+ <strong>Sicherheit:</strong> Der Client fragt nicht selbst, er lässt seinen Proxy fragen.
+ Die Antwort des Servers geht wieder an den Proxy und nicht an den Client. Der Client tritt
+ somit nicht selbst in Erscheinung. Ein damit verbundener Angriff würde also in erster Linie
+ den Proxy und nicht den Client treffen. Es stehen auch Funktionen zum Datenschutz zur Verfügung,
+ was einen Vorteil gegenüber einem reinen NAT Router darstellt.
+ </li>
+ <li>
+ <strong>Authentifizierung:</strong> Über Access-Listen kann Squid auch veranlasst werden,
+ Zugriffe nur nach einer Benutzerauthentifizierung zuzulassen. Hierbei stehen LDAP, identd,
+ Windows, Radius oder Lokale Authentifizierungsmethoden zur Verfügung, womit sich der Webproxy
+ zum Beispiel an einen Microsoft Windows Domänencontroller anbinden lässt und nur Mitarbeitern
+ der Zugang zum Internet gewährt werden kann.
+ </li>
+ <li>
+ <strong>Kontrolle der Zugriffe:</strong> Soll der Internetzugriff nur zu speziellen Tageszeiten
+ oder auch komplett für einzelne oder mehrere Clients eingeschränkt werden, kann dies über die
+ “Netzwerkbasierten Zugriffskontrolle” geschehen, welche man im Webinterface findet. Ein sinnvoller
+ Anwendungsbereich dafür sind z.B. Schulen.
+ </li>
+ <li>
+ <strong>Protokollierung:</strong> Da jeder Zugriff über den Proxy protokolliert werden kann, bieten
+ sich Möglichkeiten zur Überprüfung der Zugriffe im Nachhinein an und es können auch Statistiken
+ und Abrechnungen erstellt werden. Durch das Analyseprogramm Calamaris lassen sich die Logdateien
+ in unterschiedlichsten Kriterien über das IPFire Webinterface übersichtlich darstellen.
+ </li>
+ <li>
+ <strong>Bandbreitenmanagement:</strong> Das Downloadmanagement lässt eine Kontrolle der Bandbreite
+ für spezifizierte Bereiche zu. So können inhaltsbasierte Drosselungen zum Beispiel für Binärdateien,
+ CD-Images oder Multimediadaten ebenso konfiguriert werden wie eine Download Drosselung der einzelnen
+ Zonen oder für Hosts in den jeweiligen Zonen.
</li>
</ul>
- </p>
-
- {% else %}
- <p>
- From a technical point of view, IPFire is a minimalistic, hardened firewall system
- which comes with an integrated package manager called Pakfire.
- The primary task of Pakfire is to update the system with only a single click.
- It is very easy to install <a href="/features/updates">security patches,
- bugfixes and feature enhancements</a>, which make IPFire safer and faster
- - or simply: better.
- </p>
- <p>
- Another task of Pakfire is to install additional software that adds new
- functionality to the IPFire system.
-
- Some useful of them are:
-
+ {% else %}
+ <p>
+ IPFire includes a full-fledged web proxy, which is the well-known, open-source software Squid. It is used by ISPs, universities, schools and large companies use because of its diversity, stability and mature development. Even for small home networks, it
+ is a useful feature. In addition to the stateful paket inspection (SPI) filtering by the firewall on
+ the TCP/IP layer, the web content which is transmitted over HTTP, HTTPS or FTP can be analyzed
+ and filtered as well.
+ </p>
<ul>
- <li>File sharing services such as Samba and vsftpd</li>
- <li>Communications server using Asterisk</li>
<li>
- Various command-line tools as <em>tcpdump</em>,
- <em>nmap</em>, <em>traceroute</em> and many more.
+ <strong>Security:</strong> The client does not query web servers directly, it queries the proxy first.
+ The server response goes back to the proxy and not to the client, which actually does not technically even appear on the
+ Internet. A related attack would therefore primarily reach the proxy and not the client. There are also
+ functions available for data privacy, which is an significant advantage in comparison to a pure NAT router.
+ </li>
+ <li>
+ <strong>Authentication:</strong> Using the access lists, the web proxy can also be configured to allow
+ access only after a user has been authenticated. At this point you have the choice between LDAP, identd,
+ Windows, Radius or local authentication methods. The web proxy can connect, for example to a
+ Microsoft Windows domain controller and only the users of that Windows domain can be granted access to the Internet.
+ </li>
+ <li>
+ <strong>Authorization:</strong> If the Internet access needs to be limited to specific time of a day,
+ or if it should be even completely disabled for any clients, is this easily configured by the
+ “network-based access control”, which can also be found on the IPFire web interface. A useful application for this feature can be for example, a school classroom.
+ </li>
+ <li>
+ <strong>Logging:</strong> Since each access can be logged over the proxy, possibilities for the
+ examination of the accessed content can be very useful, as well as statistics and bills can be issued afterwards.
+ Through the use of a logfile analyzer named Calamaris, log files can be charted by varying criteria
+ on the IPFire web interface.
+ </li>
+ <li>
+ <strong>Bandwidth management:</strong> The download management function allows for control of the bandwidth
+ to specified zones. Thus, content-based throttling (for example for binary files, CD images or
+ multimedia content) is configurable with bandwidth limitations for individual zones or for each host
- VDSL is short for <em>Very High Data Rate Digital Subscriber Line</em> and
- it currently offers bandwidth up to 50 Mbit/s downstream and 10 Mbit/s upstream.
- VDSL brings the possibility of using new technologies such as IPTV. With IPFire, a conventional
- router can be replaced by a full-fledged system that brings the IPTV stream into your own home network.
- </td>
- </tr>
- <tr>
- <td>
- <strong>ADSL/SDSL</strong>
- </td>
- <td>
- Conventional DSL is also supported, although it is technically
- called also PPPoE or PPPoA. In some countries, the PPTP protocol is also widely used and it is also fully
- supported by IPFire.
- </td>
- </tr>
- <tr>
- <td>
- <strong>Ethernet</strong>
- </td>
- <td>
- Over Ethernet, IPFire can also be connected to the Internet and obtain
- an IP address either via DHCP or static configuration.
