Keine Bearbeitungszusammenfassung |
KKeine Bearbeitungszusammenfassung |
||
(2 dazwischenliegende Versionen desselben Benutzers werden nicht angezeigt) | |||
Zeile 3: | Zeile 3: | ||
<templatestyles src="Vorlage:Portfilter.css" /> | <templatestyles src="Vorlage:Portfilter.css" /> | ||
{{#vardefine:headerIcon|spicon-utm}} | {{#vardefine:headerIcon|spicon-utm}} | ||
{{:UTM/RULE/ | {{:UTM/RULE/Paketfilter.lang}} | ||
</div><div class="new_design"></div>{{Select_lang}}{{TOC2|limit=2}} | |||
{{Header|12.6.0| | |||
* {{#var:neu--rwi}} | |||
|[[UTM/RULE/Portfilter_v12.4 | 12.4]] | |||
[[UTM/RULE/Portfilter_v12.2.3 | 12.2]] | |||
</div>{{Select_lang}}{{TOC2| | |||
{{Header|12. | |||
* {{#var:neu-- | |||
[[UTM/RULE/Portfilter_v12.1 | 12.1]] | [[UTM/RULE/Portfilter_v12.1 | 12.1]] | ||
[[UTM/RULE/Portfilter_v11.7 | 11.7]] | [[UTM/RULE/Portfilter_v11.7 | 11.7]] | ||
| {{Menu|Firewall| | | {{Menu-UTM|Firewall|{{#var:Paketfilter}} }} | ||
}} | |||
<li class="list--element__alert list--element__positiv">{{#var:Portfilter zu Paketfilter}}</li> | |||
---- | ---- | ||
=== {{#var: | |||
<br clear=all> | |||
=== {{#var:Paketfilter Beschreibung}} === | |||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{Bild| {{#var:Paketfilter--Bild}} |{{#var:Menü Paketfilter}}||{{#var:Paketfilter}}|Firewall|icon=fa-play|icon-text={{#var:Regeln aktualisieren}}|class=Bild-t}} | |||
{{#var:Funktion--desc}} | {{#var:Funktion--desc}} | ||
<li class="list--element__alert list--element__warning">{{#var:Regel-Ausnahme}}</li> | <li class="list--element__alert list--element__warning">{{#var:Regel-Ausnahme}}</li> | ||
<br> | |||
<li class="list--element__alert list--element__warning">{{#var:Last-rule-drop}}</li> | <li class="list--element__alert list--element__warning">{{#var:Last-rule-drop}}</li> | ||
<!-- {{pt3|{{#var: | <!-- {{pt3|{{#var:Paketfilter--Bild}}|hochkant=2.5 }} --> | ||
{{#var: | {{#var:Paketfilter-Elemente--desc}} | ||
</div><br clear=all> | </div><br clear=all> | ||
---- | |||
=== {{#var: | === {{#var:Paketfilterregel}} === | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{#var: | {{#var:Paketfilterregel--desc}}<br> | ||
{{#var:Paketfilterregel-Hinweis}} | |||
</div> | |||
{| class="Einrücken sptable2 spezial pd5 tr--bc__white zh1" | {| class="Einrücken sptable2 spezial pd5 tr--bc__white zh1" | ||
|- class="bold small no1cell" | |- class="bold small no1cell" | ||
| class="Leerzeile bc__default" | '''{{#var:Typische Beispiele}}:''' || ||<nowiki>#</nowiki> || style="min-width:12em;"| {{#var:Quelle}} || style="min-width:12em;"| {{#var:Ziel}} || style="min-width:12em;"| {{#var:Dienst}} || style="min-width:6em;"| NAT || {{#var:Aktion}} || {{#var:Aktiv}} ||style="min-width:5em;"| | | class="Leerzeile bc__default" | '''{{#var:Typische Beispiele}}:''' || || <nowiki>#</nowiki> || style="min-width:12em;" | {{#var:Quelle}} || style="min-width:12em;" | {{#var:Ziel}} || style="min-width:12em;" | {{#var:Dienst}} || style="min-width:6em;" | NAT || style="min-width:7em;" | {{#var:Aktion}} || {{#var:Aktiv}} || style="min-width:5em;" | | ||
|- | |- | ||
