# 11.1 Firewalls, NAT und DMZ Firewalls, NAT und DMZ gehören zu den wichtigsten Themen der Netzwerksicherheit. Sie werden verwendet, um Netzwerke zu schützen, Zugriffe zu steuern und interne Systeme vom Internet zu trennen. Wichtige Begriffe: - Firewall - Paketfilter - Stateful Inspection - Firewall-Regel - Allow - Deny - NAT - PAT - Portweiterleitung - DMZ - interne Zone - externe Zone - Sicherheitszone Merksatz: Firewall kontrolliert Zugriffe. NAT übersetzt Adressen. DMZ trennt öffentliche Dienste vom internen Netz. --- **Grundidee einer Firewall** Eine Firewall kontrolliert Netzwerkverkehr. Sie entscheidet: Darf dieser Datenverkehr durch? Oder wird er blockiert? Dabei prüft sie je nach Art und Konfiguration zum Beispiel: - Quell-IP-Adresse - Ziel-IP-Adresse - Protokoll - Quellport - Zielport - Verbindungsstatus - Richtung - Benutzer - Anwendung - Sicherheitszone Merksatz: Firewall = kontrollierter Übergang zwischen Netzen. --- **Warum braucht man Firewalls?** Ohne Firewall könnten Systeme oft zu viele Verbindungen annehmen. Eine Firewall reduziert die Angriffsfläche. Sie schützt vor: - unerwünschten Zugriffen - offenen Diensten - unkontrolliertem Datenverkehr - Angriffen aus fremden Netzen - ungewollter Kommunikation zwischen Netzbereichen - direktem Zugriff auf interne Systeme Merksatz: Firewall-Regeln begrenzen, wer mit wem sprechen darf. --- **Firewall ist nicht gleich Virenschutz** Eine Firewall kontrolliert Netzwerkverkehr. Ein Virenschutz prüft Dateien, Programme oder Verhalten auf Schadsoftware. Unterschied: | Schutz | Hauptaufgabe | |---|---| | Firewall | Netzwerkverkehr erlauben oder blockieren | | Virenschutz | Schadsoftware erkennen und blockieren | | EDR | Verhalten auf Endgeräten überwachen | | IDS/IPS | Angriffe im Netzwerk erkennen oder blockieren | Merksatz: Firewall schützt Netzwerkzugriffe, ersetzt aber keinen Virenschutz. --- **Firewall im OSI-Modell** Firewalls können auf verschiedenen Schichten arbeiten. | Firewall-Art | typische Schicht | Prüft vor allem | |---|---:|---| | Paketfilter | 3 / 4 | IP-Adressen, Protokoll, Ports | | Stateful Firewall | 3 / 4 | Verbindungsstatus zusätzlich | | Application Firewall | 7 | Anwendungsdaten und Protokolle | | Web Application Firewall | 7 | HTTP/HTTPS-Anfragen | Merksatz: Firewalls können je nach Art auf mehreren Schichten arbeiten. --- **Paketfilter** Ein Paketfilter entscheidet anhand einzelner Pakete. Typische Kriterien: - Quell-IP - Ziel-IP - Protokoll - Quellport - Zielport - Richtung - Interface Beispiel: Erlaube TCP von 192.168.10.0/24 nach 10.0.0.5 auf Port 443. Merksatz: Paketfilter prüft IP-Adressen und Ports. --- **Stateful Firewall** Eine Stateful Firewall merkt sich den Zustand von Verbindungen. Sie erkennt: Gehört dieses Paket zu einer bestehenden Verbindung? Beispiel: Client aus internem Netz baut HTTPS-Verbindung nach außen auf. Antwortpakete vom Webserver werden erlaubt, weil sie zu dieser bestehenden Verbindung gehören. Vorteil: Rückverkehr muss nicht immer als komplett neue Verbindung erlaubt werden. Merksatz: Stateful Firewall kennt bestehende Verbindungen. --- **Stateful Inspection** Stateful Inspection bedeutet: Die Firewall prüft den Verbindungszustand. Sie unterscheidet zum Beispiel: neue Verbindung bestehende Verbindung zugehörige Antwort ungültiges Paket Das ist besonders wichtig bei TCP. Merksatz: Stateful Inspection prüft, ob Verkehr zu einer erlaubten Verbindung gehört. --- **Stateless