Paketfilter
Ein Paketfilter ist eine Software, die den ein- und ausgehenden Datenverkehr in einem Computernetz filtert. Dies dient in der Regel dem Schutz des Netzes vor Angreifern. Ebenso wichtig wie der Schutz gegen Angreifer von Außen ist der Schutz gegen ungewollt ausgehende Pakete; damit kann man z.B. erschweren, daß der eigene Rechner ungewollt und unbemerkt Viren im Internet verbreitet. Ein Paketfilter kann Teil einer Firewall sein.
Verwendung
Paketfilter werden verwendet, um das Konzept einer Firewall umzusetzen. Die Paketfilterung kann durch folgende Funktionen ergänzt sein:
Auf Routern kommen sie zum Einsatz um sog. Ingress Filter zu implementieren. Mit solchen Filtern wird verhindert, dass Datenpakete aus oder in ein Netz gesendet werden, die ungültige Absender- oder Ziel-Adressen beinhalten. Ist an einem Router das Netz 10.1.1.0/24 angeschlossen und es kommt ein Datenpaket mit der Absender-Adresse 172.16.1.42 aus diesem Netz, sollte der Router das Paket blocken. Es liegt entweder ein Konfigurationsfehler vor, oder ein Angreifer versucht seine Absender-Adresse zu fälschen. Auch Multicast und Broadcast Absender-Adressen lassen sich so filtern.
Funktionsweise
Vorlage:Mehrfacheintrag Die Daten werden in einem Netz von dem sendenden Host in Datenpakete verpackt und versendet. Jedes Paket, welches den Paketfilter passieren will, wird untersucht. Anhand der in jedem Paket vorhanden Daten, wie Absender- und Empfänger-Adresse, entscheidet der Paketfilter aufgrund von Filterregeln was mit diesem Paket geschieht. Ein unzulässiges Paket, welches den Filter nicht passieren darf, kann entweder ignoriert (im Fachjargon DENY oder DROP genannt), an den Absender zurückgeschickt werden, mit der Bemerkung, dass der Zugriff unzulässig war (REJECT) oder weitergeleitet werden (FORWARD oder PERMIT).
Ein Paketfilter heißt "stateful", wenn er für ein ausgehendes Paket automatisch eine Regel erzeugt, die in einem bestimmten Zeitfenster (im Minutenbereich) die Antwort auf dieses Paket akzeptiert. Kommt die Antwort oder wird die Zeit überschritten, verfällt die Regel. In der Regel können solche Filter auch mit Protokollen, wie z.B. FTP, umgehen, die auf 2 Ports arbeiten.
Beispiele für Paketfilter:
- IPFilter portabler Paketfilter für Solaris, FreeBSD u.a.
- pf Paketfilter von allen BSD-Derivaten, vornehmlich OpenBSD
- ipfw Paketfilter von FreeBSD
- ipfwadm (Linux 2.0)
- ipchains (Linux 2.2)
- iptables (Linux 2.4 + 2.6)