| class="bc__default" | {{#var:Regel--internal-internet}} || {{spc|drag|o|-}} || 7 || {{spc|net|o|-}} internal-network || {{spc|world|o|-}} internet || {{spc|dienste|o|-}} | | class="bc__default" | {{#var:Regel--internal-internet}} || {{spc|drag|o|-}} || 7 || {{spc|net|o|-}} internal-network || {{spc|world|o|-}} internet || {{spc|dienste|o|-}} default-internet || {{Kasten|HN|blau}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | {{Button||class=fas fa-copy}}{{Button||w|fs=14}}{{Button||trash|fs=14}} | ||
|- class="Leerzeile bc__default" | |- class="Leerzeile bc__default" | ||
| colspan="9" | | | colspan="9" | | ||
|- | |- | ||
| class="bc__default" | {{#var:Regel--internal-dmz1}} || {{spc|drag|o|-}} || 8 || {{spc|net|o|-}} internal-network || {{spc|net|o|-}} dmz1-network || {{spc|other|o|-}} any || || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | | | class="bc__default" | {{#var:Regel--internal-dmz1}} || {{spc|drag|o|-}} || 8 || {{spc|net|o|-}} internal-network || {{spc|net|o|-}} dmz1-network || {{spc|other|o|-}} any || || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | {{Button||class=fas fa-copy}}{{Button||w|fs=14}}{{Button||trash|fs=14}} | ||
|- class="Leerzeile bc__default" | |- class="Leerzeile bc__default" | ||
| colspan="9" | | | colspan="9" | | ||
|- | |- | ||
| class="bc__default" | {{#var:Regel--internet-server-ssh}} || {{spc|drag|o|-}} || 9 || {{spc|world|o|-}} internet || {{spc|net|o|-}} internal-network || {{spc|tcp|o|-}} ssh || {{Kasten|DN ➞|blau}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | | | class="bc__default" | {{#var:Regel--internet-server-ssh}} || {{spc|drag|o|-}} || 9 || {{spc|world|o|-}} internet || {{spc|net|o|-}} internal-network || {{spc|tcp|o|-}} ssh || {{Kasten|DN ➞|blau}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | {{Button||class=fas fa-copy}}{{Button||w|fs=14}}{{Button||trash|fs=14}} | ||
|- class="Leerzeile bc__default" | |- class="Leerzeile bc__default" | ||
| colspan="9" | | | colspan="9" | | ||
|- | |- | ||
| rowspan="3" class="bc__default" | {{#var:Regel--internet-ohne-ftp}}<br><li class="list--element__alert list--element__hint">{{#var:Regel--internet-ohne-ftp--Hinweis}}</li> || {{spc|drag|o|-}} || 10 || {{spc|net|o|-}} internal-network || {{spc|world|o|-}} internet || {{spc|tcp|o|-}} ftp || || {{Kasten|Drop|gelb}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | | | rowspan="3" class="bc__default" | {{#var:Regel--internet-ohne-ftp}}<br><li class="list--element__alert list--element__hint">{{#var:Regel--internet-ohne-ftp--Hinweis}}</li> || {{spc|drag|o|-}} || 10 || {{spc|net|o|-}} internal-network || {{spc|world|o|-}} internet || {{spc|tcp|o|-}} ftp || || {{Kasten|Drop|gelb}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | {{Button||class=fas fa-copy}}{{Button||w|fs=14}}{{Button||trash|fs=14}} | ||
|- class="no1cell" | |- class="no1cell" | ||
| {{spc|drag|o|-}} || 7 || {{spc|net|o|-}} internal-network || {{spc|world|o|-}} internet || {{spc|dienste|o|-}} default-internet || {{Kasten|HN|blau}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | {{Button||class=fas fa-copy}}{{Button||w|fs=14}}{{Button||trash|fs=14}} | | {{spc|drag|o|-}} || 7 || {{spc|net|o|-}} internal-network || {{spc|world|o|-}} internet || {{spc|dienste|o|-}} default-internet || {{Kasten|HN|blau}} || {{Kasten|Accept|grün}} || {{ButtonAn|{{#var:ein}} }} || class=mw6 | {{Button||class=fas fa-copy}}{{Button||w|fs=14}}{{Button||trash|fs=14}} | ||