Firewall** Eine Stateless Firewall merkt sich keine Verbindungen. Sie betrachtet Pakete einzeln. Nachteil: Rückverkehr muss oft explizit geregelt werden. Vorteil: einfacher, schneller, aber weniger intelligent. Merksatz: Stateless = jedes Paket einzeln betrachten. --- **Firewall-Regel** Eine Firewall-Regel beschreibt, welcher Verkehr erlaubt oder blockiert wird. Typische Bestandteile: - Aktion - Quelle - Ziel - Dienst oder Port - Protokoll - Richtung - Interface oder Zone - Kommentar oder Beschreibung Beispiel: Erlaube Quelle: Internes Netz Ziel: Webserver in DMZ Dienst: HTTPS TCP 443 Merksatz: Firewall-Regel = Bedingung plus Aktion. --- **Allow und Deny** Firewall-Regeln haben meist eine Aktion. Wichtige Aktionen: Allow Deny Drop Reject Allow bedeutet: Verkehr erlauben. Deny, Drop oder Reject bedeuten: Verkehr blockieren. Merksatz: Allow erlaubt. Deny blockiert. --- **Drop und Reject unterscheiden** Drop bedeutet: Paket wird verworfen, ohne Antwort. Reject bedeutet: Paket wird abgelehnt, mit Antwort an den Absender. Unterschied: | Aktion | Verhalten | |---|---| | Drop | still verwerfen | | Reject | aktiv ablehnen | | Allow | erlauben | Merksatz: Drop schweigt. Reject antwortet. --- **Default Deny** Default Deny bedeutet: Alles ist verboten, was nicht ausdrücklich erlaubt ist. Das ist ein wichtiges Sicherheitsprinzip. Beispiel: Alle Verbindungen blockieren. Nur notwendige Dienste erlauben. Vorteil: unbekannter oder unnötiger Verkehr wird nicht automatisch erlaubt. Merksatz: Erst alles verbieten, dann gezielt erlauben. --- **Default Allow** Default Allow bedeutet: Alles ist erlaubt, was nicht ausdrücklich verboten ist. Das ist oft riskanter, weil neue oder vergessene Dienste automatisch erreichbar sein können. Merksatz: Default Allow ist bequem, aber oft unsicherer. --- **Regelreihenfolge** Viele Firewalls arbeiten Regeln von oben nach unten ab. Die erste passende Regel entscheidet. Beispiel: Regel 1: Blockiere Ziel TCP 443 Regel 2: Erlaube Ziel TCP 443 Ergebnis: Wenn Regel 1 zuerst passt, wird blockiert. Merksatz: Reihenfolge der Firewall-Regeln ist entscheidend. --- **Spezifische Regeln vor allgemeinen Regeln** Spezifische Regeln sollten vor allgemeinen Regeln stehen. Beispiel: Erlaube Admin-PC zu Server auf SSH. Danach: Blockiere restliches SSH. Wenn die allgemeine Blockregel zuerst steht, kommt die spezifische Erlaubnis nie zum Tragen. Merksatz: Spezifisch vor allgemein. --- **Firewall-Zonen** Viele Firewalls arbeiten mit Zonen. Typische Zonen: - LAN - WAN - DMZ - Gastnetz - Servernetz - Managementnetz - VPN - IoT-Netz Zonen helfen, Netzbereiche logisch zu trennen. Merksatz: Zone = Sicherheitsbereich im Netzwerk. --- **LAN und WAN** LAN steht für: Local Area Network WAN steht für: Wide Area Network Vereinfacht: LAN = internes Netz WAN = externes Netz oder Internetseite Merksatz: LAN innen, WAN außen. --- **Interne Zone** Die interne Zone enthält normalerweise vertrauenswürdigere Systeme. Beispiele: - Clients - interne Server - Drucker - Verwaltungsgeräte - interne Anwendungen Trotzdem gilt: Auch intern sollte nicht alles blind erlaubt sein. Merksatz: Intern ist nicht automatisch sicher. --- **Externe Zone** Die externe Zone ist meist das Internet oder ein fremdes Netz. Von dort kommen potenziell untrusted Verbindungen. Deshalb werden eingehende Verbindungen besonders streng kontrolliert. Merksatz: Extern = nicht vertrauenswürdig. --- **DMZ** DMZ steht für: Demilitarized Zone Eine DMZ ist ein separates Netz, in dem Dienste stehen, die von außen erreichbar sein müssen. Beispiele: - Webserver - Reverse Proxy - Mailgateway - VPN-Gateway - öffentliche API - DNS-Server für externe Anfragen Merksatz: DMZ = eigenes Netz für öffentlich erreichbare Dienste. --- **Warum gibt es eine DMZ?