Installationshandbuch:Systemsicherheit - Versionsgeschichte

Schoffer: kat

2012-03-09T10:01:50Z

kat

← Nächstältere Version		Version vom 9. März 2012, 12:01 Uhr
Zeile 62:		Zeile 62:
	----		----
	<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>


			[[Kategorie:ArchivArktur40]]

Schoffer: Archiv

2009-05-01T09:19:48Z

Archiv

← Nächstältere Version		Version vom 1. Mai 2009, 11:19 Uhr
Zeile 1:		Zeile 1:
	__NOTOC__		__NOTOC__
	{{~~fertig~~}}		{{Archiv}}

Schoffer: Schützte „Installationshandbuch:Systemsicherheit“ [edit=sysop:move=sysop]

2008-05-16T15:02:28Z

Schützte „Installationshandbuch:Systemsicherheit“ [edit=sysop:move=sysop]

← Nächstältere Version	Version vom 16. Mai 2008, 17:02 Uhr
(kein Unterschied)

Schoffer: 7 Versionen

2008-03-04T22:54:12Z

7 Versionen

← Nächstältere Version	Version vom 5. März 2008, 00:54 Uhr
(kein Unterschied)

Schoffer: OpenVPN

2007-10-19T20:05:54Z

OpenVPN

← Nächstältere Version		Version vom 19. Oktober 2007, 22:05 Uhr
Zeile 30:		Zeile 30:

	Erlaubt den ftp-Zugriff aus dem Internet auf den Arktur-Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. Gerade ein ftp-Server wird gern zum Tauschen von verbotenen Dateien genutzt.		Erlaubt den ftp-Zugriff aus dem Internet auf den Arktur-Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. Gerade ein ftp-Server wird gern zum Tauschen von verbotenen Dateien genutzt.

			==== VPN ====

			Erlaubt den Zugriff aus dem Internet auf den Arktur-Schulserver mittels OpenVPN. Das Einschalten des Zugriffes öffnet in der Firewall den Port für Datenpakete. Ein OpenVPN-Server oder ein OpenVPN-Client wird nicht automatisch mit gestartet.

	==== HTTP ====		==== HTTP ====
Zeile 51:		Zeile 55:

	* Der Zugriff von draussen auf den Webserver (HTTP)		* Der Zugriff von draussen auf den Webserver (HTTP)
			* Der Zugriff von draussen mittels OpenVPN
	* Der Zugriff von draussen auf den FTP-Server		* Der Zugriff von draussen auf den FTP-Server
	* Der Zugriff von draussen auf den SSH-Server		* Der Zugriff von draussen auf den SSH-Server

Schoffer: Optik

2005-12-28T15:00:54Z

Optik

← Nächstältere Version		Version vom 28. Dezember 2005, 17:00 Uhr
Zeile 6:		Zeile 6:

	In der Sysadm-Oberfläche finden Sie unter dem Menüpunkt Verwalten - Firewall ein Menü, in dem verschiedene sicherheitsrelevante Dienste ein- und ausgeschaltet werden können. Das Bild zeigt die Ausgangslage nach der Installation.		In der Sysadm-Oberfläche finden Sie unter dem Menüpunkt Verwalten - Firewall ein Menü, in dem verschiedene sicherheitsrelevante Dienste ein- und ausgeschaltet werden können. Das Bild zeigt die Ausgangslage nach der Installation.


	:[[bild:firewall1.png\|Das Sicherheitsmenü]]		:[[bild:firewall1.png\|Das Sicherheitsmenü]]
			:''Abbildung: Das Sicherheitsmenü''


	:
	:
	:
	~~:''Abbildung: Das Sicherheitsmenü''~~

	=== Erläuterung der einzelnen Menüpunkte ===		=== Erläuterung der einzelnen Menüpunkte ===

Schoffer am 23. August 2005 um 21:28 Uhr

2005-08-23T21:28:50Z

Neue Seite

__NOTOC__
{{fertig}}

== Das Sicherheitsmenü ==

In der Sysadm-Oberfläche finden Sie unter dem Menüpunkt Verwalten - Firewall ein Menü, in dem verschiedene sicherheitsrelevante Dienste ein- und ausgeschaltet werden können. Das Bild zeigt die Ausgangslage nach der Installation.

