IPFire: Netzwerkisolation mit IPFire und Tor-Gateway einrichten

Anleitungen Netzwerke Sicherheit Virtualisierung
speefak

IPFire: Netzwerkisolation mit IPFire und Tor-Gateway einrichten

Eine strukturierte Netzwerksegmentierung ist eine zentrale Sicherheitsmaßnahme, um Systeme voneinander zu isolieren und unerwünschte Kommunikation zu verhindern. Besonders Testumgebungen, KI-Agenten, Malware-Analysen und andere sicherheitskritische Anwendungen sollten daher in einem separaten, abgeschotteten Netzwerk betrieben werden.

Die klassische IPFire-Netzwerkarchitektur wird für dieses Szenario angepasst. Grund hierfür ist die feste Zuordnung der IPFire-Zonen: Die RED-Schnittstelle ist ausschließlich als untrusted WAN-Zone für externe Netzwerkverbindungen vorgesehen. Das Internet-Gateway muss daher zwingend im RED-Netz erreichbar sein, eine freie Umdefinition dieser Zone ist in der Standardkonfiguration nicht vorgesehen.

Um dennoch eine vollständige Trennung zwischen Heimnetz und isolierter Arbeitsumgebung zu erreichen, wird das Heimnetz als vorgelagertes Netzwerk betrieben. Die abgeschottete Umgebung wird über die ORANGE-Zone von IPFire bereitgestellt. IPFire übernimmt dabei weiterhin die zentrale Kontrolle des Datenverkehrs und setzt die definierten Firewall-Regeln zwischen den Segmenten durch.

Das ORANGE-Netz erhält ausschließlich den benötigten Internetzugang, während Zugriffe auf das Heimnetz und interne Systeme unterbunden werden. Dadurch bleiben kritische Anwendungen isoliert und das Risiko bei einer möglichen Kompromittierung einzelner Systeme wird deutlich reduziert.

Dieses Tutorial beschreibt zwei Varianten für den Betrieb eines isolierten ORANGE-Netzes hinter IPFire. Beide basieren auf derselben Netzwerkstruktur, unterscheiden sich jedoch darin, welche Komponente NAT und DNS-Auflösung übernimmt. Davon hängt ab, ob die Konfiguration vollständig über die IPFire-Weboberfläche erfolgen kann oder zusätzliche Firewall-Anpassungen erforderlich sind.

Gemeinsame Basis: Netzwerkaufbau (2-NIC-Alternative)

Anstelle einer vollständigen Trennung über drei separate physische bzw. virtuelle Netzwerkschnittstellen (RED/GREEN/ORANGE) kann in Proxmox für das oben beschriebene Szenario auch ein reduzierter Aufbau mit nur 2 NICs verwendet werden:

  • RED → Bridge vmbr0 (dieselbe Bridge, in der sich auch das Internet-Gateway/der Heimrouter befindet)
  • Green → gemeinsame isolierte Bridge isoLAN (wird nur für die Initial konfiguration benötigt)
  • ORANGE → gemeinsame isolierte Bridge isoLAN (vollständig isoliertes LAN)
  • BLUE → gemeinsame isolierte Bridge isoLAN (teilweise isoliertes LAN, IPFire DHCP/DNS)

Auch wenn GREEN und ORANGE derselben Proxmox-Bridge (isoLAN) zugewiesen sind, müssen ihnen während der IPFire-Ersteinrichtung unterschiedliche IP-Netze zugewiesen werden. Andernfalls können die beiden Netzbereiche von IPFire beziehungsweise den iptables-Regeln nicht eindeutig voneinander unterschieden und getrennt behandelt werden.

