SAGEMCOM TAINY iQ Anwenderhandbuch Seite 125

Paket-Filtern
Portweiterleitung
Port-Nummer
TAINY iQ
Paket-Filtern ist eine zustandorientierten Überpüfungmethode der Firewall.
Paketfilter lassen nur IP-Pakete passieren, wenn dieses vorab in den Regeln
der Firewall festgelegt wurde. Das Folgende ist in den Firewall-Regeln
definiert:
Welches Protokoll (TCP, UDP, ICMP) darf passieren?
Die zulässige Quelle des IP-Paketes (von IP/vom Port)
Das zulässige Ziel des IP-Paketes (zur IP/zum Port)
Es ist ebenso definiert, wie mit IP-Paketen verfahren wird, die nicht passieren
dürfen (verwerfen, ablehnen).
Für einen einfachen Paket-Filter ist es erforderlich, zwei Firewall-Regeln für
eine Verbindung zu erstellen:
Eine Regel für die Richtung der Anfrage von der Quelle zum Ziel und
eine zweite Regel für die Richtung der Anfrage vom Ziel zur Quelle.
Bei der zustandsorientierten Firewall-Prüfung hingegenl wird nur eine Regel
für die Richtung der Anfrage von der Quelle zum Ziel erstellt. Die Firewall-
Regel für die Richtung der Antwort vom Ziel zur Quelle richtet sich nach dem
Ergebnis der Analyse der vorher gesendeten Daten. Die Firewall- Regel für
die Antwort wird nach dem Erhalt der Antworten oder nach dem Ablauf einer
kurzen vorgegebenen Zeitspanne wieder außer Kraft gesetzt. Daher können
Antworten nur passieren, wenn vorab eine Anfrage gestellt wurde. Damit ist
es unmöglich, Antwort-Regeln für einen unauthorisierten Zugang zu nutzen.
Außerdem ermöglichen Sonderverfahren den Durchlass von UDP- und ICMP-
Daten, obwohl diese Daten vorab nicht angefordert wurden.
Ist eine Firewall-Regel für die Portweiterleitung erstellt, werden die
Datenpakete des externen Netzwerks, die an dem definierten IP-Port des
Firewall-Gerätes eingehen, weitergeleitet. Die eingehenden Datenpakete
werden an eine spezifizierte IP-Adresse und Port-Nummer im lokalen Netz
weitergeleitet. Portweiterleitung kann für TCP oder UDP konfiguriert werden.
Bei der Portweiterleitung passiert das Folgende: Der Header der eingehenden
Datenpakete aus dem externen Netz, die an die externe IP-Adresse des
Firewall-Gerätes sowie einen spezifizierten Port adressiert sind, werden so
angepasst, das sie an das interne Netz, einen bestimmten Rechner und den
spezifizierten Port dieses Rechners weitergeleitet werden.
Das bedeutet, dass die IP-Adresse und die Port-Nummer im Header der
eingehenden Datenpakete modifiziert werden.
Dieser Vorgang wird auch Destination-(Ziel-)NAT oder Portweiterleitung
genannt.
Das Feld Port-Nummer ist ein 2 Byte großes Feld in UDP- und TCP-Headern.
Die Vergabe der Port-Nummern dient der Identifikation der verschiedenen
Datenströme, die UDP/TCP gleichzeitig abarbeitet. Über diese Port-Nummern
erfolgt der gesamte Datenaustausch zwischen UDP/TCP und den
Anwendungsprozessen. Die Vergabe der Port-Nummern an
Anwendungsprozesse geschieht dynamisch und wahlfrei. Für bestimmte,
häufig benutzte Anwendungsprozesse sind feste Port-Nummern vergeben.
Diese werden als Assigned Numbers bezeichnet.
Glossar
Seite 125 von 135