Wechseln zu:Navigation, Suche
Wiki





notempty
Dieser Artikel bezieht sich auf eine nicht mehr aktuelle Version!

notempty
Der Artikel für die neueste Version steht hier

notempty
Zu diesem Artikel gibt es bereits eine neuere Version, die sich allerdings auf eine Reseller-Preview bezieht












































































Konfiguration von Zugriffen mittels Geo-IP auf der UTM steuern
Letzte Anpassung zur Version: 12.2.2
Neu:
  • Neue Funktion 03.2022
notempty
Dieser Artikel bezieht sich auf eine Resellerpreview
-
De.png
En.png
Fr.png
  • IP-Adressen können über die zugehörigen IP-Netze und den Organisationen und Institutionen, denen diese zugewiesen sind, einem Land zugeordnet werden.

    Für jedes Land existiert in der UTM dafür eine GeoIP, in der diese Zuweisungen gespeichert werden.

    Diese Datenbank wird regelmäßig unabhängig von der Firmware aktualisiert.
    IPs, die von der Datenbank nicht erfasst werden, werden von den Regeln nicht berücksichtigt. Die Aktualisierung erfolgt wöchentlich.
      

    Die GeoIPs werden von der UTM dabei wie Netzwerkobjekte der Zone external behandelt. → weitere Zonen

  • Der tatsächliche Standort eines Hosts kann von der Zuordnung abweichen oder z.B. durch einen VPN Tunnel nicht ersichtlich sein!

  • Systemweites Blocking

    Unter → Firewall →Implizite Regeln lassen sich Regionen systemweit als Quelle oder Ziel blockieren

    Diese Einstellungen gelten systemweit in allen Zonen und werden vor den Portfilter-Regeln angewendet!





































    Aktiv Gruppe/Regel Beschreibung UTM v12.2.2 Implizite Regeln-GeoIP.png
    Dialog Implizite Regeln
    Ein GeoIP Aktiviert die GeoIP Einstellungen sowohl für Quellen, als auch für Ziele
    Ein DropSource Aktiviert die GeoIP Einstellungen für abgelehnte Quellen
    Ein DropDestination Aktiviert die GeoIP Einstellungen für abgelehnte Ziele

    GeoIP Einstellungen
    Beschriftung Wert Beschreibung
    Systemweit abgelehnte Quellen: ×BX (Beliebiges Beispiel) In der Klickbox können Länder ausgewählt werden, die als Quellen blockiert werden sollen.
    Systemweit abgelehnte Ziele: ×BX (Beliebiges Beispiel) In der Klickbox können Länder ausgewählt werden, die als Ziele blockiert werden sollen.
    Damit werden Zugriffe über Browser ebenso unterbunden, wie z.B. nachgeladener Schadcode.


    GeoIP-basierte Portfilter Regeln

    Bestimmten Regionen soll der Zugriff auf bestimmte Ports verwehrt werden.
    Hier: Keine Mails aus der Antarktis

  • GeoIPs haben per Default die Zone external
  • Einrichten weiterer Zonen für GeoIP

    Liegt die Schnittstelle mit dem Internetzugang in einer anderen Zone oder steht an mehreren Schnittstellen mit weiteren Zonen ein Internetzugang bereit, müssen GeoIP-Netzwerkobjekte dort ebenfalls zur Verfügung stehen.

    Dies geschieht mit einem CLI-Befehl.

    node geoip generate zone <zone> name <prefix>

    Der Prefixname ist optional, die Zone muss bereits existieren.

    Beispiel: node geoip generate zone external2 name EXT2_

    Dieser Befehl erzeugt für jede Region ein zusätzliches Netzwerkobjekt in der Zone external2.
    Für Deutschland hieße das dann EXT2_GEOIP:DE
    Achtung: Dieser Befehl legt ca. 250 neue Netzwerkobjekte an

    Beispiel: Blocking

    Bestimmten Regionen soll der Zugriff auf bestimmte Ports verwehrt werden.
    Hier: Keine Mails aus der Antarktis