Vorgehen bei der Ersteinrichtung

  1. IPFire wird zunächst mit aktivem GREEN-Interface auf der Proxmox-Bridge isoLAN eingerichtet. Dabei bleibt die GREEN-NIC verbunden, während die ORANGE-NIC in der Proxmox-VM-Konfiguration vorerst deaktiviert wird (link_down=1).
  2. Der Zugriff auf die IPFire-WebGUI zur weiteren Konfiguration erfolgt temporär über das GREEN-Netzwerk mittels einer separaten Management-VM. Diese Management-VM wird manuell mit einer statischen IP-Adresse konfiguriert, falls im GREEN-Netzwerk kein DHCP-Server aktiv ist. Die verwendete IP-Adresse muss sich dabei im gleichen Netzwerkbereich befinden wie das in IPFire konfigurierte GREEN-Netz.
  3. Über das GREEN-Interface wird anschließend die Erreichbarkeit der IPFire-WebGUI aus dem RED-Netz eingerichtet und getestet.
  4. Sobald der Zugriff auf die WebGUI über RED erfolgreich funktioniert, wird die GREEN-NIC in der Proxmox-VM-Konfiguration deaktiviert (link_down=1) und stattdessen die ORANGE-NIC aktiviert.
  5. Ab diesem Zeitpunkt erfolgt der Betrieb des isolierten Netzwerks ausschließlich über die ORANGE-Zone. Das GREEN-Interface bleibt zwar deaktiviert, wird von IPFire jedoch weiterhin als Bestandteil der Firewall-Konfiguration vorausgesetzt und kann nicht vollständig entfernt werden.

Kommunikation aller Netze untereinander per Default sperren

Per Default ermöglicht IPFire die Kommunikation einiger Dienste und Netze untereinander (so hat z.B. GREEN standardmäßig Zugriff auf alle übrigen Netze). Dieses Verhalten wird in den Firewalloptionen im Abschnitt Standardverhalten der Firewall konfiguriert. Die dort zur Auswahl stehenden Möglichkeiten (Forward sowie Outgoing) betreffen die Kommunikation der Netze untereinander (Forward) sowie die ausgehende Kommunikation der Firewall selbst (Outgoing). Um die Kommunikation der Netze untereinander vollständig zu unterbinden und ausschließlich explizit über Firewallregeln freigegebene Kommunikation zuzulassen, sollte jegliche Kommunikation der Netze untereinander per Default gesperrt werden.

Navigieren Sie zu Firewall und wählen Sie Firewalloptionen aus.

Abschnitt “Standardverhalten der Firewall”:

  • Im Dropdown-Menü unter Forward von “zugelassen” auf “Blockiert” ändern.

Abschließend über die Schaltfläche “Speichern” das Standardverhalten der Firewall aktivieren.

Zugriff auf Firewall aus RED-Netz einrichten (Voraussetzung für beide Varianten)

Navigieren Sie zu Firewall → Firewallregeln und wählen Sie “Neue Regel erstellen”.

Abschnitt “Quelle”:

  • Radiobutton „Quelladresse (IP-/MAC-Adresse oder IP-Netzwerk)” aktivieren.
  • Den IP-Bereich des RED-Netzes direkt in die Eingabemaske eintragen (z. B. 192.168.0.1, abhängig von der Heimnetzkonfiguration)
  • Alternativ kann das RED-Netzwerk über die Standard-Netzwerke ausgewählt werden: Radiobutton “Standard-Netzwerke” aktivieren und im Dropdown-Menü: RED auswählen

Abschnitt “NAT”:

  • Checkbox nicht aktivieren (bei DROP/REJECT ohne Funktion).

Abschnitt “Ziel”:

  • Radiobutton “Firewall” aktivieren.
  • Dropdown-Menü: RED.

Abschnitt “Protokoll”:

  • Dropdown auf “Alle” belassen.

Abschnitt Aktions-Auswahl:

  • Radiobutton bei “Verwerfen (DROP)” auswählen (stilles Verwerfen, kein REJECT nötig – REJECT würde dem Client eine Fehlermeldung schicken, DROP lässt das Paket einfach verschwinden, ist für Isolationszwecke üblich und etwas unauffälliger).

Abschnitt “Weitere Einstellungen”:

  • Feld “Anmerkung”: z. B. “Zugriff auf Firewall aus RED-Netz erlauben”.
  • Feld “Regelposition”: 1 (wichtig, da der Zugriff auf die Firewall ohne GREEN andernfalls nicht möglich ist).
  • Checkbox “Regel aktivieren” setzen.

Abschließend über die Schaltfläche “Speichern” die Regel anlegen.

