Wie Router/Firewall mit Linux selbst machen?

[Optimus*Prime]

Hallo zusammen.
Als Backup für eine bestehende Firewall würde ich gerne einen alten Rechner als Router/Firewall aufsetzen. Das geht wohl mittels Linux und mehreren Netzwerkkarten.

Da ich leider ein Linux Newbe bin würde ich euch gerne fragen, was ich dafür alles bentige und wie das ungefähr geht.

Hoffe ihr könnt mir bei dem Einstieg in das Thema ein wenig behilflich sein.

Danke und Grüße

 

[foxxx]

Also entweder nimmst du das altbewährte "IPCop", oder etwas neueres, was mir persönlich aber sehr zusagt und bei mir selbst als Router+Firewall im Einsatz ist:

www.ipfire.org - Home

Mit IPFire kannst du auch ohne Vorkenntnisse sehr einfach eine sehr umfassende Firewall aufbauen. Die Installation geht wie von selbst und muss nur etwas beaufsichtigt werden, konkretes Wissen oder manuelle Einstellungen sind nicht von Nöten.

Nach anfänglichem Setup (wird beim ersten Start des installierten Systems automatisch aufgerufen), wo du Art des Setups (d.h. Anzahl der Netzwerke, usw.), NIC-Zuordnung sowie Adressvergabe eingestellt hast, lässt sich der Rest sehr einfach über das umfassende und mächtige Webinterface einstellen.

Hier hast du ein Webinterface für "iptables", Möglichkeiten für QoS, Proxy-Server, VPN, usw...

Kann ich nur wärmstens empfehlen

mfg
foxxx

PS: Die haben dort auch ein Wiki und ein deutschsprachiges-Subforum

 

[Optimus*Prime]

Hey vielen Dank für den vielversprechenden Vorschlag.
Dann werde ich das doch direkt mal die Tage testen.

Als Hardware dient mir ein alter Rechner mit 3 NICs. Hoffe das klappt

Grüße

 

[Tuxist]

pfSense Open Source Firewall Distribution - Home sehr mächtig

 

[KingGoggel]

Also entweder nimmst du das altbewährte "IPCop", oder etwas neueres, was mir persönlich aber sehr zusagt und bei mir selbst als Router+Firewall im Einsatz ist:

www.ipfire.org - Home

Mit IPFire kannst du auch ohne Vorkenntnisse sehr einfach eine sehr umfassende Firewall aufbauen. Die Installation geht wie von selbst und muss nur etwas beaufsichtigt werden, konkretes Wissen oder manuelle Einstellungen sind nicht von Nöten.

Nach anfänglichem Setup (wird beim ersten Start des installierten Systems automatisch aufgerufen), wo du Art des Setups (d.h. Anzahl der Netzwerke, usw.), NIC-Zuordnung sowie Adressvergabe eingestellt hast, lässt sich der Rest sehr einfach über das umfassende und mächtige Webinterface einstellen.

Hier hast du ein Webinterface für "iptables", Möglichkeiten für QoS, Proxy-Server, VPN, usw...

Kann ich nur wärmstens empfehlen

mfg
foxxx

PS: Die haben dort auch ein Wiki und ein deutschsprachiges-Subforum

kannst du mir bitte sagen, was ipfire deiner meinung nach besser als ipcop macht?

P.S. Will dich damit nicht angreifen, sondern stehe im moment ebenfalls vor der Entscheidung einer Firewall (IPCOP oder IPFIRE?)

 

[Optimus*Prime]

Wollte nochmal ein kleines Feedback geben.

Also IPFire ist wirklich eine feine Sache. Die Installation geht problemlos, das Webinterface ist übersichtlich und verständlich gestaltet. Auch für weniger erfahrene User auf jeden Fall machbar.

Danke nochmal für den Tipp.

Grüße

 

[KingGoggel]

kann ich bestätigen.

Habe jetzt einfach mal IPFire ausprobiert und es ist wirklich spitze. Super finde ich speziell das einfache Addon handling und die bessere Hardware Kompatibilität gegenüber IPCop. Einer meiner USB NICs hatte ich bei IPCop einfach nicht zum laufen bekommen. Bei IPFire lief das Ding out of the box.

 

[Michael`]

Ich suche auch noch eine geeignete Firewall für Zuhause. Ich hab mich vor ca. einem Jahr schonmal umgesehen, leider aber keine gefunden, die auch policy-based routing kann. Kann das mittlerweile irgendeine?


MfG,
Michael

 

[Optimus*Prime]

Ja willst du selbst eine bauen oder eine fertige?!

