Vorgehensweise und Syntax zur Konfiguration von Firewall-Regeln in der LANCOM Management Cloud

Die Erstellung von Firewall-Regeln in der LANCOM Managament Cloud (LMC) kann nicht in gleicher Weise vorgenommen werden, wie dies mit LANconfig möglich ist, sondern es muss eine Vorgehensweise und Syntax verwendet werden, welche in diesem Dokument beschrieben wird.

Die Vorgehenseise und Syntax zur Konfiguration von Firewall-Regeln in WEBconfig ist in diesem Knowledge Base-Artikel beschrieben.

Voraussetzungen:

• LCOS ab Version 10.00 (download aktuelle Version)
• Zugang zur LANCOM Management Cloud, mit welcher das LANCOM Gerät gekoppelt ist.

Vorgehensweise:

Damit nicht in jeder Firewall-Regel die im Folgenden beschriebenen Aktions-IDs verwendet werden müssen, empfiehlt es sich, vor der Erstellung der einzelnen Regeln sog. Firewall-Objekte anzulegen, die in den Regeln dann immer wieder verwendet werden können.

Zudem sind im Menü Geräte → <Gerätename> → Detail-Konfiguration → IPv4-Regeln → Firewall-Objekte bereits vorgefertigte Objekte für die gängigsten Aktionen und Protokolle bzw. Quell- und Ziel-Adressen (ACCEPT, REJECT, DROP, ANYHOST, LOCALNET, etc.) vorhanden, welche zur einfachen Konfiguration einer Firewall-Regel verwendet werden können.

Um die Vorgehensweise zu verdeutlichen, werden beispielhaft folgende Firewall-Regeln mit der LMC angelegt:

• Datenverkehr von einer bestimmten Quell-IP-Adresse blockieren
• HTTPS-Verbindungen global erlauben
• Mindestbandbreite von 256 Kilobyte pro Sekunde garantieren (QoS)

1.1 Öffnen Sie die Konfiguration des LANCOM Gerätes in der LMC im Menü Geräte -> <Gerätename> -> Detail-Konfiguration -> IPv4-Regeln -> Firewall-Objekte -> Objekt-Tabelle und klicken Sie auf die Schaltfläche Hinzufügen.

1.2 Vergeben Sie einen aussagekräftigen Namen für das Objekt und geben Sie als Syntax %A gefolgt von der IP-Adresse des Gerätes ein (z.B. %A10.10.10.1). Klicken Sie dann auf OK um das Objekt zu speichern.

• Vergeben Sie einen aussagekräftigen Namen für diese Regel.
• Da alle Protokolle blockiert werden sollen, können Sie die vorgefertigte Regel ANY verwenden.
• Als Quelle wird das im Schritt 1.2 erstellte Objekt PC_IM_LAGER eingetragen. Wenn Sie kein vorgefertigtes Objekt verwenden möchten, müssten Sie an dieser Stelle die Syntax %A10.10.10.1 verwenden.
• Das Ziel ANYHOST gibt an, dass die Regel für alle Ziele gilt.
• Als Aktion können Sie das vorgefertigte Aktions-Objekt REJECT eintragen.

Klicken Sie dann auf OK, um die Regel zu speichern.

1.5 Klicken Sie im  unteren Bereich des Menüs Objekt-Tabelle  auf  Speichern  oder  Speichern und ausrollen, um die Änderung zu übernehmen.

Beispielregel 2: HTTPS-Verbindungen global erlauben

2.1 Öffnen Sie das Menü Geräte → <Gerätename> → Detail-Konfiguration → IPv4-Regeln → Regel-Tabelle und erstellen Sie eine neue Regel.

