Description:
The following document describes how to set up your router's firewall using pre-defined scripts.
Requirements:
Strategies for configuring the firewall
Firewalls are interfaces between networks and restrict the exchange of data, to a greater or lesser extent. The purpose of a firewall is thus diametrically opposed to that of the network to which it belongs: Networks are supposed to connect computers, firewalls aim to prevent connections.
This contradiction indicates the dilemma of the responsible administrators who, as a result, have developed various strategies as a solution.
Allow-All
The allow-all strategy prioritizes the unobstructed communication between network users before security. It basically allows any communication and the LAN is open to intruders. The LAN only becomes more secure when the administrator successively configures new rules that restrict or prevent elements of the communication.
Deny-All
The deny-all strategy starts with a "block everything" approach with the firewall blocking all communication between the network and the rest of the world. As a second step the administrator then opens up address ranges or ports that are required for day-to-day communication with the Internet, etc.
This approach is better for the security of the LAN than the allow-all strategy but often leads to difficulties for users in the initial phase. Some things may simply not work in the same way after the deny-all firewall is activated and some computers may not be reachable, etc.
Developing an explicit "deny-all" strategy
In order to achieve the maximum degree of security and control over data traffic, we recommend that you initially block all data transfers through the firewall. Subsequently, only those functions and communication paths that are really required are selectively activated. This provides protection for example from so-called 'trojan horses' or e-mail viruses that actively establish an outgoing connection via certain ports.
Some typical applications are described below as firewall rules and can be transferred simply and easily using scripts, irrespective of device type and
software version.
Deny-All: The most important rule in a firewall
The deny-all rule is by far the most important rule for the protection of your LAN. With this rule the firewall acts in accordance with the following principle: "Anything not explicitly allowed is forbidden". This is the only strategy with which the administrator can be really sure that no possibility of access has been "forgotten" – only those points of access that have been explicitly allowed are available.
Name | Beschreibung | Skript-Datei |
Deny-ALL | Diese Regel unterbindet jegliche Kommunikation über den IP-Router bzw. Firewall. | |
Allow-HTTP/S | Diese Regel erlaubt vom lokalen Netz die Protokoll HTTP und HTTPS (Hypertext Transfer Protocol). Diese Protokolle werden für den Web-Seiten-Aufruf verwendet. (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) | |
Allow-FTP | Diese Regel erlaubt vom lokalen Netz das Protokoll FTP (File Transfer Protocol). Dieses Protokoll wird für Datei-Downloads verwendet. (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) | |
Allow-DNS | Diese Regel erlaubt vom lokalen Netz das Protokoll DNS (Domain Name System). Dieses Protokoll wird für die Namensauflösung verwendet. Seine Hauptaufgabe ist die Umsetzung von "Internetadressen" in die zugehörige IP-Adresse. | |
Allow-SMTP | Diese Regel erlaubt vom lokalen Netz das Protokoll SMTP (Simple Mail Transfer Protocol). Über dieses Protokoll werden Mails versendet. (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) | |
Allow-Secure-Mail | Diese Regel erlaubt vom lokalen Netz das Protokoll SMTP (Simple Mail Transfer Protocol). Über dieses Protokoll werden Mails versendet. (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) | |