Hinweis: Die Darstellung in der Übersicht der Firewallregeln ist etwas übersichtlicher, wenn für die Quelle der direkte IP-Bereich statt des Standardnetzes RED eingetragen wird, da in der Übersicht dann die IP und nicht nur “RED” angezeigt wird. Da als Ziel die Firewall direkt ausgewählt wird, erscheint die Regel anschließend im Abschnitt “Eingehender Firewallzugang” statt bei den Firewallregeln. Sämtliche Zugriffe, die die Firewall direkt betreffen, werden in diesem Bereich gelistet.

Damit ist die grundlegende Konfiguration von IPFire für den Zugriff aus dem RED-Netz abgeschlossen.

Konfiguration der ORANGEN Zone

Für die Realisierung eines vollständig isolierten Netzwerks innerhalb der ORANGE-Zone stehen zwei unterschiedliche Architekturvarianten zur Verfügung. Beide Ansätze ermöglichen eine kontrollierte Trennung der Systeme vom internen Netzwerk, unterscheiden sich jedoch hinsichtlich Sicherheitsniveau, Überwachungsmöglichkeiten und der Platzierung zentraler Dienste.

Die einfachste und direkt über die IPFire-WebGUI konfigurierbare Variante ist die isolierte ORANGE-Zone (B1) mit einem externen DNS-Resolver. Da Firewalls Netzwerkverbindungen grundsätzlich anhand von IP-Adressen verarbeiten und regeln, ist für die Auflösung von Domainnamen ein DNS-Resolver erforderlich. Hierfür kann entweder ein externer DNS-Dienst im Internet oder alternativ der interne DNS-Resolver von IPFire (B2) verwendet werden.

Bei Verwendung des IPFire-DNS-Resolvers (B2) muss der Zugriff auf Port 53 von der ORANGE-Zone zur Firewall explizit freigegeben werden. Dadurch wird ein zusätzlicher Dienst der Firewall aus dem isolierten Netzwerksegment erreichbar, wodurch ein potenzieller zusätzlicher Angriffspunkt entsteht.

IPFire verarbeitet Firewall-Regeln in der festgelegten Reihenfolge von oben nach unten. Zunächst wird geprüft, ob eine Verbindung durch eine Blockierungsregel betroffen ist. Trifft diese zu, wird die Kommunikation verhindert. Greift keine Sperrregel, wird die nachfolgende Freigaberegel angewendet und die Kommunikation mit nicht explizit ausgeschlossenen Netzwerken erlaubt. Daher müssen Blockierungsregeln grundsätzlich vor allgemeinen Freigaberegeln angeordnet werden.

Variante A: Separate DNS-/VPN-/TOR-Gateway VM in der ORANGE-Zone

Eigenständige DNS-/VPN-/TOR-Gateway-VM zur zentralisierten Kommunikation der ORANGE-Zone. Sämtlicher Netzwerkverkehr der Clients innerhalb der ORANGE-Zone wird ausschließlich über diese Gateway-VM geleitet. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten wie z.B. dem Internet ist nicht möglich.

  • Gesammte Kommunikation aus ORANGE-Zone über DNS/TOR-Gateway
  • Keine direkt erreichbaren Firewall-Dienste aus der ORANGE-Zone, außer von Gateway-VM
  • Höherer Administrationsaufwand
  • Keine zentrale Verbindungsanalyse über die Firewall bei Verwendung von Gateway-VM oder DNS Anfragen

Variante B1: Vollständig getrennte ORANGE-Zone

Die Firewall selbst ist aus der ORANGE-Zone nicht erreichbar. Sämtliche Clients innerhalb der ORANGE-Zone erhalten den Internetzugriff über die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen internen Netzwerksegmenten ist nicht möglich. Die DNS-Auflösung erfolgt entweder über einen internen DNS-Resolver innerhalb der ORANGE-Zone oder über externe DNS-Server.

  • Zentrale Verwaltung und Überwachung der ORANGE-Zone Cleints über die IPFire-WebGUI
  • Firewall selbst ist vollständig von ORANGE-Zone getrennt
  • Eigener DNS Resolver in ORANGE-Zone oder externe DNS Server erforderlich

Variante B2: DNS-Resolver auf der IPFire-Firewall

Die Firewall übernimmt die DNS-Auflösung für alle Clients der ORANGE-Zone. Sämtliche Clients der ORANGE-Zone erhalten direkten Zugriff auf das Internet über die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten ist, bis auf den DNS Resolver der Firewall selbst, weiterhin nicht möglich.