Zeile 70: | Zeile 63: | ||
| | | | ||
|} | |} | ||
==== {{#var:Autogenerierte Regeln}} ==== | ==== {{#var:Autogenerierte Regeln}} ==== | ||
<div class="Einrücken"> | <div class="Einrücken"> | ||
<span class="Status>{{#var:autogeneriert}}</span> {{#var:Autogenerierte Regeln--desc}}<br> | <span class="Status>{{#var:autogeneriert}}</span> | ||
{{#var:Autogenerierte Regeln--desc}} | |||
{{Hinweis- | <br> | ||
{{Hinweis-box|{{#var:Autogenerierte Regeln--Hinweis}}|fs__icon=em2}} | |||
{{#var:Autogenerierte Regeln--ausblenden}} | <br> | ||
{{#var:Autogenerierte Regeln--ausblenden}} <small>'''Default'''</small> | |||
</div> | </div> | ||
{{h4| {{#var:Paketfilterregel-Einstellungen}} | {{#var:Paketfilterregel-Einstellungen-h4 Format}} }} | |||
<div class="Einrücken"> | <div class="Einrücken"> | ||
{{Hinweis- | {{Hinweis-box|{{#var:Regeln aktualisieren--Hinweis}}<br>{{Button||w}} / {{Button|{{#var:Regel hinzufügen}}|+}} → {{Button| {{#var:Regeln aktualisieren}}|play}} |g|fs__icon=em3}} | ||
</div> | </div> | ||
Zeile 92: | Zeile 87: | ||
! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}} | ! {{#var:cap}} !! {{#var:val}} !! {{#var:desc}} | ||
|- | |- | ||
| {{b|{{#var:Aktiv}} }} || {{ButtonAn|{{#var:ein}} }} || {{#var:Aktiv--desc}} | | {{b|{{#var:Aktiv}}:}} || {{ButtonAn|{{#var:ein}} }} || {{#var:Aktiv--desc}} | ||
|- | |- | ||
| {{b|{{#var:Quelle}} }} | | | {{b|{{#var:Quelle}}:}} || {{ic|{{spc|net|o|-}} internal-network|dr|class=available}} || {{#var:Quelle--desc}} | ||
|- | |- | ||
| {{b|{{#var:Ziel}} }} || {{ic|{{spc|world|o|-}} internet|dr|class=available}} || {{#var:Ziel--desc}} | | {{b|{{#var:Ziel}}:}} || {{ic| {{spc|world|o|-}} internet|dr|class=available}} || {{#var:Ziel--desc}} | ||
|- | |- | ||
| {{b|{{#var:Dienst}} }} || {{ic| {{spc|dienste|o| default-internet}} |dr|class=available}} || {{#var:Dienst--desc}} | | {{b|{{#var:Dienst}}:}} || {{ic| {{spc|dienste|o|default-internet}} |dr|class=available}} || {{#var:Dienst--desc}} | ||
|- | |- | ||
| colspan="2" | {{Button||+}} <span class=Hover>Netzwerkobjekt {{#var:hinzufügen}}</span> / <span class="Hover nowrap lh2>Dienst {{#var:hinzufügen}}</span>|| {{#var:hinzufügen--desc}} | | colspan="2" | {{Button||+}} <span class=Hover>Netzwerkobjekt {{#var:hinzufügen}}</span> / <span class="Hover nowrap lh2>Dienst {{#var:hinzufügen}}</span>|| {{#var:hinzufügen--desc}} | ||
|- | |- | ||
| colspan="2" | {{Button||class=fas fa-random}} <span class=Hover id=tauschen>{{#var:Netzwerkobjekt wechseln}}</span> | | colspan="2" | {{Button||class=fas fa-random}} <span class=Hover id=tauschen>{{#var:Netzwerkobjekt wechseln}}</span> || {{#var:Netzwerkobjekt wechseln--desc}} | ||
|- | |- | ||
| rowspan="5" | {{b|{{#var:Aktion}} }} || {{Button| | | rowspan="5" | {{b|{{#var:Aktion}}:}} || {{Button|ACCEPT|dr|class=available}} || {{Kasten|ACCEPT|grün}} {{#var:ACCEPT--desc}} | ||
|- | |- | ||
| {{Button| | | {{Button|DROP|dr|class=available}} || {{Kasten|DROP|gelb}} {{#var:DROP--desc}} | ||
|- | |- | ||
| {{Button| | | {{Button|REJECT|dr|class=available}} || {{Kasten|REJECT|gelb}} {{#var:REJECT--desc}} | ||