Allow-MAILING | Diese Regel erlaubt vom lokalen Netz die Protokolle POP3 (Post Office Protocol Version 3) und IMAP (Internet Message Access Protocol). Über dieses Protokoll holen Mail-Clients Mails vom Server ab. (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) | |
Allow-RDP | Diese Regel erlaubt vom lokalen Netz das Protokolle RDP (Remote Desktop Protocol). Das Remote Desktop Protocol (RDP) ist ein Protokoll von Microsoft. Es stellt die technische Basis für die Implementation von Terminaldiensten zwischen zwei Computersystemen bereit. | |
Allow-IPSEC | Diese Regel erlaubt vom lokalen Netz die für IPSec-Verbindungen (Internet Protocol Security) benötigte IP-Protokolle 50 (ESP), 51 (AH) und 108 (IPCOMP), sowie das Protokoll IKE (Internet Key Exchange). Damit ist es möglich von einem lokalen Client eine IPSec-Verbindung zu einem im Internet verfügbaren VPN-Gateway aufzubauen. (Hinweis: Diese Regel wird nicht benötigt, wenn der LANCOM Router die IPSec-Verbindungen terminiert.) | |
Allow-VPN-ROUTING | Diese Regel erlaubt jegliche Kommunikation zu Ziel-Netzen, die in der IP-Routing-Tabelle des LANCOM Routers auf eine VPN-Gegenstelle verweisen. | |
Allow-ELSTER | Diese Regel erlaubt vom lokalen Netz das Nutzen der Applikation ELSTER (elektronische Steuererklärung). (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) | |
Allow-NTP | Diese Regel erlaubt vom lokalen Netz das Protokoll NTP (Netwok Time Protocol). Über dieses Protokoll können Anwendungen von einem Zeitserver die aktuelle Echzeit abholen. (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) (Hinweis: Ist der LANCOM Router als Zeitserver konfiguriert, wird diese Regel nicht benötigt) | |
Allow-SNMP | Diese Regel erlaubt vom lokalen Netz das Protokoll SNMP (Simple Network Management Protocol). Das Protokoll wird verwednet, um Netzwerkelemente (z. B. Router, Server, Switches, Drucker, Computer usw.) von einer zentralen Station aus zu überwachen und zu steuern. | |
Allow-TELNET/SSH | Diese Regel erlaubt vom lokalen Netz die Protokolle TELNET (Telecommunication Network) und SSH (Secure Shell). TELNET wird dazu verwendet, Benutzern den Zugang zu Internetrechnern über die Kommandozeile (CLI) zu bieten. SSH ist sowohl ein Programm als auch ein Netzwerkprotokoll, mit dessen Hilfe man sich über eine verschlüsselte Netzwerkverbindung auf einem entfernten Computer einloggen und dort Programme ausführen kann. | |
Allow-TFTP | Diese Regel erlaubt vom lokalen Netz das Protokoll TFTP (Trivial File Transfer Protocol). Das Protokoll ist ein sehr einfaches Dateiübertragungsprotokoll und wird z.B. für das Laden von Betriebssystemen oder Konfigurationen über das Netzwerk genutzt. | |
Allow-ICMP | Diese Regel erlaubt vom lokalen Netz das IP-Protokoll ICMP (Internet Control Message Protocol). Es dient in Netzwerken zum Austausch von Fehler- und Informationsmeldungen. | |
Deny-ALL (Package) | Diese Regel fasst alle in dieser Tabelle aufgeführten Regeln in ein Gesamt-Script zusammen. Diese Regel unterbindet jegliche Kommunikation über den IP-Router bzw. Firewall. + Diese Regel erlaubt die Protokolle : HTTP/S, FTP, DNS, SMTP, MAILING, RDP, IPSEC, VPN-Routing, ELSTER, NTP, SNMP, TELNET/SSH, TFTP und ICMP | |
Notice:
We recommend that you set the deny-all rule before attaching the LAN to the Internet via a LANCOM device. You can then use the logging table (that can be launched from LANmonitor) to easily see which connections have been blocked by the firewall. Using this information you can then successively add "allow-rules" to the firewall.
Developing an explicit "allow-all" strategy
The LANCOM firewall's default configuration is based on an "allow-all" strategy" and all communication is allowed. Undesired functions and communication paths over the firewall should then be selectively blocked.
Some typical applications are described below as firewall rules and can be transferred simply and easily using scripts, irrespective of device type and
software version.