- </td>
- </tr>
- <tr>
- <td>
- <strong>4G/3G</strong>
- </td>
- <td>
- Mobile broadband connections over USB modems, which are also known by the names
- UMTS, 3G, CDMA, HSDPA or LTE are also supported by IPFire.
- </td>
- </tr>
- </tbody>
- </table>
- {% end %}
- </div>
- </section>
-
- <section id="proxy" class="text-center">
- <div class="container">
- <div class="page-header">
- <h1>{{ _("Web proxy") }}</h1>
- </div>
-
- {% if lang == "de" %}
- <p>
- Der Webproxy in IPFire, die Open-Source-Software Squid, ist der Linux und UNIX-Welt nicht unbekannt
- und steht unter der GNU General Public License. Nicht nur ISPs, Universitäten, Schulen und grosse
- Firmen nutzen diesen Proxy, denn seine Vielfältigkeit, Stabilität und ausgereifte Entwicklung macht
- ihn auch für kleine Heimnetzwerke zu einem nutzvollen Partner. Ergänzend zur zustandsgesteuerten
- Paketfilterung auf TCP/IP Ebene der Firewall können somit auch Inhalte, die über das HTTP-Protokoll
- übertragen werden, analysiert und geregelt werden. Dabei können sowohl HTTP-, HTTPS- sowie
- FTP-Inhalte über Squid angefordert werden.
- </p>
- <ul>
- <li>
- <strong>Sicherheit:</strong> Der Client fragt nicht selbst, er lässt seinen Proxy fragen.
- Die Antwort des Servers geht wieder an den Proxy und nicht an den Client. Der Client tritt
- somit nicht selbst in Erscheinung. Ein damit verbundener Angriff würde also in erster Linie
- den Proxy und nicht den Client treffen. Es stehen auch Funktionen zum Datenschutz zur Verfügung,
- was einen Vorteil gegenüber einem reinen NAT Router darstellt.
- </li>
- <li>
- <strong>Authentifizierung:</strong> Über Access-Listen kann Squid auch veranlasst werden,
- Zugriffe nur nach einer Benutzerauthentifizierung zuzulassen. Hierbei stehen LDAP, identd,
- Windows, Radius oder Lokale Authentifizierungsmethoden zur Verfügung, womit sich der Webproxy
- zum Beispiel an einen Microsoft Windows Domänencontroller anbinden lässt und nur Mitarbeitern
- der Zugang zum Internet gewährt werden kann.
- </li>
- <li>
- <strong>Kontrolle der Zugriffe:</strong> Soll der Internetzugriff nur zu speziellen Tageszeiten
- oder auch komplett für einzelne oder mehrere Clients eingeschränkt werden, kann dies über die
- “Netzwerkbasierten Zugriffskontrolle” geschehen, welche man im Webinterface findet. Ein sinnvoller
- Anwendungsbereich dafür sind z.B. Schulen.
- </li>
- <li>
- <strong>Protokollierung:</strong> Da jeder Zugriff über den Proxy protokolliert werden kann, bieten
- sich Möglichkeiten zur Überprüfung der Zugriffe im Nachhinein an und es können auch Statistiken
- und Abrechnungen erstellt werden. Durch das Analyseprogramm Calamaris lassen sich die Logdateien
- in unterschiedlichsten Kriterien über das IPFire Webinterface übersichtlich darstellen.
- </li>
- <li>
- <strong>Bandbreitenmanagement:</strong> Das Downloadmanagement lässt eine Kontrolle der Bandbreite
- für spezifizierte Bereiche zu. So können inhaltsbasierte Drosselungen zum Beispiel für Binärdateien,
- CD-Images oder Multimediadaten ebenso konfiguriert werden wie eine Download Drosselung der einzelnen
- Zonen oder für Hosts in den jeweiligen Zonen.
- </li>
- </ul>
- {% else %}
- <p>
- IPFire includes a full-fledged web proxy, which is the well-known, open-source software Squid. It is used by ISPs, universities, schools and large companies use because of its diversity, stability and mature development. Even for small home networks, it
- is a useful feature. In addition to the stateful paket inspection (SPI) filtering by the firewall on
- the TCP/IP layer, the web content which is transmitted over HTTP, HTTPS or FTP can be analyzed
- and filtered as well.
- </p>
- <ul>
- <li>
- <strong>Security:</strong> The client does not query web servers directly, it queries the proxy first.
- The server response goes back to the proxy and not to the client, which actually does not technically even appear on the
- Internet. A related attack would therefore primarily reach the proxy and not the client. There are also
- functions available for data privacy, which is an significant advantage in comparison to a pure NAT router.
- </li>
- <li>
- <strong>Authentication:</strong> Using the access lists, the web proxy can also be configured to allow
- access only after a user has been authenticated. At this point you have the choice between LDAP, identd,
- Windows, Radius or local authentication methods. The web proxy can connect, for example to a
- Microsoft Windows domain controller and only the users of that Windows domain can be granted access to the Internet.
- </li>
- <li>
- <strong>Authorization:</strong> If the Internet access needs to be limited to specific time of a day,
- or if it should be even completely disabled for any clients, is this easily configured by the
- “network-based access control”, which can also be found on the IPFire web interface. A useful application for this feature can be for example, a school classroom.
- </li>
- <li>
- <strong>Logging:</strong> Since each access can be logged over the proxy, possibilities for the
- examination of the accessed content can be very useful, as well as statistics and bills can be issued afterwards.
- Through the use of a logfile analyzer named Calamaris, log files can be charted by varying criteria
- on the IPFire web interface.
- </li>
- <li>
- <strong>Bandwidth management:</strong> The download management function allows for control of the bandwidth
- to specified zones. Thus, content-based throttling (for example for binary files, CD images or
- multimedia content) is configurable with bandwidth limitations for individual zones or for each host
- in a particular zone.
- </li>
- </ul>
- {% end %}
-
- <hr class="separator">
-
- <h2>{{ _("Content filter") }}</h2>
-
- {% if lang == "de" %}
- <p>
- SquidGuard ist ein URL-Filter, der über den Redirektor-Mechanismus an den Proxy angebunden wird.
