Als Folge können keine festen Regeln in der Firewall definiert werden um den Zugriff nach aussen festzulegen. Eine mögliche Lösung ist der Einsatz eines Proxys für den Zugriff lokaler Anwendungen auf externe Dienste über HTTP.

Die prinzipielle Idee sieht so aus:

Ein Proxyserver bindet sich auf die IPs IP1 und IP2 (1 + 2), die normalen Serverdienste hören auf IP1 (3). Wenn ein Dienst auf das Internet zugreifen will, muss er dies über den Proxy machen (4). Der Proxy lässt Zugriffe seinerseits nur auf vorher definierte Hosts zu. Die Regeln können auch auf eine vollständige Anfrage ausgedehnt werden und damit auch unterhalb eines Hosts noch weitere Einschränkungen definiert werden können.

Google liefert viele Ergebnisse, wie man das gewünschte Ergebnis erreichen kann (z.B. unter http://www.deckle.co.za/squid-users-guide/Transparent_Caching/Proxy). Ab der Version 2.6 wird das transparente Proxying nicht mehr über die “httpd_accel” Anweisungen aktiviert – aber das wird ebenfalls auf der Seite erklärt.

Firewallregeln sorgen dafür, jede HTTP-Anfrage auf Port 80 auf den Squid-Proxy umzuleiten. Dabei muss man darauf achten, dass es keine Redirect-Loops gibt. Wenn Squid Warnungen in die Logdatei a lá “TCP_DENIED” schreibt und alle anderen Fehler ausgeschlossen werden können, könnte das ein Hinweis auf eine Loop sein.

Ein Einbruchsversuch auf einem von mir mitadministrierten Server scheiterte genau daran, dass wir die Firewall so restrektiv handhabten. Damals wurde versucht ein Rootkit über einen Fehler in einer PHP-Funktion auf dem Server zu installieren. Das scheiterte aber eben daran, dass die Firewall es erst gar nicht zu lies das Rootkit herunterzuladen.

Nun ja, schlussendlich habe ich die Firewall heute Nacht noch mal zugemacht, damit ich wenigstens etwas Schlaf finde und habe mir nun die Arbeit gemacht die jeweiligen Adressen der Kommunikationspartner für die WP-Plugins herauszufinden. Das ist wirklich aufwendig und auch nicht 100% sicher, da die Daten (z.B. von Flickr) von ganz verschiedenen Systemen zusammengesucht werden. Für ein sicheres Web 2.0 muss man die Köpfe noch mal zusammenstecken um da eine gangbare Lösung zu finden.