Paketfilter

Anlegen und verwenden von Paketfilterregeln, Netzwerkobjekten, Diensten und Zeitprofilen

Letzte Anpassung zur Version: 12.6.0

Neu:

Aktualisierung zum Redesign des Webinterfaces

notempty

Dieser Artikel bezieht sich auf eine Resellerpreview

12.4 12.2 12.1 11.7

Der Portfilter wurde in der Version 12.6 in Paketfilter umbenannt, was seiner Wirkweise wesentlich besser entspricht.
Die Funktion und Anordnung im Menü ist identisch geblieben.

Paketfilter Beschreibung

Paketfilter UTMbenutzer@firewall.name.fqdnFirewall Regeln aktualisieren Der Paketfilter steuert den Datenverkehr, der durch die UTM geht.

Alle Netzwerk-Pakete, die durch die UTM gehen, werden gefiltert und nur aufgrund von Paketfilterregeln weitergeleitet
Dabei ist es unerheblich, ob sich die Zieladresse und Quelladresse des Paketes im gleichen Netzwerk, in einem anderen, lokalen Netzwerk oder im Internet und einem lokalen Netzwerk befindet.
Anhand von Quell-IP, Ziel-IP und verwendetem Dienst werden die Regeln von oben nach unten überprüft.
Die #laufende Nummer vor einer Regel gibt dabei die Reihenfolge der Regelerstellung an und bleibt permanent erhalten. Sie gibt nicht die Reihenfolge an, in der die Regel abgearbeitet wird!
Eine angelegte Regel kann mit gedrückter Maustaste auf das Icon nachträglich in der Reihenfolge verschoben werden.

Soll für eine Regel ein Ausnahme erstellt werden, muss zunächst die (speziellere) Ausnahme definiert sein und danach erst die allgemeinere Regel.
Trifft für ein Paket die Ausnahme Regel zu, wird die angegebene Aktion ausgeführt und der Paketfilter beendet.
Trifft die Ausnahme Regel nicht zu, wird anschließend die allgemeinere Regel überprüft.
Trifft diese dann zu wird die dort angegebene Aktion ausgeführt.

Existiert für ein Datenpaket keine zutreffende Regel, wird das Paket verworfen Default Drop

Eine Paketfilterregel beinhaltet verschiedene Elemente:

Zwei Netzwerkobjekte (Quelle / Ziel)
einen Dienst
ggf. Angaben zum NAT-Typ (Network Address Translation)
ggf. Rule Routing
ggf. ein QoS-Profil, daß die zur Verfügung gestellte Bandbreite für bestimmte Datenpakete reguliert
ggf. ein Zeitprofil, zu dem die Regel angewendet werden soll
eine Aktion, die ausgeführt werden soll
Angaben zum Logging
die Zuordnung zu einer Regel-Gruppe

Paketfilterregel

Die Grundstruktur einer Regel ist:
Quelle → Ziel → Dienst → Aktion

Mit Regel kopieren können Regeln kopiert werden: Der Dialog Regel hinzufügen wird mit einer Kopie der jeweiligen Regel geöffnet.

Typische Beispiele:	#	Quelle	Ziel	Dienst	NAT	Aktion	Aktiv
Aus dem internen Netz soll das Internet erreichbar sein	7	internal-network	internet	default-internet	HN	Accept	Ein

Aus dem Internen Netz soll das dmz1 Netzwerk für alle Dienste erreichbar sein	8	internal-network	dmz1-network	any		Accept	Ein

Ein Server im internen Netzwerk soll von außen über ssh erreichbar sein	9	internet	internal-network	ssh	DN ➞	Accept	Ein

Aus dem internen Netz soll das Internet erreichbar sein, es soll jedoch kein ftp ermöglicht werden! Der Paketfilter wird von oben nach unten abgearbeitet. Trifft eine Regel zu, wird die Prüfung des Regelwerks beendet und die konfigurierte Aktion ausgeführt. Daher muss das Verbot von ftp vor der allgemeinen Erlaubnisregel stehen. Eine angelegte Regel kann mit Drag and Drop auf das Icon verschoben werden und in der Reihenfolge gezielt plaziert werden.	10	internal-network	internet	ftp		Drop	Ein
	7	internal-network	internet	default-internet	HN	Accept	Ein

Autogenerierte Regeln

autogeneriert Die UTM verfügt ab Werk über autogenerierte Regeln.
Diese Regeln lassen zunächst jeden Datenverkehr in die bestehenden Netze zu und geben für interne Netze auch zusätzlich die Proxy-und DNS-Dienste der jeweiligen Schnittstelle frei

notempty

Diese Regeln dienen ausschließlich dazu, die Inbetriebnahme der Firewall zu ermöglichen.
Sie lassen sich nicht bearbeiten und müssen unbedingt durch individualisierte Regeln ersetzt und anschließend deaktiviert oder gelöscht werden!