|- | |- | ||
| {{Button| | | {{Button|QOS|dr|class=available}} || {{Kasten|QOS|grau}} {{#var:QOS--desc}} | ||
|- | |- | ||
| {{Button| | | {{Button|STATELESS|dr|class=available}} || {{Kasten|STATELESS|grau}} {{#var:STATELESS--desc}} | ||
|- | |- | ||
| rowspan="3" | {{b| | | rowspan="3" | {{b|Logging:}} || {{Button|None|dr|class=available}} || {{#var:Logging--none--desc}} <small>(default)</small> | ||
|- | |- | ||
| {{Button| | | {{Button|Short|dr|class=available}} || {{#var:Logging--short--desc}} | ||
|- | |- | ||
| {{Button| | | {{Button|Long|dr|class=available}} || {{#var: Logging--long--desc}} | ||
|- | |- | ||
| {{b|{{#var:Gruppe}} }} || {{Button| | | {{b|{{#var:Gruppe}}:}} || {{Button|default|dr|class=available}} || {{#var:Gruppe--desc}} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | {{Kasten|NAT|class=Beschriftung}} | ||
| colspan="2" | {{#var:NAT--desc}} | | colspan="2" | {{#var:NAT--desc}} | ||
|- | |- | ||
| rowspan="6" | {{b|{{#var:Typ}} }} || | | rowspan="6" | {{b|{{#var:Typ}}:}} || {{Button|None|dr|class=available}} | ||
| | | {{#var:None--desc}} | ||
|- | |- | ||
| | | {{Button|Hide NAT|dr|class=available}} | ||
| {{#var:Hide NAT--desc}} | | {{#var:Hide NAT--desc}} | ||
| class="Bild" rowspan="1" | {{Bild|{{#var:Hide NAT--Bild}} |{{#var:Hide NAT--cap}} }} | | class="Bild" rowspan="1" | {{Bild| {{#var:Hide NAT--Bild}} |{{#var:Hide NAT--cap}}||{{#var:Regel hinzufügen}}|Firewall|{{#var:Paketfilter}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}} | ||
|- | |- | ||
| | | {{Button|Dest. NAT|dr|class=available}} | ||
| {{#var:Dest. NAT--desc}} | | {{#var:Dest. NAT--desc}} | ||
| class="Bild" rowspan="1" | {{Bild|{{#var:Dest. NAT--Bild}} |{{#var:Dest. NAT--cap}} }} | | class="Bild" rowspan="1" | {{Bild| {{#var:Dest. NAT--Bild}} |{{#var:Dest. NAT--cap}} }} | ||
|- | |- | ||
| | | {{Button|HideNAT Exclude|dr|class=available}} | ||
| {{#var:HideNAT Exclude--desc}}<br><li class="list--element__alert list--element__hint">{{#var:HideNAT Exclude--Hinweis}}</li>{{Bild|{{#var:HideNAT Exclude--Regelübersicht--Bild}} }} | | {{#var:HideNAT Exclude--desc}}<br><li class="list--element__alert list--element__hint">{{#var:HideNAT Exclude--Hinweis}}</li>{{Bild|{{#var:HideNAT Exclude--Regelübersicht--Bild}} }} | ||
| class="Bild" rowspan="1" | {{Bild|{{#var:HideNAT Exclude--Bild}} |{{#var:HideNAT Exclude--cap}} }} | | class="Bild" rowspan="1" | {{Bild|{{#var:HideNAT Exclude--Bild}} |{{#var:HideNAT Exclude--cap}} }} | ||
|- | |- | ||
| | | {{Button|NetMap|dr|class=available}} | ||
| {{#var:NetMap--desc}} | | {{#var:NetMap--desc}} | ||
| class="Bild" rowspan="1" | {{Bild|{{#var:NetMap--Bild}} |{{#var:NetMap--cap}} }} | | class="Bild" rowspan="1" | {{Bild|{{#var:NetMap--Bild}} |{{#var:NetMap--cap}} }} | ||
|- | |- | ||
| | | {{Button|Full Cone NAT|dr|class=available}} | ||
| {{#var:Full Cone NAT--desc}} | | {{#var:Full Cone NAT--desc}} | ||
| class="Bild" rowspan="1" | {{Bild|{{#var:Full Cone NAT--Bild}} |{{#var:Full Cone NAT--cap}} }} | | class="Bild" rowspan="1" | {{Bild| {{#var:Full Cone NAT--Bild}} |{{#var:Full Cone NAT--cap}} }} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| | | | ||