:[[bild:firewall1.png|Das Sicherheitsmenü]]

:
:
:
:''Abbildung: Das Sicherheitsmenü''

=== Erläuterung der einzelnen Menüpunkte ===

==== Firewall ====

Die 'Firewall' sollte immer eingeschaltet sein. Nur zu Kontroll-Zwecken bietet sich eine Abschaltung an, oder wenn der Server ausschließlich in einem geschützten, vertrauenswürdigen Netzbereich arbeitet (was eigentlich nicht dem erwarteten Einsatzbereich entspräche ;-).

==== Ping ====

Ermöglicht es dem Server, auf 'Internet-Kontroll-Pakete' zu antworten. Das ist erforderlich, damit Arktur zum Beispiel auf 'ping'-Anfragen reagiert. Somit ist der Server im Netzwerk und auch im Internet 'sichtbar'. Zugleich steigt die Gefahr von unberechtigten Zugriff-Versuchen! Sie können diese Funktion sperren und nur dann einschalten, wenn System- und Netzwerk-Pflegearbeiten die Nutzung von ICMP-Paketen erfordern.

==== SSH ====

Erlaubt den SSH-Zugriff aus dem Internet auf den Arktur-Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. Wird ein Terminalzugang benötigt, so ist "SSH" dem alternativen "Telnet" im allgemeinen vorzuziehen.

==== FTP ====

Erlaubt den ftp-Zugriff aus dem Internet auf den Arktur-Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. Gerade ein ftp-Server wird gern zum Tauschen von verbotenen Dateien genutzt.

==== HTTP ====

Erlaubt den http-Zugriff aus dem Internet auf den Arktur-Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten.

==== NAT ====

Ermöglicht es Rechnern aus dem lokalen Netzwerk, direkte Verbindungen zu Internet-Servern herzustellen. Jeder denkbare Dienst kann dann genutzt werden. Steht diese Funktion nicht bereit, so ist für lokale Arbeitsrechner nur der Zugang zu HTTP- FTP- Mail- und News-Diensten möglich, die von Arktur als 'proxy'-Service bereitgestellt werden. Das ermöglicht eine bessere Kontrolle der Aktivitäten.

=== Zusammenfassung ===

Im default-Modus sind eingeschaltet:

* Firewall
* Ping-Antwort
* NAT (IP-Maquerading)

Im default-Modus sind ausgeschaltet:

* Der Zugriff von draussen auf den Webserver (HTTP)
* Der Zugriff von draussen auf den FTP-Server
* Der Zugriff von draussen auf den SSH-Server

----
<div align="right">[[Installationshandbuch|zurück]] | [[Hauptseite]]</div>

Schoffer am 1. August 2005 um 07:31 Uhr

2005-08-01T07:31:29Z

← Nächstältere Version		Version vom 1. August 2005, 09:31 Uhr
Zeile 16:		Zeile 16:
	=== Erläuterung der einzelnen Menüpunkte ===		=== Erläuterung der einzelnen Menüpunkte ===

	==== ~~Sofort~~ ====		==== Firewall ====

	~~Ermöglicht es (im Gegensatz zum Menüpunkt "~~- ~~Ping")~~, ~~mit sofortiger Wirkung die Beantwortung von 'ping'~~-~~Anfragen über das Netzwerk zu ermöglichen. Die Aktion wird deshalb auch~~ nicht ~~vorgemerkt. Nach einem Neustart des Rechners ist diese befristete Änderung jeweils aufgehoben~~.		Die 'Firewall' sollte immer eingeschaltet sein. Nur zu Kontroll-Zwecken bietet sich eine Abschaltung an, oder wenn der Server ausschließlich in einem geschützten, vertrauens- würdigen Netzbereich arbeitet (was eigentlich nicht dem erwarteten Einsatzbereich entspräche ;-).

