SuseFirewall - Masquerade deaktiviren und Port Forwarding be

[gransi]

Hallo Zusammen,

Ich brauche Hilfe bei der Konfiguration bei der SuseFirewall2.
Mein Problem ist folgendes:
Um die Sicherheit im Netzwerk zu erhöhen, haben wir einen Linux Firewall zum Internet hin installiert. Nach außen sind nur noch die HTTP, HTTPS, POP3S, SMTP Ports offen. Intern habe ich die Option "Firewall vor internen Diensten schützen" aktiviert und die benötigten Port freigeben.
Nun möchte ich das die Clients nicht mehr durch die Firewall durch geroutet werden, außer der Dienst wird zusätzlich Freigeben.
Jetzt habe ich gelesen, wenn man die Masquerade deaktiviert werden die Clients nicht mehr durchgereicht (z.B. ICQ, BitTorrent usw.), aber mein Problem ist, dass ich Port Forwarding Regeln in der Firewall habe die die Ports HTTP(S) und POP3S an den internen Windows 2003 SBS Server weiterleiten. Laut YAST werden diese aber deaktiviert. Die Regeln werden aber dringend für Exchange benötigt.
SMTP und HTTP werden am Linux Server per Postfix und Squid Proxy durchgereicht.

Wie bekommen ich ohne Masquerade noch Port-Forwarding zustande?
Oder gibt es andere Ansätze für meine Problem?

Irgendwie laufe ich gerade im Kreis und komm nicht darauf.

Vielen Dank schon im Voraus
Gruß
Gransi

 

[framp]

Das Thema ist im Netzwerk besser aufgehoben

 

[Martin Breidenbach]

Vermutlich kann man das mit der SuSEfirewall2 auch irgendwie hinfummeln. Ich würde mir dafür mein eigenes Firewallskript schreiben.

Wenn Du ohne NAT arbeitest dann muß alles was rein- oder rausgeht über einen entsprechenden Proxy auf der Firewall gehen.

 

[framp]

... Wie bekommen ich ohne Masquerade noch Port-Forwarding zustande?...

Nur mit einem Proxy.

So wie ich verstehe willst Du verhindern, dass Deine lokalen Clients per NAT und forwarding unerlaubt ins Netz kommen.

Annahme: eth0 ist das interne NIC, DSL0 das externe NIC

Dann blocked eine iptables rule in SuSEFirewall2-custom der Form

iptables -I FORWARDING -i eth0 -o dsl0 --j REJECT

sämtlichen dirketen Traffic von innen nach aussen.

iptables -I FORWARDING -i eth0 -o dsl0 -s 192.168.0.5 -p tcp --dport 4711 --j ACCEPT

gestattet dann Client 192.168.0.5 den Zugriff über Port 4711.