Eine strukturierte Netzwerksegmentierung ist eine zentrale Sicherheitsma\u00dfnahme, um Systeme voneinander zu isolieren und unerw\u00fcnschte Kommunikation zu verhindern. Besonders Testumgebungen, KI-Agenten, Malware-Analysen und andere sicherheitskritische Anwendungen sollten daher in einem separaten, abgeschotteten Netzwerk betrieben werden.<\/p>\n
Die klassische IPFire-Netzwerkarchitektur wird f\u00fcr dieses Szenario angepasst. Grund hierf\u00fcr ist die feste Zuordnung der IPFire-Zonen: Die RED-Schnittstelle ist ausschlie\u00dflich als untrusted WAN-Zone f\u00fcr externe Netzwerkverbindungen vorgesehen. Das Internet-Gateway muss daher zwingend im RED-Netz erreichbar sein, eine freie Umdefinition dieser Zone ist in der Standardkonfiguration nicht vorgesehen.<\/p>\n
Um dennoch eine vollst\u00e4ndige Trennung zwischen Heimnetz und isolierter Arbeitsumgebung zu erreichen, wird das Heimnetz als vorgelagertes Netzwerk betrieben. Die abgeschottete Umgebung wird \u00fcber die ORANGE-Zone von IPFire bereitgestellt. IPFire \u00fcbernimmt dabei weiterhin die zentrale Kontrolle des Datenverkehrs und setzt die definierten Firewall-Regeln zwischen den Segmenten durch.<\/p>\n
Das ORANGE-Netz erh\u00e4lt ausschlie\u00dflich den ben\u00f6tigten Internetzugang, w\u00e4hrend Zugriffe auf das Heimnetz und interne Systeme unterbunden werden. Dadurch bleiben kritische Anwendungen isoliert und das Risiko bei einer m\u00f6glichen Kompromittierung einzelner Systeme wird deutlich reduziert.<\/p>\n
Dieses Tutorial beschreibt zwei Varianten f\u00fcr den Betrieb eines isolierten ORANGE-Netzes hinter IPFire. Beide basieren auf derselben Netzwerkstruktur, unterscheiden sich jedoch darin, welche Komponente NAT und DNS-Aufl\u00f6sung \u00fcbernimmt. Davon h\u00e4ngt ab, ob die Konfiguration vollst\u00e4ndig \u00fcber die IPFire-Weboberfl\u00e4che erfolgen kann oder zus\u00e4tzliche Firewall-Anpassungen erforderlich sind.<\/p>\n
Anstelle einer vollst\u00e4ndigen Trennung \u00fcber drei separate physische bzw. virtuelle Netzwerkschnittstellen (RED\/GREEN\/ORANGE) kann in Proxmox f\u00fcr das oben beschriebene Szenario auch ein reduzierter Aufbau mit nur 2 NICs verwendet werden:<\/p>\n
Auch wenn GREEN und ORANGE derselben Proxmox-Bridge (isoLAN) zugewiesen sind, m\u00fcssen ihnen w\u00e4hrend der IPFire-Ersteinrichtung unterschiedliche IP-Netze zugewiesen werden. Andernfalls k\u00f6nnen die beiden Netzbereiche von IPFire beziehungsweise den iptables-Regeln nicht eindeutig voneinander unterschieden und getrennt behandelt werden.<\/p>\n
Per Default erm\u00f6glicht IPFire die Kommunikation einiger Dienste und Netze untereinander (so hat z.B. GREEN standardm\u00e4\u00dfig Zugriff auf alle \u00fcbrigen Netze). Dieses Verhalten wird in den Firewalloptionen im Abschnitt Standardverhalten der Firewall konfiguriert. Die dort zur Auswahl stehenden M\u00f6glichkeiten (Forward sowie Outgoing) betreffen die Kommunikation der Netze untereinander (Forward) sowie die ausgehende Kommunikation der Firewall selbst (Outgoing). Um die Kommunikation der Netze untereinander vollst\u00e4ndig zu unterbinden und ausschlie\u00dflich explizit \u00fcber Firewallregeln freigegebene Kommunikation zuzulassen, sollte jegliche Kommunikation der Netze untereinander per Default gesperrt werden.<\/p>\n
Navigieren Sie zu Firewall<\/strong> und w\u00e4hlen Sie Firewalloptionen<\/strong>\u00a0aus.<\/p>\n Abschnitt “Standardverhalten der Firewall”:<\/strong><\/p>\n Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Speichern” das Standardverhalten der Firewall aktivieren.<\/p>\n Navigieren Sie zu Firewall \u2192 Firewallregeln und w\u00e4hlen Sie “Neue Regel erstellen”.<\/p>\n Abschnitt “Quelle”:<\/strong><\/p>\n Abschnitt “NAT”:<\/strong><\/p>\n Abschnitt “Ziel”:<\/strong><\/p>\n Abschnitt “Protokoll”:<\/strong><\/p>\n Abschnitt Aktions-Auswahl:<\/strong><\/p>\n Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Speichern” die Regel anlegen.