	==== Ping ====		==== Ping ====

	Ermöglicht es dem Server, auf 'Internet-Kontroll-Pakete' zu antworten. Das ist erforderlich, damit Arktur zum Beispiel auf 'ping'-Anfragen reagiert. Somit ist der Server im Netzwerk und auch im Internet 'sichtbar'. Zugleich steigt die Gefahr von unberechtigten Zugriff-Versuchen! ~~Besser ist es,~~ diese Funktion ~~gesperrt zu lassen~~ und nur ~~einzuschalten~~, wenn System- und Netzwerk-Pflegearbeiten ~~gerade~~ die Nutzung von ICMP-Paketen erfordern.		Ermöglicht es dem Server, auf 'Internet-Kontroll-Pakete' zu antworten. Das ist erforderlich, damit Arktur zum Beispiel auf 'ping'-Anfragen reagiert. Somit ist der Server im Netzwerk und auch im Internet 'sichtbar'. Zugleich steigt die Gefahr von unberechtigten Zugriff-Versuchen! Sie können diese Funktion sperren und nur dann einschalten, wenn System- und Netzwerk-Pflegearbeiten die Nutzung von ICMP-Paketen erfordern.

	==== ~~Telnet~~ ====		==== SSH ====

	~~Startet bei Bedarf~~ den ~~Telnet~~-~~Server~~ auf Arktur. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es besser, ~~auf Telnet-Service~~ zu verzichten. ~~Ein Zugang über das Netzwerk zu einem Bedienterminal~~ ist ~~auch mit~~ dem ~~SSH-Server möglich~~.		Erlaubt den SSH-Zugriff aus dem Internet auf den Arktur - Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. Wird ein Terminalzugang benötigt, so ist "SSH" dem alternativen "Telnet" im allgemeinen vorzuziehen.

	==== ~~SSH~~ ====		==== FTP ====

	~~Startet bei Bedarf~~ den ~~SSH~~-~~Server~~ auf Arktur. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. ~~Wird~~ ein ~~Terminalzugang benötigt, so ist "SSH" dem alternativen "Telnet" im allgemeinen vorzuziehen~~.		Erlaubt den ftp-Zugriff aus dem Internet auf den Arktur - Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. Gerade ein ftp-Server wird gern zum Tauschen von verbotenen Dateien genutzt.

	==== ~~World~~ ====		==== HTTP ====

	~~Das Einschalten dieser Funktion kontrolliert die Netzwerkaktivität derart, dass Zugang zu einigen IP~~-~~Ports vom Internet~~ aus ~~möglich wird. Die Nutzung im lokalen Netz ist nicht betroffen. Da der Internetzugang mit Arktur typischer Weise über dynamisch aufgebaute Verbindungen erfolgt und somit keine feste IP-Adresse im~~ Internet ~~vorhanden ist, können Dienste von~~ Arktur ~~nur auf Umwegen (dyn~~-~~DNS~~, ~~etc.) öffentlich bekannt gemacht werden. In der Regel~~ ist ~~das Angebot also für niemanden nutzbar. Vorsicht! Es bietet jedoch Gelgenheit~~ für ~~Angriffe auf Arktur. Sollen nicht ALLE DREI Dienste freigegeben werden~~, ~~so kann zusätzlich in der Datei "/etc/sysconfig/ipfilter" eine Auswahl gemacht werden~~.		Erlaubt den http-Zugriff aus dem Internet auf den Arktur - Schulserver. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten.

	==== NAT ====		==== NAT ====

	Ermöglicht es Rechnern aus dem lokalen Netzwerk, direkte Verbindungen zu Internet-Servern herzustellen. Jeder ~~denk- bare~~ Dienst kann dann genutzt werden. Steht diese Funktion nicht bereit, so ist für lokale Arbeitsrechner nur der Zugang zu HTTP- FTP- Mail- und News- Diensten möglich, die von Arktur als 'proxy'-Service bereitgestellt werden. Das ermöglicht eine bessere Kontrolle der Aktivitäten.		Ermöglicht es Rechnern aus dem lokalen Netzwerk, direkte Verbindungen zu Internet-Servern herzustellen. Jeder denkbare Dienst kann dann genutzt werden. Steht diese Funktion nicht bereit, so ist für lokale Arbeitsrechner nur der Zugang zu HTTP- FTP- Mail- und News- Diensten möglich, die von Arktur als 'proxy'-Service bereitgestellt werden. Das ermöglicht eine bessere Kontrolle der Aktivitäten.

	~~==== NAT_Port80 ====~~

	Diese Funktion ist nur erreichbar, wenn "- NAT" bereits zur Aktivierung gewählt wurde. Wird auch dieser Verbindungs- weg freigegeben, so müssen die Lokalen Rechner nicht mehr den 'web proxy service' (Squid) nutzen. Dann ist allerdings auch keine 'URL-Filterung' (Schmuddel-Liste) möglich.

