Für was gilt die Any-Regel?

Ich verstehe das mit den Löchern nicht so ganz...
Any ist any (also auf Deutsch "Alles"), da gibt's keine Ausnahmen.

Firewall-Regeln werden von oben nach unten abgearbeitet, sobald eine greift, wird keine weitere mehr angewendet.
Ganz unten steht dann noch ein (nicht sichtbare) Deny all-Regel.

Wenn du keine Löcher willst, konfigurierst du ganz spezifisch, welche Clients/Gruppe/Netz was dürfen.

Wenn du allen Clients im internen Netz alles ins Internet erlauben willst, machst du eine Allow-Regel "Internal - Any - Internet (IPv4)" und evtl. noch eine mit IPv6.

Wenn die Clients auf keinen Fall in die DMZ kommen sollen, definierst du oberhalb eine Deny-Regel Internal - Any - DMZ.

Allerdings empfehle ich eher, nur bestimmte Dienste freizugeben (Also z.B. Internal - Web Surfing (beinhaltet HTTP, HTTPS, etc.) - Internet).

Je weniger Löcher, desto sicherer... [:)]

Die deny Regel ist nicht nötig wenn anstelle ANY für Destination Internet ausgewählt wird. Per default blockt die UTM jeglichen Verkehr der nicht explizit erlaubt wird.

Und ANY als Ziel ist möglichst zu vermeiden, da dieses Objekt sowohl das Internet wie such jedes andere an der UTM konfigurierte Netz umfasst ( DMZ und co.). Gibt natürlich Ausnahmen wo das erwünscht ist...

Geschrieben auf meinem Galaxy Nexus mit Astaro.org

Genau. Wollte nämlich vorher noch folgenden Beitrag schreiben:

----------------------------------------------------

Dann ist jedoch die Frage was die Firewall macht wenn die Netze zwar definiert sind, aber noch keine Regel angelegt ist. Es gibt ja nur zwei Möglichkeiten. Entweder sie blockt alles, oder sie lässt alles zu. Ich gehe davon aus sie blockt alles.
Das heißt im Umkehrschluss aber:
Wenn sie alles blockt, bräuchte ich keine Verweigerungsregel sondern nur Regeln die erlauben.
Wenn Sie alles zulässt, bräuchte nur Regeln die verweigern und keine die zulassen.

----------------------------------------------------

Sonst benötigt man ja erstmal 6 Deny Regeln von allen Netzen in alle anderen (DMZ1 zu Intern, DMZ2 zu DMZ1, etc...)
Das es als Destination Internet gibt wusste ich nicht. Das müsste ja dann auch als Quelle geben, oder? Wie ist denn Internet dann definiert? Alles was nicht in der Astaro definiert ist oder alles was über die externe IP der Astaro kommt?

Gruß

plate-gt

Zusatzhinweis: ANY -> ANY bezieht sich nur auf *weitergeleiteten* Traffic (FORWARD chain). D.h. damit ist *kein* Traffic von ANY zu einem der ASG interfaces abgedeckt, dafür bräuchte es eine ANY -> Interface (Address) Regel.

Das "Internet"-Objekt ist im Unterschied zum "Any"-Objekt an das Uplink-Interface gebunden und deswegen auch genau für diesen Zweck zu bevorzugen.

Hallo,

ich habe gerade nochmal die Firewall angeschaut. Wir benutzen die Version 8.305. Es gibt jedoch kein Ziel dass sich Internet nennt. Es gibt nur ein definiertes Interfaces an welchem das DSL-Modem hängt. "interface-ins-Internet". Fehlt hier was oder soll ich stattdessen das definierte Interface nehmen?

Vielen Dank im Voraus.

Gruß

plate-gt

"Internet" ist eine Netzwerkdefinition:

Die Netzwerktabelle enthält auch statische Netzwerke, die automatisch vom System angelegt wurden und die weder bearbeitet noch gelöscht werden können:

[...]
• Internet: Eine Netzwerkdefinition, die an diejenige Schnittstelle gebunden ist, die als Standardgateway fungiert. Die Benutzung dieser Definition sollte Ihren Konfigurationsprozess erleichtern. Wenn Uplink-Ausgleich aktiviert ist, ist Internet an die Definition Uplink Interfaces (Uplink-Schnittstellen) gebunden.

MfG - Bob

Ja. Danke für die Antwort. War auch einfach nur blind. Das Ziel ist da. Werde morgen die noch verbleibenden Hosts umstellen.

Danke für eure Hilfe.

Gruß

plate-gt