20.8 Trainer – Firewall, NAT, PAT, Portweiterleitung und DMZ

Eine Firewall filtert Netzwerkverkehr.

Sie entscheidet anhand von Regeln, ob Verkehr erlaubt oder blockiert wird.

Typische Kriterien:

Quelle

Ziel

Port

Protokoll

Richtung

Zone

Benutzer

Anwendung

Zustand der Verbindung

Merksatz:

Firewall = kontrollierter Verkehr.

Eine saubere Firewall-Regel enthält:

Quelle

Ziel

Protokoll

Port

Richtung

Aktion

Zweck

Verantwortlicher

Datum oder Änderungsgrund

Beispiel:

Merksatz:

Firewall-Regeln brauchen Quelle,
Ziel,
Port,
Protokoll
und Zweck.

Default Deny bedeutet:

Standardmäßig ist Verkehr verboten.

Nur ausdrücklich erlaubter Verkehr wird zugelassen.

Vorteile:

kleinere Angriffsfläche

bessere Kontrolle

weniger unbeabsichtigte Freigaben

klarere Sicherheitsstruktur

Merksatz:

Erst blockieren,
dann gezielt erlauben.

Any-to-Any bedeutet:

jede Quelle

zu

jedem Ziel

Risiken:

sehr große Angriffsfläche

schlechte Nachvollziehbarkeit

Sicherheitszonen werden umgangen

unnötige Freigaben

Fehler schwerer erkennbar

Besser:

genaue Regel mit Quelle,
Ziel,
Port,
Protokoll
und dokumentiertem Zweck.

Merksatz:

Any-to-Any ist fast immer kritisch.

Stateless Firewall:

prüft jedes Paket einzeln

merkt sich keinen Verbindungszustand

Stateful Firewall:

merkt sich bestehende Verbindungen

lässt Antwortpakete zu bestehenden Verbindungen automatisch zu

Beispiel:

Client startet HTTPS-Verbindung nach außen.

Stateful Firewall erkennt,
dass die Antwortpakete zur bestehenden Verbindung gehören.

Merksatz:

Stateful Firewall kennt Verbindungszustände.

Eine Firewall-Zone ist ein Netzbereich mit bestimmtem Schutzbedarf.

Beispiele:

Internet

DMZ

internes Netz

Servernetz

Clientnetz

Gastnetz

Managementnetz

Ziel:

Regeln übersichtlich nach Sicherheitsbereichen aufbauen.

Merksatz:

Zonen strukturieren Sicherheitsregeln.

DMZ steht für:

Demilitarized Zone

Eine DMZ ist ein getrenntes Netzwerk für Dienste, die von außen erreichbar sein müssen.

Beispiele:

Webserver

Reverse Proxy

Mail-Gateway

VPN-Gateway

Ziel:

öffentliche Dienste vom internen Netz trennen.

Merksatz:

DMZ trennt öffentliche Dienste vom internen Netz.

Öffentlich erreichbare Server haben eine größere Angriffsfläche.

Wenn ein solcher Server kompromittiert wird, soll der Angreifer nicht direkt Zugriff auf interne Systeme erhalten.

Deshalb werden solche Systeme in eine DMZ gestellt und durch Firewall-Regeln vom internen Netz getrennt.

Merksatz:

Öffentliche Dienste gehören in eine getrennte Zone.

Sicherer ist:

B

Begründung:

Die Regel ist gezielter.
Sie erlaubt nur HTTPS-Verkehr zum Webserver in der DMZ.
Regel A erlaubt dagegen sehr breit Verkehr aus dem Internet ins interne Netz.

Merksatz:

Je genauer die Regel,
desto besser kontrollierbar.

NAT steht für:

Network Address Translation

Aufgabe:

IP-Adressen übersetzen.

Typischer Einsatz:

private interne IPv4-Adressen werden beim Zugriff ins Internet
in eine öffentliche IPv4-Adresse übersetzt.

Merksatz:

NAT übersetzt Adressen.

Gründe:

private IPv4-Adressen intern nutzen

öffentliche IPv4-Adressen sparen

vielen Clients Internetzugriff ermöglichen

interne Adressen nach außen verbergen

Wichtig:

NAT ersetzt keine Firewall.

Merksatz:

NAT hilft bei Adressübersetzung,
ist aber kein vollständiges Sicherheitskonzept.

Private IPv4-Bereiche:

Merksatz:

Private IPv4-Adressen werden im Internet nicht direkt geroutet.

PAT steht für:

Port Address Translation

PAT ist eine Form von NAT, bei der zusätzlich Portnummern genutzt werden.

Zweck:

Viele interne Clients können über eine öffentliche IP-Adresse ins Internet,
weil Verbindungen über Ports unterschieden werden.

Merksatz:

PAT nutzt Ports zur Unterscheidung mehrerer Verbindungen.