Name | Beschreibung | Skript-Datei |
Deny-SMTP | Diese Regel unterbindet vom lokalen Netz das Protokoll SMTP (Simple Mail Transfer Protocol). Über dieses Protokoll werden Mails versendet. | |
Deny-MAILING | Diese Regel unterbindet vom lokalen Netz die Protokolle POP3 (Post Office Protocol Version 3) und IMAP (Internet Message Access Protocol). Über dieses Protokoll holen Mail-Clients Mails vom Server ab. | |
Deny-HTTP/S | Diese Regel unterbindet vom lokalen Netz die Protokoll HTTP und HTTPS (Hypertext Transfer Protocol). Diese Protokolle werden für den Web-Seiten-Aufruf verwendet. | |
Deny-FTP | Diese Regel unterbindet vom lokalen Netz das Protokoll FTP (File Transfer Protocol). Dieses Protokoll wird für Datei-Downloads verwendet. | |
Deny-RDP | Diese Regel unterbindet vom lokalen Netz das Protokolle RDP (Remote Desktop Protocol). Das Remote Desktop Protocol (RDP) ist ein Protokoll von Microsoft. Es stellt die technische Basis für die Implementation von Terminaldiensten zwischen zwei Computersystemen bereit. | |
Deny-FILESHARING | Diese Regel unterbindet vom lokalen Netz die Kommunikation über die gebräuchlichsten File-Sharing Applikationen. (Wichtiger Hinweis: Für die Vollständigkeit der Portangabe in der Regel übernehmen wir keine Gewähr.) | |
Deny-INST-MESSAGING | Diese Regel unterbindet vom lokalen Netz die Kommunikation über die gebräuchlichsten Instant Messenger Applikationen. (Wichtiger Hinweis: Für die Vollständigkeit der Portangabe in der Regel übernehmen wir keine Gewähr.) | |
Deny-ICMP | Diese Regel unterbindet vom lokalen Netz das IP-Protokoll ICMP (Internet Control Message Protocol). Es dient in Netzwerken zum Austausch von Fehler- und Informationsmeldungen | |
Deny-NTP | Diese Regel unterbindet vom lokalen Netz das Protokoll NTP (Netwok Time Protocol). Über dieses Protokoll können Anwendungen von einem Zeitserver die aktuelle Echtzeit abholen. (Wichtiger Hinweis: Zu dieser Regel wird zusätzlich die Regel "Allow-DNS" benötigt.) (Hinweis: Ist der LANCOM Router als Zeitserver konfiguriert, wird diese Regel nicht benötigt) | |
Deny-SNMP | Diese Regel unterbindet vom lokalen Netz das Protokoll SNMP (Simple Network Management Protocol). Das Protokoll wird verwendet, um Netzwerkelemente (z. B. Router, Server, Switches, Drucker, Computer usw.) von einer zentralen Station aus zu überwachen und zu steuern. | |
Deny-TELNET/SSH | Diese Regel unterbindet vom lokalen Netz die Protokolle TELNET (Telecommunication Network) und SSH (Secure Shell). TELNET wird dazu verwendet, Benutzern den Zugang zu Internetrechnern über die Kommandozeile (CLI) zu bieten. SSH ist sowohl ein Programm als auch ein Netzwerkprotokoll, mit dessen Hilfe man sich über eine verschlüsselte Netzwerkverbindung auf einem entfernten Computer einloggen und dort Programme ausführen kann. | |
Deny-ELSTER | Diese Regel unterbindet vom lokalen Netz das Nutzen der Applikation ELSTER (elektronische Steuererklärung). | |
Deny-TFTP | Diese Regel unterbindet vom lokalen Netz das Protokoll TFTP (Trivial File Transfer Protocol). Das Protokoll ist ein sehr einfaches Dateiübertragungsprotokoll und wird z.B. für das Laden von Betriebssystemen oder Konfigurationen über das Netzwerk genutzt. | |
Procedure:
- The scripts can be imported using LANconfig.
- Highlight the device to be configured, from the context menu (right mouse button) select the menu item Configuration Management -> → Restore script from file.
- Select one script file and confirm the import with Open. After the script has been loaded you will find the newly created rule in LANconfig under Firewall/QoS -> → IPv4-Rules - → Rules.
- Repeat the above steps to import additional rules.