Konfigurieren von IP Filter

In der folgenden Tabelle sind die Verfahren zur Konfiguration von IP Filter aufgeführt.

Tabelle 26-1 Konfigurieren von IP Filter (Übersicht der Schritte)

Aufgabe	Beschreibung	Siehe
Erstmaliges Aktivieren von IP Filter	IP Filter ist standardmäßig nicht aktiviert. Sie müssen Solaris IP Filter entweder manuell aktivieren oder die Konfigurationsdateien im Verzeichnis `/etc/ipf/` verwenden und das System neu booten. Ab Version Solaris 10 7/07 ersetzten Paketfilter-Hooks das Modul `pfil`, um IP Filter zu aktivieren.	So aktivieren Sie IP Filter
Erneutes Aktivieren von IP Filter	Falls IP Filter deaktiviert oder abgeschaltet wurde, können Sie IP Filter erneut aktivieren, indem Sie entweder das System neu booten oder den Befehl `ipf` eingeben.	So aktivieren Sie IP Filter erneut
Aktivieren der Loopback-Filterung	Optional können Sie die Loopback-Filterung aktivieren, um beispielsweise Datenverkehr zwischen Zonen zu filtern.	So aktivieren Sie die Loopback-Filterung

So aktivieren Sie IP Filter

Mit dem folgenden Verfahren aktivieren Sie IP Filter auf einem System, auf dem mindestens Solaris 10 7/07 ausgeführt wird. Um IP Filter auch dann auszuführen, wenn eine Oracle Solaris 10-Version vor Solaris 10 7/07 ausgeführt wird, lesen Sie Arbeiten mit dem pfil-Modul.

Nehmen Sie eine Rolle an, die das IP Filter Management-Rechteprofil umfasst, oder melden Sie sich als Superuser an.
Sie können das IP Filter Management-Rechteprofil einer von Ihnen erstellten Rolle zuweisen. Informationen zum Erstellen der Rolle und zum Zuweisen der Rolle zu einem Benutzer finden Sie unter Konfigurieren von RBAC (Übersicht der Schritte) in Systemverwaltungshandbuch: Sicherheitsservices.
Erstellen Sie eine Paketfilter-Regelliste.
Die Paketfilter-Regelliste enthält Regeln, die von IP Filter verwendet werden. Wenn die Paketfilterregeln beim Booten geladen werden sollen, müssen Sie die Datei /etc/ipf/ipf.conf so bearbeiten, dass sie die IPv4-Paketfilterung implementiert. Für IPv6-Paketfilterregeln verwenden Sie die Datei /etc/ipf/ipf6.conf. Sollen die Paketfilterregeln nicht beim Booten geladen werden, speichern Sie die Regeln in einer Datei in einem beliebigen Verzeichnis, und aktivieren Sie die Paketfilterung dann manuell. Informationen zur Paketfilterung finden Sie unter Verwenden der Paketfilter-Funktion in IP Filter. Informationen zum Arbeiten mit Konfigurationsdateien finden Sie unter Erstellen und Bearbeiten von Konfigurationsdateien für IP Filter.
(Optional) Erstellen Sie eine Network Address Translation (NAT)-Konfigurationsdatei.
Hinweis - Network Address Translation (NAT) unterstützt IPv6 nicht.

Erstellen Sie eine Datei ipnat.conf, wenn Sie die Network Address Translation verwenden möchten. Wenn die NAT-Regeln beim Booten geladen werden soll, erstellen Sie eine Datei namens /etc/ipf/ipnat.conf, in der Sie die NAT-Regeln anlegen. Sollen die NAT-Regeln nicht beim Booten geladen werden, speichern Sie die Datei ipnat.conf in einem beliebigen anderen Verzeichnis und aktivieren die NAT-Regeln dann manuell.
Weitere Informationen zu NAT finden Sie unter Verwenden der NAT-Funktion in IP Filter.
(Optional) Erstellen Sie eine Adresspool-Konfigurationsdatei.
Erstellen Sie eine Datei ipool.conf, wenn Sie eine Adressengruppe als einen Adresspool ansprechen möchten. Wenn die Adresspool-Konfigurationsdatei beim Booten geladen werden soll, erstellen Sie eine Datei namens /etc/ipf/ippool.conf, in der Sie den Adresspool anlegen. Soll die Adresspool-Konfiguration nicht beim Booten geladen werden, speichern Sie die Datei ippool.conf in einem beliebigen anderen Verzeichnis und aktivieren die Regeln dann manuell.
Ein Adresspool kann entweder nur IPv4-Adressen oder nur IPv6-Adressen enthalten. Er kann auch sowohl IPv4- als auch IPv6-Adressen enthalten.
Weitere Informationen zu Adresspools finden Sie unter Verwenden der Adresspool-Funktion in IP Filter.
(Optional) Aktivieren Sie die Filterung von Loopback-Verkehr.
Falls Sie beabsichtigen, Datenverkehr zwischen auf Ihrem System konfigurierten Zonen zu filtern, müssen Sie die Loopback-Filterung aktivieren. Lesen Sie dazu So aktivieren Sie die Loopback-Filterung. Denken in Sie daran, entsprechende Regellisten für die Zonen zu definieren.
Aktivieren Sie IP Filter.
```
# svcadm enable network/ipfilter
```

