Anwendungsorientierte Firewall unter Linux?

#1 Hi.

Ich hätte da gerne mal ein Problem:

bei mir werkelt ein separater PC mit IPCop als Router / Firewall (rot/grün, keine DMZ, LAN-IPs 192.168.*.*, Subnet-Mask 255.255.255.0). Darüber hinaus ist noch auf jedem hinter dem Router liegenden Windows-PC separat eine "Kerio Personal Firewall" installiert.

Was mir an der KPF so gut gefällt, ist die Möglichkeit, Regeln nur für bestimmte Anwendungen zu definieren. Läuft die Anwendung nicht, werden die Zugriffe geblockt - Ende der Geschichte.

Ich habe zwar schon mal was vom ISO/OSI-Modell gehört, aber die Kenntnisse darüber nicht weiter vertieft. Auch die Funktion von Monikern ist mir nicht unbekannt. Aber in der Linux-Welt bin ich nicht so schrecklich firm. Also nicht lachen, bitte.


Jetzt zur eigentlichen Frage:

Gibt es die Möglichkeit, eine Linux-Firewall auf einem Router zu installieren, die die Zugriffe ins Internet abhängig von der Anwendung, die auf dem internen LAN-Client läuft, zu gestatten oder zu verweigern?

Oder allgemeiner gefragt: übermittelt die Anwendung, die eine Verbindung ins Internet (oder ein anderes Netz) über eine TCP/IP-Netzwerkverbindung anfordert, eine irgendwie geartete Kennung, anhand derer ein Router erkennen könnte, welche Anwendung diese Verbindung anfordert?

Das Browser sich gegenüber Websites "identifizieren", ist ja nun bekannt. Aber wie sieht es mit anderen Anwendungen, z. B. einem E-Mail-Client oder News-Reader aus?

Und: gibt es eine Software, die auf einem Firewall-Router z. B. diese "Kennungen" auswerten und für Firewall-Regeln nutzen kann?


Gruss und schon jetzt meinen Dank

Aahz

#2 http://beta.owasp.org/development/codeseeker
Seite ist momentan leider down.
http://sourceforge.net/project/showfiles.php?group_id=64424&release_id=144640

Sonst fällt mir keine ein.
Hintergrund:

Zitat

The whole firewalling process runs in kernelspace and is completely independent from any other software - in fact iptables do not know anything about the applications using the network. All they do, is to decide if a port is reachable or not for each package.

__________
Bitte keine Anfragen per PM, diese werden nicht beantwortet.

#3 Also wie Emba bereits scho mal in einem anderen Thread erwähnt hat gibt es ja dieses eperimentelle 'string' module womit man zb. Kazaa blocken kann. Also müsste dies ja auch für andere Anwendungen möglich sein.
__________
E-Mail: therion at ninth-art dot de
IRC: megatherion @ Freenode