  • Zentrale Verwaltung und Überwachung der ORANGE-Zone Cleints über die IPFire-WebGUI
  • DNS-Dienst der Firewall aus der ORANGE-Zone erreichbar
  • DNS Portfreigabe nur über Startparameter realisierbar
  • Zusätzlicher potenzieller Angriffspunkt

Variante A: Vollständig isoliertes ORANGE-Netz mit DNS/TOR Gateway VM

In diesem Aufbau kommuniziert ausschließlich die Tor-Gateway-VM direkt mit IPFire. Sämtliche weiteren Client-VMs im ORANGE-Netz haben keinerlei Möglichkeit mit der Firewall selbst oder anderen Nezten zu kommunizieren; sie tragen stattdessen die Tor-Gateway-VM sowohl als Default-Gateway als auch als DNS-Server ein. Die Tor-Gateway-VM übernimmt dabei folgende Aufgaben:

  • Betrieb von Tor mit aktiviertem TransPort (transparenter Proxy für TCP-Verbindungen) sowie DNSPort (DNS-Auflösung über das Tor-Netzwerk).
  • Umleitung sämtlichen Client-Traffics auf der eigenen, ORANGE-seitigen Schnittstelle mittels eigener iptables-Regeln (REDIRECT auf TransPort bzw. DNSPort). Dies erfolgt vollständig auf der Tor-Gateway-VM selbst, nicht auf IPFire.
  • Aufbau eigener Verbindungen zu Tor-Entry-Guards, die gegenüber IPFire als Traffic eines einzelnen Hosts (der Tor-Gateway-VM) in Erscheinung treten.
  • Die IPFire-Firewall kommuniziert ausschließlich mit dem Tor-Gateway und verwirft jegliche Anfragen der übrigen, im ORANGE-Netz befindlichen VMs.

Konfiguration der Firewallregel in der IPFire-WebGUI

Für diese Variante ist lediglich eine weitere Regel erforderlich, die es der TOR VM ermöglicht mit der Firewall zu kommunizieren. Diese wird wie folgt angelegt:

Navigieren Sie zu Firewall → Firewallregeln und wählen Sie Neue Regel erstellen.

Abschnitt “Quelle”:

  • Radiobutton “Quelladresse (IP-/MAC-Adresse oder IP-Netzwerk)” aktivieren.
  • In das zugehörige Eingabefeld die MAC-Adresse oder IP der Tor-Gateway-VM eintragen (Um Unabhängigkeit von einer festen VM-IP zu gewährleisten wird MAC empfohlen).
  • Die übrigen Radiobuttons dieses Abschnitts (“Firewall”, “Standard-Netzwerke”, “Länderfilter”) bleiben unausgewählt.

Abschnitt “NAT”:

  • Checkbox “Network Address Translation (NAT) benutzen” deaktiviert lassen.

Abschnitt “Ziel”:

  • Radiobutton “Zieladresse (IP-Adresse oder -Netzwerk)” aktivieren.
  • In das zugehörige Eingabefeld die IP-Adresse des Internetgateway/Routers eintragen: 192.168.0.1.
  • Die übrigen Radiobuttons dieses Abschnitts bleiben unausgewählt.

Abschnitt “Protokoll”:

  • Dropdown auf “Alle” belassen.

Abschnitt Aktions-Auswahl (grün/rot/dunkelrot):

  • Radiobutton bei “Akzeptieren (ACCEPT)” auswählen.

Abschnitt “Weitere Einstellungen”:

  • Feld “Anmerkung”: z. B. “Tor-Gateway Zugriff auf Internetgateway erlauben”.
  • Feld “Regelposition”: Position frei wählbar, da es sich um die einzige Regel handelt.
  • Checkbox “Regel aktivieren” setzen.
  • Übrige Optionen (Protokollierung, SYN-Flood-Schutz, Zeitrahmen, Verbindungsbeschränkung, Ratenlimitierung) bleiben unberührt.

Abschließend über die Schaltfläche “Hinzufügen” speichern und mit “Änderungen Übernehmen” Regel aktivieren.