Die Sichtbarkeit der autogenerierte Regeln lassen sich in einem Dropdownmenü mit diesem Schalter regeln: Ein autogenerierte Regeln anzeigen

Paketfilterregel Einstellungen

Paketfilter Regel Einstellungen

notempty

Nach dem Bearbeiten oder Hinzufügen einer Regel muss das Regelwerk aktualisiert werden.
Erst danach werden die Regeln angewendet!
/ Regel hinzufügen → Regeln aktualisieren

Beschriftung	Wert	Beschreibung
Allgemein
Aktiv	Ein	Nur bei Aktivierung wird auf diese Regel geprüft
Quelle	internal-network	Netzwerkobjekt oder Benutzergruppe, die als Quelle des Datenpaketes zugelassen ist.
Ziel	internet	Netzwerkobjekt oder Benutzergruppe, die als Ziel des Datenpaketes zugelassen ist.
Dienst	default-internet	Gewünschter Dienst mit hinterlegtem Port (siehe Dienste)
Netzwerkobjekt hinzufügen / Dienst hinzufügen		Öffnet den Dialog zum Hinzufügen eines Netzwerkobjektes oder eines Dienstes
Netzwerkobjekt wechseln		Tauscht die Netzwerkobjekte Quelle und Ziel
Aktion		' *Leitet das Paket weiter*
		' *Das Paket wird verworfen*
		' *Es wird ein ICMP-Paket an den Absender geschickt, mit dem Hinweis, daß der Port nicht zur Verfügung steht. Im LAN können Reject-Regeln verhindern, daß Clients auf einen Timeout warten müssen.*
		' Ermöglicht ein Quality of Service Profil anzugeben, daß die Bandbreite für Datenpakete, auf die diese Regel zutrifft limitiert. Konfiguration der QoS-Profile im Menü Netzwerk QoS Bereich Profile
		' *Lässt Verbindungen statusunabhägig zu*
		Keine Protokollierung (default)
		Protokolliert die ersten die Einträge je Minute
		Protokolliert alle Einträge
Gruppe		Paketfilterregeln müssen einer Gruppe zugeordnet werden. Das erleichtert die Übersichtlichkeit beim Ergänzen des Regelwerkes. Außerdem können Regelgruppen mit einem Schalter aktiviert oder deaktiviert werden.

	Die Network Address Translation ist die Umwandlung von IP-Adressen die in einem Netzwerk genutzt werden zu einer anderen IP-Adresse aus einem anderen Netz. Typischerweise bildet man alle intern genutzten privaten IP-Adressen in eine oder mehrere öffentlichen IP-Adressen ab.
Typ	None None	Es wird kein NAT durchgeführt
		Auch Source NAT genannt. Verbirgt die ursprüngliche IP Adresse hinter der IP-Adresse der verwendeten Schnittstelle. Standardfall ist der Datenverkehr von einem internen Netz mit privaten IP Adressen mit dem Internet. Die IP aus dem lokalen Netz wird mit der IP derjenigen Schnittstelle maskiert, die den Zugang zum Internet herstellt.	Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter HideNat Regel
		Destination NAT wird meist verwendet, um mehrere Dienste auf unterschiedlichen Servern unter einer öffentlichen IP-Adresse anzubieten. Möchte man zum Beispiel, vom Internet auf den Dienst SSH (Port 22) des Servers (198.51.100.1/32) über die öffentliche IP-Adresse der Schnittstelle eth0 mit dem Port 10000 zugreifen möchten, müsste die Regel wie nebenstehend abgebildet angelegt werden. Die zugehörigen Netzwerkobjekte und der Dienst auf Port 10000 müssen dazu angelegt sein.	Destination NAT Regel
		HideNAT Exclude kommt in der Regel in Verbindung mit IPSec-VPN Verbindungen zum Einsatz. Damit wird erreicht, daß Datenpakete für die VPN Gegenstelle mit der privaten IP-Adresse durch den VPN Tunnel geleitet werden. Andernfalls würden diese, wie alle anderen Pakte in Richtung Internet, mit der öffentlichen WAN IP-Adresse maskiert werden und, da diese mit einer privaten Zieladresse versendet werden, am nächsten Internet Router verworfen. Siehe dazu auch den Wikiartikel HideNAT Exclude. Die HideNAT-Exclude Regel muss dabei vor der HideNAT Regel stehen, damit die Ausnahme greift.	HidNAT Exclude Regel
		NetMap dient dazu zwei gleiche Subnetze miteinander zu verbinden. Unter Verwendung von Hilfsnetzwerken (Mapnetz), die auf keiner der zu verbindenden Gegenstellen eingerichtet sind, können diese Verbindungen kollisionsfrei erstellt werden, ohne auf einer der Seiten das Subnetz komplett zu ändern. Eine Anleitung zum Verbinden zweier Netzwerke findet sich in einem eignen Wikiartikel NetMap	NetMap Regel
		Bei Full Cone NAT wird für den Absender der gleiche Port gesetzt, wie für den Empfänger. Allerdings werden als Absender auch andere IPs als die ursprünglich adressierte IP zugelassen. Kann ggf. bei VOIP hilfreich sein.	Full Cone NAT Regel