- Das Herz stellen sogenannte Blacklists dar, die von offizieller Seite erstellt, eine Reihe von
- klassifizierten Webseiten enthalten und über das Webinterface automatisch auf dem neuesten Stand
- gehalten werden. Es stehen unterschiedliche, freie Quellen für vorgefertigte Blacklists zur Verfügung,
- die erlauben unter anderem jugendgefährdende Inhalte, Shopping-, Warez-, Social-Networking- oder
- gewaltverherrlichende Seiten zu filtern.
- </p>
- <p>
- Individuelle Erweiterungen einzelner Domains oder URLs können für Blacklists und ebenso für Whitelists
- über das Webinterface eingerichtet werden. IPFire bietet auch einen Blacklist-Editor, der das Editieren
- und erstellen eigener Blacklists über das Webinterface anbietet.
- </p>
- <p>
- Mögliche Anwendungsbereiche für SquidGuard auf dem IPFire sind:
- </p>
- <ul>
- <li>
- Sperren oder Einschränken spezieller Internet Inhalte in Abhängigkeit von Uhrzeit, Benutzer
- und verwendetem Rechner.
- </li>
- <li>
- Verhinderung des Zugriffs auf bestimmte (z.B. jugendgefährdende) Seiten.
- </li>
- <li>
- Ausblenden von Werbung.
- </li>
- </ul>
- {% else %}
- <p>
- SquidGuard is a URL filter add-on which is connected via the redirector mechanism of the proxy.
- The heart of SquidGuard is something called a "blacklist." This is a content control list created by the official site. These lists contain a number of categorically-classified websites and can be kept up-to-date automatically. There are different, independent
- sources for pre-built blacklists available, which allow among other classes filtering for adult
- content, shopping, warez, social networking, or sites containing violent/abusive content.
- </p>
- <p>
- Individual extensions for particular domains or URLs can be set up on the IPFire web interface for
- blacklists and whitelists as well. IPFire also offers a black list editor, that makes the editing
- and creating your own blacklists quite easy.
- </p>
- <p>
- Possible areas of application for the SquidGuard on IPFire are:
- </p>
- <ul>
- <li>
- Block or restrict Internet content conditionally by time, user and/or computers.
- </li>
- <li>
- Preventing access to certain (eg. youth-endangering) pages and content categories.
- </li>
- <li>
- Hiding advertising.
- </li>
- </ul>
- {% end %}
-
- <hr class="separator">
-
- <h2>{{ _("Update accelerator") }}</h2>
-
- {% if lang == "de" %}
- <p>
- Der Update-Accelerator ist ein System, das Updates für z.B. Betriebssysteme erheblich beschleunigen
- kann. Dazu werden alle heruntergeladenen Updates zwischengespeichert und bei einem weiteren Download
- aus dem lokalen Cache ausgeliefert.
- </p>
- <p>
- Bei Service Packs für Microsoft Windows, die oft einige hundert Megabytes haben, lohnt sich dieses
- Speichern massiv, aber auch Virenscanner und andere Produkte profitieren hiervon und machen ein Update von
- allen Workstations in der Firma zu einer schnell erledigten Aufgabe.
- </p>
- {% else %}
- <p>
- The Update Accelerator is a feature that can greatly accelerate deploying updates for operating systems.
- All downloaded updates are cached and if requested another time, are delivered from the cache.
- </p>
- <p>
- For example, Service Packs for Microsoft Windows (which often are several hundred megabytes) are cached for future retrieval, as well as virus scanner definition updates and other product updates which the system automatically identifies. This saves a massive amount of time when updating large amounts of computers (such as corporate networks).
- </p>
- {% end %}
-
- <hr class="separator">
-
- <h2>{{ _("Transparent virus scanner") }}</h2>
-
- {% if lang == "de" %}
- <p>
- Das Paketmanagement bietet das Addon “SquidClamAV” zur Erweiterung an. Somit steht dem Webproxy
- ein Virenscanner zur Verfügung, der in Echtzeit den Datenverkehr nach Viren mit Hilfe des bekannten
- ClamAV prüft.
- </p>
- <p>
- Der zusätzliche Schutz zu einem herkömmlichen Virenscanner besteht vor allem darin, dass die Dateien
- nicht erst auf den Client-Rechner gelangen, bevor der Virenscan ausgeführt werden kann. Potentielle
- Schädlinge werden vor dem Download durch SquidClamAV geblockt.
- </p>
- {% else %}
- <p>
- The package manager Pakfire offers the addon SquidClamAV - a virus scanner for the web proxy. This checks in real-time all web traffic for viruses, utilizing the ClamAV virus definitions and scanning engine.
- </p>
- <p>
- The additional protection to a conventional virus scanner lies in the fact that the files are transparently checked before ever making it to the client machine before the client machine's virus scan can be performed. So potentially-malicious files are blocked by
- SquidClamAV before the client's actual download.
- möglich, welches von Andreas Steffen, einem Professor für Sicherheit
- in der Kommunikationstechnik und Leiter des Instituts für
- Internetechnologien und -applikationen an der Universität der
- angewandten Wissenschaften Rapperswil in der Schweiz entwickelt wird.
- StrongSwan arbeitet besonders gut mit Produkten wie Microsoft Windows 7,
- Microsoft Windows Vista und Mac OS X zusammen.
- </p>
- {% else %}
- <p>
- IPsec is a widely-deployed VPN solution that was originally developed to be used in conjunction with IPv6. Because it was so secure and IPv6 was so slowly deployed, it was backported to secure IPv4 traffic as well.
- </p>
-
- <p>
- In contrast to SSL-VPNs, IPsec is hard to set-up. In IPFire, we
- thought about how to make this technology easy-to-use and as a result, there
- is a web user interface that handles all settings and takes care of the rest
- of the configuration for you. It also keeps the tunnels alive and
- re-establishes them automatically after a remote site has lost the connection. A secure connection to a branch office, a
- business partner, or a home office is done within a couple of minutes
- and compatible with all other implementations.
- </p>
-
- <p>
- This high-level of compatibility is achieved by using the free
- implementation called
- <a href="http://www.strongswan.org" target="_blank">strongSwan</a>. It is maintained by Andreas Steffen, who is a professor for security in communications and head of the Institute for Internet Technologies
- and Applications at the University of Applied Sciences Rapperswil, in
- Switzerland. StrongSwan also works with all current, major operating systems, such as Microsoft
- Windows 7, Microsoft Windows Vista and Mac OS X.