** Eine DMZ schützt das interne Netz. Idee: Öffentliche Dienste sollen nicht direkt im internen LAN stehen. Wenn ein Server in der DMZ kompromittiert wird, soll der Angreifer nicht automatisch Zugriff auf das interne Netz erhalten. Merksatz: DMZ begrenzt Schaden bei öffentlichen Diensten. --- **DMZ-Grundaufbau** Typischer Aufbau: Internet → Firewall → DMZ → Firewall-Regeln → internes LAN Oder mit drei Zonen: WAN DMZ LAN Regeln werden gezielt zwischen diesen Zonen erstellt. Merksatz: DMZ liegt kontrolliert zwischen Internet und internem Netz. --- **Regeln für eine DMZ** Typische Regelidee: Internet darf nur bestimmte Dienste in der DMZ erreichen. Beispiel: Internet → DMZ-Webserver: TCP 443 erlaubt Internet → internes LAN: blockiert DMZ → internes LAN: nur notwendige Verbindungen erlaubt internes LAN → DMZ: Administration nur von Admin-Systemen Merksatz: DMZ darf nicht freie Brücke ins LAN sein. --- **DMZ und internes Netz** Ein häufiger Fehler ist: DMZ-Server dürfen alles im internen Netz erreichen. Das ist gefährlich. Besser: Nur notwendige Verbindungen erlauben. Beispiel: Webserver in DMZ darf nur zur Datenbank auf TCP 5432. Oder: Reverse Proxy in DMZ darf nur zu bestimmten internen Webdiensten. Merksatz: Von DMZ ins LAN nur gezielt erlauben. --- **DMZ und Administration** Administrationszugriff auf DMZ-Systeme sollte eingeschränkt sein. Beispiele: Admin-Netz → DMZ-Server SSH erlauben normale Clients → DMZ-Server SSH blockieren Internet → DMZ-Server SSH blockieren Sinnvoll: Administration über VPN, Managementnetz oder Bastion Host. Merksatz: DMZ-Administration nur kontrolliert erlauben. --- **Bastion Host** Ein Bastion Host ist ein besonders abgesicherter Sprungserver. Er wird genutzt, um administrative Zugriffe zu bündeln. Beispiel: Admin verbindet sich zum Bastion Host. Von dort aus erfolgt Zugriff auf Server in der DMZ. Vorteile: - zentrale Kontrolle - Protokollierung - weniger direkte Zugriffe - bessere Absicherung Merksatz: Bastion Host = abgesicherter Zugangspunkt für Administration. --- **NAT** NAT steht für: Network Address Translation NAT übersetzt IP-Adressen. Typische Nutzung: private interne IP-Adressen werden beim Zugriff ins Internet in eine öffentliche IP-Adresse übersetzt. Beispiel: intern: 192.168.10.50 extern sichtbar: öffentliche Router-IP Merksatz: NAT übersetzt IP-Adressen. --- **Warum braucht man NAT?** IPv4-Adressen sind knapp. Private IPv4-Adressen werden intern verwendet und sind im Internet nicht direkt geroutet. NAT ermöglicht, dass viele interne Geräte über eine oder wenige öffentliche IPv4-Adressen ins Internet gehen. Merksatz: NAT spart öffentliche IPv4-Adressen. --- **Private IPv4-Adressbereiche** Private IPv4-Adressbereiche sind: | Bereich | CIDR | |---|---| | 10.0.0.0 bis 10.255.255.255 | 10.0.0.0/8 | | 172.16.0.0 bis 172.31.255.255 | 172.16.0.0/12 | | 192.168.0.0 bis 192.168.255.255 | 192.168.0.0/16 | Diese Adressen werden im Internet nicht direkt geroutet. Merksatz: Private IPv4-Adressen sind für interne Netze gedacht. --- **Öffentliche IP-Adresse** Eine öffentliche IP-Adresse ist im Internet routbar. Sie wird zum Beispiel vom Provider