NAT:

übersetzt IP-Adressen

PAT:

übersetzt IP-Adressen und Ports

Typischer Praxisfall:

Viele interne Geräte nutzen über PAT eine gemeinsame öffentliche IP-Adresse.

Merksatz:

NAT übersetzt Adressen.
PAT übersetzt Adressen und Ports.

Portweiterleitung bedeutet:

Eingehender Verkehr auf einem externen Port
wird an einen internen Dienst weitergeleitet.

Beispiel:

öffentliche IP:
TCP 443

wird weitergeleitet an:

interner Webserver:
192.168.10.20 TCP 443

Merksatz:

Portweiterleitung macht interne Dienste von außen erreichbar.

Portweiterleitung macht einen internen Dienst von außen erreichbar.

Dadurch kann der Dienst aus dem Internet angegriffen werden.

Risiken:

Exploits

Brute-Force-Angriffe

Fehlkonfiguration

Datenabfluss

DoS

Schutzmaßnahmen:

nur notwendige Ports freigeben

Dienst patchen

starke Authentifizierung

TLS nutzen

Logging aktivieren

Zugriff einschränken

DMZ verwenden

Merksatz:

Jeder veröffentlichte Port ist eine mögliche Angriffsfläche.

Ausgehendes NAT:

interne Clients greifen nach außen zu

private IP wird nach außen übersetzt

Portweiterleitung:

externe Clients greifen auf internen Dienst zu

externer Port wird nach intern weitergeleitet

Merksatz:

NAT nach außen ist nicht dasselbe wie Zugriff von außen nach innen.

NAT:

übersetzt Adressen

Firewall:

erlaubt oder blockiert Verkehr

Wichtig:

Viele Geräte kombinieren beide Funktionen.
Fachlich bleiben sie verschieden.

Merksatz:

NAT übersetzt.
Firewall filtert.

Mögliche Ursachen:

Standardgateway fehlt

Standardgateway falsch

Routingfehler

NAT fehlt oder fehlerhaft

Firewall blockiert

Providerverbindung gestört

DNS zusätzlich bei Zugriff über Namen

Merksatz:

Lokal ja,
extern nein:
Gateway,
Routing,
NAT
oder Firewall prüfen.

Eher nein.

Wenn externe IP-Adressen erreichbar sind, funktionieren Gateway, Routing und NAT wahrscheinlich grundsätzlich.

Wenn nur Namen nicht funktionieren, ist DNS wahrscheinlicher.

Merksatz:

IP ja,
Name nein:
DNS.

Mögliche Ursachen:

falscher externer Port

falsche interne IP-Adresse

falscher interner Port

Webdienst läuft nicht

Dienst lauscht nicht auf richtiger Schnittstelle

lokale Firewall blockiert

Router-Firewall blockiert

NAT-Regel fehlt oder falsch

DNS zeigt auf falsche öffentliche IP

doppeltes NAT

CGNAT beim Provider

Zertifikat oder Anwendung fehlerhaft

Merksatz:

Portweiterleitung braucht DNS,
NAT,
Firewall
und laufenden Dienst.

Doppeltes NAT bedeutet:

Verkehr wird durch zwei NAT-Geräte übersetzt.

Beispiel:

Provider-Router

und dahinter

eigener Router

Problem:

Portweiterleitungen werden schwieriger,
weil beide Geräte korrekt konfiguriert werden müssen.

Merksatz:

Doppeltes NAT erschwert eingehende Verbindungen.

CGNAT steht für:

Carrier-Grade NAT

Dabei teilt der Provider öffentliche IPv4-Adressen auf mehrere Kunden auf.

Problem:

Der Kunde hat oft keine eigene öffentlich erreichbare IPv4-Adresse.
Eingehende Portweiterleitungen funktionieren dadurch meist nicht direkt.

Merksatz:

CGNAT erschwert Zugriff von außen auf eigene Dienste.

Bei CGNAT liegt die öffentliche IPv4-Adresse nicht direkt am eigenen Router.

Der Router ist hinter einer NAT-Struktur des Providers.

Dadurch erreichen eingehende Verbindungen die eigene Portweiterleitung nicht direkt.

Merksatz:

Ohne eigene öffentliche IPv4-Adresse ist Portweiterleitung von außen schwierig.

Hairpin NAT oder NAT Loopback bedeutet:

Ein interner Client greift über die öffentliche Adresse oder Domain
auf einen internen Dienst zu.

Der Router leitet die Verbindung wieder zurück ins interne Netz.

Problem:

Nicht jeder Router unterstützt das sauber.

Merksatz:

Hairpin NAT betrifft internen Zugriff über externe Adresse.

Mögliche Ursachen:

Portweiterleitung fehlt

externe Firewall blockiert

öffentliche IP falsch

DNS zeigt falsch

doppeltes NAT

CGNAT

Dienst bindet nur an interne Adresse

Zertifikat oder Hostname falsch

Provider blockiert Port

Merksatz:

Intern erreichbar heißt nicht automatisch extern erreichbar.

