Firewall-Konfiguration

Kurz: Eine Firewall-Konfiguration besteht aus Regeln, die festlegen, welcher Netzwerkverkehr erlaubt oder blockiert wird. Entscheidend sind Richtung, Protokoll, Port, Adresse und die Standardregel (alles verbieten, was nicht erlaubt ist).

Genauer: Die Firewall prüft jedes Paket der Reihe nach gegen die Regelliste. Die erste passende Regel entscheidet (Erlauben, Verwerfen, Ablehnen). Eine gute Konfiguration ist knapp, nachvollziehbar und folgt dem Prinzip der geringsten Rechte.

Im Detail

Grundprinzipien:

• Default Deny: Eingehend alles blockieren, nur ausdrücklich Benötigtes öffnen. Ausgehend je nach Umfeld einschränken.
• Zustandsbehaftet (Stateful): Antworten auf selbst gestartete Verbindungen werden automatisch erlaubt.
• Reihenfolge zählt: Spezifische Regeln vor allgemeinen. Letzte Regel: „deny all”.
• Minimal: Jede Regel hat einen Grund, ist dokumentiert und wird regelmäßig geprüft.

Bestandteile einer Regel: Quelle (IP/Netz), Ziel, Protokoll (TCP/UDP/ICMP), Port, Richtung, Aktion, Protokollierung.

Beispiele:

Windows Defender Firewall (PowerShell):

New-NetFirewallRule -DisplayName "HTTPS erlauben" -Direction Inbound -Protocol TCP -LocalPort 443 -Action Allow
Get-NetFirewallRule | Where Enabled -eq True

Linux (ufw):

sudo ufw default deny incoming
sudo ufw default allow outgoing
sudo ufw allow 22/tcp          # SSH
sudo ufw allow from 192.168.1.0/24 to any port 3306   # MySQL nur aus dem LAN
sudo ufw enable
sudo ufw status verbose

Linux (nftables, Auszug):

table inet filter {
  chain input {
    type filter hook input priority 0; policy drop;
    ct state established,related accept
    iif lo accept
    tcp dport { 22, 443 } accept
  }
}

Typische Konfigurationsaufgaben:

• Port-Weiterleitung (NAT/DNAT) auf dem Router für interne Server.
• DMZ: Öffentliche Server in einem getrennten Netz.
• Segmentierung: Gäste-, Büro- und Servernetz trennen.
• Geo-/Reputationsfilter, Rate Limiting gegen Brute Force, Application Control.
• Protokollierung und Alarme, Logs auswerten.

Typische Fehler:

• Zu offene Regeln („any any allow”).
• Alte Regeln, die niemand mehr kennt.
• Dienste, die im Internet erreichbar sind, aber nicht sein müssten (RDP 3389, Datenbanken).
• Keine Tests: Nach Änderungen prüfen mit nmap von außen oder telnet host port.
• Firewall ohne Updates der Firmware.
• Auf Firewall allein verlassen. Sie ersetzt keine Patches, Passwörter und Verschlüsselung.

Vorgehen: Anforderungen sammeln → Regeln entwerfen → in Testumgebung prüfen → einspielen mit Rückfallplan → dokumentieren → regelmäßig überprüfen.

Siehe auch: Firewall, NAT (Network Address Translation), Web Application Firewall (WAF)