vergeben. Beispiel: Router hat öffentliche IP-Adresse am WAN. Interne Clients verwenden private Adressen und werden per NAT nach außen übersetzt. Merksatz: Öffentliche IP ist im Internet erreichbar, private IP normalerweise nicht. --- **Source NAT** Source NAT ändert die Quelladresse eines Pakets. Typischer Fall: interner Client geht ins Internet. Vor NAT: Quelle: 192.168.10.50 Ziel: 93.184.216.34 Nach NAT: Quelle: öffentliche Router-IP Ziel: 93.184.216.34 Merksatz: Source NAT ändert die Quelle. --- **Destination NAT** Destination NAT ändert die Zieladresse eines Pakets. Typischer Fall: Portweiterleitung von außen nach innen. Vor NAT: Ziel: öffentliche IP TCP 443 Nach NAT: Ziel: interner Webserver 192.168.10.20 TCP 443 Merksatz: Destination NAT ändert das Ziel. --- **PAT** PAT steht für: Port Address Translation PAT übersetzt zusätzlich Ports. Dadurch können viele interne Clients gleichzeitig eine öffentliche IP-Adresse nutzen. Beispiel: Client A intern: 192.168.10.10:50001 Client B intern: 192.168.10.11:50002 Extern sichtbar über dieselbe öffentliche IP, aber mit unterschiedlichen Ports. Merksatz: PAT = viele interne Geräte über eine öffentliche IP mit Portübersetzung. --- **NAT und PAT unterscheiden** | Begriff | Bedeutung | |---|---| | NAT | Übersetzung von IP-Adressen | | PAT | Übersetzung von IP-Adressen und Ports | | Source NAT | Quelladresse wird geändert | | Destination NAT | Zieladresse wird geändert | | Portweiterleitung | eingehender Port wird intern weitergeleitet | Merksatz: NAT übersetzt Adressen. PAT übersetzt zusätzlich Ports. --- **Portweiterleitung** Portweiterleitung bedeutet: Eine Verbindung von außen auf einen bestimmten Port wird an ein internes Ziel weitergeleitet. Beispiel: öffentliche IP TCP 443 → interner Server 192.168.10.20 TCP 443 Typische Nutzung: - Webserver - Reverse Proxy - VPN-Gateway - Mailserver - Spielserver - Testsysteme Merksatz: Portweiterleitung macht internen Dienst von außen erreichbar. --- **Portweiterleitung und Sicherheit** Portweiterleitung erhöht die Angriffsfläche. Warum? Ein interner Dienst wird von außen erreichbar. Deshalb wichtig: - nur notwendige Ports öffnen - Dienste aktuell halten - starke Authentifizierung - TLS verwenden - Logs prüfen - Zugriff einschränken - nach Möglichkeit DMZ nutzen - keine Admin-Dienste offen ins Internet Merksatz: Jeder geöffnete Port ist ein potenzielles Risiko. --- **Firewall-Regel und NAT-Regel unterscheiden** Eine NAT-Regel übersetzt Adressen oder Ports. Eine Firewall-Regel erlaubt oder blockiert Verkehr. Beides ist nicht dasselbe. Beispiel: NAT-Regel: öffentliche IP TCP 443 → interner Webserver TCP 443 Firewall-Regel: Erlaube Internet → Webserver TCP 443 Wenn NAT gesetzt ist, aber Firewall blockiert, funktioniert der Zugriff trotzdem nicht. Merksatz: NAT leitet um. Firewall erlaubt oder blockiert. --- **Inbound und Outbound** Inbound bedeutet: eingehender Verkehr in Richtung eines Netzes oder Systems. Outbound bedeutet: ausgehender Verkehr aus einem Netz oder System. Beispiel: Client im LAN ruft Webseite im Internet auf: outbound aus LAN Internet greift auf Webserver in DMZ zu: inbound zur DMZ Merksatz: Inbound hinein, outbound hinaus. --- **East-West und North-South Traffic** North-South Traffic bedeutet: Verkehr zwischen internem Netz und externen Netzen. Beispiel: Client ins Internet East-West Traffic bedeutet: Verkehr innerhalb eines Rechenzentrums oder interner Netze. Beispiel: Webserver spricht mit