Netzwerkobjekt	external-interface	Netzwerkobjekt, das die Übersetzung der IP Adressen, also das Natten, vornimmt. Die IP-Adresse dieses Netzwerkobjektes wird dann als Absender-IP Der Datenpakete im Zielnetz verwendet. In der Regel sollte das also die Schnittstelle sein, deren IP Adresse dem Zielnetz bekannt ist, damit Antwortpakete auch korrekt zugestellt werden können.
Dienst	ssh	Verwendet im lokalen Zielnetzwerk den ausgewählten Dienst. Dieser Wert ist oft (aber keinesfalls immer) identisch mit dem darüberstehenden Dienst des Datenquellpaketes, auf den die Regel überprüft wird. Steht nur zur Verfügung, wenn als Typ DESTNAT oder NETMAP ausgewählt wurde.

	wan0	Im Abschnitt [ - ] Extras wird im Feld Rule Routing regelbasiert festgelegt, welche Route IP-Pakete nehmen sollen. Im nebenstehenden Beispiel werden alle VOIP-Pakete über die Schnittstelle wan0 geleitet. Das Dropdownfeld gibt nur wan-Schnittstellen zur Auswahl vor. Erfolgt der Zugang zum Internet über einen Router, der an einer Ethernet-Schnittstelle angeschlossen ist, kann diese manuell eingetragen werden.	Regel hinzufügen UTMbenutzer@firewall.name.fqdnFirewallPaketfilter Paketfilter Regel mit Rule Routing
	QOS	Ermöglicht ein Quality of Service Profil anzugeben, daß die Bandbreite für Datenpakete, auf die diese Regel zutrifft limitiert. Konfiguration der QoS-Profile im Menü Netzwerk QoS Bereich Profile Steht nur zur Verfügung, wenn als Aktion QOS ausgewählt wurde.
Zeitprofil Zeitprofil	Zeitprofil	Beschränkt die Gültigkeit der Regel auf ein zuvor definiertes Zeitprofil. Siehe Abschnitt Zeitprofile.

Beschreibung Beschreibung	Erweiterte Regeldetails anzeigen Ein	Alternativer Text, der statt der Regeldetails angezeigt werden kann. Die Anzeige der alternativen Texte erfolgt mit der Schaltfläche
notempty Nach dem Bearbeiten oder Hinzufügen einer Regel muss das Regelwerk aktualisiert werden. Erst danach werden die Regeln angewendet! / Regel hinzufügen → Regeln aktualisieren


Schaltfläche	Beschreibung	[[Datei: ]]



	Ein


Beschriftung	Wert	Beschreibung	[[Datei: ]]
\|\| Geo-DACH \|\|
\|\| × GEOIP: AT () × GEOIP: CH () × GEOIP: DE () \|\|

✕

Firewall Netzwerkobjekte Schaltfläche Objekt hinzufügen
Beschriftung	Wert	Beschreibung	[[Datei: ]]
	Host-Objekt
Typ









		Erzeugt für jedes Land ein Netzwerkobjekt in der angegebenen Zone. IP-Adressen werden über Organisationen und Institutionen denen die zugehörigen IP-Netze zugewiesen sind, einem Land zugeordnet. Der tatsächliche Standort eines Hosts kann von der Zuordnung abweichen oder z.B. durch einen VPN Tunnel nicht ersichtlich sein! Legt ca. 250 neue Netzwerkobjekte an!
	192.0.2.192
	LAN1
	192.168.175.1
	my.host.local
	ext2_
	Zone
	» ✕internal-networks

[[Datei:]] Dienste legen das verwendete Protokoll und gegebenenfalls Protokolltyp, den Port bzw. Portbereich oder den ICMP-Nachrichtentyp der zu filternden Datenpakete fest. Viele Dienste sind schon vorkonfiguriert wie http, https, ftp, ssh usw.

Die Dienste einer Dienstgruppe werden dabei als Label dargestellt. Bei Klick auf ein Label werden in der Dienst-Tabelle die Details dazu angezeigt.

			[[Datei:]]
domain-udp	udp	Port 53
ftp	tcp (ftp)	Port 21
http	tcp	Port 80
https	tcp	Port 443
icmp-echo-req	icmp	Pakettyp 8

[[Datei: ]]

Paketfilter Beschreibung

Paketfilterregel

Autogenerierte Regeln

Paketfilterregel Einstellungen

None

Zeitprofil

Beschreibung