- </p>
- {% end %}
-
- <hr class="separator">
-
- <h2>{{ _("OpenVPN") }}</h2>
-
- {% if lang == "de" %}
- <p>
- Unter den Open Source SSL-VPNs ist OpenVPN ein häufig angetroffener und
- beliebter Vertreter, dessen einfache Konfiguration über das IPFire-
- Webinterface noch einmal erleichtert wird. Die Firewall-Einstellungen
- werden von IPFire automatisch geregelt, ebenso werden die benötigten
- Zertifikate mit wenigen Mausklicks erzeugt und können als kompaktes
- Client-Paket heruntergeladen, verteilt und mit einem weiteren Klick
- ausgeführt werden.
- </p>
- <p>
- Durch die hohe Kompatibilität zu anderen Betriebssystemen
- (Microsoft Windows, Mac OSX, Linux, Android, uvam.)
- eignet sich OpenVPN bestens zur Anbindung sogenannter Roadwarrior-Clients.
- Eine leicht zu konfigurierende, durch Zertifikate gesicherte,
- verschlüsselte Anbindung aus dem Internet
- auf Firmendaten oder das Zuhause liegende Netzwerk kann nicht
- nur über Notebooks, sondern unter anderem auch über PDAs, Smartphones
- oder Tablets hergestellt werden.
- </p>
- <p>
- Doch neben der Anbindung von Laptops und anderen Handgeräten, kann
- mit OpenVPN auch eine transparente Verbindung zu Filialen, Partnern
- und für jeden beliebigen anderen Einsatz erstellt werden.
- Das ermöglicht sicheren Zugriff auf ein gesamtes Netzwerk ohne
- aufwändige Konfiguration.
- </p>
- {% else %}
- <p>
- OpenVPN is a frequently-encountered and most popular representative
- of the class of Open Source SSL VPNs.
- Its relative ease of configuration has again, been made easier
- by the IPFire web interface. The firewall settings are controlled
- by IPFire automatically, as well as the required certificates will be
- generated with a few mouse clicks and can be downloaded and distributed
- as a very compact client package.
- </p>
- <p>
- Due to its high compatibility to all sorts of operating systems,
- such as Microsoft Windows, Mac OSX, Linux, Android and many more,
- it is perfectly useful for roadwarrior connections.
- With those, it is easy to connect your laptop, phone, tablet or
- other devices to your company network, which makes it easy to
- work from anywhere in the world.
- </p>
- <p>
- But besides connecting portable devices, OpenVPN can also be used
- to securely connect branches to the headquater.
- This makes it easy to access resources on other networks
- remotely without any complicated configuration on each client
- Ein Intrusion Dection System, kurz IDS, dient zur Erkennung von Angriffen gegen Computersysteme
- oder Computernetze. Dabei analysiert das IDS den Netzwerktraffic und durchsucht diesen nach Angriffsmustern.
- Wird zum Beispiel ein einfacher Portscan auf ein IPFire-System ausgeführt um angebotene Dienste auszuspähen,
- dann wird dies sofort erkannt.
- </p>
- <p>
- Ein IPS, Intrusion Prevention System, hat zusätzlich zu der Erkennung die Aufgabe Aktionen auszuführen.
- Dabei nimmt es Informationen zum Angriff vom IDS entgegen und handelt entsprechend. Bei dem Beispiel des
- Portscans würde es den Angreifer blocken damit keine Daten mehr ausgetauscht werden.
- </p>
- <p>
- Arbeiten wie in IPFire beide Systeme zusammen nennt man dies ein IDPS (Intrusion detection and prevention
- system). Ein sehr bekannter Vertreter dafür ist Snort. Das freie Netzwerk Intrusion Dection System (NIDS)
- analysiert den Datenverkehr und sofern es etwas Auffälliges findet, logt es dieses. IPFire bietet die
- Möglichkeit die erkannten Angriffe im Webinterface detailliert durchzusehen.
- </p>
- <p>
- Automatische Gegenmaßnahmen verrichtet in IPFire Guardian, was optional nachinstalliert werden kann.
- </p>
- <p>
- Somit ist ein IDPS ein sinnvoller Zusatz zum herkömmlichen Paketfilter um intelligente Entscheidungen
- über einkommende Daten zu treffen.
- </p>
- {% else %}
- <p>
- An Intrusion Dection System (or IDS), is a piece of software designed to detect attacks against computer systems
- and networks. Thereby the IDS will analyze the network traffic and search for attack samples. If someone
- scans the ports of the IPFire-System to see which services are available, the IDS will immediately notice it.
- </p>
- <p>
- An Intrusion Prevention System (or IPS), in addition to the detection system, will perform actions.
- The IPS gets the information from the IDS and reacts accordingly. That means, recalling the example above with
- the portscan, the system would automatically block the attacker immediately in order to prevent further inquiries.
- </p>
- <p>
- It is possible to use IDS and IPS on the IPFire system. We call this system "Intrusion Detection
- and Prevention System" (or IDPS). A very important deputy of this system is Snort, the free Network Intrusion Dection System
- (NIDS). It analyzes the network traffic and if something abnormal happens, it will log the event. IPFire gives you
- the possibility to see it very explicitly in the web interface.
- </p>
- <p>
- For automatic prevention, IPFire has an add-on called Guardian which can be installed optionally.
- </p>
- <p>
- An IDPS is a wise addition to the normal packet filter. It makes intelligent decisions about
- incoming and outgoing network traffic and how to deal with it.
- </p>
- {% end %}
- </div>
- </section>
-
- <section id="qos" class="text-center">
- <div class="container">
- <div class="page-header">
- <h1>{{ _("Quality of Service") }}</h1>
- </div>
-
- {% if lang == "de" %}
- <p>
- Ein Quality of Service, oder kurz QoS, ist in der Lage die Qualität eines Dienstes über eine
- Internetleitung sicherzustellen. Das bedeutet, dass auf einer stark belasteten Internetverbindung
- einem Dienst, wie zum Beispiel einem VoIP-Telefonats, ein gewisses Maß an Bandbreite zugesichert
- werden kann, damit alle Sprachdaten ohne Verzögerung und verlustfrei übertragen werden können.