Datenbankserver. Merksatz: North-South = nach außen oder innen. East-West = intern zwischen Systemen. --- **Firewall und Routing** Firewall und Routing sind nicht dasselbe. Routing entscheidet: Wohin wird ein Paket weitergeleitet? Firewall entscheidet: Darf das Paket weiter? Beides muss passen. Beispiel: Route vorhanden, aber Firewall blockiert: Verbindung geht nicht. Firewall erlaubt, aber Route fehlt: Verbindung geht nicht. Merksatz: Routing findet Weg. Firewall erlaubt Weg. --- **Firewall und DNS** DNS-Probleme können wie Firewall-Probleme aussehen. Beispiel: Benutzer ruft service.firma.de auf. DNS zeigt auf falsche IP. Dann erreicht der Client vielleicht den falschen Server oder bekommt gar keine Verbindung. Merksatz: Vor Firewall-Fehlersuche auch DNS prüfen. --- **Firewall und TLS** Eine Firewall kann TCP 443 erlauben, aber HTTPS kann trotzdem fehlschlagen. Mögliche Ursachen: - Zertifikat ungültig - falscher Hostname - falsches Backend - Reverse Proxy falsch - TLS-Version inkompatibel - Anwendung antwortet falsch Merksatz: Port 443 offen heißt nicht: HTTPS funktioniert korrekt. --- **Firewall und Protokolle** Ein Port allein beschreibt nicht immer alles. Beispiele: DNS nutzt UDP und TCP 53. FTP nutzt Steuer- und Datenverbindungen. SIP oder VoIP können zusätzliche Ports nutzen. HTTP/3 nutzt UDP 443. VPN-Protokolle nutzen unterschiedliche Ports und Protokolle. Merksatz: Immer Protokoll, Port und Verbindungsverhalten beachten. --- **Firewall-Logs** Firewall-Logs sind wichtig für Fehlersuche und Sicherheit. Sie zeigen zum Beispiel: - erlaubte Verbindungen - blockierte Verbindungen - Quell-IP - Ziel-IP - Port - Protokoll - Regelname - Zeitstempel - Interface oder Zone Merksatz: Firewall-Logs zeigen, ob Verkehr erlaubt oder blockiert wurde. --- **Typische Firewall-Fehler** Typische Fehler sind: - falsche Regelreihenfolge - falsche Quelle - falsches Ziel - falscher Port - falsches Protokoll - Regel in falscher Richtung - falsche Zone - NAT fehlt - Rückweg fehlt - DNS zeigt auf falsches Ziel - Dienst läuft nicht - asymmetrisches Routing Merksatz: Firewall-Fehler sind oft Regel-, Richtungs- oder Zonenfehler. --- **Fehlerbild: Dienst von außen nicht erreichbar** Mögliche Ursachen: - Portweiterleitung fehlt - Firewall-Regel fehlt - falscher Zielserver - falscher Zielport - Dienst läuft nicht - öffentliche IP falsch - DNS zeigt falsch - Provider blockiert Port - CGNAT - Reverse Proxy falsch - Zertifikat fehlerhaft Merksatz: Externer Zugriff braucht DNS, NAT, Firewall, Dienst und Rückweg. --- **Fehlerbild: Intern funktioniert, extern nicht** Mögliche Ursachen: - externe Firewall blockiert - NAT oder Portweiterleitung fehlt - externer DNS-Eintrag falsch - öffentliche IP falsch - CGNAT - Zertifikat nur intern passend - Dienst nur auf interner Adresse gebunden - Reverse Proxy nur intern konfiguriert Merksatz: Intern und extern getrennt prüfen. --- **Fehlerbild: Extern funktioniert, intern nicht** Mögliche Ursachen: - internes DNS zeigt falsch - Split DNS fehlt - Hairpin NAT fehlt - interne Firewall blockiert - interne Route fehlt - Zertifikatname passt intern nicht - Proxy- oder Gatewayproblem Merksatz: Extern erreichbar heißt nicht automatisch intern erreichbar. --- **Hairpin NAT** Hairpin NAT wird gebraucht, wenn interne Clients über die öffentliche Adresse auf einen internen Dienst zugreifen sollen. Beispiel: interner Client ruft öffentliche Domain auf. DNS liefert öffentliche IP. Router