Lauritzl am 23. Mai 2024 um 11:02 Uhr

2024-05-23T11:02:53Z

← Nächstältere Version		Version vom 23. Mai 2024, 13:02 Uhr
Zeile 1:		Zeile 1:
	{{Archivhinweis\|UTM/APP/Connection-Rate-Limit\|pre=12.6.2}}		{{Archivhinweis\|UTM/APP/Connection-Rate-Limit\|pre=12.7.0}}
	{{Set_lang}}		{{Set_lang}}

Lauritzl: Die Seite wurde neu angelegt: „{{Archivhinweis|UTM/APP/Connection-Rate-Limit|pre=12.6.2}} {{Set_lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | Connection Rate Limit | Connection Rate Limit }} {{var3 | head | Drosselung von Zugriffen von bestimmten Quell-IPs auf wiederkehrende Ports | Throttling of access from certain source IPs to recurring ports }} {{var | Menu-ssh | (oder per SSH) | (or via SSH) }} {{var | Connection-Limit…“

2024-05-23T11:01:55Z

Die Seite wurde neu angelegt: „{{Archivhinweis|UTM/APP/Connection-Rate-Limit|pre=12.6.2}} {{Set_lang}} {{#vardefine:headerIcon|spicon-utm}} {{var | display | Connection Rate Limit | Connection Rate Limit }} {{var3 | head | Drosselung von Zugriffen von bestimmten Quell-IPs auf wiederkehrende Ports | Throttling of access from certain source IPs to recurring ports }} {{var | Menu-ssh | (oder per SSH) | (or via SSH) }} {{var | Connection-Limit…“