	~~==== Firewall ====~~

	Die 'Firewall' sollte immer eingeschaltet sein. Nur zu Kontroll-Zwecken bietet sich eine Abschaltung an, oder wenn der Server ausschließlich in einem geschützten, vertrauens- würdigen Netzbereich arbeitet (was eigentlich nicht dem erwarteten Einsatzbereich entspräche ;-).

	~~==== Bootoption ====~~

	Zu Beginn des Betriebssystem-Start können Options-Anweisungen eingegeben werden, die das Start-Verhalten modifzieren. Ist das erwünscht, so sollte entweder mit Anwahl dieser Funktion ein Geheimwort angegeben werden, oder es sollte sichergestellt sein, dass kein unbefugter Zugang zum Rechner (-Raum) möglich ist!
	~~Default~~

	~~Bewirkt, dass alle im gleichen Menü befindlichen Einstellungen auf typische und halbwegs sichere Definitionen gesetzt werden.~~		=== Zusammenfassung ===

	Im default Modus sind eingeschaltet:		Im default Modus sind eingeschaltet:

			* Firewall
	* Ping Antwort		* Ping Antwort
	* ~~SSH Server~~		* NAT (IP-Maquerading)
	* Firewall eingeschaltet

	Im default Modus sind ausgeschaltet:		Im default Modus sind ausgeschaltet:

	* ~~Telnet Server~~		* Der Zugriff auf den Webserver (HTTP),
	* Der Zugriff auf den ~~Web-,~~ FTP- und SSH-Server aus dem Internet		* Der Zugriff auf den FTP-Server und
	* Network Adress Translation (Masquerading)		* Der Zugriff auf den SSH-Server aus dem Internet
	* Zugriff auf Webserver im Internet ohne Proxy
	* Die Eingabe von Bootoptionen am lilo-Prompt


	----		----
	<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>		<div align="right">[[Installationshandbuch\|zurück]] \| [[Hauptseite]]</div>

Schoffer am 25. Juli 2005 um 21:08 Uhr

2005-07-25T21:08:24Z

← Nächstältere Version		Version vom 25. Juli 2005, 23:08 Uhr
Zeile 7:		Zeile 7:
	In der Sysadm-Oberfläche finden Sie unter dem Menüpunkt Verwalten - Firewall ein Menü, mit dem verschiedene sicherheitsrelevante Dienste ein- und ausgeschaltet werden können. Das Bild zeigt die Ausgangslage nach der Installation.		In der Sysadm-Oberfläche finden Sie unter dem Menüpunkt Verwalten - Firewall ein Menü, mit dem verschiedene sicherheitsrelevante Dienste ein- und ausgeschaltet werden können. Das Bild zeigt die Ausgangslage nach der Installation.

	~~Sicherheitsmenue~~		:[[bild:firewall1.png\|Das Sicherheitsmenü]]
	Abbildung ~~6.12-~~1: Das Sicherheitsmenü
			:
			:
			:
			:''Abbildung 1: Das Sicherheitsmenü''

	=== Erläuterung der einzelnen Menüpunkte ===		=== Erläuterung der einzelnen Menüpunkte ===

Schoffer am 8. Juli 2005 um 20:06 Uhr

2005-07-08T20:06:36Z

Neue Seite

__NOTOC__
{{Uberarbeiten}}

== Das Sicherheitsmenü ==

In der Sysadm-Oberfläche finden Sie unter dem Menüpunkt Verwalten - Firewall ein Menü, mit dem verschiedene sicherheitsrelevante Dienste ein- und ausgeschaltet werden können. Das Bild zeigt die Ausgangslage nach der Installation.

Sicherheitsmenue
Abbildung 6.12-1: Das Sicherheitsmenü

=== Erläuterung der einzelnen Menüpunkte ===

==== Sofort ====

Ermöglicht es (im Gegensatz zum Menüpunkt "- Ping"), mit sofortiger Wirkung die Beantwortung von 'ping'-Anfragen über das Netzwerk zu ermöglichen. Die Aktion wird deshalb auch nicht vorgemerkt. Nach einem Neustart des Rechners ist diese befristete Änderung jeweils aufgehoben.