Eine weitergehende Regel für den Internetzugriff des im ORANGE-Netz befindlichen Tor-Gateways ist in dieser Variante nicht erforderlich, da das Tor-Gateway NAT-Routing und DNS-Anfragen der im ORANGE-Netz befindlichen VMs selbst verarbeitet und als einziger Host auf Grund der o.g MAC/IP Regel mit der Firewall kommunizieren kann.

Variante B1: Vollständig getrennte ORANGE-Zone

In dieser Variante ist der Zugriff auf die Firewall selbst, wie bereits in Variante B1, aus der ORANGE-Zone vollständig gesperrt. Gleichzeitig wird die Kommunikation aller Clients innerhalb der ORANGE-Zone mit dem Internet erlaubt. Der interne IPFire-DNS-Resolver ist dadurch nicht erreichbar, weshalb die Clients entweder einen externen DNS-Resolver (z. B. 8.8.8.8) oder einen eigenen DNS-Server innerhalb der ORANGE-Zone verwenden müssen.

Für die grundlegende Konfiguration sind drei Firewall-Regeln erforderlich. Die erste Regel blockiert die Kommunikation zwischen der ORANGE- und der RED-Zone. Die zweite Regel erlaubt der ORANGE-Zone die Kommunikation mit allen übrigen Netzwerken einschließlich des Internets. Die dritte Regel sperrt den Zugriff auf die Firewall selbst für die ORANGE-Zone.

Regel 1 – Sperrung des Zugriffs von ORANGE auf RED

Navigieren Sie zu Firewall → Firewallregeln und wählen Sie Neue Regel erstellen.

Abschnitt “Quelle”:

  • Radiobutton “Standard-Netzwerke” aktivieren.
  • Im zugehörigen Dropdown-Menü ORANGE (192.168.10.0/24) auswählen.

Abschnitt “NAT”:

  • Checkbox “Network Address Translation (NAT) benutzen” deaktiviert lassen (bei einer verwerfenden Regel ohne Funktion).

Abschnitt “Ziel”:

  • Radiobutton “Zieladresse (IP-Adresse oder -Netzwerk)” aktivieren.
  • In das zugehörige Eingabefeld manuell eintragen: 192.168.0.0/24.
  • Ausdrücklich zu vermeiden: die Auswahl des Radiobuttons “Standard-Netzwerke” mit dem Wert RED. Dieser Wert wird von IPFire nicht subnetzbasiert, sondern interface-basiert ausgewertet und erfasst sämtlichen Datenverkehr, der über die Schnittstelle red0 das System verlässt — einschließlich des gesamten Internet-Traffics, sofern RED zugleich als Netzwerk-Uplink und Internetweg dient. Eine solche Auswahl würde den gesamten Internetzugriff des ORANGE-Netzes unterbinden.

Abschnitt “Protokoll”:

  • Dropdown auf “Alle” belassen.

Abschnitt Aktions-Auswahl:

  • Radiobutton bei “Verwerfen (DROP)” auswählen. (“Verweigern (REJECT)” ist ebenfalls möglich, sendet dem anfragenden Client jedoch eine Fehlermeldung zurück; für Isolationszwecke ist DROP das unauffälligere und gebräuchlichere Verhalten.)

Abschnitt “Weitere Einstellungen”:

  • Feld “Anmerkung”: z. B. “ORANGE – Zugriff auf RED Netz blockieren”.
  • Feld “Regelposition”: 1 eintragen (diese Regel muss zwingend vor der nachfolgenden Freigabe-Regel ausgewertet werden).
  • Checkbox “Regel aktivieren” setzen.
  • Checkbox “Protokollierung aktivieren” empfohlen setzen, um die Wirksamkeit der Regel im Firewall-Log nachvollziehen zu können.

Abschließend über “Hinzufügen” speichern.

Regel 2 – Freigabe des Internetzugriffs für ORANGE

Navigieren Sie erneut zu Firewall → Firewallregeln → Neue Regel erstellen.

Abschnitt “Quelle”:

  • Radiobutton “Standard-Netzwerke” aktivieren.
  • Dropdown-Menü: ORANGE.