Mögliche Ursachen:

Hairpin NAT fehlt

Split-DNS fehlt

interne DNS-Auflösung zeigt auf falsche Adresse

Firewall-Regel für internen Zugriff fehlt

Zertifikat oder Hostname passt nicht

Merksatz:

Externe Domain intern nutzen:
Hairpin NAT oder Split-DNS prüfen.

Split-DNS bedeutet:

Ein Name kann intern und extern unterschiedlich aufgelöst werden.

Beispiel:

extern:
app.firma.de zeigt auf öffentliche IP

intern:
app.firma.de zeigt auf interne IP

Vorteil:

interne Clients können den Dienst direkt intern erreichen,
ohne Hairpin NAT zu benötigen.

Merksatz:

Split-DNS kann interne und externe Wege trennen.

Sinnvolle Regel:

Quelle:
Internet

Ziel:
Webserver in der DMZ

Protokoll:
TCP

Port:
443

Aktion:
erlauben

Zweck:
HTTPS-Zugriff auf Webserver

Wichtig:

Nicht pauschal Zugriff vom Internet ins interne Netz erlauben.

Merksatz:

Öffentlich nur den benötigten Dienst freigeben.

Gezielte Regel:

Quelle:
Webserver-DMZ

Ziel:
Datenbankserver intern

Protokoll:
TCP

Port:
Datenbankport,
zum Beispiel 5432 oder 3306

Aktion:
erlauben

Zweck:
Anwendung greift auf Datenbank zu

Wichtig:

Nur exakt benötigten Zugriff erlauben.
Kein Any-to-Any zwischen DMZ und internem Netz.

Merksatz:

DMZ zu intern nur minimal und gezielt erlauben.

Ein Datenbankserver enthält oft sensible Daten und ist ein attraktives Angriffsziel.

Risiken:

Brute Force

Exploits

Datenabfluss

Manipulation

DoS

Besser:

Zugriff nur vom Anwendungsserver

Firewall-Beschränkung

kein direkter Internetzugriff

starke Authentifizierung

Monitoring

Merksatz:

Datenbankports gehören nicht offen ins Internet.

Typische Regeln:

Gastnetz zu Internet:
erlauben

Gastnetz zu internem Netz:
blockieren

Gastnetz zu Managementnetz:
blockieren

Gastnetz zu Servernetz:
blockieren,
außer ausdrücklich benötigte Dienste

Merksatz:

Gastnetz nur ins Internet,
nicht ins interne Netz.

Ein Managementnetz sollte nur für Administration genutzt werden.

Typische Regeln:

Adminnetz zu Servern:
benötigte Adminports erlauben

Adminnetz zu Switches:
SSH oder HTTPS erlauben

normale Clientnetze zu Management:
blockieren

Internet zu Management:
blockieren

Merksatz:

Managementzugänge besonders schützen.

Prüfen:

richtige öffentliche IP?

DNS zeigt auf richtige IP?

Portweiterleitung korrekt?

externe Firewall erlaubt?

interne Firewall erlaubt?

Dienst läuft intern?

Dienst lauscht auf richtigem Port?

Dienst lauscht auf richtiger Schnittstelle?

doppeltes NAT?

CGNAT?

Provider blockiert Port?

Merksatz:

Externer Porttest:
DNS,
NAT,
Firewall,
Dienst
und Provider prüfen.

Die Aussage ist zu ungenau.

Besser ist:

Quelle prüfen

Ziel prüfen

Port prüfen

Protokoll prüfen

Richtung prüfen

Zone prüfen

Regelreihenfolge prüfen

Firewall-Logs prüfen

Merksatz:

Firewallprüfung braucht konkrete Angaben.

Viele Firewalls verarbeiten Regeln in einer bestimmten Reihenfolge.

Eine frühere Regel kann spätere Regeln überdecken.

Beispiel:

Eine Block-Regel vor einer Erlauben-Regel kann Zugriff verhindern.

Merksatz:

Bei Firewalls auch Regelreihenfolge prüfen.

B ist besser.

Begründung:

Die Antwort trennt die Funktionen fachlich korrekt.

Merksatz:

NAT übersetzt,
Firewall kontrolliert.

B ist besser.

Begründung:

Die Antwort erklärt den Sicherheitszweck der DMZ.

Merksatz:

DMZ begrenzt Schaden bei öffentlichen Diensten.

B ist besser.

Begründung:

Die Antwort nennt systematisch die beteiligten Komponenten.

Merksatz:

Portweiterleitung ist Zusammenspiel aus DNS,
NAT,
Firewall
und Dienst.

B ist besser.

Begründung:

Die Antwort nennt konkrete Risiken
und eine bessere Alternative.

Merksatz:

Bewertung braucht Risiko und bessere Maßnahme.