==== Ping ====

Ermöglicht es dem Server, auf 'Internet-Kontroll-Pakete' zu antworten. Das ist erforderlich, damit Arktur zum Beispiel auf 'ping'-Anfragen reagiert. Somit ist der Server im Netzwerk und auch im Internet 'sichtbar'. Zugleich steigt die Gefahr von unberechtigten Zugriff-Versuchen! Besser ist es, diese Funktion gesperrt zu lassen und nur einzuschalten, wenn System- und Netzwerk-Pflegearbeiten gerade die Nutzung von ICMP-Paketen erfordern.

==== Telnet ====

Startet bei Bedarf den Telnet-Server auf Arktur. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es besser, auf Telnet-Service zu verzichten. Ein Zugang über das Netzwerk zu einem Bedienterminal ist auch mit dem SSH-Server möglich.

==== SSH ====

Startet bei Bedarf den SSH-Server auf Arktur. Da jeder verfügbare Service eine zusätzliche Gefahrenquelle bedeutet, ist es auch für diesen Dienst besser, darauf zu verzichten. Wird ein Terminalzugang benötigt, so ist "SSH" dem alternativen "Telnet" im allgemeinen vorzuziehen.

==== World ====

Das Einschalten dieser Funktion kontrolliert die Netzwerkaktivität derart, dass Zugang zu einigen IP-Ports vom Internet aus möglich wird. Die Nutzung im lokalen Netz ist nicht betroffen. Da der Internetzugang mit Arktur typischer Weise über dynamisch aufgebaute Verbindungen erfolgt und somit keine feste IP-Adresse im Internet vorhanden ist, können Dienste von Arktur nur auf Umwegen (dyn-DNS, etc.) öffentlich bekannt gemacht werden. In der Regel ist das Angebot also für niemanden nutzbar. Vorsicht! Es bietet jedoch Gelgenheit für Angriffe auf Arktur. Sollen nicht ALLE DREI Dienste freigegeben werden, so kann zusätzlich in der Datei "/etc/sysconfig/ipfilter" eine Auswahl gemacht werden.

==== NAT ====

Ermöglicht es Rechnern aus dem lokalen Netzwerk, direkte Verbindungen zu Internet-Servern herzustellen. Jeder denk- bare Dienst kann dann genutzt werden. Steht diese Funktion nicht bereit, so ist für lokale Arbeitsrechner nur der Zugang zu HTTP- FTP- Mail- und News- Diensten möglich, die von Arktur als 'proxy'-Service bereitgestellt werden. Das ermöglicht eine bessere Kontrolle der Aktivitäten.

==== NAT_Port80 ====

Diese Funktion ist nur erreichbar, wenn "- NAT" bereits zur Aktivierung gewählt wurde. Wird auch dieser Verbindungs- weg freigegeben, so müssen die Lokalen Rechner nicht mehr den 'web proxy service' (Squid) nutzen. Dann ist allerdings auch keine 'URL-Filterung' (Schmuddel-Liste) möglich.

==== Firewall ====

Die 'Firewall' sollte immer eingeschaltet sein. Nur zu Kontroll-Zwecken bietet sich eine Abschaltung an, oder wenn der Server ausschließlich in einem geschützten, vertrauens- würdigen Netzbereich arbeitet (was eigentlich nicht dem erwarteten Einsatzbereich entspräche ;-).

==== Bootoption ====

Zu Beginn des Betriebssystem-Start können Options-Anweisungen eingegeben werden, die das Start-Verhalten modifzieren. Ist das erwünscht, so sollte entweder mit Anwahl dieser Funktion ein Geheimwort angegeben werden, oder es sollte sichergestellt sein, dass kein unbefugter Zugang zum Rechner (-Raum) möglich ist!
Default

Bewirkt, dass alle im gleichen Menü befindlichen Einstellungen auf typische und halbwegs sichere Definitionen gesetzt werden.

Im default Modus sind eingeschaltet:

* Ping Antwort
* SSH Server
* Firewall eingeschaltet

Im default Modus sind ausgeschaltet:

* Telnet Server
* Der Zugriff auf den Web-, FTP- und SSH-Server aus dem Internet
* Network Adress Translation (Masquerading)
* Zugriff auf Webserver im Internet ohne Proxy
* Die Eingabe von Bootoptionen am lilo-Prompt

----
<div align="right">[[Installationshandbuch|zurück]] | [[Hauptseite]]</div>