Abschnitt “NAT”:

  • Checkbox “Network Address Translation (NAT) benutzen” nicht aktivieren. Das in der GUI integrierte Source-NAT ist in dieser Konfigurationvariante (RED als vertrauenswürdiges Netz einzustufen) fehlerhaft (Details siehe unten); NAT wird stattdessen manuell über firewall.local realisiert.

Abschnitt “Ziel”:

  • Radiobutton “Standard-Netzwerke” aktivieren.
  • Dropdown-Menü: Alle.
  • Ausdrücklich zu vermeiden: die Auswahl des Radiobuttons “Firewall” mit dem Wert “Alle”. “Firewall” als Ziel bezeichnet in IPFire ausschließlich Datenverkehr, der an die Firewall selbst adressiert ist (INPUT-Kette), nicht durchgeleiteten Datenverkehr (FORWARD-Kette). Eine solche Regel würde in der Übersicht fälschlich unter “Eingehender Firewallzugang” erscheinen und für den eigentlichen Internetzugriff wirkungslos bleiben.

Abschnitt “Protokoll”:

  • Dropdown auf “Alle” belassen.

Abschnitt Aktions-Auswahl:

  • Radiobutton bei “Akzeptieren (ACCEPT)” auswählen.

Abschnitt “Weitere Einstellungen”:

  • Feld “Anmerkung”: z. B. “ORANGE – Internetzugriff erlauben”.
  • Feld “Regelposition”: 2 eintragen (wichtig, da sonst der zugriff von Orange auf red erlaubt wird und o.g. regel aus schritt 1 nicht mehr greift).
  • Checkbox “Regel aktivieren” setzen.

Regel 3 – Sperrung des Zugriffs von ORANGE auf die Firewall selbst

Die beiden vorgenannten Regeln betreffen die ein- und ausgehende Kommunikation, nicht jedoch die Kommunikation mit der Firewall selbst. Diese wird im Abschnitt “Eingehender Firewallzugang” gelistet und betrifft ausschließlich die Kommunikation mit der Firewall selbst.

Der Zugriff auf die Firewall selbst ist in der Standardkonfiguration von IPFire ausschließlich aus der GREEN-Zone vorgesehen und sollte weder aus der RED- noch aus der ORANGE-Zone möglich sein. In der hier verwendeten, abweichenden Netzwerktopologie ist es jedoch erforderlich, den Zugriff aus der ORANGE-Zone explizit durch eine Firewall-Regel zu blockieren, da andernfalls ein Zugriff auf Firewall-Dienste möglich ist. Die Ursache für dieses abweichende Verhalten konnte bislang nicht abschließend ermittelt werden. Es ist daher empfehlenswert, den Zugriff auf die Firewall aus der ORANGE-Zone unabhängig von der Standardkonfiguration explizit zu sperren.

Navigieren Sie erneut zu Firewall → Firewallregeln → Neue Regel erstellen.

Abschnitt “Quelle”:

  • Radiobutton “Standard-Netzwerke” aktivieren.
  • Dropdown-Menü: ORANGE.

Abschnitt “NAT”:

  • Checkbox “Network Address Translation (NAT) benutzen” nicht aktivieren. Das in der GUI integrierte Source-NAT ist in dieser Konfigurationvariante (RED als vertrauenswürdiges Netz einzustufen) fehlerhaft, NAT wird stattdessen manuell über firewall.local realisiert.

Abschnitt “Ziel”:

  • Radiobutton “Firewall” aktivieren (dies betrifft die Kommunikation mit der Firewall selbst).
  • Dropdown-Menü: Alle.

Abschnitt “Protokoll”:

  • Dropdown auf “Alle” belassen.
  • Ausdrücklich zu vermeiden: die Auswahl eines spezifischen Protokolls mit fest definiertem Port (z. B. “TCP” mit Port 444). In der getesteten IPFire-Version erzeugt eine solche Portauswahl eine fehlerhafte Regel, bei der sowohl Quell- als auch Zielport auf denselben Wert gesetzt werden (tcp spt:snpp dpt:snpp statt ausschließlich dpt:snpp). Da ein anfragender Client praktisch nie von Port 444 aus verbindet, matcht eine derart erzeugte Regel de facto nie.

Abschnitt Aktions-Auswahl:

  • Radiobutton bei “Verwerfen (DROP)” auswählen.

