Re: Firewallkonfiguration (was: Re: Kein Internetverbot bei CIPux)

[Florian Reitmeir <florian@reitmeir.org>]

Hallo,

On Die, 28 Nov 2006, Maximilian Wilhelm wrote:
> Am Dienstag, den 28 November hub C. Gatzemeier folgendes in die Tasten:
> <Werbung>
>  Wie waers mit Alff? (A Linux Firewall Framework)
> 
>  Ist nicht darauf ausgelegt iptables-Befehle zu "vereinfachen" sondern
>  die Generierung komplexerer Regelwerke zu erleichtern.
> 
>  Im Moment eher nur wirklich sinnvoll zur Erstellung von Regelwerken
>  fuer eine Routing-Firewall.
>  Host-Based Security ist geplant.
> 
>  Alff weiss auch was Services sind.
> 
>  http://alff.rfc2324.org/
> </Werbung>

<wichtig>nimm das bitte nicht als persoenliche kritik..</wichtig>

Ein kurzer Blick in den Source zeigt wie das ganze entwickelt wird..
man nehme die eigenen iptables shell skripte, und baue makros.. und gewinnt
dabei aber nur kurzfristig etwas. (und ich habe glaub ich selber min. 3-4
solcher Projekte angefangen)


Was ich mir mal wuenschen wuerde, waere ein echtes Firewall Regelwerk, also
etwas wo man beginnt zuerst mal die Struktur zu definieren. Was es braucht
waere z.b.

- Services per Host
- Services per Host Gruppe
- Host Gruppen
- Zoneneinteilung

- syntax check
- echter erreichbarkeits Check von Services, z.b. indem man intern einen
  Graphen aufbaut...
- nur zu definieren wie Host Gruppen miteinander reden, reicht im allgemeinen
  nicht, normal will man noch eine "Route" haben z.b. einen speziellen Host
  der als Proxy dient, oder auch nur ein spezielles iptables Module.
- direkte Manipulation von der CLI ohne Neustart also wie 
addhost <HOST> <HOSTGROUP> oder
addhostgroup <GROUP> <HOST> <HOST>
listhosts <GROUP>
...
- Anzeige der Firewallstrukturen.. 
.
.



das Problem an den META Sprachen/Projekten ist, dass sie zwar den Syntax
"vereinfachen" wie man iptables anwendet. Aber es nicht mehr nachvollziehbar
ist was das ganze Ding tut wenn es wirklich mal mehr regeln werden. Es ist
zwar toll einen einfachen Syntax fuer die Erzeugung der Regeln zu haben, es
macht aber keinen Sinn das Debuggen danach mit "iptables -vnL" zu machen.



-- 
Florian Reitmeir