- Das geht allerdings zu Lasten der anderen Datenströme auf der Leitung, welche es aber durchaus
- vertragen, dass Daten langsamer übertragen werden, wie z.B. ein Upload auf einen FTP-Server.
- </p>
- <p>
- Ein QoS bietet aber nicht nur bei Echtzeitdiensten Vorteile und macht sie besser benutzbar, sondern
- bringt auch kleine Verbesserungen mit, die sich angenehm bemerkbar machen. Dazu gehören unter anderem:
- </p>
- <ul>
- <li>
- <strong>Schnellerer Verbindungsaufbau:</strong> Verbindungen werden immer rasch aufgebaut und
- dann nach Dienst eingeordnet und wenn möglich abgebremst. Das verbessert das Arbeitsgefühl.
- </li>
- <li>
- <strong>Stabilere Verbindungen:</strong> da jedem Dienst ein Mindestmaß an Bandbreite zugesichert wird.
- </li>
- </ul>
- <p>
- Für die Klassifizierung der Pakete, die das System wissen lässt mit welcher Art von Daten es zu tun hat,
- kommt ein Layer-7-Filter zum Einsatz. Dabei wird auch der Inhalt und nicht nur Quell-Ports, -IPs und
- Ziel-Ports und -IPs eines Pakets untersucht. Mit dem Wissen, ob es sich z.B. um einen langen Download
- oder um ein Echtzeitprotokoll handelt, kann es Entscheidungen zur optimalen Auslastung der
- Internetverbindung treffen.
- </p>
- <p>
- Zusammengefasst ist das Endergebnis eines QoS, eine Leitung mit geringer Latenzzeit und geringer
- Paketverlustrate. Eine Funktion, die man schnell nicht mehr vermissen möchte, wo die Bandbreite knapp ist.
- </p>
- <p>
- Perfekte Kontrolle über die getätigten Einstellungen, findet man in der graphischen Darstellung der
- Leitungsauslastung.
- </p>
- {% else %}
- <p>
- Quality of Service (QoS) is able to save the quality of a service on one internet connection. This
- means that on a highly-utilized internet connection, a service (for example VoIP) gets a stable size of bandwidth,
- to transfer the information without delay and without loss. This is at the expense of the other
- data flows on the line, which is tolerated, albeit transmitted more slowly (such as a file upload to an FTP server).
- </p>
- <p>
- QoS does not only increase the functionality of real-time services, but also offers a little bit of overall improvement. For example:
- </p>
- <ul>
- <li>
- <strong>Connections establish much faster.</strong>
- This is works very well on busy links.
- </li>
- <li>
- <strong>Connections are much more stable.</strong>
- Every service gets a minimum, guaranteed amount of bandwidth.
- </li>
- </ul>
- <p>
- For the classification of the packets, a Level-7-Filter is used. It also analyses the content, as well as the source-ports/IPs, and destination-ports/IPs of the packets. With that analysis, it will decide if it's a long download or a real-time
- protocol and then subsequently determines the optimal use of the connection.
- </p>
- <p>
- To put all in a nutshell, QoS reduces the latency and packet loss of an
- internet connection. This is certainly a function that you don't want to miss where bandwidth is limited.
- IPFire bietet mehrere Möglichkeiten zur Einbindung von Wireless-Clients. Zum einen kann ein
- Accesspoint über eine LAN Karte angeschlossen werden. Hier bietet IPFire einen MAC/IP Addressfilter,
- um nur erlaubte Clients zuzulassen. Die Clients dürfen in der Standardeinstellung zwar ins Internet,
- aber nicht auf das lokale Lan zugreifen. Als zweite Möglichkeit kann man eine WLAN-Karte in den IPFire
- einbauen, die über das Addon “hostapd” Funktionalität des Accesspoints übernimmt. Unterstützt werden
- dann unverschlüsselte sowie WPA/WPA2 verschlüsselte Verbindungen. Auch die Nutzung des 5 GHz Bandes
- (802.11a) ist möglich, wenn die WLAN-Karte dies unterstützt.
- </p>
- <p>
- Die Unterstützung von Wireless-Karten in IPFire ist exzellent, da in dem stabilen Kernel die Treiber
- trotzdem auf neuestem Stand sind und somit möglichst viele Karten unterstützt werden.
- </p>
- {% else %}
- <p>
- IPFire offers several options for the integration of wireless clients. First, an access point can
- be connected via a LAN card. In this scenario, IPFire offers MAC/IP address filtering to allow only authorized
- clients. The clients are allowed by default to access the Internet, but they are not allowed access the local LAN.
- The second option is to install a wireless LAN (WLAN) card in the IPFire machine that takes the functionality of the access
- point over, using the add-on "hostapd". This add-on supports both unencrypted and WPA/WPA2-encrypted connections. Also
- the use of 5 GHz (802.11a standard) is possible if the wireless card supports it.
- </p>
- <p>
- Wireless card support in IPFire is excellent. The drivers in the stable kernel are very up-to-date
- and IPFire therefore supports a significant amount of WLAN cards.
- </p>
- {% end %}
+ {% end %}
+
+
+ <h3>{{ _("Content filter") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ SquidGuard ist ein URL-Filter, der über den Redirektor-Mechanismus an den Proxy angebunden wird.
+ Das Herz stellen sogenannte Blacklists dar, die von offizieller Seite erstellt, eine Reihe von
+ klassifizierten Webseiten enthalten und über das Webinterface automatisch auf dem neuesten Stand
+ gehalten werden. Es stehen unterschiedliche, freie Quellen für vorgefertigte Blacklists zur Verfügung,
+ die erlauben unter anderem jugendgefährdende Inhalte, Shopping-, Warez-, Social-Networking- oder
+ gewaltverherrlichende Seiten zu filtern.
+ </p>
+ <p>
+ Individuelle Erweiterungen einzelner Domains oder URLs können für Blacklists und ebenso für Whitelists
+ über das Webinterface eingerichtet werden. IPFire bietet auch einen Blacklist-Editor, der das Editieren
+ und erstellen eigener Blacklists über das Webinterface anbietet.