• Vergeben Sie einen aussagekräftigen Namen für diese Regel.
• Da alle Protokolle erlaubt werden sollen, können Sie die vorgefertigte Regel ANY verwenden.
• Alle Clients im Netzwerk sollen HTTPS-Verbindungen nutzen können, daher kann das vorgefertigte Objekt ANYHOST eingetragen werden.
• Das Ziel HTTPS gibt an, dass die Regel für alle Ziele gilt. Wenn Sie das vorgefertigte Objekt HTTPS nicht verwenden möchten, müssten Sie an dieser Stelle die Syntax %S443 verwenden.
• Als Aktion können Sie das vorgefertigte Aktions-Objekt ACCEPT eintragen.

Klicken Sie dann auf OK, um die Regel zu speichern.

2.2 Klicken Sie im  unteren Bereich des Menüs Objekt-Tabelle  auf  Speichern  oder  Speichern und ausrollen, um die Änderung zu übernehmen.

3.1 Öffnen Sie die Konfiguration des LANCOM Gerätes in der LMC im Menü Geräte → <Gerätename> → Detail-Konfiguration → IPv4-Regeln → Firewall-Objekte → Aktionen-Tabelle und klicken Sie auf die Schaltfläche Hinzufügen.

3.2 Vergeben Sie einen aussagekräftigen Namen für die Aktion und geben Sie als Syntax %Qgds256 ein. Klicken Sie dann auf OK, um das Objekt zu speichern.

3.3 Öffnen Sie das Menü Geräte → <Gerätename> → Detail-Konfiguration → IPv4-Regeln → Regel-Tabelle und erstellen Sie eine neue Regel.

• Vergeben Sie einen aussagekräftigen Namen für diese Regel.
• Da alle Protokolle erlaubt werden sollen, können Sie die vorgefertigte Regel ANY verwenden.
• Die garantierte Mindestbandbreite soll für alle Quelln und alle Ziele gelten, daher kann hier jeweils das vorgefertigte Objekt ANYHOST eingetragen werden.
• Als Aktion können Sie das im Schritt 3.2 erstellte Aktionen-Objekt eintragen. Wenn Sie das erstellte Aktionen-Objekt nicht verwenden möchten, müssten Sie an dieser Stelle die Syntax %Qgds256 verwenden.

Klicken Sie dann auf OK, um die Regel zu speichern.

3.4 Klicken Sie im  unteren Bereich des Menüs Objekt-Tabelle  auf  Speichern  oder  Speichern und ausrollen, um die Änderung zu übernehmen.

Syntax zum Anlegen von Aktionen:

Alle Aktionen sind beliebig miteinander kombinierbar. Bei Aktionen, welche sich gegenseitig aufheben (z.B.: "Accept" + "Drop") wird automatisch die sicherere Variante (in diesem Fall "Drop") gewählt.

• Betroffener Port wird in eine Sperrliste eingetragen
• Weitere Pakete an Rechner und Port werden verworfen
• Sperrzeit wir in Stunde (h), Minute (m) oder Sekunde (s) hinter der Aktions-ID angegeben (Beispiel: %pm10 sperrt den Port für 10 Minuten)

• Absender des Pakets wird in eine Sperrliste eingetragen
• Gleiche Syntax zur Zeitangabe wie bei der Close-Port Aktion

• Ohne weitere Aktion geht die Firewall von einer Kombination mit Reject aus.

• Quality-of-Service-Objekte (QoS-Objekte) stellen besondere Limits dar, durch die eine minimale Bandbreite garantiert werden kann.
• Es gelten die gleichen Konventionen wie bei den Limit Objekten.
• QoS-Objekte werden durch %q eingeleitet und unterscheiden sich von Limit-Objekten nur dadurch, dass nach überschreiten der Schwelle die folgenden Pakete weiterhin akzeptiert werden.
• Hier kann die Angabe der Accept-Aktion sowohl als Haupt-Aktion als auch als getriggerte Aktion wegfallen und die Beschreibung entsprechend abgekürzt werden.
  
  Beispiel: %a %qcds8%a %lgds32%d = %qcds8 %lgds32%d