¶

Jede Verbindung benötigt, um eindeutig zu sein, zwei Ports, den Quell- und den Ziel-Port. Ein sogenannter "Client" kontaktiert einen "Server". Meist haben Serverdienste feste Ports, auf denen sie bekanntermaßen zu erreichen sind. So lauscht ein Webserver meist auf Port 80/tcp und SSH auf 22/tcp auf Verbindungsanfragen. Der Port des Clients ist variabel, denn der Server erfährt ihn ja gleich bei der Verbindungsanfrage, weil es der Quell-Port der Anfrage ist.

Es gibt aber noch einen Unterschied zwischen Server- und Client-Ports. Server-Ports sind "offen für alles" und warten darauf, dass irgendwer sich verbindet. Client-Ports sind nur für den jeweiligen Server geöffnet und nehmen Pakete von anderen Gegenstellen nicht an.

Offen, Geschlossen, Gefiltert¶

Was heißt es nun, wenn ein Port "offen" oder "geschlossen" ist? Ein Port ist offen, wenn ein Programm an einem Port nach Paketen lauscht, die an ihn geschickt wurden, ohne dass das Programm diese Pakete vorher angefordert hat.

Ein Port ist "geschlossen", wenn keine Anwendung an diesem Port lauscht. Werden trotzdem Netzwerkpakete an diesen Port geschickt, so weist der Rechner diese Pakete sofort als "unzustellbar" zurück.

Es gibt noch einen dritten Zustand, der aber nur bei Verwendung eines Paketfilters auftritt: "gefiltert". Eine Firewall, die Pakete filtert, lässt keine Verbindung auf dem jeweiligen Port durch, schickt aber auch keine Fehlermeldung zurück. Das soll einem potentiellen Angreifer weniger Informationen über das Ziel liefern, aber der Nutzen ist umstritten.

Legitime Programme, die nur irrtümlich auf diesen Port zugreifen wollen, werden dagegen klar behindert. Anstatt sofort zu erfahren, dass sie die falsche Adresse kontaktiert haben, gehen sie davon aus, die Daten seien unterwegs verlorengegangen und senden noch ein paar Mal eine Kopie, während sie auf Antwort warten. Erst nach einiger Zeit geben sie auf. Es kommt so also zu einer merklichen Verzögerung von bis zu mehreren Minuten. Die meisten Firewalls können jedoch auch so eingestellt werden, dass sie korrekte Fehlermeldungen zurücksenden.

Client-Ports¶

Verbindungen von innen nach außen sind auch bei den meisten Firewalls standardmäßig erlaubt. Deswegen braucht man nichts weiter zu unternehmen. Da die Client-Ports ja auch nur die Antworten der selbst gewählten Gegenstelle beachten, ist eine Filterung auch ziemlich unnötig, es sei denn, man will seine Benutzer aus bestimmten Gründen beschränken.

Server-Ports¶

Auch Serverdienste öffnen ihre Ports selbständig, sofern sie nicht durch eine Firewall blockiert werden. Das einzige, was in bestimmten Fällen noch aktiviert werden muss, ist eine sogenannte Portweiterleitung.

Wer einen handelsüblichen Router (oder auch einen Linux-Rechner als Router) an einer gängigen Einwähl- oder DSL-Leitung betreibt, benutzt mit Sicherheit die sogenannte "Network Address Translation (NAT)", auch "Masquerading" genannt. Erkennbar ist das daran, dass die IP-Adressen der eigenen Rechner aus einem der privaten Adressbereiche stammen.

In diesem Fall sind die Rechner aus dem Internet nicht zu erreichen, was sich schon mal positiv auf die Sicherheit im lokalen Netz auswirkt. Wer aber dennoch einen Server im lokalen Netz platzieren will, muss dafür sorgen, dass die gewünschten Ports vom Router explizit weitergeleitet werden. Informationen dazu findet man sicherlich im Handbuch des Routers.

Wer also keine Personal Firewall auf seinem Rechner installiert hat - was in den allermeisten Fällen sowieso unnötig ist - braucht auf dem Ubuntu-Rechner also nichts weiter zu unternehmen, um Ports zu öffnen, außer die entsprechenden Dienste zu starten.

