Interaktywny Linux'owy firewall

Przegladajac fora internetowe, znajduje czesto posty z zapytaniem o to, czy Linux pozwala przyznac prawo dostepu do internetu tylko wybranym aplikacjom. Jak wiadomo iptables operuje w warstwie sieci i nie jest "zainteresowane" tym, jaka aplikacja nawiazuje polaczenie. Grsecurity i LIDS oferuja mozliwosci ograniczania dostepu do portow, jednak nie jest to do konca tym, o co nam chodzi. Desktopowi uzytkownicy wola raczej w pelni interaktywne rozwiazania, tzn. aby program na biezaco pytal o to, czy starajaca sie nawiazac polaczenie aplikacja, ma do tego prawo i na tej podstawie tworzyl zbior regul.

W tej sytuacji z pomoca przychodzi nam TuxGuardian.

Narzedzie to podzielone zostalo na trzy czesci:
1) modul jadra 2) demon 3) frontend

Zanim przystapimy do kompilacji TG, nalezy upewnic sie, ze mamy odpowiednio skonfigurowane jadro (rys. ponizej):





Nalezy zwrocic uwage, ze Default Linux Capabilities bedzie kompilowane jako modul.

Po skompilowaniu kernela pobieramy zrodla TG oraz moja late. Kod zrodlowy nalezy rozpakowac a late przekopiowac do glownego katalogu zrodel. Nalozenie laty wykonujemy poprzez podanie polecenia: gzip -dc tg-0.5.patch.gz | patch -p0. Kompilacja i instalacja TG polega na wydaniu rokazu make.

W celu skorzystania z TG nalezy wykonac szereg opisanych ponizej operacji (ostatnia nie jest obowiazkowa):
1) uruchomic demona - tg-daemon 2) zaladowac modul jadra - modprobe tuxg 3) uruchomic frontend - tg-frontend

Uruchomienie frontendu powoduje dodanie nowej ikony (tarcza) do tacki systemowej

.

Ponizej zaprezentowana zostala rekacja TG na probe nawiazania polaczenia przez Kadu.


Jesli w wyswietlonym oknie wybierzemy "Nie pytaj ponownie", odpowiednia regula zostanie dodana do pliku /etc/daemon.conf i przy ponownym uruchomienu tej aplikacji tg-daemon zareaguje nastepujaco:

Query from module wants to know if
PERMIT_APP /usr/bin/kadu
with hash 5d36f52625b1cf134b6fa43f1c8f481c
Checking the permissions for the application..
Daemon configured to PERMIT this APP
Sending YES to the module..

Nie trudno zauwazyc, ze kazda aplikacja identyfikowana jest przez pelna sciezke i skrot MD5.

TG wykrywa takze, iz niektore aplikacje staraja sie pelnic role serwera (wiecej szczegolow w dokumentacji).

Autorem artykulu jest
amdfanatyk
amdfanatyk [malpka] o2 [kropa] pl
gg: 5111550
FALF Player
Strona domowa

Uważasz, że prezentowane przez nas informacje są użyteczne? Pomóż nam je wypromować!

• 
•