|- | |- | ||
| {{b|{{#var:Netzwerkobjekt}} }} || {{ic|{{spc|interface|o|external-interface}}|dr|class=available}} | | {{b|{{#var:Netzwerkobjekt}}:}} || {{ic| {{spc|interface|o|external-interface}} |dr|class=available}} | ||
| {{#var:Netzwerkobjekt--desc}} | | {{#var:Netzwerkobjekt--desc}} | ||
|- | |- | ||
| {{b|{{#var:Dienst}} }} || {{ic|{{spc|tcp|o|ssh}}|dr|class=available}} | | {{b|{{#var:Dienst}}:}} || {{ic| {{spc|tcp|o|ssh}} |dr|class=available}} | ||
| {{#var:Nat-Dienst--desc}}<br><li class="list--element__alert list--element__hint">{{#var:Nat-Dienst--Hinweis}}</li> | | {{#var:Nat-Dienst--desc}}<br><li class="list--element__alert list--element__hint">{{#var:Nat-Dienst--Hinweis}}</li> | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| colspan="2" | {{Kasten| | | colspan="2" | {{Kasten|Extras|class=Beschriftung}} | ||
|- | |- | ||
| | | {{b|Rule Routing}} | ||
| {{ic|wan0|dr|class=available}} | | {{ic|wan0|dr|class=available}} | ||
| {{#var:Rule Routing--desc}} | | {{#var:Rule Routing--desc}} | ||
<li class="list--element__alert list--element__hint">{{#var:Rule Routing--Hinweis}}</li> | <li class="list--element__alert list--element__hint">{{#var:Rule Routing--Hinweis}}</li> | ||
| class="Bild" rowspan="4" | {{Bild|{{#var:Rule Routing--Bild}} |{{#var:Rule Routing--cap}} }} | | class="Bild" rowspan="4" | {{Bild|{{#var:Rule Routing--Bild}} |{{#var:Rule Routing--cap}}||{{#var:Regel hinzufügen}}|Firewall|{{#var:Paketfilter}}|icon=fa-save|icon2=fa-floppy-disk-circle-xmark|icon3=fa-close}} | ||
|- | |- | ||
| | | {{b|QOS}} | ||
| {{Button|QOS|dr|class=available}} | | {{Button|QOS|dr|class=available}} | ||
| {{#var:QOS--desc}}<br><li class="list--element__alert list--element__hint">{{#var:QOS-Extras--Hinweis}}</li> | | {{#var:QOS--desc}}<br> <li class="list--element__alert list--element__hint">{{#var:QOS-Extras--Hinweis}}</li> | ||
|- | |- | ||
| | | {{b|{{#var:Zeitprofil}} }} | ||
| {{Button|{{#var:Zeitprofil}}|dr|class=available}} | | {{Button|{{#var:Zeitprofil}}|dr|class=available}} | ||
| {{#var:Zeitprofil--desc}} | | {{#var:Zeitprofil--desc}} | ||
Zeile 176: | Zeile 171: | ||
| | | | ||
|- | |- | ||
| | | {{Kasten|{{#var:Beschreibung}}|class=Beschriftung}} | ||
| {{ic|{{#var:Beschreibung--val}} }} | | {{ic|{{#var:Beschreibung--val}} {{ButtonAn|{{#var:ein}} }} | ||
| {{#var:Beschreibung--desc}} | | {{#var:Beschreibung--desc}} | ||
| class="Bild" rowspan="2" | {{Bild|{{#var:Beschreibung--Bild}} |{{#var:Beschreibung-cap}} }} | | class="Bild" rowspan="2" | {{Bild| {{#var:Beschreibung--Bild}} |{{#var:Beschreibung-cap}} }} | ||
|- class="Leerzeile" | |- class="Leerzeile" | ||
| colspan="3" | | | colspan="3" | <br><br>{{Hinweis-box|{{#var:Regeln aktualisieren--Hinweis}}<br>{{Button||w}} / {{Button|{{#var:Regel hinzufügen}}|+}} → {{Button-dialog|{{#var:Regeln aktualisieren}}|fa-play}} |g|fs__icon=em3}} | ||
|} | |} | ||
---- | ---- | ||
{{:UTM/RULE/Netzwerkobjekte}} | |||
---- | ---- | ||
{{:UTM/RULE/Dienste}} | |||
---- | ---- | ||
{{:UTM/RULE/Zeitprofile}} | |||
---- | ---- |
Version vom 4. März 2024, 18:03 Uhr
- Aktualisierung zum Redesign des Webinterfaces
Die Funktion und Anordnung im Menü ist identisch geblieben.