Neue Seite

{{Archivhinweis|UTM/APP/Connection-Rate-Limit|pre=12.6.2}}
{{Set_lang}}

{{#vardefine:headerIcon|spicon-utm}}

{{var | display
| Connection Rate Limit
| Connection Rate Limit }}
{{var3 | head
| Drosselung von Zugriffen von bestimmten Quell-IPs auf wiederkehrende Ports
| Throttling of access from certain source IPs to recurring ports }}
{{var | Menu-ssh
| (oder per SSH)
| (or via SSH) }}
{{var | Connection-Limit
| Connection Rate Limit
| Connection Rate Limit }}
{{var | Connection-Limit--desc
| Die UTM kann ab v12.6.2 die Anzahl der TCP- und/oder UDP-Verbindungen von einer externen IP-Adresse auf einen Port limitieren. 
Dabei gelten folgende Bedingungen:
* Es werde nur eingehende Verbindungen überwacht, für die eine '''Default-Route''' existiert
* Es werden die Verbindungen von einer IP-Adresse auf einen Port der UTM innerhalb einer Minute gezählt
* Bei Aktivierung werden 5 Verbindungen / Verbindungsversuche je Minute zugelassen. Danach werden die Verbindungen limitiert:
** Dabei werden die zusätzlich zugelassenen Verbindungen innerhalb von 60 Sekunden seit der ersten Verbindung gleichmäßig verteilt.
** Bei einem CONNECTION_RATE_LIMIT-Wert von 20 kommt also alle 3 Sekunden eine zusätzliche Verbindung hinzu.
** 10 Sekunden nach der 1 Anmeldung könnten 3 weitere Verbindungen aufgebaut werden (jeweils von der gleichen IP-Adresse aus auf den selben Ziel-Port)
* Die Sperrung einer IP-Adresse wirkt nur für den Zugriff auf den Port, der zu oft genutzt wurde. Andere Ports können weiterhin erreicht werden.
* Die Funktion ist bei '''Neuinstallationen per Default auf 20 UDP-Verbindungen''' / Minute auf allen Ports aktiviert
* Bei '''Updates''' muss die Funktion '''manuell aktiviert''' werden
| From v12.6.2, the UTM can limit the number of TCP and/or UDP connections from an external IP address to one port. 
The following conditions apply:
* Only incoming connections for which a '''default route''' exists are monitored
* The connections from an IP address to a port of the UTM are counted within one minute
* When activated, 5 connections / connection attempts per minute are permitted. The connections are then limited:
** The additionally permitted connections are distributed evenly within 60 seconds of the first connection.
** With a CONNECTION_RATE_LIMIT value of 20, an additional connection is added every 3 seconds.
** 10 seconds after the first login, 3 further connections could be established (each from the same IP address to the same destination port)
* Blocking an IP address only affects access to the port that has been used too often.
 Other ports can still be accessed.
* The function is activated by default for '''new installations on 20 UDP connections''' / minute on all ports
* For '''Updates''' the function must be '''manually activated''' }}
{{var | CLI-Befehl
| CLI-Befehl
| CLI command }}
{{var | Funktion
| Funktion
| Function }}
{{var | Ausgabe
| Ausgabe
| Output }}
{{var | Listet alle Variablen
| Listet alle Variablen der Anwendung ''securepoint_firewall'' auf. Für das Connection Limit sind die Variablen zuständig, die mit ''CONNECTION_RATE_LIMIT_'' beginnen.
| Lists all variables of the ''securepoint_firewall'' application. The variables beginning with ''CONNECTION_RATE_LIMIT_'' are responsible for the connection limit. }}
{{var | Variable
| Variable
| Variable }}
{{var | Default-Wert
| Default-Wert
| Default-Value }}
{{var | 1=CONNECTION_RATE_LIMIT_TCP--desc
| 2=Anzahl der zugelassenen TCP-Verbindungen einer IP-Adresse je Port 0 = Funktion deaktiviert, es werden keine Sperrungen vorgenommen
| 3=Number of permitted TCP connections of an IP address per port 0 = Function deactivated, no blocking is performed }}
{{var | 1=CONNECTION_RATE_LIMIT_TCP_PORTS--desc
| 2=Ports die überwacht werden sollen. Per Default leer=alle Ports würden (bei Aktivierung) überwacht werden. Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]
| 3=Ports to be monitored. Empty by default=all ports would be monitored (if activated). Individual ports are separated by spaces: [ 1194 1195 ] }}
{{var | 1=CONNECTION_RATE_LIMIT_UDP--desc
| 2=Anzahl der zugelassenen UDP-Verbindungen einer IP-Adresse je Port
| 3=Number of permitted UDP connections of an IP address per port }}
{{var | 1=CONNECTION_RATE_LIMIT_UDP_PORTS--desc
| 2=Ports die überwacht werden sollen. Per Default leer=alle Ports werden überwacht (nur bei Neuinstallationen!). Einzelne Ports werden durch Leerzeichen getrennt: [ 1194 1195 ]
| 3=Ports to be monitored. Empty by default=all ports are monitored (only for new installations!). Individual ports are separated by spaces: [ 1194 1195 ] }}
{{var | extc value get-root
| Alternativ als root-User:
| Alternatively as root user: }}
{{var | TCP value 20--desc