Abschnitt “Weitere Einstellungen”:

  • Feld “Anmerkung”: z. B. “ORANGE – Zugriff auf Firewall sperren “.
  • Feld “Regelposition”: 2 eintragen (wichtig, da sonst der zugriff von Orange auf red erlaubt wird und o.g. regel aus schritt 1 nicht mehr greift).
  • Checkbox “Regel aktivieren” setzen.

Abschließend über “Hinzufügen” speichern und mit “Änderung übernehmen” Regeln aktivieren.

Variante B2: DNS-Resolver auf der IPFire-Firewall

Der Zugriff auf die Firewall ist in der standardmäßigen IPFire-Netzwerktopologie für die GREEN-Zone bereits eingeschränkt, für RED jedoch nicht. Die standardmäßig erlaubte Kommunikation zwischen ORANGE- und RED-Zone wurde durch Regel 1 aus Variante B1 bereits gesperrt, während der Internetzugriff der ORANGE-Zone über Regel 2 weiterhin ermöglicht wird.

Um den internen IPFire-DNS-Resolver aus der ORANGE-Zone zu erreichen, ist eine manuelle Konfiguration über die Startregeln in firewall.local erforderlich. Eine gezielte Freigabe ausschließlich für Port 53 funktioniert über die WebGUI nicht zuverlässig. Je nach Konfiguration werden entweder sämtliche Firewall-Dienste (z. B. WebGUI, SSH, DNS) freigegeben oder die Firewall bleibt vollständig gesperrt. Der Zugriff auf den IPFire-DNS-Resolver muss daher explizit über eine eigene iptables-Regel in firewall.local definiert werden.

Manuelle Ergänzung zur Freigabe des IPFire DNS Resolvers für das ORANGE Netz: /etc/sysconfig/firewall.local

Anschließend ausführbar machen und aktivieren:

Begründung: Warum in dieser Variante manuelle Ergänzungen erforderlich sind

  • NAT für ein vollständiges Subnetz: IPFire muss für sämtliche privaten IP-Adressen aus 192.168.10.0/24 gleichzeitig Source-NAT durchführen. Genau dieser Fall löst den bekannten GUI-Fehler (SNAT … to:0.0.0.0 bei dynamisch bezogener RED-IP oder wenn RED als als vertrauenwürdig eingestuft wird) aus. MASQUERADE behebt dies, da die aktuelle Interface-IP zur Laufzeit dynamisch abgefragt wird, anstatt eine feste, in der Konfiguration hinterlegte IP-Adresse zu erwarten.
  • DNS-Auflösung für sämtliche Clients: Sofern kein externer DNS-Server in den Orange VMs oder im Orange Netz selbst konfiguriert wird, muss jede VM ihre DNS-Anfragen an IPFire selbst richten. Dies trifft auf die fehlerhafte Port-Zuordnungslogik der WebGUI beim gezielten Freischalten von Port 53.

Hinweis zur Wahl der Tor-Implementierung

IPFire bietet zwar ein eigenes Tor-Paket. Gegen den Betrieb von Tor direkt auf IPFire anstelle einer separaten Gateway-VM sprechen zudem folgende Punkte:

  • Firewall, Router und Tor-Client liefen in einem System, was die Angriffsfläche der Firewall selbst vergrößert.
  • Der Isolationsvorteil einer separaten Gateway-VM — eine kompromittierte Client-VM hat keinen direkten Zugriff auf die Gateway-Konfiguration — entfiele.
  • Tor-Updates wären an den IPFire-Update-Zyklus gebunden, statt unabhängig davon eingespielt werden zu können.
  • Der Netzwerkpfad (ORANGE → RED) bliebe unverändert, unabhängig davon, auf welchem System Tor läuft.

Die dedizierte Tor-Gateway-VM im ORANGE-Netz wird daher gegenüber der IPFire-internen Tor-Integration als die robustere Lösung eingeschätzt.

CC_BY_NC_SAby Speefak

Website https://speefak.spdns.de/oss_lifestyle

Schreibe einen Kommentar

Deine E-Mail-Adresse wird nicht veröffentlicht. Erforderliche Felder sind mit * markiert

Related Posts

Back To Top