Paketfilter Beschreibung
UTMbenutzer@firewall.name.fqdnFirewall Der Paketfilter steuert den Datenverkehr, der durch die UTM geht.
- Alle Netzwerk-Pakete, die durch die UTM gehen, werden gefiltert und nur aufgrund von Paketfilterregeln weitergeleitet
- Dabei ist es unerheblich, ob sich die Zieladresse und Quelladresse des Paketes im gleichen Netzwerk, in einem anderen, lokalen Netzwerk oder im Internet und einem lokalen Netzwerk befindet.
- Anhand von Quell-IP, Ziel-IP und verwendetem Dienst werden die Regeln von oben nach unten überprüft.
Die #laufende Nummer vor einer Regel gibt dabei die Reihenfolge der Regelerstellung an und bleibt permanent erhalten. Sie gibt nicht die Reihenfolge an, in der die Regel abgearbeitet wird! - Eine angelegte Regel kann mit gedrückter Maustaste auf das Icon nachträglich in der Reihenfolge verschoben werden.
Trifft für ein Paket die Ausnahme Regel zu, wird die angegebene Aktion ausgeführt und der Paketfilter beendet.
Trifft die Ausnahme Regel nicht zu, wird anschließend die allgemeinere Regel überprüft.
Trifft diese dann zu wird die dort angegebene Aktion ausgeführt.
- Zwei Netzwerkobjekte (Quelle / Ziel)
- einen Dienst
- ggf. Angaben zum NAT-Typ (Network Address Translation)
- ggf. Rule Routing
- ggf. ein QoS-Profil, daß die zur Verfügung gestellte Bandbreite für bestimmte Datenpakete reguliert
- ggf. ein Zeitprofil, zu dem die Regel angewendet werden soll
- eine Aktion, die ausgeführt werden soll
- Angaben zum Logging
- die Zuordnung zu einer Regel-Gruppe
Paketfilterregel
Die Grundstruktur einer Regel ist:
Quelle → Ziel → Dienst → Aktion
Mit Regel kopieren können Regeln kopiert werden: Der Dialog Regel hinzufügen wird mit einer Kopie der jeweiligen Regel geöffnet.
Autogenerierte Regeln
autogeneriert
Die UTM verfügt ab Werk über autogenerierte Regeln.
Diese Regeln lassen zunächst jeden Datenverkehr in die bestehenden Netze zu und geben für interne Netze auch zusätzlich die Proxy-und DNS-Dienste der jeweiligen Schnittstelle frei
Sie lassen sich nicht bearbeiten und müssen unbedingt durch individualisierte Regeln ersetzt und anschließend deaktiviert oder gelöscht werden!
Die Sichtbarkeit der autogenerierte Regeln lassen sich in einem Dropdownmenü mit diesem Schalter regeln: Ein autogenerierte Regeln anzeigen Default
Paketfilterregel Einstellungen
Erst danach werden die Regeln angewendet!