muss Verbindung wieder nach innen leiten. Wenn Hairpin NAT fehlt, funktioniert der Dienst extern, aber intern über den öffentlichen Namen nicht. Merksatz: Hairpin NAT ermöglicht internen Zugriff über öffentliche Adresse. --- **Split DNS als Alternative** Split DNS kann Hairpin NAT vermeiden. Dabei liefert DNS intern und extern unterschiedliche Antworten. Beispiel: service.firma.de extern: öffentliche IP service.firma.de intern: interne IP Vorteil: interne Clients gehen direkt zur internen Adresse. Merksatz: Split DNS liefert intern passende interne Adressen. --- **CGNAT** CGNAT steht für: Carrier Grade NAT Dabei hat der Anschluss keine eigene echte öffentliche IPv4-Adresse. Der Provider nutzt NAT für viele Kunden. Folge: eingehende Portweiterleitungen funktionieren oft nicht direkt. Mögliche Lösungen: - echte öffentliche IPv4 buchen - IPv6 nutzen - VPN-Tunnel - Cloud-Tunnel - Reverse Proxy über externen Server Merksatz: CGNAT verhindert oft direkte eingehende IPv4-Verbindungen. --- **Asymmetrisches Routing** Asymmetrisches Routing bedeutet: Hinweg und Rückweg laufen über unterschiedliche Wege. Das kann Firewalls stören, weil eine Stateful Firewall den Verbindungszustand auf einem Weg sieht, aber die Antwort über einen anderen Weg zurückkommt. Folge: Verbindung wird möglicherweise blockiert. Merksatz: Stateful Firewalls brauchen passenden Hin- und Rückweg. --- **Any-Any-Regel** Eine Any-Any-Regel erlaubt sehr viel. Beispiel: Quelle: any Ziel: any Dienst: any Aktion: allow Das ist gefährlich, weil fast jeder Verkehr erlaubt wird. Any-Any-Regeln sollten vermieden oder sehr gut begründet werden. Merksatz: Any-Any ist bequem, aber riskant. --- **Least Privilege bei Firewall-Regeln** Auch bei Firewall-Regeln gilt: nur erlauben, was wirklich benötigt wird. Beispiel schlecht: Erlaube gesamtes LAN zur DMZ auf alle Ports. Besser: Erlaube Admin-PC zur DMZ auf TCP 22. Erlaube Webserver zur Datenbank auf TCP 5432. Merksatz: Firewall-Regeln so eng wie möglich setzen. --- **Dokumentation von Firewall-Regeln** Firewall-Regeln sollten dokumentiert werden. Wichtige Angaben: - Zweck - Quelle - Ziel - Dienst - Verantwortlicher - Erstellungsdatum - Ablaufdatum bei temporären Regeln - Ticket oder Änderungsgrund - Risiko - Kommentar Merksatz: Undokumentierte Firewall-Regeln werden schnell zum Sicherheitsproblem. --- **Temporäre Firewall-Regeln** Temporäre Regeln sollten ein Ablaufdatum haben. Problem: Testregel wird erstellt. Niemand entfernt sie. Dienst bleibt unnötig offen. Besser: temporäre Regel mit Ablaufdatum, Kommentar und Review. Merksatz: Temporär darf nicht dauerhaft vergessen werden. --- **Firewall-Review** Firewall-Regeln sollten regelmäßig überprüft werden. Ziel: - alte Regeln entfernen - unnötige Freigaben schließen - Any-Any-Regeln vermeiden - Dokumentation aktualisieren - Sicherheitsrisiken reduzieren - Regelreihenfolge prüfen Merksatz: Firewall-Regeln brauchen regelmäßige Pflege. --- **Typische Sicherheitszonen** | Zone | Zweck | |---|---| | WAN | externes Netz / Internet | | LAN | internes Clientnetz | | DMZ | öffentlich erreichbare Dienste | | Servernetz | interne Server | | Managementnetz | Administration | | Gastnetz | Gäste ohne Zugriff auf intern | | IoT-Netz | Geräte mit eingeschränktem Vertrauen | | VPN-Zone | entfernte Benutzer nach VPN-Einwahl | Merksatz: Zonen trennen Systeme nach Schutzbedarf. --- **Gastnetz** Ein Gastnetz ist ein separates Netz für Besucher oder private