Hi,
demnachst muss ich eine firewall fuer die Anbindung von ein paar Tausend, nicht gerade vertrauenswuerdigen Leuten an das Internet entwerfen. Zentraler Bestandteil wird dabei ein Paketfilter basierend auf dem netfilter von Linux sein. Normalerweise schreib ich meine Regeln mit einer guten shell, einem schlanken editor und iptables. Diesmal ist aber teamwork angesagt und ich werde den Rest des Teams wahrscheinlich auf die Schnelle nicht an iptables heranfuehren koennen. Ich suche daher nach einem graphischen frontend fuer das frontend von netfilter (lange keinen schicken Matroschkaeffekt gesehen).
In den letzten Tagen hab ich mir fwbuilder angesehen. Auf den ersten Blick macht das einen ganz guten Eindruck und man kann einfache Regelwerke auch schnell zusammenklickern. Insbesondere die zentrale Verwaltung von mehreren Paketfiltern in einer Datenbank hat mir gefallen. Auch der von iptables unabhaengige Export der Regeln als shell script, welches auf dem Zielsystem (mit iptables) ausgefuehrt wird, um die Regeln einzupflegen, kommt mir sehr entgegen. Das Ablegen der Datenbank in xml, was man ggf. auch mit einem editor bearbeiten kann, mag ich auch. Das Gruppieren von Objekten (hosts, Netzwerken, services) ist auch ganz praktisch. Von der GUI nicht unterstuetzte Regeln koennen in iptables-Syntax nachgetragen werden.
Weniger gefallen hat mir, dass es (AFAICS) keine Definition von eigenen Ketten zulaesst, sondern alles auf die von netfilter bereitgestellten INPUT, OUTPUT und FORWARD (in -t filter) runterbricht. Damit eng verbunden ist, dass das entstehende Regelwerk (IMHO) sehr uneffizient, unuebersichtlich und ohne fwbuilder schlecht wartbar ist. Darueberhinaus scheint mir die Unterstuetzung von routern mit mehr als zwei interfaces eher lueckenhaft zu sein: bei der Erstellung der Regeln, so wie ich sie wollte wurden mir mehrere Steine in den Weg gelegt, und ich musste Kompromisse machen. Dass es gelegentlich segfaulted ist zwar hinnehmbar, aber macht gerade bei einem security tool keinen guten Eindruck.
Am Wochenende werd ich einen Blick auf KMyFirewall werfen (obwohl ich Programme mit K am Anfang eigentlich nicht mag). Laut feature list unterstuetzt das schon mal nutzerdefinierte Ketten, mal sehen, wie man sonst so damit arbeiten kann.
Hat vielleicht jemand noch ein paar Tips zu Programmen, die ich mir ansehen koennte? Hat jemand aehnliche Ansprueche, wie ich oben erwaehnt hab, und mit einem bestimmten tool gute Erfahrungen gemacht?
Vielen Dank im Voraus,
Gruss vom Frank.