+ </p>
+ <p>
+ Mögliche Anwendungsbereiche für SquidGuard auf dem IPFire sind:
+ </p>
+ <ul>
+ <li>
+ Sperren oder Einschränken spezieller Internet Inhalte in Abhängigkeit von Uhrzeit, Benutzer
+ und verwendetem Rechner.
+ </li>
+ <li>
+ Verhinderung des Zugriffs auf bestimmte (z.B. jugendgefährdende) Seiten.
+ </li>
+ <li>
+ Ausblenden von Werbung.
+ </li>
+ </ul>
+ {% else %}
+ <p>
+ SquidGuard is a URL filter add-on which is connected via the redirector mechanism of the proxy.
+ The heart of SquidGuard is something called a "blacklist." This is a content control list created by the official site. These lists contain a number of categorically-classified websites and can be kept up-to-date automatically. There are different, independent
+ sources for pre-built blacklists available, which allow among other classes filtering for adult
+ content, shopping, warez, social networking, or sites containing violent/abusive content.
+ </p>
+ <p>
+ Individual extensions for particular domains or URLs can be set up on the IPFire web interface for
+ blacklists and whitelists as well. IPFire also offers a black list editor, that makes the editing
+ and creating your own blacklists quite easy.
+ </p>
+ <p>
+ Possible areas of application for the SquidGuard on IPFire are:
+ </p>
+ <ul>
+ <li>
+ Block or restrict Internet content conditionally by time, user and/or computers.
+ </li>
+ <li>
+ Preventing access to certain (eg. youth-endangering) pages and content categories.
+ </li>
+ <li>
+ Hiding advertising.
+ </li>
+ </ul>
+ {% end %}
+
+
+ <h3>{{ _("Update accelerator") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ Der Update-Accelerator ist ein System, das Updates für z.B. Betriebssysteme erheblich beschleunigen
+ kann. Dazu werden alle heruntergeladenen Updates zwischengespeichert und bei einem weiteren Download
+ aus dem lokalen Cache ausgeliefert.
+ </p>
+ <p>
+ Bei Service Packs für Microsoft Windows, die oft einige hundert Megabytes haben, lohnt sich dieses
+ Speichern massiv, aber auch Virenscanner und andere Produkte profitieren hiervon und machen ein Update von
+ allen Workstations in der Firma zu einer schnell erledigten Aufgabe.
+ </p>
+ {% else %}
+ <p>
+ The Update Accelerator is a feature that can greatly accelerate deploying updates for operating systems.
+ All downloaded updates are cached and if requested another time, are delivered from the cache.
+ </p>
+ <p>
+ For example, Service Packs for Microsoft Windows (which often are several hundred megabytes) are cached for future retrieval, as well as virus scanner definition updates and other product updates which the system automatically identifies. This saves a massive amount of time when updating large amounts of computers (such as corporate networks).
+ </p>
+ {% end %}
+
+
+ <h3>{{ _("Transparent virus scanner") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ Das Paketmanagement bietet das Addon “SquidClamAV” zur Erweiterung an. Somit steht dem Webproxy
+ ein Virenscanner zur Verfügung, der in Echtzeit den Datenverkehr nach Viren mit Hilfe des bekannten
+ ClamAV prüft.
+ </p>
+ <p>
+ Der zusätzliche Schutz zu einem herkömmlichen Virenscanner besteht vor allem darin, dass die Dateien
+ nicht erst auf den Client-Rechner gelangen, bevor der Virenscan ausgeführt werden kann. Potentielle
+ Schädlinge werden vor dem Download durch SquidClamAV geblockt.
+ </p>
+ {% else %}
+ <p>
+ The package manager Pakfire offers the addon SquidClamAV - a virus scanner for the web proxy. This checks in real-time all web traffic for viruses, utilizing the ClamAV virus definitions and scanning engine.
+ </p>
+ <p>
+ The additional protection to a conventional virus scanner lies in the fact that the files are transparently checked before ever making it to the client machine before the client machine's virus scan can be performed. So potentially-malicious files are blocked by
+ SquidClamAV before the client's actual download.
+ </p>
+ {% end %}
+ </section>
+
+ <hr class="divider">
+
+ <section id="crypto">
+ <h3>{{ _("Cryptography") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ Kryptographie ist die Basis für viele Dienste wie
+ <a href="#vpn">VPNs</a> und sicherer Kommunikation im Internet.
+ Daher legt IPFire einen besonderen Wert auf dieses Thema.
+ </p>
+ {% else %}
+ <p>
+ Cryptography is one of the foundations for various services
+ like <a href="#vpn">VPNs</a> and secure communication on the Internet.
+ Therefore, IPFire is putting an emphasis on this topic.
+ möglich, welches von Andreas Steffen, einem Professor für Sicherheit
+ in der Kommunikationstechnik und Leiter des Instituts für
+ Internetechnologien und -applikationen an der Universität der
+ angewandten Wissenschaften Rapperswil in der Schweiz entwickelt wird.
+ StrongSwan arbeitet besonders gut mit Produkten wie Microsoft Windows 7,
+ Microsoft Windows Vista und Mac OS X zusammen.
+ </p>
+ {% else %}
+ <p>
+ IPsec is a widely-deployed VPN solution that was originally developed to be used in conjunction with IPv6. Because it was so secure and IPv6 was so slowly deployed, it was backported to secure IPv4 traffic as well.
+ </p>
+
+ <p>
+ In contrast to SSL-VPNs, IPsec is hard to set-up. In IPFire, we
+ thought about how to make this technology easy-to-use and as a result, there
+ is a web user interface that handles all settings and takes care of the rest
+ of the configuration for you. It also keeps the tunnels alive and
+ re-establishes them automatically after a remote site has lost the connection. A secure connection to a branch office, a
+ business partner, or a home office is done within a couple of minutes
+ and compatible with all other implementations.
+ </p>
+
+ <p>
+ This high-level of compatibility is achieved by using the free
+ implementation called
+ <a href="http://www.strongswan.org" target="_blank">strongSwan</a>. It is maintained by Andreas Steffen, who is a professor for security in communications and head of the Institute for Internet Technologies
+ and Applications at the University of Applied Sciences Rapperswil, in
+ Switzerland. StrongSwan also works with all current, major operating systems, such as Microsoft
+ Windows 7, Microsoft Windows Vista and Mac OS X.