/ →
Allgemein
| |||
Beschriftung | Wert | Beschreibung | |
---|---|---|---|
Aktiv: | Ein | Nur bei Aktivierung wird auf diese Regel geprüft | |
Quelle: | internal-network | Netzwerkobjekt oder Benutzergruppe, die als Quelle des Datenpaketes zugelassen ist. | |
Ziel: | internet | Netzwerkobjekt oder Benutzergruppe, die als Ziel des Datenpaketes zugelassen ist. | |
Dienst: | default-internet | Gewünschter Dienst mit hinterlegtem Port (siehe Dienste) | |
Netzwerkobjekt hinzufügen / Dienst hinzufügen | Öffnet den Dialog zum Hinzufügen eines Netzwerkobjektes oder eines Dienstes | ||
Netzwerkobjekt wechseln | Tauscht die Netzwerkobjekte Quelle und Ziel | ||
Aktion: | ACCEPT Leitet das Paket weiter | ||
DROP Das Paket wird verworfen | |||
REJECT Es wird ein ICMP-Paket an den Absender geschickt, mit dem Hinweis, daß der Port nicht zur Verfügung steht. Im LAN können Reject-Regeln verhindern, daß Clients auf einen Timeout warten müssen. | |||
QOS Ermöglicht ein Quality of Service Profil anzugeben, daß die Bandbreite für Datenpakete, auf die diese Regel zutrifft limitiert. Konfiguration der QoS-Profile im Menü Bereich Profile | |||
STATELESS Lässt Verbindungen statusunabhägig zu | |||
Logging: | Keine Protokollierung (default) | ||
Protokolliert die ersten die Einträge je Minute | |||
Protokolliert alle Einträge | |||
Gruppe: | Paketfilterregeln müssen einer Gruppe zugeordnet werden. Das erleichtert die Übersichtlichkeit beim Ergänzen des Regelwerkes. Außerdem können Regelgruppen mit einem Schalter aktiviert oder deaktiviert werden, notempty Neu ab v12.7.0 sowie die Loggingeinstellung aller beinhalteten Regeln zentral über eine Schaltfläche angepasst werden.
| ||
NAT
|
Die Network Address Translation ist die Umwandlung von IP-Adressen die in einem Netzwerk genutzt werden zu einer anderen IP-Adresse aus einem anderen Netz. Typischerweise bildet man alle intern genutzten privaten IP-Adressen in eine oder mehrere öffentlichen IP-Adressen ab. | ||
Typ: | Es wird kein NAT durchgeführt | ||
Auch Source NAT genannt. Verbirgt die ursprüngliche IP Adresse hinter der IP-Adresse der verwendeten Schnittstelle. Standardfall ist der Datenverkehr von einem internen Netz mit privaten IP Adressen mit dem Internet. |
UTMbenutzer@firewall.name.fqdnFirewallPaketfilter | ||
Destination NAT wird meist verwendet, um mehrere Dienste auf unterschiedlichen Servern unter einer öffentlichen IP-Adresse anzubieten. Möchte man zum Beispiel, vom Internet auf den Dienst SSH (Port 22) des Servers (198.51.100.1/32) über die öffentliche IP-Adresse der Schnittstelle eth0 mit dem Port 10000 zugreifen möchten, müsste die Regel wie nebenstehend abgebildet angelegt werden. Die zugehörigen Netzwerkobjekte und der Dienst auf Port 10000 müssen dazu angelegt sein. |
|||
HideNAT Exclude kommt in der Regel in Verbindung mit IPSec-VPN Verbindungen zum Einsatz. Damit wird erreicht, daß Datenpakete für die VPN Gegenstelle mit der privaten IP-Adresse durch den VPN Tunnel geleitet werden. Andernfalls würden diese, wie alle anderen Pakte in Richtung Internet, mit der öffentlichen WAN IP-Adresse maskiert werden und, da diese mit einer privaten Zieladresse versendet werden, am nächsten Internet Router verworfen. Siehe dazu auch den Wikiartikel HideNAT Exclude. |
|||
NetMap dient dazu zwei gleiche Subnetze miteinander zu verbinden. Unter Verwendung von Hilfsnetzwerken (Mapnetz), die auf keiner der zu verbindenden Gegenstellen eingerichtet sind, können diese Verbindungen kollisionsfrei erstellt werden, ohne auf einer der Seiten das Subnetz komplett zu ändern. Eine Anleitung zum Verbinden zweier Netzwerke findet sich in einem eignen Wikiartikel NetMap |
|||
Bei Full Cone NAT wird für den Absender der gleiche Port gesetzt, wie für den Empfänger. Allerdings werden als Absender auch andere IPs als die ursprünglich adressierte IP zugelassen. Kann ggf. bei VOIP hilfreich sein. | |||
