eComStation TCP/IP
Laatste wijziging : 31 juli 2005

Home
Grafische Werkplek
Eigenschappen van eComStation
Software
OS/2 FAQ
eComStation FAQ
Links
TCP/IP v4.1 Security

De OS/2 Firewall documentatie
Download
een handleiding voor de OS/2 ingebouwde firewall & VPN-functie.

eComStation TCP/IP v4.1 Security (vertaald van het origineel van Vit Timchishin)

De TCP/IP-omgeving versie 4.1 in eComStation maakt deel uit van de "Multi-Protocol Transport Network (MPTN) versie 5.3", en beschikt over ingebouwde firewall-functionaliteit. Voor deze firewall is echter weinig of geen documentatie beschikbaar. Anderzijds lijkt deze software zeer sterk op die van het AIX besturingssysteem, waarvoor dan weer wel documentatie te vinden is op hobbes.nmsu.edu (ipfwdocs.zip).

De firewall wordt als volgt geconfigureerd :

  1. Voeg de onderstaande regels toe aan CONFIG.SYS:

    DEVICE=C:\MPTN\PROTOCOL\IPSEC.SYS
    DEVICE=C:\MPTN\PROTOCOL\FWIP.SYS
    DEVICE=C:\MPTN\PROTOCOL\CDMF.SYS
    DEVICE=C:\MPTN\PROTOCOL\MD5.SYS

  2. Maak de volgende configuratiebestanden aan:

    %ETC%\fwsecad.cnf : een tekstbestand met een lijst van 'secure' interfaces (de firewall onderscheidt twee verschillende types van netwerkinterface : 'secure' en 'non-secure'). Plaats elk IP-adres op een aparte lijn. IP-adressen die niet in het bestand voorkomen worden als 'non-secure' beschouwd.

    %ETC%\security\fwfiltrs.cnf : een tekstbestand met een lijst van 'firewall rules' (zie lager).

    Bijvoorbeeld: deny 0.0.0.0 0.0.0.0 0 0 icmp any 0 any 0 both both inbound
    (deze 'rule' blokeert alle inkomende ICMP-paketten)

  3. Activeer de firewall met de volgende commando's:

    cfgfilt -u -i
    inetcfg -s firewall 1

    Desgewenst kun je deze commando's opnemen in het bestand \MPTN\BIN\SETUP.CMD, zodat de firewall gestart wordt bij elke systeemstart.

  4. FWFILTRS.CNF
    Dit tekstbestand bevat een aantal lijnen, dewelke elk afzonderlijk een bepaalde 'rule' definieren. Voor ieder inkomend IP-pakket zal de firewall dit bestand sequentieel van boven naar beneden doorlopen, tot zich een van de volgende situaties voordoet:

    a. deny rule - het pakket wordt geblokkeerd
    b. permit rule - het pakket wordt doorgelaten
    c. EOF - het pakket wordt geblokkeerd

    Een 'rule' of filterdefinitie bestaat uit de volgende reeks 'velden', die telkens van elkaar gescheiden zijn door een spatie:

    1. Rule action
    Mogelijk waarden : 'permit' of 'deny'.
    Elk IP-pakket dat beantwoord aan de andere parameters van de filterdefinitie wordt hetzij geblokeerd, hetzij doorgelaten, afhankelijk van de waarde van dit veld.

    2, 3. Bronadres
    Twee IP-adressen in decimale punt-notatie. Het eerste geeft het gewenste adres aan, het tweede is een 'masker'. De firewall gebruikt deze twee velden als volgt : het 'masker' wordt via een 'bitwise AND' toegepast op het bronadres van het IP-pakket. Indien het resultaat van deze operatie overeenkomt met het gespecifieerde bronadres in de filterdefinitie, is het bronadres van het pakket gevalideerd. Bijvoorbeeld : to match any address beginning 192.3.4.0 you would specify "192.3.4.0 255.255.255.0".

    4, 5. Doeladres
    Deze twee velden geven de bestemming van het IP-pakket aan en worden op dezelfde manier gebruikt als het bronadres hierboven beschreven.

    6. Protocol
    Dit veld geeft het type van protocol aan van het IP-pakket. Het kan de volgende waarden hebben:

    any - om het even welk protocol
    icmp - enkel ICMP-pakketten
    udp - enkel UDP-pakketten
    tcp - enkel TCP-pakketten
    tcp/ack - enkel TCP-pakketten met 'acknowledgment bit' aan
    ipsp - enkel IPSP (IP security protocol, an IBM-specific protocol for the SNG secure tunnel) Note that as SNG can only refer to protocols by names, it can only have specific rules for the previous protocols, and it will not accept rules for other protocols (for example, protocol number 89 for OSPF).

    7, 8. Source port / ICMP Type
    The first field specifies the type of operation, the second the desired port number (for ICMP packets it's the ICMP Type of message). The port operation field is an arithmetic operator field which can have values of: any, eq, neq, lt, gt, le or ge. The operator is applied to the desired port field, so, for example, if the two fields were gt 1023, we would only match packets with a source port number of 1024 or higher.

    9, 10. Destination port / ICMP Code
    This pair of fields is used in the same way as the source port fields to define which destination port(s) we want the filter to match. For ICMP packets, it refers to the ICMP Code field.

    11. Adapter
    Dit veld geeft aan via welk type van adapter het IP-pakket verzonden wordt:

    secure
    non-secure
    both (om het even welke adapter)

    12. Routing
    Dit veld geeft aan of de afzender of bestemming van het IP-paket een lokaal adres is (de machine waarop de firewall draait), of dat de afzender of bestemming een andere machine is, in welk geval de firewall als een IP-router fungeert. Mogelijke waarden zijn:
    'local' (lokaal pakket)
    'route' (routing doorheen de firewall)
    'both' (routing niet van belang)

    13. Direction
    Mogelijke waarden :  'inbound', 'outbound', 'both' (richting van het pakket is hier onbelangrijk)
    Dit veld geeft voor de gespecifieerde adapter aan of het om een inkomend, dan wel om een uitgaand IP-paket gaat.  Opgelet : de velden die hierop volgen moeten worden ingesteld volgens het formaat: 'naam=waarde'.
    Vb: deny 0.0.0.0 0.0.0.0 0 0 icmp eq 8 any 8 both both inbound l=yes f=only t=0

    14. Log Control (l)
    Mogelijke waarden : 'yes' en 'no'.
    Dit veld geeft aan of het IP-pakket al dan niet gelogd moeten worden. De standaardinstelling voor een toegelaten paket is 'no' en voor geblokkeerd paket is 'yes'. 

    15. Fragmentation Control (f)
    The possibilities are:
    yes - matches header, fragments and nonfragmented packets
    no - matches only nonfragmented packets
    only - matches only headers and fragments.

    16. Tunnel ID (T)
    Dit veld geeft aan door welke 'tunnel' het IP-paket gestuurd moet worden. De waarde 0 betekent dat er geen 'tunnel' gebruikt wordt.