Geräte. Ziel: Internetzugang ermöglichen, aber internes Netz schützen. Typische Regeln: Gastnetz → Internet erlaubt Gastnetz → internes LAN blockiert Gastnetz → Managementnetz blockiert Merksatz: Gastnetz darf nicht ins interne Netz führen. --- **Managementnetz** Ein Managementnetz dient zur Administration von Systemen. Dort können liegen: - Switch-Management - Firewall-Management - Server-Management - Hypervisor-Management - Storage-Management - IPMI / iLO / iDRAC Dieses Netz sollte besonders geschützt sein. Merksatz: Managementzugänge besonders abschotten. --- **IoT-Netz** Ein IoT-Netz trennt Geräte mit höherem Risiko vom restlichen Netz. Beispiele: - Kameras - smarte Sensoren - Türsysteme - Mediengeräte - Smart-Home-Geräte - Drucker je nach Umgebung Regelidee: IoT darf nur notwendige Ziele erreichen. Merksatz: IoT-Geräte nicht blind ins Hauptnetz lassen. --- **Firewall und VPN** VPN-Zugänge sollten in Firewall-Regeln berücksichtigt werden. Beispiel: VPN-Benutzer dürfen nur bestimmte interne Dienste erreichen. Nicht automatisch: VPN darf alles im LAN. Besser: VPN-Zone mit gezielten Regeln. Merksatz: VPN-Zugriff ebenfalls nach Least Privilege regeln. --- **Firewall und Monitoring** Firewalls sollten überwacht werden. Wichtige Punkte: - CPU und RAM - Verbindungsanzahl - blockierte Angriffe - VPN-Verbindungen - Regel-Treffer - ungewöhnlicher Traffic - Interface-Auslastung - Lizenzstatus - Updates - Log-Speicher Merksatz: Firewall ist kritische Infrastruktur und muss überwacht werden. --- **Firewall-Fehlersuche systematisch** Eine sinnvolle Reihenfolge: 1. Quelle bestimmen. 2. Ziel bestimmen. 3. Protokoll bestimmen. 4. Port bestimmen. 5. Richtung bestimmen. 6. Zone oder Interface bestimmen. 7. DNS-Auflösung prüfen. 8. Routing prüfen. 9. NAT-Regeln prüfen. 10. Firewall-Regeln prüfen. 11. Logs prüfen. 12. Dienst auf Zielsystem prüfen. 13. Rückweg prüfen. Merksatz: Quelle, Ziel, Port, Richtung und Logs sind entscheidend. --- **Was Firewalls nicht machen** Firewalls machen nicht automatisch: - Anwendungen fehlerfrei - Benutzer sicher - Passwörter stark - Systeme gepatcht - Malware unmöglich - Daten verschlüsselt - Berechtigungen korrekt - Backups vorhanden - Logs automatisch ausgewertet Merksatz: Firewall ist wichtig, aber nur ein Teil des Sicherheitskonzepts. --- **Typische IHK-Fragen** In AP1 und AP2 kann zum Beispiel gefragt werden: - Was macht eine Firewall? - Was ist der Unterschied zwischen Firewall und NAT? - Was bedeutet Stateful Inspection? - Was ist eine DMZ? - Warum stellt man öffentliche Server in eine DMZ? - Was ist NAT? - Was ist PAT? - Was ist eine Portweiterleitung? - Was ist der Unterschied zwischen Source NAT und Destination NAT? - Warum ist Default Deny sicherer? - Warum ist die Regelreihenfolge wichtig? - Warum sollte man Any-Any-Regeln vermeiden? - Warum funktioniert ein Dienst trotz NAT-Regel nicht? - Was ist der Unterschied zwischen Routing und Firewall? - Warum können interne und externe Zugriffe unterschiedlich funktionieren? - Was ist Hairpin NAT? - Was ist Split DNS? - Was bedeutet CGNAT? --- **Typische Prüfungsfallen** Firewall ist nicht NAT. NAT ist nicht automatisch Firewall. NAT übersetzt Adressen. Firewall erlaubt oder blockiert Verkehr. PAT übersetzt zusätzlich Ports. Portweiterleitung macht interne Dienste von außen erreichbar. NAT-Regel allein reicht nicht, wenn Firewall blockiert. Firewall-Regeln haben eine Richtung. Regelreihenfolge ist wichtig. Spezifische