Auch wenn ich nicht Tyrifing bin, Du hast einen Denkfehler bezüglich lokaler und remote Ports. Lokal 80 und 110 frei zu geben macht wenig Sinn, sofern Du nicht auf deinem Rechner einen POP3 und einen HTTP Server betreibst, der von außen zugänglich sein soll, diese Ports sind nämlich Serverports.
Ist Dir das Konzept der statefull packet inspection bekannt? Falls nciht hier mal ien oberflächlicher Abriß.
Die statefull packet inspection ist ein intelligenterer Filteralgorithmus als Portfilter. Ein reiner Portfilter arbeitet anhand fester Regeln, die einen Port entweder offen halten, oder blockieren (eigentlich nicht den Port, sondern nur der Zugriff darauf). Ein statefull packet filter ist eigentlich ein dynamischer Portfilter, welcher anhand einer Initialverbindung erkennt, ob eine Verbindung erlaubt ist und dann zugehörig zu dieser verbindung die nötigen Ports dynamisch öffnet. Nehmen wir einmal das Beispiel des POP3. Ein POP3 SERVER erwartet eine Verbindung des Clients auf seinem Port 110 (weswegen es nichts bringt auf deinem eigenen Rechner Port 110 zuzulassen eingehend, es müßte ausgehend-remote sein). Nehmen wir jetzt einmal an, daß Du in deiner Firewall nur die eine Regel hättest (schematisch):
ERLAUBE VERBINDUNG VON [lokaler Rechner] PORT ANY NACH 0.0.0.0/0 PORT 110
Willst Du jetzt Mails abrufen, so durchwandert das Paket den Netzwerkstapel und durchläuft auch den Filter, welcher das Paket untersucht und erkennt, daß der lokale Rechner eine erlaubte Verbindung zu einem POP3-Server herstellt. Er erzeugt einen Eintrag in seiner Verbindungstabelle für diesen "Socket", wobei der lokal Port für diese Verbindung ein beliebiger Port über 1024 ist.
Nun erreicht das Paket den POP3-Server, er antwortet darauf und verweist deinen Rechner auf einen Nebenport für die weitere Kommunikation, um seinen "Verbindungsport" für die nächsten Verbindungsanfragen wieder frei zu bekommen (dieser Serverport ist mehr oder weniger nur eine Türklingel). Diesen Vorgang erkennt ein Statefull Packet Filter selbst, Du mußt im Gegensatz zu einem "dummen" Portfilter jetzt nicht nachträglich diese Kommunikationsverbindung auch noch frei geben, damit der Datenaustausch klappt, der Filter erkennt die Verbindung von Server:[high port] zu Client:[high port] als zu der zugelassen Verbindung gehörend (RELATED) und erlaubt folglich die Kommunikation.
Nach diesem Vorgang wird relativ klar, daß Verbindungen immer dann klappen, wenn ein Server im Internet nur die antwoortende Funktion übernimmt, also auf eine vom Client bestehende Anfrage antwortet. Solche Protokolle sind z.B.
DNS, HTTP, HTTPS, SMTP, POP, Telnet, SSH, FTP (passiv), NNTP,...
Hier reicht es also, nur folgendes frei zu geben:
Ausgehend, jede Zielip, Serverport erlauben.
Anders sieht es bei Protokollen aus, bei denen das Protokoll vorsieht, daß der Server selbst eine Verbindung zum Client zusätzlich aufbaut. Das betrifft z.B. sämtliche Streamingprotokolle, Messengerprotokolle, P2P-Protokolle, VoIP, FTP (aktiv)...
Hier kann der Statefull Packet Filter nicht erkennen, daß diese Verbindung zu der bereits bestehenden gehört, da er das Protokoll nicht kennt (zumindest in den meisten Fällen), man muß ihm also eine Regel mitgeben, daß er solche Verbindungen erlaubt. Leider geht das bei vielen Protokollen nur mit der groben Kelle, also lokal alle benötigten Rückkanäle für alle entfernten Ziele freigeben.
Jetzt mal wieder zurück zu deinem eigentlichen Problem (sorry, daß ich so abgeschweift bin). Dein Problem mit POP3 liegt darin begründet, daß Du den Port wohl in der falschen Richtung freigegeben hast (eingehend als Zielport oder ausgehend als Quellport, statt ausgehend als Zielport).
Das zweite Problem bezüglich 443 besteht darin, daß Port 443 für HTTPS begraucht wird, also für SSL-Verschlüsselte Verbindungen zu HTTP-Servern, diese solltest Du ausgehend mit 443 als entfernten Zielport freigeben.
Das Problem mit den Anfragen an hohe Ports kann man so eindeutig nicht kategorisieren, da es abhängig davon ist, was Du schon an Regeln (und vor allem in welcher Reihenfolge, diese ist nämlich auch wichtig) angegeben hast. Erst dann kann man beurteilen, ob Du über eine ungeschickte Regel auch alle Antwortpakete gesperrt hast.
Du mußt übrigens nicht für alle Ports und alle Protokolle Regeln erstellen, sondern nur für die genutzten, alles andere sollte man standardmäßig erst einmal blockieren. Es gibt übrigens 65535 Ports, sowohl für TCP, als auch für UDP.
Noch eine Anmerkung zum Schluß: Stealth ist eine blödsinnige Marketingerfindung (wohl von Steve Gibson in die Runde geworfen) und sagt rein gar ncihts über die Sicherheit oder Unsicherheit eines Systems aus, es sagt nur aus, daß sich ein System nicht an die Protokollstandards im Internet hält.
xafford
Artie
