Quelle anzeigen

Beschreibung:

In diesem Artikel wird beschrieben, welche Besonderheiten bei der Vererbung von Firewall-Regeln auf einer LANCOM R&S®Unified Firewall zu beachten sind.

Regeln:

Regeln in einem Netzwerk-Objekt werden an ein nachgelagertes Host-Objekt vererbt.
Eine vererbte DENY-Regel gilt immer vor einer konfigurierten ALLOW-Regel.

Beispiel zu Vererbung:

1. Desktop:

In einem Netzwerk gibt es das Netzwerk-Objekt INTRANET und das Host-Objekt Workstation.

Benutzeroberfläche eines Netzwerkgeräts mit Beschriftungen für VPN, Firewall, Internet, und LANCOMInternetAccess, eingebettet in ein technisches Diagramm oder Konfigurationsmenü.

2. Netzwerk-Objekt:

Vom Netzwerk-Objekt INTRANET zum Internet (LANCOM_Internet-Access) sind HTTP und HTTPS erlaubt und ICMP verboten.

Da die Unified Firewall nach dem DENY-ALL-Prinzip arbeitet, ist zuerst jegliche Kommunikation verboten. In diesem Fall ist die Kommunikation per ICMP also auch ohne separate Regel bereits verboten. Es ist daher nicht erforderlich und in der Regel auch gar nicht sinnvoll ICMP über eine separate Regel extra zu verbieten.

Lediglich in Einzelfällen kann es sinnvoll sein einen bestimmten Port zu verbieten (etwa, wenn ein Port-Bereich erlaubt ist und sichergestellt sein soll, dass ein bestimmter Port aus diesem Bereich verboten ist).

Bildschirmansicht einer technischen Benutzeroberfläche für Netzwerkkonfigurationen, einschließlich NAT, URL Content Filter, Application Filter, und Traffic Shaping Einstellungen.

3. Host-Objekt:

Vom Host-Objekt Workstation zum Internet ist die Kommunikation per ICMP erlaubt.

Screenshot einer technischen Benutzeroberfläche, die verschiedene Netzwerkeinstellungen wie URL-Content-Filter, Application Filter, und Traffic Shaping zeigt.

4. Resultat:

Die Kommunikation per HTTP und HTTPS vom Host-Objekt Workstation zum Internet ist aufgrund der Vererbung erlaubt.
Die Kommunikation per ICMP vom Host-Objekt Workstation zum Internet bleibt verboten, da eine DENY-Regel immer vor einer ALLOW-Regel greift.

Vielen Dank für Ihr Feedback! Konstruktive Vorschläge zur Verbesserung unserer Knowledge Base oder Anregungen zu neuen Artikeln können Sie uns auch per E-Mail an knowledgebase@lancom.de senden.