В этой главе показано, как настраивать переменные, влияющие на работу всей системы. Эти переменные играют большую роль для безопасности системы, регистрации событий, и тайм-аутов в соединениях.

4.1 Использование графического интерфейса

• Выберите опцию Edit в главном окне
• Выберите пункт Configuration parameters.

Окно параметров настройки

• Кнопка OK закрывает окно параметров и сохраняет все изменения.
• Кнопка Cancel закрывает окно параметров и отбрасывает все изменения.
• Кнопка Help показывает окно помощи по параметрам конфигурирования

• Global Parameters

Эти параметры используются пакетным фильтром и транслятором сетевых адресов. Они состоят из следующих полей:

TCP Timeout: Определяет максимальный промежуток времени в секундах, в течение которого TCP соединение при отсутствии трафика считается  активными. Это значение может лежать в пределах от 0 до 30000.

Значение по умолчанию: 900 секунд.

UDP Timeout: Определяет максимальный промежуток времени в секундах, в течение которого UDP соединение при отсутствии трафика считается  активными. Это значение может лежать в пределах от 0 до 30000.

Значение по умолчанию: 180 секунд

! Эти поля крайне важны для правильной работы межсетевого экрана. Большие значения этого параметра могут привести к проблемам с безопасностью в сервисах, основанных на UDP протоколе, увеличить занимаемый объем памяти и замедлить работу системы. В то же время низкие значения могут вызвать постоянные прерывания сессий и неправильную работу ряда сервисов.

• Security Parameters

Source routed IP: Разрешает прохождение пакетов , содержащих опции record route или source route. Если эта опция не установлена, пакеты с этими опциями будут отбрасываться

Значение по умолчанию: Source routed IP пакеты не разрешены.

! Важно подчеркнуть, что прохождение таких   пакетов может привести к серьезным нарушениям безопасности. Опцию следует оставлять неустановленной, если только нет особых причин пропускать такие пакеты.

FTP Support: Обеспечивает поддержку FTP протокола.

Значение по умолчанию: Поддержка FTP присутствует

Этот параметр позволяет межсетевому экрану использовать прозрачный режим работы для клиентов и серверов FTP протокола. Эта опция должна быть установлена для работы по FTP протоколу через межсетевой экран. Real Audio Support: Разрешает поддержку специфических для протокола Real Audio механизмов.

Значение по умолчанию: Поддержка Real Audio разрешена

Этот параметр разрешает межсетевому экрану использовать прозрачный режим работы с протоколами Real Audio / Real Video для TCP и UDP соединений. Эта опция должна быть включена , когда будет использоваться протокол Real Audio

• Log parameters

Log Translation: Включает статистику трансляции сетевых адресов

Значение по умолчанию: Статистика по трансляции не будет собираться

Даже при активизации этой опции будут регистрироваться только пакеты, преобразованные при трансляции адресов клиентских программ. Статистика трансляции адресов серверов фиксироваться не будет.

Включение этой опции носит информативный характер, ее можно использовать только для тестирования или отладки. Log to Syslog: Включает отправку статистики  через демон syslogd.

Значение по умолчанию: Статистика не отправляется через syslogd

При выборе этой опции статистика будет отсылаться через local0 facility, а записи о событиях через   local1 facility.

! Эта опция не меняет внутреннего механизма сбора статистики и сообщений межсетевого экрана.

Log lifetime: Статистика,  которую фиксирует межсетевой экран, хранится в циклически обновляемых файлах, и таким образом новые элементы можно добавлять поверх старых. Этот параметр определяет минимальное число дней, в течение которых записи статистики или событий должны храниться в файле без замены. Допустимые значения этой величины составляют от 1 до 30000 дней.

Значение по умолчанию: 7 дней

! Этот параметр действителен только для внутренней статистики межсетевого экрана, он не действует для записей, посылаемых через syslogd.

• SNMP parameters

Read Community: Этот параметр устанавливает имя сообщества, которое может читать параметры межсетевого экрана по SNMP. Если это поле пустое, ни один хост не получит прав на чтение.

Значение по умолчанию: пустое значение

Write Community: Этот параметр устанавливает имя сообщества, которое наделяется правами на запись параметров межсетевого экрана по SNMP. Если это поле пустое, ни один хост не получит прав на модификацию данных.

Значение по умолчанию: пустое значение

Даже если определено имя сообщество с правами на запись, по соображениям безопасности могут модифицироваться только некоторые переменные системных групп.

4.2 Использование интерфейса командной строки

Путь к программе: /etc/firewall/fwpar

Syntax:

fwpar [show | help]
fwpar [tcp_timeout | udp_timeout] <seconds>
fwpar [source_routed_ip | ftp_support | real_audio_support] <yes | no>
fwpar [log_translation | log_syslog] <yes | no>
fwpar log_lifetime <days>
fwpar [read_community | write_community] [name]

Подсказки по команде:

fwpar - просмотр/изменение параметров настройки

show	=вывести активную конфигурацию
help	=вывести данное сообщение
tcp_timeout	=установить тайм-аут для TCP соединений
udp_timeout	=установить тайм-аут для UDP соединений
source_routed_ip	=разрешить прием IP пакетов с опцией source routed
ftp_support	=разрешить поддержку протокола FTP
real_audio_support	=разрешить поддержку протокола Real Audio
log_translation	=разрешить сбор статистики по трансляции адресов
log_syslog	=отправлять сообщения статистики и событий в syslogd
log_lifetime	=установить минимальный срок жизни статистики/событий
read_community	=имя SNMP сообщества c правами на чтение
write_community	=имя SNMP сообщества c правами на запись

Пример 1: (просмотр конфигурации)

#/etc/firewall/fwpar show
Глобальные параметры:
------------------
tcp_timeout       : 900 seconds
udp_timeout       : 180 seconds
Параметры безопасности:
--------------------
source_routed_ip  : no
ftp_support       : yes
real_audio_support: yes
Параметры статистики:
-----------------------------
log_translation   : no
log_syslog        : no
log_lifetime      : 7 days
Параметры SNMP:
------------------------------
read_community    : public
write_community   :

Пример 2: (разрешить прохождение пакетов с source routed опцией)

#/etc/firewall/fwpar source_routed_ip yes

Пример 3: (определение имени SNMP сообщества с правами на чтение)

#/etc/firewall/fwpar read_community public

Example 4: (удаление имени SNMP сообщества с правами на чтение)

#/etc/firewall/fwpar read_community