    Schritt 1: Anlegen einer Netzwerkgruppe
    Schritt 1: Anlegen einer Netzwerkgruppe
    Beschriftung Wert Beschreibung UTM v12.2.2 Netzwerkobjekte Gruppe hinzufügen.png
    Hinzufügen einer Netzwerkgruppe für GeoIPs, die blockiert werden sollen im Abschnitt Netzwerkgruppen mit der Schaltfläche Gruppe hinzufügen
    Name: Geo-Blocking-Mail Aussagekräftiger Name für die Netzwerkgruppe
    Speichern
    Schritt 2: GeoIPs hinzufügen
    Schritt 2: GeoIPs hinzufügen
    Geo-Blocking-Mail Soeben angelegte Netzwerkgruppe durch Anklicken öffnen UTM v12.2.2 Netzwerkobjekte GeoIP.png
    Netzwerkobjekte ant Suchtext für gewünschtes Land
    Zu Gruppe hinzufügen Map-marked-alt.svg GEOIP:XY Fügt die Region der Gruppe hinzu
    Hovern über dem Icon zeigt den vollständigen Namen an
    Schritt 3: Portfilter Regel hinzufügen
    Schritt 3: Portfilter Regel hinzufügen
    Neue Portfilter Regel anlegen unter → Firewall →PortfilterReiter Portfilter mit der Schaltfläche Regel hinzufügen UTM v12.2.2 Portfilteregel Block.png
    Quelle: Map-marked-alt-custom-multiple.svg Geo-Blocking-Mail Im Dropdown-Menü im Abschnitt GeoIP Netzwerkgruppen die gewünschte Gruppe auswählen
    Ziel: Interface.svg external-interface Schnittstelle, auf der die zu blockierende Pakete ankommen
    Dienst: Tcp.svg smtp Dienst oder Dienstgruppe, der bzw. die blockiert werden soll
    Aktion: DROP Verwirft die Pakete
    Logging: SHORT Gewünschtes Logging wählen
    Gruppe: default Gewünschte Gruppe wählen
    Hinzufügen und schließen
    Schritt 4: Regeln aktualisieren
    Schritt 4: Regeln aktualisieren
    Regeln aktualisieren

    Beispiel: Zugriff erlauben

    Der Zugriff auf die OWA-Schnittstelle eines Exchange-Servers soll nur aus Deutschland, Österreich und der Schweiz möglich sein.
    Gegeben ist eine Konfiguration wie im Wiki-Artikel dazu beschrieben.
    Eine Portfilter Regel erlaubt den Zugriff aus dem Internet auf das externe Interface mit https

    Schritt 1: Anlegen einer Netzwerkgruppe
    Schritt 1: Anlegen einer Netzwerkgruppe
    Beschriftung Wert Beschreibung UTM v12.2.2 Netzwerkobjekte GeoIP OWA.png
    Hinzufügen einer Netzwerkgruppe für GeoIPs, die Zugriff erhalten sollen im Abschnitt Netzwerkgruppen mit der Schaltfläche Gruppe hinzufügen
    Name: GeoIP-OWA Aussagekräftiger Name für die Netzwerkgruppe
    Speichern
    Schritt 2: GeoIPs hinzufügen
    Schritt 2: GeoIPs hinzufügen
    GeoIP-OWA Soeben angelegte Netzwerkgruppe durch Anklicken öffnen UTM v12.2.2 Netzwerkobjekte GeoIP allow.png
    Netzwerkobjekte schw Suchtext für gewünschtes Land
    Zu Gruppe hinzufügen Map-marked-alt.svg GEOIP:XY Fügt die Region der Gruppe hinzu
    Hovern über dem Icon zeigt den vollständigen Namen an
    Schritt 3: Bestehende Regel bearbeiten
    Schritt 3: Bestehende Regel bearbeiten
    Bestehende Portfilter Regel bearbeiten unter → Firewall →PortfilterReiter Portfilter mit der Schaltfläche UTM v12.2.2 Portfilteregel allow.png
    Quelle: Map-marked-alt-custom-multiple.svg GeoIP-OWA Im Dropdown-Menü im Abschnitt GeoIP Netzwerkgruppen die gewünschte Gruppe auswählen
    Ziel: Interface.svg external-interface Schnittstelle, auf der die zu blockierende Pakete ankommen
    Dienst: Tcp.svg https Dienst oder Dienstgruppe, der bzw. die blockiert werden soll
    Aktion: ACCEPT Lässt die Pakete durch
    Logging: SHORT Gewünschtes Logging wählen
    Gruppe: default Gewünschte Gruppe wählen
    Speichern
    Schritt 4: Regeln aktualisieren
    Schritt 4: Regeln aktualisieren
    Regeln aktualisieren

    Potentiell gefährliche IPs sperren

    Unabhängig von der geographischen Zuordnung einer IP können über die Cyber Defence Cloud IPs gesperrt werden, die als potentiell bedrohlich erkannt wurden:
    Aktivierung unter → Anwendungen →IDS/IPSReiter Cyber Defence Cloud Schaltfläche Verbindungen protokollieren und blockieren

  • Diese Einstellung ist per Default nicht aktiviert, da die UTM keine Sperrungen durchführt, die nicht ausdrücklich gewollt sind!