Regeln vor allgemeine Regeln. Default Deny ist sicherer als Default Allow. Any-Any-Regeln vermeiden. DMZ ist nicht das interne LAN. DMZ-Server dürfen nicht automatisch alles im LAN erreichen. Öffentliche Dienste gehören besser in die DMZ. Routing entscheidet den Weg. Firewall entscheidet die Erlaubnis. Port 443 offen heißt nicht, dass HTTPS korrekt funktioniert. CGNAT kann eingehende Portweiterleitungen verhindern. Hairpin NAT betrifft internen Zugriff über öffentliche Adresse. Split DNS kann Hairpin NAT vermeiden. --- **Wichtige Begriffe kurz erklärt** | Begriff | Kurze Erklärung | |---|---| | Firewall | kontrolliert Netzwerkverkehr | | Paketfilter | prüft IP-Adressen, Ports und Protokolle | | Stateful Firewall | merkt sich Verbindungszustände | | Stateful Inspection | Prüfung, ob Verkehr zu bestehender Verbindung gehört | | Regel | Bedingung mit Aktion | | Allow | erlauben | | Deny | blockieren | | Drop | still verwerfen | | Reject | aktiv ablehnen | | Default Deny | alles blockieren außer ausdrücklich erlaubt | | Zone | Sicherheitsbereich im Netzwerk | | DMZ | separates Netz für öffentliche Dienste | | NAT | Übersetzung von IP-Adressen | | PAT | Übersetzung von IP-Adressen und Ports | | Source NAT | Quelladresse wird geändert | | Destination NAT | Zieladresse wird geändert | | Portweiterleitung | externer Port wird intern weitergeleitet | | Hairpin NAT | interner Zugriff über öffentliche Adresse | | Split DNS | intern und extern unterschiedliche DNS-Antworten | | CGNAT | Provider-NAT für mehrere Kunden | | Any-Any | sehr weit gefasste Regel | | Bastion Host | abgesicherter Sprungserver | | Managementnetz | Netz für Administration | --- **IHK-sichere Kurzformulierung** Eine Firewall kontrolliert Netzwerkverkehr zwischen Systemen oder Netzbereichen und entscheidet anhand von Regeln, ob Verbindungen erlaubt oder blockiert werden. Typische Kriterien sind Quelle, Ziel, Protokoll, Port, Richtung und Zone. Eine Stateful Firewall berücksichtigt zusätzlich den Zustand bestehender Verbindungen. NAT übersetzt IP-Adressen, während PAT zusätzlich Ports übersetzt. Eine Portweiterleitung ist eine Form von Destination NAT, bei der ein externer Port an ein internes Ziel weitergeleitet wird. Eine DMZ ist ein separates Netz für Dienste, die von außen erreichbar sein müssen, damit diese nicht direkt im internen LAN stehen. Firewall, NAT, Routing und DNS müssen gemeinsam korrekt konfiguriert sein, damit ein Dienst erreichbar ist. --- **Merksätze** Firewall kontrolliert Verkehr. NAT übersetzt Adressen. PAT übersetzt Adressen und Ports. Firewall ist nicht NAT. NAT ist nicht automatisch Firewall. Routing findet den Weg. Firewall erlaubt den Weg. Default Deny ist sicherer. Regelreihenfolge ist wichtig. Spezifisch vor allgemein. Any-Any vermeiden. Drop schweigt. Reject antwortet. Stateful Firewall kennt Verbindungen. DMZ = separates Netz für öffentliche Dienste. DMZ schützt internes LAN. DMZ darf keine freie Brücke ins LAN sein. Portweiterleitung macht internen Dienst extern erreichbar. NAT-Regel plus Firewall-Regel müssen passen. Source NAT ändert Quelle. Destination NAT ändert Ziel. Private IPv4-Adressen sind intern gedacht. Öffentliche IP-Adressen sind im Internet routbar. CGNAT erschwert eingehende Verbindungen. Hairpin NAT = intern über öffentliche Adresse. Split DNS = intern andere Antwort als extern. Jeder offene Port ist ein Risiko. Firewall-Regeln dokumentieren und regelmäßig prüfen.