Dienst beenden¶

Der einfachste Weg ist der naheliegendste. Hat man einen Computer, wo ein oder mehrere Dienste an verschiedenen Ports lauschen, man aber nicht möchte, dass dieser Rechner Dienste im Netzwerk anbietet, dann sollte man die Dienste beenden. Wo kein Dienst mehr an Ports lauscht, da ist auch kein Port mehr offen. Informationen zu den Diensten und deren Verwaltung findet man hier im Wiki.

Dienst auf bestimmte Schnittstellen beschränken¶

Nicht immer möchte man Dienste gleich ganz beenden. Hat man beispielsweise zu Hause einen Rechner stehen, der als Router und Webserver zum Testen von Webseiten fungieren soll, so wäre es nicht sinnvoll, den Webserver zu beenden, denn man möchte ihn ja benutzen. Er soll nur nicht aus dem Internet erreichbar sein.

In solchen Fällen kann man Dienste an eine bestimmte Netzwerkschnittstelle binden. Eine Verbindung in das Internet wird beispielsweise oft über eine Einwahlverbindung (also über ein analoges Modem oder ein DSL-Modem) realisiert. Diese Netzwerkschnittstellen nennen sich immer "ppp0". Eine "normale" Netzwerkschnittstelle immer "eth0" usw.

In der Konfiguration der meisten Dienste kann man die zu nutzende Netzwerkschnittstelle bestimmen. Anfragen, die nicht über die angegebene Schnittstelle auf den Server-Dienst kommen, werden dann gar nicht erst beachtet.

Dienst auf bestimmte Adressbereiche beschränken¶

Über die Konfigurationen der meisten Dienste kann man IP-Adressbereiche bestimmen, auf die der Dienst reagieren soll, bspw. das eigene lokale Netz. Erreichen Pakete aus einem IP-Bereich außerhalb der spezifizierten Adressen den Dienst, so reagiert dieser nicht darauf.

TCP-Wrapper¶

Da es überflüssige Arbeit wäre, wirklich in jeden klitzekleinen Dienst eigene derartige Konfigurationsmöglichkeiten einzubauen, wurde die TCP-Wrapper-Bibliothek erfunden, die inzwischen von vielen Diensten genutzt wird. Wie man diese konfiguriert, steht hier.

Paketfilter¶

Letztendlich bleibt immer noch ein Paketfilter oder in der Umgangssprache eine Firewall. Solch ein Paketfilter sitzt vor den Diensten und schaut, ob Pakete an bestimmte Netzwerkports geschickt werden dürfen oder nicht. Existiert eine Regel, dass auf einem bestimmten Port Pakete empfangen werden dürfen, so leitet der Paketfilter diese Pakete an den Dienst weiter. Wird ein Port explizit gesperrt, so werden alle Pakete an diesen fallen gelassen, auch wenn ein Dienst auf diesem Port im Netzwerk lauschen würde.

Auf jeder Ubuntu-Installation läuft von Haus aus der Paketfilter iptables. Allerdings werden bei der Installation keinerlei Regeln für den Filter gesetzt. Warum auch, denn dort, wo keine Dienste im Netzwerk auf Pakete hören, braucht man auch keine Ports zu filtern. Weitere Informationen zum Thema Ubuntu und Firewalls findet man hier im Wiki.

Ausnahmen¶

Ohne gewisse Dienste gibt es aber auch kein einfach zu nutzendes Netzwerk. Daher existieren zum heutigen Zeitpunk genau zwei Ausnahmen von dieser Regel. Diese Ausnahmen dienen ausschließlich dazu, andere Dienste im Netzwerk zu entdecken und um diese Dienste nutzen zu können. Ohne diese Ausnahmen müsste eine Ubuntu-Installation erst für das Netzwerk tauglich gemacht werden.

udp   0   0 0.0.0.0:68      0.0.0.0:*   100   20370   6086/dhclient       

udp   0   0 0.0.0.0:32768   0.0.0.0:*   105   19889   5996/avahi-daemon:  
udp   0   0 0.0.0.0:5353    0.0.0.0:*   105   19888   5996/avahi-daemon: