Muokataan sivua Palomuuri

Siirry navigaatioon Siirry hakuun
Varoitus: Et ole kirjautunut sisään. IP-osoitteesi näkyy julkisesti kaikille, jos muokkaat. Jos kirjaudut sisään tai luot tunnuksen, muokkauksesi yhdistetään käyttäjänimeesi ja saat paremman käyttökokemuksen.

Kumoaminen voidaan suorittaa. Varmista alla olevasta vertailusta, että haluat saada aikaan tämän lopputuloksen, ja sen jälkeen julkaise alla näkyvät muutokset.

Nykyinen versio Oma tekstisi
Rivi 1: Rivi 1:
{{Perustietoa}}
= Toimintaperiaate =
'''Palomuuri''' (englanniksi firewall) tarkoittaa ohjelmistoa tai laitetta joka suodattaa tietoliikennettä kahden verkon välillä. Palomuuri asetetaan kotikoneessa yleensä kieltämään yhteydenotot ulkoverkosta (Internet) paitsi erikseen avattuihin portteihin ja sallimaan yhteydet sisäverkosta (kotiverkosta) ja yhteydet ulkomaailmaan.
Linuxissa kaikki verkkoliikenne kulkee yhden rajapinnan kautta. Tätä kutsutaan [http://www.netfilter.org/ netfilter]ksi.
Kaikki verkkoliikenteen suodattaminen tapahtuu tämän rajapinnan avulla.


Linuxin [[Kernel|ytimeen]] on sisäänrakennettu monipuolinen palomuuri ja sen säätämiseen löytyy useita helppokäyttöisiä ohjelmia, mm. [[Firestarter]]. On myös mahdollista käyttää ulkoista palomuuria tämän sijasta tai lisäksi. Ulkoisena palomuurina voi käyttää normaalia tähän käyttöön otettua tietokonetta tai varta vasten valmistettua laitetta (jossa saattaa olla Linux käyttöjärjestelmänä). Monessa ADSL-modeemissa on myös palomuuriominaisuus.
Verkkoliikenteen suodattamisen säännöt asetetaan iptables -työkalulla. Iptables purkaa tämänhetkiset säännöt ytimestä, muuttaa niitä tai lisää niihin uusia, ja pakkaa säännöt takaisin ytimeen.


Ulkoisen palomuurin ("rautapohjainen palomuuri") etu on että siinä on vain muutamia ohjelmia joista hyökkääjä voisi löytää turva-aukkoja, jolloin riski että siihen pääsisi murtautumaan (ja siten muokkaamaan palomuuriasetuksia) on pieni. Toisaalta omalla koneella oleva palomuuri saattaa olla helpommin monipuolisesti muokattavissa. Ulkoisessa palomuurissa ei myöskään voi rajoittaa liikennettä käyttäjäkohtaisesti.
Palomuuri tehdään yleensä kirjoittamalla skripti, joka kutsuu [[iptables]]ia useita kertoja asettaen joka kerralla yhden säännön. Tämän jälkeen tallennetaan säännöt antamalla komento /etc/init.d/iptables save


== Yleistä ==
= Valmiita ratkaisuja =
Useimmissa kotikäyttöön tarkoitetuissa [[jakelu]]issa ei oletuksena ole mitään ulkoapäin tulevia pyyntöjä kuuntelevia palveluita käytössä, mikä vähentää oleellisesti palomuurin tarvetta. Usein palomuuri kannattaa silti varmuuden vuoksi kytkeä päälle, erityisesti mikäli on epävarma siitä, saako erilaiset jälkeenpäin asentamansa verkkopalvelut säädettyä oikein. Kotikäytössä riittää yleensä palomuurisääntö, joka estää kaikki ulkoapäin (Internetistä) tulevat yhteydenotot ja sallii ulospäin suuntautuvan liikenteen, sekä mahdollisesti yhteydenotot kotiverkosta.
Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia, kuten [http://www.simonzone.com/software/guarddog/ Guarddog], [http://www.fs-security.com firestarter] ja [http://www.fwbuilder.org fwbuilder]. On olemassa jopa [http://easyfwgen.morizot.net/gen/ nettipalvelu] joka generoi skriptin parin kysymyksen pohjalta. [http://firehol.sf.net Firehol] pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä. Suositeltavaa on myös kokeilla [http://www.shorewall.net/] shorewall palomuuria jolla iptablejen ohjailu on todella kätevää, shorewall:ssa on oletuksena mukana sisään ja ulostulevanliikenteen "torppaaminen".


Linuxissa kaikki verkkoliikenne kulkee [[Netfilter]]-nimisen rajapinnan kautta. Kaikki verkkoliikenteen suodattaminen tapahtuu sen avulla.
Ominaisuuksia, joita peruskäyttäjät tarvitsevat, ovat yleisesti [[NAT]] (eng. network address translation) ja porttien ohjaus ([http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.2 DNAT]). Jos käytössä on kiinteä verkko-osoite, kannattaa käyttää MASQUERADE:in sijasta [http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.1 SNAT:a.]


Suodattamisen säännöt asetetaan [[iptables]]-työkalulla. Iptables purkaa tämänhetkiset säännöt ytimestä, muuttaa niitä tai lisää niihin uusia, ja pakkaa säännöt takaisin ytimeen.
On myös olemassa erikoistuneita palomuurilevityksiä, joissa on palomuuriasennus ja www-pohjainen työkalu tähän tarkoitukseen. Hyvänä esimerkkinä on esimerkiksi [http://www.smoothwall.org Smoothwall]
 
Kaikissa jakeluissa on mahdollista luoda palomuuri kirjoittamalla skripti, joka kutsuu [[iptables]]ia useita kertoja asettaen joka kerralla yhden säännön. Tämän jälkeen tallennetaan säännöt antamalla komento '''/etc/init.d/iptables save'''.
 
Yleensä jakelut tarjoavat kuitenkin myös graafisen liittymän (tai useita vaihtoehtoisia liittymiä), jolla on helppo ottaa käyttöön yksinkertainen ja peruskäyttöön täysin riittävä palomuuri.
 
== Jakelukohtaiset ohjeet ==
Seuraavassa on ohjeet yksinkertaisen palomuurin käyttöönottoon eri jakeluissa:
* [[SUSEn palomuuriohje|SUSE Linux]]
 
== Muita valmiita ratkaisuja ==
Palomuuriskriptin kirjoittamiseksi on kehitetty useita helppokäyttöisiä ohjelmia kuten [[Guarddog]], [[firestarter]], [http://kmyfirewall.sourceforge.net/ KMyFirewall], [[fwbuilder]], [[system-config-firewall]], [[Gufw]] ja [[lokkit]]. On olemassa jopa [http://easyfwgen.morizot.net/gen/ nettipalvelu] joka generoi skriptin parin kysymyksen pohjalta. [[Firehol]] pohjautuu tekstipohjaiseen asetustiedostoon, jonka syntaksi on helppotajuinen ja kotisivuilta löytyy hyvä esimerkkitiedosto yksityiskohtaisesti selitettynä. Suositeltavaa on myös kokeilla [[asetustiedosto]]ihin pohjautuvaa [[shorewall]]-palomuuria, joka yksinkertaistaa monimutkaistenkin palomuuri- ja [[kaistanrajoitus]]sääntöjen tekemistä.
 
Jos Linux-kone huolehtii verkon jakamisesta muille kotiverkon koneille tarvitaan [[NAT]] (eng. network address translation) ja porttien ohjaus ([http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.2 DNAT]). Jos käytössä on kiinteä verkko-osoite, kannattaa käyttää MASQUERADE:in sijasta [http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO-6.html#ss6.1 SNAT:a].
 
On myös olemassa erikoistuneita palomuurilevityksiä, joissa on palomuuriasennus ja www-pohjainen työkalu tähän tarkoitukseen. Hyvänä esimerkkinä on esimerkiksi [http://www.smoothwall.org Smoothwall] ja ClarkConnect.


Myös kaupallisia levityksiä palomuuritekniikan suhteen on olemassa esimerkiksi [http://www.astaro.de/ Astaro].
Myös kaupallisia levityksiä palomuuritekniikan suhteen on olemassa esimerkiksi [http://www.astaro.de/ Astaro].


== Erilliset palomuurilaitteet ==
= Erilliset palomuurilaitteet =
Linux on tullut myös laitteistopohjaisiin palomuureihin. Kotimaisen Online Solutionsin [http://www.solutions.fi/page_view?t=1&l=1&s=12&p=12 Sec] tuoteperhe on Linux-pohjaisista ratkaisuista rakennettu kokonaisuus, jolla voidaan suojata erillisiä palvelimia tai koko lähiverkko.
Linux on tullut myös laitteistopohjaisiin palomuureihin. Kotimaisen Online Solutionsin [http://www.solutions.fi/page_view?t=1&l=1&s=12&p=12 Sec] tuoteperhe on Linux-pohjaisista ratkaisuista rakennettu kokonaisuus, jolla voidaan suojata erillisiä palvelimia tai koko lähiverkko.


Rivi 40: Rivi 26:
Ero rautamuurien ja normaalin iptables-muurin välillä ei ole suuri. Rautamuurikoneissa on vain jätetty pois suurin osa palveluista ja ohjelmista joita ei laitteessa tarvita, jolloin järjestelmästä tulee mahdollisimman pelkistetty. Turhien osien karsimisella lisätään laitteen tietoturvaa.
Ero rautamuurien ja normaalin iptables-muurin välillä ei ole suuri. Rautamuurikoneissa on vain jätetty pois suurin osa palveluista ja ohjelmista joita ei laitteessa tarvita, jolloin järjestelmästä tulee mahdollisimman pelkistetty. Turhien osien karsimisella lisätään laitteen tietoturvaa.


Joissain [http://www.linksys.com Linksysin] WRT-sarjan reitittimissä on Linux-käyttöjärjestelmä, jota voi avoimen lähdekoodin ansiosta muokata. [http://openwrt.org/ OpenWRT-projekti] on erikoistunut Linksysin WRT-reitittimen Linux-pohjaisen firmwaren muokkaamiseen, jolla saadaan helposti toteutettua kotiverkkoon soveltuva NAT-palomuuri. Valitettavasti WRTn reititysteho ei riitä yli 10Mbit uplinkin käsittelyyn, joten se ei sovellu nopeimpiin saatavilla oleviin kuluttajaliittymiin.
[http://www.linksys.com Linksysin] WRT-sarjan reitittimissä on Linux-käyttöjärjestelmä, jota voi avoimen lähdekoodin ansiosta muokata. [http://openwrt.org/ OpenWRT-projekti] on erikoistunut Linksysin WRT-reitittimen Linux-pohjaisen firmwaren muokkaamiseen, jolla saadaan helposti toteutettua kotiverkkoon soveltuva NAT-palomuuri. Valitettavasti WRTn reititysteho ei riitä yli 10Mbit uplinkin käsittelyyn, joten se ei sovellu nopeimpiin saatavilla oleviin kuluttajaliittymiin.
 
== VPN/IPSEC-laitteet ==


=== VPN/IPSEC-laitteet ===
Ciscon halpamerkki, Linksys valmistaa Linux-pohjaisia ratkaisuja palomuureiksi. Kotireittittimeksi nämä laitteet ovat edullisia ja erittäin hyviä.
Ciscon halpamerkki, Linksys valmistaa Linux-pohjaisia ratkaisuja palomuureiksi. Kotireittittimeksi nämä laitteet ovat edullisia ja erittäin hyviä.


Rivi 54: Rivi 41:
Myös [http://www.snapgear.org Snapgear] tarjoaa edullista Linux-rautaa palomuurikäyttöön.
Myös [http://www.snapgear.org Snapgear] tarjoaa edullista Linux-rautaa palomuurikäyttöön.


== Katso myös ==
== Ulkoiset linkit ==
*[[NAT]]
 
*[[tcpwrappers|TCP wrappers]]
[http://www.netfilter.org/documentation/HOWTO/NAT-HOWTO.html NAT Howto (SNAT tai MASQUERADE)]
*[[MAC-osoite]]


{{Palomuuri}}
[[Luokka:Verkko]][[Luokka:Järjestelmä]]
[[Luokka:Verkko]]
[[Luokka:Järjestelmä]]
[[Luokka:Tietoturva]]
Wikin materiaali on kaikkien vapaasti käytettävissä Creative Commons 3.0 - nimi mainittava -lisenssin alaisuudessa. TEKIJÄNOIKEUDEN ALAISEN MATERIAALIN KÄYTTÄMINEN ILMAN LUPAA ON EHDOTTOMASTI KIELLETTYÄ!

Muokataksesi tätä sivua vastaa alla olevaan kysymykseen (lisätietoja):

Peruuta Muokkausohjeet (avautuu uuteen ikkunaan)

Tällä sivulla käytetyt mallineet:

Noudettu kohteesta ”https://www.linux.fi/wiki/Palomuuri”