+ </p>
+ {% end %}
+
+
+ <h3>{{ _("OpenVPN") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ Unter den Open Source SSL-VPNs ist OpenVPN ein häufig angetroffener und
+ beliebter Vertreter, dessen einfache Konfiguration über das IPFire-
+ Webinterface noch einmal erleichtert wird. Die Firewall-Einstellungen
+ werden von IPFire automatisch geregelt, ebenso werden die benötigten
+ Zertifikate mit wenigen Mausklicks erzeugt und können als kompaktes
+ Client-Paket heruntergeladen, verteilt und mit einem weiteren Klick
+ ausgeführt werden.
+ </p>
+ <p>
+ Durch die hohe Kompatibilität zu anderen Betriebssystemen
+ (Microsoft Windows, Mac OSX, Linux, Android, uvam.)
+ eignet sich OpenVPN bestens zur Anbindung sogenannter Roadwarrior-Clients.
+ Eine leicht zu konfigurierende, durch Zertifikate gesicherte,
+ verschlüsselte Anbindung aus dem Internet
+ auf Firmendaten oder das Zuhause liegende Netzwerk kann nicht
+ nur über Notebooks, sondern unter anderem auch über PDAs, Smartphones
+ oder Tablets hergestellt werden.
+ </p>
+ <p>
+ Doch neben der Anbindung von Laptops und anderen Handgeräten, kann
+ mit OpenVPN auch eine transparente Verbindung zu Filialen, Partnern
+ und für jeden beliebigen anderen Einsatz erstellt werden.
+ Das ermöglicht sicheren Zugriff auf ein gesamtes Netzwerk ohne
+ aufwändige Konfiguration.
+ </p>
+ {% else %}
+ <p>
+ OpenVPN is a frequently-encountered and most popular representative
+ of the class of Open Source SSL VPNs.
+ Its relative ease of configuration has again, been made easier
+ by the IPFire web interface. The firewall settings are controlled
+ by IPFire automatically, as well as the required certificates will be
+ generated with a few mouse clicks and can be downloaded and distributed
+ as a very compact client package.
+ </p>
+ <p>
+ Due to its high compatibility to all sorts of operating systems,
+ such as Microsoft Windows, Mac OSX, Linux, Android and many more,
+ it is perfectly useful for roadwarrior connections.
+ With those, it is easy to connect your laptop, phone, tablet or
+ other devices to your company network, which makes it easy to
+ work from anywhere in the world.
+ </p>
+ <p>
+ But besides connecting portable devices, OpenVPN can also be used
+ to securely connect branches to the headquater.
+ This makes it easy to access resources on other networks
+ remotely without any complicated configuration on each client
+ on your local network.
+ </p>
+ {% end %}
+ </section>
+
+ <section id="ids">
+ <h3>{{ _("Intrusion detection system") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ Ein Intrusion Dection System, kurz IDS, dient zur Erkennung von Angriffen gegen Computersysteme
+ oder Computernetze. Dabei analysiert das IDS den Netzwerktraffic und durchsucht diesen nach Angriffsmustern.
+ Wird zum Beispiel ein einfacher Portscan auf ein IPFire-System ausgeführt um angebotene Dienste auszuspähen,
+ dann wird dies sofort erkannt.
+ </p>
+ <p>
+ Ein IPS, Intrusion Prevention System, hat zusätzlich zu der Erkennung die Aufgabe Aktionen auszuführen.
+ Dabei nimmt es Informationen zum Angriff vom IDS entgegen und handelt entsprechend. Bei dem Beispiel des
+ Portscans würde es den Angreifer blocken damit keine Daten mehr ausgetauscht werden.
+ </p>
+ <p>
+ Arbeiten wie in IPFire beide Systeme zusammen nennt man dies ein IDPS (Intrusion detection and prevention
+ system). Ein sehr bekannter Vertreter dafür ist Snort. Das freie Netzwerk Intrusion Dection System (NIDS)
+ analysiert den Datenverkehr und sofern es etwas Auffälliges findet, logt es dieses. IPFire bietet die
+ Möglichkeit die erkannten Angriffe im Webinterface detailliert durchzusehen.
+ </p>
+ <p>
+ Automatische Gegenmaßnahmen verrichtet in IPFire Guardian, was optional nachinstalliert werden kann.
+ </p>
+ <p>
+ Somit ist ein IDPS ein sinnvoller Zusatz zum herkömmlichen Paketfilter um intelligente Entscheidungen
+ über einkommende Daten zu treffen.
+ </p>
+ {% else %}
+ <p>
+ An Intrusion Dection System (or IDS), is a piece of software designed to detect attacks against computer systems
+ and networks. Thereby the IDS will analyze the network traffic and search for attack samples. If someone
+ scans the ports of the IPFire-System to see which services are available, the IDS will immediately notice it.
+ </p>
+ <p>
+ An Intrusion Prevention System (or IPS), in addition to the detection system, will perform actions.
+ The IPS gets the information from the IDS and reacts accordingly. That means, recalling the example above with
+ the portscan, the system would automatically block the attacker immediately in order to prevent further inquiries.
+ </p>
+ <p>
+ It is possible to use IDS and IPS on the IPFire system. We call this system "Intrusion Detection
+ and Prevention System" (or IDPS). A very important deputy of this system is Snort, the free Network Intrusion Dection System
+ (NIDS). It analyzes the network traffic and if something abnormal happens, it will log the event. IPFire gives you
+ the possibility to see it very explicitly in the web interface.
+ </p>
+ <p>
+ For automatic prevention, IPFire has an add-on called Guardian which can be installed optionally.
+ </p>
+ <p>
+ An IDPS is a wise addition to the normal packet filter. It makes intelligent decisions about
+ incoming and outgoing network traffic and how to deal with it.
+ </p>
+ {% end %}
+ </section>
+
+ <hr class="divider">
+
+ <section id="qos">
+ <h3>{{ _("Quality of Service") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ Ein Quality of Service, oder kurz QoS, ist in der Lage die Qualität eines Dienstes über eine
+ Internetleitung sicherzustellen. Das bedeutet, dass auf einer stark belasteten Internetverbindung
+ einem Dienst, wie zum Beispiel einem VoIP-Telefonats, ein gewisses Maß an Bandbreite zugesichert
+ werden kann, damit alle Sprachdaten ohne Verzögerung und verlustfrei übertragen werden können.