So aktivieren Sie IP Filter erneut

Sie können die Paketfilterung neu aktivieren, nachdem sie vorübergehend deaktiviert wurde.

Nehmen Sie eine Rolle an, die das IP Filter Management-Rechteprofil umfasst, oder melden Sie sich als Superuser an.
Sie können das IP Filter Management-Rechteprofil einer von Ihnen erstellten Rolle zuweisen. Informationen zum Erstellen der Rolle und zum Zuweisen der Rolle zu einem Benutzer finden Sie unter Konfigurieren von RBAC (Übersicht der Schritte) in Systemverwaltungshandbuch: Sicherheitsservices.
Starten Sie IP Filter und aktivieren Sie die Filterung mithilfe einer der folgenden Methoden:
- Starten Sie den Computer neu.
```
# reboot
```
  Hinweis - Wenn IP Filter aktiviert ist, werden bei einem Neustart die folgenden Dateien geladen, sofern sie vorhanden sind: /etc/ipf/ipf.conf, /etc/ipf/ipf6.conf, wenn IPv6 verwendet wird, oder /etc/ipf/ipnat.conf.
- Rufen Sie die folgenden Befehle auf, um IP Filter zu starten und die Filterung zu aktivieren:
  1. Starten Sie IP Filter.
```
# ipf -E
```
  2. Aktivieren Sie die Paketfilterung.
```
# ipf -f filename
```
  3. (Optional) Aktivieren Sie NAT.
```
# ipnat -f filename
```
    Hinweis - Network Address Translation (NAT) unterstützt IPv6 nicht.

So aktivieren Sie die Loopback-Filterung

Hinweis - Sie können Loopback-Verkehr nur dann filtern, wenn auf Ihrem System mindestens Version Solaris 10 7/07 ausgeführt wird. In älteren Oracle Solaris 10-Versionen wird die Loopback-Filterung nicht unterstützt.

Nehmen Sie eine Rolle an, die das IP Filter Management-Rechteprofil umfasst, oder melden Sie sich als Superuser an.
Sie können das IP Filter Management-Rechteprofil einer von Ihnen erstellten Rolle zuweisen. Informationen zum Erstellen der Rolle und zum Zuweisen der Rolle zu einem Benutzer finden Sie unter Konfigurieren von RBAC (Übersicht der Schritte) in Systemverwaltungshandbuch: Sicherheitsservices.
Halten Sie IP Filter an, wenn es ausgeführt wird.
```
# svcadm disable network/ipfilter
```
Fügen Sie die folgende Zeile am Anfang der Datei /etc/ipf.conf bzw. der Datei /etc/ipf6.conf ein:
```
set intercept_loopback true;
```
Die Zeile muss vor allen IP-Filterregeln stehen, die in der Datei definiert sind. Sie können Befehle auch vor dieser Zeile einfügen. Betrachten Sie dazu das folgende Beispiel:
```
# 
# Enable loopback filtering to filter between zones 
# 
set intercept_loopback true; 
# 
# Define policy 
# 
block in all 
block out all 
<other rules>
...
```
Starten Sie IP Filter.
```
# svcadm enable network/ipfilter
```
Geben Sie den folgenden Befehl ein, um den Status der Loopback-Filterung zu überprüfen:
```
# ipf -T ipf_loopback
ipf_loopback    min 0   max 0x1 current 1
#
```
Wenn die Loopback-Filterung deaktiviert ist, wird durch den Befehl die folgende Ausgabe erzeugt:
```
ipf_loopback    min 0   max 0x1 current 0
```

Navigationslinks �berspringen
Druckansicht beenden
	Systemverwaltungshandbuch: IP Services