| Begrenzt die zugelassene Anzahl von '''TCP'''-Verbindungen von einer einzelnen IP-Adresse auf jeweils einen bestimmten Port auf 20 pro Minute
| Limits the allowed number of '''TCP''' connections from a single IP address to a specific port to 20 per minute }}
{{var | TCP value 0--desc
| Deaktiviert die Überwachung von '''TCP'''-Verbindungen
| Deactivates the monitoring of '''TCP''' connections }}
{{var | TCP_PORTS value--desc
| Beschränkt die Überwachung von '''TCP'''-Verbindungen auf die Ports 443 und 11115
| Restricts the monitoring of '''TCP''' connections to ports 443 and 11115 }}
{{var | UDP value 20--desc
| Begrenzt die zugelassene Anzahl von '''UDP'''-Verbindungen von einer einzelnen IP-Adresse auf jeweils einen bestimmten Port auf 20 pro Minute
| Limits the allowed number of '''UDP''' connections from a single IP address to a specific port to 20 per minute }}
{{var | UDP value 0--desc
| Deaktiviert die Überwachung von '''UDP'''-Verbindungen
| Deactivates the monitoring of '''UDP''' connections }}
{{var | UDP_PORTS value--desc
| Beschränkt die Überwachung von '''UDP'''-Verbindungen auf die Ports 1194 und 1195. (Beispielhaft für 2 angelegte SSL-VPN Tunnel.)
| Restricts the monitoring of '''UDP''' connections to ports 1194 and 1195. (Example for 2 created SSL-VPN tunnels). }}
{{var | UDP value 20--default
| '''Default''' Einstellung bei Neuinstallationen ab v12.6.2: 20 Bei Update Installationen ist der Wert 0, damit ist die Funktion deaktiviert.
| '''Default''' setting for new installations from v12.6.2: 20 For update installations the value is 0, so the function is deactivated. }}
{{var | UDP value 20--Hinweis
| Wir empfehlen die Aktivierung, um Angriffe auf OPENVPN Installationen abzuwehren
| We recommend activation to prevent attacks on OPENVPN installations }}
{{var | PORTS value NULL
| Ein NULL-Wert hebt die Einschränkung auf bestimmte Ports auf
| A NULL value removes the restriction to certain ports }}
{{var | Leerzeichen beachten
| Vor und nach den eckigen Klammern [ ] müssen jeweils Leerzeichen stehen!
| There must be spaces before and after the square brackets [ ]! }}
{{var | Beispiel
| Beispiel, um maximal 20 Verbindungen pro Minute je IP-Adresse und Port zuzulassen. Bei TCP wird die Überwachung auf die Ports 443 und 11115 beschränkt. Es werden alle Ports auf UDP-Verbindungen überwacht.
| For example, to allow a maximum of 20 connections per minute per IP address and port. For TCP, monitoring is restricted to ports 443 and 11115. All ports are monitored for UDP connections. }}
{{var | system update rule--desc
| Zum Abschluss muss der CLI-Befehl {{code|system update rule}} eingegeben werden, damit die Werte in den Regeln angewendet werden.
| Finally, the CLI command {{code|system update rule}} must be entered so that the values in the rules are applied. }}
{{var | Konfiguration mit CLI-Befehlen zeigen
| Konfiguration mit CLI-Befehlen zeigen
| Show configuration with CLI commands }}
{{var | Konfiguration mit CLI-Befehlen
| Konfiguration mit CLI-Befehlen
| Configuration with CLI commands }}
{{var | Änderung mit 0
| Soll der Wert '''geändert''' werden, muss er zunächst auf '''0 gesetzt''' und ein '''Regelupdate''' durchgeführt werden. Anschließend kann ein '''neuer Wert''' eingetragen werden.
| If the value is to be '''changed''', it must first be '''set to 0''' and a '''rule update''' carried out. A '''new value''' can then be entered. }}
{{var | neu--Artikel | Beta Funktion | Beta function }}
{{var | Beta-Funktion
| Bei ''Connection Rate Limit'' handelt es sich um eine '''Beta-Funktion''', die sich noch in der Entwicklung befindet. Bei zu gering gesetztem Rate Limit kann es zu unerwartete Effekten kommen, z.B. das ggfs. Dienste eingeschränkt werden können.
| ''Connection Rate Limit'' is a '''beta function''' that is still under development. If the rate limit is set too low, unexpected effects may occur, e.g. services may be restricted. }}
{{var | CLI Hinweis
| Die Funktion befindet sich noch in der Erprobungsphase und wird weiter ausgebaut. Die Funktion ist zunächst ausschließlich über das CLI zu konfigurieren
| The function is still in the testing phase and will be further expanded. The function can initially only be configured via the CLI }}
{{var | Connection-Rate-Limit-Ziel
| Die Funktion soll helfen Angriffe abzuwehren. SSL-VPN-Zugänge können so z.B. vor aggressiven Scans oder Anmeldeversuchen geschützt werden.
| The function aims to protect against attacks. SSL-VPN accesses can be protected against aggressive scans or login attempts, for example. }}
{{var | neu--Änderung
| Hinweis zur [[#aenderung | Änderung]] des Rate-Limits
| Note on [{{#var:host}}UTM/APP/Connection-Rate-Limit#aenderung change] of the rate limit }}