<\/p>\n Hinweis:<\/strong> Die Darstellung in der \u00dcbersicht der Firewallregeln ist etwas \u00fcbersichtlicher, wenn f\u00fcr die Quelle der direkte IP-Bereich statt des Standardnetzes RED eingetragen wird, da in der \u00dcbersicht dann die IP und nicht nur “RED” angezeigt wird. Da als Ziel die Firewall direkt ausgew\u00e4hlt wird, erscheint die Regel anschlie\u00dfend im Abschnitt “Eingehender Firewallzugang” statt bei den Firewallregeln. S\u00e4mtliche Zugriffe, die die Firewall direkt betreffen, werden in diesem Bereich gelistet.<\/p>\n Damit ist die grundlegende Konfiguration von IPFire f\u00fcr den Zugriff aus dem RED-Netz abgeschlossen.<\/p>\n F\u00fcr die Realisierung eines vollst\u00e4ndig isolierten Netzwerks innerhalb der ORANGE-Zone stehen zwei unterschiedliche Architekturvarianten zur Verf\u00fcgung. Beide Ans\u00e4tze erm\u00f6glichen eine kontrollierte Trennung der Systeme vom internen Netzwerk, unterscheiden sich jedoch hinsichtlich Sicherheitsniveau, \u00dcberwachungsm\u00f6glichkeiten und der Platzierung zentraler Dienste.<\/p>\n Die einfachste und direkt \u00fcber die IPFire-WebGUI konfigurierbare Variante ist die isolierte ORANGE-Zone (B1) mit einem externen DNS-Resolver. Da Firewalls Netzwerkverbindungen grunds\u00e4tzlich anhand von IP-Adressen verarbeiten und regeln, ist f\u00fcr die Aufl\u00f6sung von Domainnamen ein DNS-Resolver erforderlich. Hierf\u00fcr kann entweder ein externer DNS-Dienst im Internet oder alternativ der interne DNS-Resolver von IPFire (B2) verwendet werden.<\/p>\n Bei Verwendung des IPFire-DNS-Resolvers (B2) muss der Zugriff auf Port 53 von der ORANGE-Zone zur Firewall explizit freigegeben werden. Dadurch wird ein zus\u00e4tzlicher Dienst der Firewall aus dem isolierten Netzwerksegment erreichbar, wodurch ein potenzieller zus\u00e4tzlicher Angriffspunkt entsteht.<\/p>\n IPFire verarbeitet Firewall-Regeln in der festgelegten Reihenfolge von oben nach unten. Zun\u00e4chst wird gepr\u00fcft, ob eine Verbindung durch eine Blockierungsregel betroffen ist. Trifft diese zu, wird die Kommunikation verhindert. Greift keine Sperrregel, wird die nachfolgende Freigaberegel angewendet und die Kommunikation mit nicht explizit ausgeschlossenen Netzwerken erlaubt. Daher m\u00fcssen Blockierungsregeln grunds\u00e4tzlich vor allgemeinen Freigaberegeln angeordnet werden.<\/p>\n Variante A: Separate DNS-\/VPN-\/TOR-Gateway VM in der ORANGE-Zone<\/strong><\/p>\n Eigenst\u00e4ndige DNS-\/VPN-\/TOR-Gateway-VM zur zentralisierten Kommunikation der ORANGE-Zone. S\u00e4mtlicher Netzwerkverkehr der Clients innerhalb der ORANGE-Zone wird ausschlie\u00dflich \u00fcber diese Gateway-VM geleitet. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten wie z.B. dem Internet ist nicht m\u00f6glich.<\/p>\n Variante B1: Vollst\u00e4ndig getrennte ORANGE-Zone<\/strong><\/p>\n Die Firewall selbst ist aus der ORANGE-Zone nicht erreichbar. S\u00e4mtliche Clients innerhalb der ORANGE-Zone erhalten den Internetzugriff \u00fcber die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen internen Netzwerksegmenten ist nicht m\u00f6glich. Die DNS-Aufl\u00f6sung erfolgt entweder \u00fcber einen internen DNS-Resolver innerhalb der ORANGE-Zone oder \u00fcber externe DNS-Server.<\/p>\n Variante B2: DNS-Resolver auf der IPFire-Firewall<\/strong><\/p>\n Die Firewall \u00fcbernimmt die DNS-Aufl\u00f6sung f\u00fcr alle Clients der ORANGE-Zone. S\u00e4mtliche Clients der ORANGE-Zone erhalten direkten Zugriff auf das Internet \u00fcber die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten ist, bis auf den DNS Resolver der Firewall selbst, weiterhin nicht m\u00f6glich.<\/p>\n <\/p>\r\n\n\t\t\n
\nZugriff auf Firewall aus RED-Netz einrichten (Voraussetzung f\u00fcr beide Varianten)<\/h2>\n
\n
\n
\n
\n
\n
\n
\nKonfiguration der ORANGEN Zone<\/h2>\n
\n\n
\n
\n
\nVariante A: Vollst\u00e4ndig isoliertes ORANGE-Netz mit DNS\/TOR Gateway VM<\/h3>\n