Netzwerkobjekt: | external-interface | Netzwerkobjekt, das die Übersetzung der IP Adressen, also das Natten, vornimmt. Die IP-Adresse dieses Netzwerkobjektes wird dann als Absender-IP Der Datenpakete im Zielnetz verwendet. In der Regel sollte das also die Schnittstelle sein, deren IP Adresse dem Zielnetz bekannt ist, damit Antwortpakete auch korrekt zugestellt werden können. | |
Dienst: | ssh | Verwendet im lokalen Zielnetzwerk den ausgewählten Dienst. Dieser Wert ist oft (aber keinesfalls immer) identisch mit dem darüberstehenden Dienst des Datenquellpaketes, auf den die Regel überprüft wird. Typ oder ausgewählt wurde. | |
Extras
| |||
Rule Routing | wan0 | Im Abschnitt [ - ] Extras wird im Feld Rule Routing regelbasiert festgelegt, welche Route IP-Pakete nehmen sollen.Im nebenstehenden Beispiel werden alle VOIP-Pakete über die Schnittstelle wan0 geleitet. Erfolgt der Zugang zum Internet über einen Router, der an einer Ethernet-Schnittstelle angeschlossen ist, kann diese manuell eingetragen werden. |
UTMbenutzer@firewall.name.fqdnFirewallPaketfilter |
QOS | Ermöglicht ein Quality of Service Profil anzugeben, daß die Bandbreite für Datenpakete, auf die diese Regel zutrifft limitiert. Konfiguration der QoS-Profile im Menü Bereich Profile | ||
Zeitprofil | Beschränkt die Gültigkeit der Regel auf ein zuvor definiertes Zeitprofil. Siehe Abschnitt Zeitprofile. | ||
Beschreibung
|
Erweiterte Regeldetails anzeigen Ein | Alternativer Text, der statt der Regeldetails angezeigt werden kann. Die Anzeige der alternativen Texte erfolgt mit der Schaltfläche |
|
notempty Nach dem Bearbeiten oder Hinzufügen einer Regel muss das Regelwerk aktualisiert werden.
Erst danach werden die Regeln angewendet! / → |
Netzwerkobjekte
Dienste
Dienste hinzufügen / bearbeiten
Ist ein Dienst nicht vorhanden kann dieser mit
Abhängig vom verwendeten Protokoll, lassen sich weitere Einstellungen vornehmen:
- Ports (TCP und UDP)
- Pakettypen (ICMP)
- Protokolltyp (gre)
Dienstgruppen
Dienste lassen sich in Dienstgruppen zusammenfassen. Auch hier gibt es bereits vordefinierte Gruppen, die ergänzt und geändert werden können. Detailanzeige mit Klick auf die Schaltfläche
. notemptydomain-tcp Zielports: 53
domain-udp Zielports: 53
ldap-tcp Zielports: 389
ldap-udp Zielports: 389
ms-ds Zielports: 445
netbios-tcp Zielports: 139
netbios-udpZielports: 137:138
kerberos-tcp Zielports: 88
kerberos-udp Zielports: 88
notempty
Beispiel: Die Gruppe default-internet enthält z.B. die Dienste:
Icon | Name | Protokoll | UTMbenutzer@firewall.name.fqdnFirewallDienste | |
---|---|---|---|---|
domain-udp | udp | Port 53 | ||
ftp | tcp (ftp) | Port 21 | ||
http | tcp | Port 80 | ||
https | tcp | Port 443 | ||
icmp-echo-req | icmp | Pakettyp 8 | ||
Dienst einer Dienstgruppe hinzufügen/entfernen
- Mit einem Klick in die Klickbox wird der gewünschte Dienst ausgewählt und dadurch hinzugefügt.
- Wird auf die Schaltfläche geklickt, wird ein neuer Dienst erstellt und anschließend der Dienstgruppe hinzugefügt.
- Ein Dienst wird mit Klick auf ✕ von der Dienstgruppe entfernt.
Zeitprofile
UTMbenutzer@firewall.name.fqdnFirewall Zeitprofile dienen dazu Paketfilterregeln nur zu festgelegten Zeiten zu aktivieren. Im abgebildeten Beispiel greift das Profil täglich zwischen 3:00 Uhr und 3:59:59 Uhr sowie werktäglich von 7:00 Uhr bis 17:59:59 Uhr. Dies ist in der Tabelle unter Zeitfenster zu erkennen.
notempty
Zeitprofile anlegen
UTMbenutzer@firewall.name.fqdnFirewallZeitprofile
- Anlegen eines Zeitprofils unter Schaltfläche .
- Zeiten auswählen
- Mit klicken der Maus können einzelne Felder oder Zeitbereiche ausgewählt werden
- Mit gedrückt halten der Maus können mehrere Felder und Zeitbereich ausgewählt werden
- Übernehmen der Zeiteinstellungen mit der Schaltfläche Speichern und schließen