</div><noinclude>{{TOC2}}{{Select_lang}}
{{Header|12.6.2|new=true|
* {{#var:neu--Änderung}}
|Menu={{Menu-UTM|Extras|CLI}} {{#var:Menu-ssh}} }}
</noinclude>
<includeonly>
=== {{#var:Connection-Limit}} ===
'''{{#var:head}}'''
<div class="Einrücken">
</includeonly>
{{Hinweis-box| {{#var:Beta-Funktion}} | fs__icon=em2 }}
{{Hinweis-box| {{#var:CLI Hinweis}} | g | fs__icon=em2}}
<div class=Einrücken2>{{#var:Connection-Rate-Limit-Ziel}}</div>

----
<noinclude>
=== {{#var:Connection-Limit}} ===
</noinclude>
<div class="Einrücken">{{Bildwechsel|Connection Rate Limit.png|Wechselbild=Connection Rate Limit Access.png | class=Bild-t noborder}}
{{#var:Connection-Limit--desc}}


{| class="sptable2 pd5 zh1"
! extc-{{#var:Variable}} !! {{#var:Default-Wert}} !! {{#var:desc}}
|-
| CONNECTION_RATE_LIMIT_TCP || 0 || {{#var:CONNECTION_RATE_LIMIT_TCP--desc}}
|-
| CONNECTION_RATE_LIMIT_TCP_PORTS || || {{#var:CONNECTION_RATE_LIMIT_TCP_PORTS--desc}}
|-
| CONNECTION_RATE_LIMIT_UDP || 20 / 0 {{info|{{#var:UDP value 20--default}} }} || {{#var:CONNECTION_RATE_LIMIT_UDP--desc}}
|-
| CONNECTION_RATE_LIMIT_UDP_PORTS || || {{#var:CONNECTION_RATE_LIMIT_UDP_PORTS--desc}}
|}
</div>
==== {{#var:Konfiguration mit CLI-Befehlen}} ====
<includeonly>{{Einblenden|{{#var:Konfiguration mit CLI-Befehlen zeigen}}|{{#var:hide}}|true|dezent}}</includeonly>
{| class="sptable2 pd5 zh1 Einrücken"
! {{#var:CLI-Befehl}} !! {{#var:Funktion}}
|-
| {{code|extc value get application securepoint_firewall}} {{#var:extc value get-root}} {{code|spcli extc value get application securepoint_firewall | grep RATE}}
| {{#var:Listet alle Variablen}} 
{{code|1=<nowiki> application |variable |value
--------------------+-------------------------------+-----
securepoint_firewall |… |…
|CONNECTION_RATE_LIMIT_TCP |0
|CONNECTION_RATE_LIMIT_TCP_PORTS|
|CONNECTION_RATE_LIMIT_UDP |20
|CONNECTION_RATE_LIMIT_UDP_PORTS|
</nowiki>|style=width:max-content;}}
|-
| style="min-width:60%;" | {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20 system update rule}} || {{#var:TCP value 20--desc}} <li class="list--element__alert list--element__hint small">{{#var:Änderung mit 0}}</li>
|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 0 system update rule}} || {{#var:TCP value 0--desc}}
|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ] system update rule }}|| {{#var:TCP_PORTS value--desc}} {{#var:Leerzeichen beachten}}

|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ ] system update rule}}|| {{#var:PORTS value NULL}} {{#var:Leerzeichen beachten}}

|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20 system update rule}} || {{#var:UDP value 20--desc}} {{#var:UDP value 20--default}} <li class="list--element__alert list--element__hint small">{{#var:Änderung mit 0}}</li>

|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 0 system update rule}} || {{#var:UDP value 0--desc}}
|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ 1194 1195 ] system update rule | style=xwidth:max-content;}} || {{#var:UDP_PORTS value--desc}} {{#var:Leerzeichen beachten}}

|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ] system update rule}}|| {{#var:PORTS value NULL}} {{#var:Leerzeichen beachten}}

|-
| {{code|extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP value 20 extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_TCP_PORTS value [ 443 11115 ] extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP value 20 extc value set application securepoint_firewall variable CONNECTION_RATE_LIMIT_UDP_PORTS value [ ] system update rule}} 

{{Hinweis-box| {{#var:system update rule--desc}} }} 
| {{#var:Beispiel}}
|}
</div>
<includeonly></div></div></div></includeonly>

UTM/APP/Connection-Rate-Limit v12.6.2 - Versionsgeschichte

Lauritzl am 23. Mai 2024 um 11:02 Uhr