Wechseln zu:Navigation, Suche
Wiki































De.png
En.png
Fr.png








Zoneneinstellungen auf der UTM
Letzte Anpassung: 12.4
Neu:
  • Keine extra Zonen für IPv6 mehr erforderlich
  • Aktualisierte Screenshots
  • Layoutanpassungen
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview

11.7



Einleitung

Das Zonenkonzept definiert, über welche Schnittstelle ein Objekt (Host oder Netz) die NextGen UTM erreicht.
Hierzu wird es in der Netzwerkkonfiguration auf ein Interface, sowie im Regelwerk an ein Netzwerkobjekt gebunden.

Das Zonenkonzept

Eine neue Zone anlegen

UTM v12.6 Zoneneinstellungen Zone hinzufügen.png
Eine neue Zone wird unter Netzwerk Zoneneinstellungen angelegt, indem auf die Schaltfläche Zone hinzufügen geklickt wird.
Eine Zone kann nur ohne, oder mit einer bereits erstellten Schnittstelle erstellt werden.


Die Zonen

Wir unterscheiden zwischen Netzwerk-, Schnittstellen- und VPN-Zonen:

  • Netzwerkzonen unterscheiden die Netzwerksegmente, die sich jeweils hinter einer Schnittstelle der Firewall befinden.
  • Schnittstellenzonen unterscheiden die Schnittstellen, über die die unterschiedlichen Netzwerkzonen angebunden sind.
  • VPN-Zonen unterscheiden verschiedene Netze, die über VPN-Verbindungen angebunden sind.


Die Art einer Zone wird durch Flags gesteuert, welche beim Anlegen der Zone definiert werden. Die Unterscheidung für den Anwender wird durch Namenskonventionen vereinfacht (Schnittstellen: Präfix „firewall-“, VPN: Präfix „vpn-“).
Durch die Verknüpfung eines Objekts im Regelwerk mit dem Interface über die Zone wird erreicht, dass eine Portfilter-Regel nur dann greift, wenn nicht nur Quelle, Ziel und Dienst auf die Regel passen, sondern die Verbindung auch über die richtigen Interfaces erfolgt. Hiermit wird allen Angriffen vorgebeugt, die ein IP-Spoofing beinhalten. Die Zuordnung eines Objekts zu einem Interface erfolgt durch die Bindung der Zone auf das Interface einerseits und die Zuordnung des Netzwerkobjekts zu einer Zone andererseits.

Das Zonenkonzept

Beispiele:
Internal Network: internal
Internal Interface: firewall-internal
External Interface: firewall-external
Internet: external
Mailserver: internal
Webserver in der 1. DMZ: DMZ1
Entferntes IPSec-Subnetz: vpn-ipsec
Warum muss zwischen diesen unterschiedlichen Zonen unterschieden werden?
Hier ein Beispiel für eine Portfilterregel:

Dadurch werden Verbindungen mit dem Protokoll HTTP aus dem internen Netzwerk ins Internet freigegeben. Die Quelle liegt dabei in der Netzwerkzone "Internal", das Ziel in der Netzwerkzone "External".

Quelle und Ziel befinden sich also in unterschiedlichen Zonen, weil sie über unterschiedliche Schnittstellen der Firewall erreicht werden.

# Quelle Ziel Dienst NAT Aktion Aktiv
Dragndrop.png 4 Vpn-network.svg internal-network World.svg internet Tcp.svg HTTP Accept Ein

Wird nun z.B. "www.ttt-point.de" in den Browser eingegeben, erfolgt vor dem Aufbau dieser Verbindung eine Namensauflösung.
Die Dienste der Firewall sind über die jeweiligen Schnittstellen erreichbar.
Ist also die Firewall der DNS-Server im Netzwerk, schickt die Workstation die DNS-Anfrage an das interne Interface der Firewall.

Diese Anfrage muss mit einer Portfilterregel erlaubt werden:

Diese Regel unterscheidet sich von der vorherigen in einem Detail: Quelle und Ziel der freigegebenen Verbindung befinden sich nicht hinter unterschiedlichen Schnittstellen.
Vielmehr befindet sich das Ziel (die Schnittstelle) im gleichen Netzwerksegment wie die Quelle und damit eigentlich in der gleichen Zone! Intern werden jedoch Regeln für Verbindungen zu Netzwerken oder Hosts in einer anderen Tabelle des Portfilters erstellt als solche, die die Firewall selbst zum Ziel haben.
Schnittstellen befinden sich also in ihren eigenen Interface-Zonen, so dass hier z.B. die Quelle in der Netzwerk-Zone "Internal" und das Ziel, das Interface der Firewall, in der Zone "firewall-internal" liegt.

Quelle und Ziel einer Verbindung, die im Portfilter-Regelwerk freigegeben wird, befinden sich also immer in unterschiedlichen Zonen:

  • Entweder in einer anderen Netzwerkzone und damit hinter einem anderen Interface, oder
  • in der Interface-Zone der Schnittstelle, hinter der sich das Netzwerksegment der Quelle befindet.

# Quelle Ziel Dienst NAT Aktion Aktiv
Dragndrop.png 4 Vpn-network.svg internal-network Interface.svg internal-interface Service-group.svg DNS Accept Ein



Flags

Flag Bedeutung UTM v12.6 Zoneneinstellungen Zoneneinstellungen.png
Zoneneinstellungen
Kein Flag Es handelt sich um die Zone eines Netzwerks.
Interface Es handelt sich um die Zone zu einer UTM-Schnittstelle. Diese wird in der Regel genutzt, um die Dienste, die die UTM anbietet (Nameserver, Proxy), erreichbar zu machen.
Policy_IPSec Es handelt sich um die Zone eines IPSec-VPN Netzwerkes.
PPP_VPN Es handelt sich um die Zone in der sich PPTP- oder L2TP-VPN Clients befinden.

IPv6

  • Ab Version 12.4 werden keine extra Zonen mehr für IPv6 benötigt.
    Es wird bereits anhand der Art der IP festgelegt, ob die Regel nach iptables oder ip6tables geschrieben werden muss.

    Bei Neuinstallationen werden keine IPv6 Zonen mehr angelegt.
    Existierende Zonen bleiben beim Firmware-Upgrade oder Import einer Konfiguration bestehen.