+ Das geht allerdings zu Lasten der anderen Datenströme auf der Leitung, welche es aber durchaus
+ vertragen, dass Daten langsamer übertragen werden, wie z.B. ein Upload auf einen FTP-Server.
+ </p>
+ <p>
+ Ein QoS bietet aber nicht nur bei Echtzeitdiensten Vorteile und macht sie besser benutzbar, sondern
+ bringt auch kleine Verbesserungen mit, die sich angenehm bemerkbar machen. Dazu gehören unter anderem:
+ </p>
+ <ul>
+ <li>
+ <strong>Schnellerer Verbindungsaufbau:</strong> Verbindungen werden immer rasch aufgebaut und
+ dann nach Dienst eingeordnet und wenn möglich abgebremst. Das verbessert das Arbeitsgefühl.
+ </li>
+ <li>
+ <strong>Stabilere Verbindungen:</strong> da jedem Dienst ein Mindestmaß an Bandbreite zugesichert wird.
+ </li>
+ </ul>
+ <p>
+ Für die Klassifizierung der Pakete, die das System wissen lässt mit welcher Art von Daten es zu tun hat,
+ kommt ein Layer-7-Filter zum Einsatz. Dabei wird auch der Inhalt und nicht nur Quell-Ports, -IPs und
+ Ziel-Ports und -IPs eines Pakets untersucht. Mit dem Wissen, ob es sich z.B. um einen langen Download
+ oder um ein Echtzeitprotokoll handelt, kann es Entscheidungen zur optimalen Auslastung der
+ Internetverbindung treffen.
+ </p>
+ <p>
+ Zusammengefasst ist das Endergebnis eines QoS, eine Leitung mit geringer Latenzzeit und geringer
+ Paketverlustrate. Eine Funktion, die man schnell nicht mehr vermissen möchte, wo die Bandbreite knapp ist.
+ </p>
+ <p>
+ Perfekte Kontrolle über die getätigten Einstellungen, findet man in der graphischen Darstellung der
+ Leitungsauslastung.
+ </p>
+ {% else %}
+ <p>
+ Quality of Service (QoS) is able to save the quality of a service on one internet connection. This
+ means that on a highly-utilized internet connection, a service (for example VoIP) gets a stable size of bandwidth,
+ to transfer the information without delay and without loss. This is at the expense of the other
+ data flows on the line, which is tolerated, albeit transmitted more slowly (such as a file upload to an FTP server).
+ </p>
+ <p>
+ QoS does not only increase the functionality of real-time services, but also offers a little bit of overall improvement. For example:
+ </p>
+ <ul>
+ <li>
+ <strong>Connections establish much faster.</strong>
+ This is works very well on busy links.
+ </li>
+ <li>
+ <strong>Connections are much more stable.</strong>
+ Every service gets a minimum, guaranteed amount of bandwidth.
+ </li>
+ </ul>
+ <p>
+ For the classification of the packets, a Level-7-Filter is used. It also analyses the content, as well as the source-ports/IPs, and destination-ports/IPs of the packets. With that analysis, it will decide if it's a long download or a real-time
+ protocol and then subsequently determines the optimal use of the connection.
+ </p>
+ <p>
+ To put all in a nutshell, QoS reduces the latency and packet loss of an
+ internet connection. This is certainly a function that you don't want to miss where bandwidth is limited.
+ </p>
+ {% end %}
+ </section>
+
+ <section id="hardware">
+ <h3>{{ _("Hardware") }}</h3>
+
+ {% if lang == "de" %}
+ <p>
+ Da IPFire auf einer aktuellen Version des Linux Kernels basiert, ist es möglich
+ eine Breite Palette an neuer Hardware, wie 10-Gigabit-Netzwerkkarten und
+ Wireless-Hardware, ohne zusätzlichen Aufwand zu betreiben.
+ Den Entwicklern ist es ein Anliegen, IPFire auf einer möglichst breiten Palette von
+ Hardware lauffähig zu machen. Dadurch lässt sich IPFire auf alter, günster Hardware
+ genauso hervoragend verwenden, wie auf High-Performance-Systemen.
+ </p>
+ <p>
+ Dabei belaufen sich die Mindestanforderungen bei einem Pentium I (i568), 512MB RAM
+ und 2 GB Festplattenspeicher.
+ </p>
+ <p>
+ Einige Erweiterungen haben zuätzliche Anforderungen an die Hardware um korrekt
+ funktionieren zu können. Ein System welches alle Anforderungen erfüllt, ist in der
+ Lage hunderte Clients zur selben Zeit zu bedienen.
+ </p>
+ <h3>Heads up: Zusätzliche Architekturen in Entwicklung</h3>
+ <p>
+ Das IPFire Projekt ist auch interessiert Ressorcen schonende Systeme zu unterstützen.
+ In diesem Zusammenhang, ist die ARM Architektur erwähnenswert, welche äußerst wenig Strom
+ benötigt und ein großes Zukunftspotential aufweist.
+ </p>
+ <!-- <p>
+ Mehr zu diesem Thema kann auf der <a href="/features/ports/arm">ARM Projekt Seite</a> gefunden
+ werden.
+ </p> -->
+ {% else %}
+ <p>
+ Since IPFire is based on a recent version of the Linux kernel, it supports most
+ of the latest hardware such as 10Gbit network cards and a variety of wireless
+ hardware out of the box.
+ The IPFire developers are very concerned with the ability to run IPFire as many
+ system variations as possible.
+ This helps IPFire to run on older or cheap hardware, as well as high-performance systems.
+ </p>
+ <p>
+ Minimum system requirements are an Intel Pentium I (i586),
+ 512MB RAM and 2GB hard drive space.
+ </p>
+ <p>
+ Some add-ons have extra requirements to perform smoothly.
+ On a system that fits the hardware requirements, IPFire
+ is able to serve hundreds of clients simultaneously.
+ </p>
+
+ <h3>Heads up: More architectures in development!</h3>
+ <p>
+ The IPFire project is always interested in creating systems
+ which save the environment. The ARM architecture consumes
+ much less power and certainly has a lot of potential.