Denn fertige gibts ja (fast) wie Sand am Meer

 

[Michael`]

Selbst gebaute hab ich schon - leider lässte die sich nur schwer erweitern/warten. Ich suche was fertiges mit GUI/Web-Interface, konnte aber bisher nichts finden.


MfG,
Michael

 

[foxxx]

Was genau meinst du mit policy-based Routing ? Welche Funktionen sollen dahinter stecken ?

 

[Michael`]

Policy-based routing - Wikipedia, the free encyclopedia

Die Implementierung muss mindestens enthalten:

- Interface
- Source Address
- Protocol
- Port


MfG,
Michael

 

[foxxx]

Ich bin mir nicht sicher, ob IPFire das in diesem Umfang kann, aber du kannst es dir in einer VM mit mehreren Netzwerkkarten mal anschauen.
Im Port-forwarding gibt es auch noch filter für quell-adresse, quell-port, protocol und auch das quell-netzwerk.

Ein Feature von IPFire ist jedenfalls die Deep Packet Inspection, weshalb das möglicherweise dass sein könnte, was du suchst

 

[Michael`]

Ich glaube du hast nicht ganz verstanden, was policy-based routing ist. Ich nenne mal ein Beispiel:

Eingerichtet werden soll folgende Regel:

Eingehende UDP-Pakete auf Interface a von Source x auf Port y sollen auf Interface b beantwortet werden, obwohl die routing-tabelle was anderes sagt (deshalb muss beim policy-based routing immer mindestens eine weitere routing-tabelle eingerichtet werden).

Ich habe mir die Dokumentation von IPFire angeschaut, aber es scheint nicht so, als würde das funktionieren. Die einzigsten mir bekannten Betreibssysteme die das können sind Linux (ip route) und IOS (route-map).


EDIT: Und IPFire kann kein OpenVPN Client.
EDIT2: OpenVPN Client geht doch. Die Dokumentation ist widersprüchlich.


MfG,
Michael

 

[foxxx]

Ich hatte schon verstanden, was das policy-based Routing ist und was es macht, aber noch nicht, was dafür nötig ist.

Hatte schon vermutet, dass IPFire das nicht kann, eben beim googlen bin ich noch auf "RouterOS" gestoßen, wie der Status für normale x86 Hardware aussieht, weiß ich allerdings nicht:

RouterOS (MikroTik) - Networking/Network Operating Systems - Datamation Product Watch

 

[Michael`]

Ja, RouterOS kann das: http://www.mikrotik.com/testdocs/ros/2.9/ip/route.php

Aber wieder nur auf Konsole.


MfG,
Michael

 

[foxxx]

Manual:The Dude - MikroTik Wiki

Das wäre eventuell was

 

[Michael`]

The Dude kanns auch nicht.

 

[ara1]

ich würde das Shorewall Paket empfehlen. Hat zwar keine grafische Oberfläche, aber die Konfiguration ist wirklich einfach und wesentlich komfortabler als direkt mit iptables & co zu arbeiten. Und eben wesentlich flexibler als IPFire & co.

 

[BBR]

ich würde das Shorewall Paket empfehlen. Hat zwar keine grafische Oberfläche, aber die Konfiguration ist wirklich einfach und wesentlich komfortabler als direkt mit iptables & co zu arbeiten. Und eben wesentlich flexibler als IPFire & co.

nur das dir da iptables nicht bringt.

@Michael

du wirst wohl nicht drumrum kommen, dass von Hand zu machen.
Schau dir mal das Programm "ip" unter Linux/Unix an.

 

[Autokiller677]

Du kannst dir ja mal Astaro anschauen, für Privatgebrauch gibts da auch eine kostenlose Lizenz. Astaro Security Gateway - Free Home Use Firewall Nach kurzem googlen scheint es zumindest so, als gäbe es policy based routing, ob jetzt genau alle Funktionen drin sind weiß ich nicht.

 

[Optimus*Prime]

@Michael
Vielleicht sagst du kurz was du denn damit anstellen möchtest. Vielleicht gehts ja auch ohne policy based routing.

Grüße

 

[ulukay]

ach da gibts soviele moeglichkeiten
- fertige distros - meist mit webgui. wuerde ich verwenden wenn sichs um ne einfache FW fuer zuhause handelt, oder fuer ne firma bei der man weiss dass da keine komplexen regeln zu definieren sind. m0n0wall, pfsense usw...
- fuer alles andere wuerde ich openbsd nehmen (also haendisch auf der konsole). paketfilter erlaubt komplexere regeln als iptables, und das bei simplerer anwendung. ebenfalls bei trafficshaping. (die meisten fertig distros sind uebrigens ebenfalls bsd basierend.)

 

[Optimus*Prime]

Okay, das sehe ich ein.

Da kommst du mit iptables natürlich nicht sehr weit.