Das Arbeitsnetz befindet sich dabei im ORANGE-Netz<\/strong> von IPFire und enth\u00e4lt eine dedizierte Tor-Gateway-VM<\/strong>. Diese virtuelle Maschine stellt als einzige Instanz eine Verbindung zum Router im Heimnetz her und leitet anschlie\u00dfend den gesamten ausgehenden Datenverkehr \u00fcber das Tor-Netzwerk. Alle \u00fcbrigen Systeme im ORANGE-Netz besitzen keinen direkten Zugang zum Router oder zum Internet und sind dadurch gezwungen, ausschlie\u00dflich den Weg \u00fcber das Tor-Gateway zu nutzen.<\/p>\n Dieses Konzept bietet mehrere Vorteile. Zum einen verhindert es zuverl\u00e4ssig, dass Anwendungen versehentlich oder absichtlich eine direkte Verbindung ins Internet aufbauen. Zum anderen bleiben Heimnetz und Arbeitsnetz vollst\u00e4ndig voneinander getrennt. Selbst wenn eine virtuelle Maschine kompromittiert werden sollte, kann sie weder direkt auf das Heimnetz oder die Firewall selbst zugreifen noch die Anonymisierung \u00fcber Tor umgehen.<\/p>\n Das Zielsetup besteht aus drei Netzen:<\/p>\n IPFire unterteilt das Netzwerk in vier Sicherheitszonen: RED<\/strong>, GREEN<\/strong>, ORANGE<\/strong> und BLUE<\/strong>. Die Zonen RED<\/strong> und GREEN<\/strong> sind obligatorisch und m\u00fcssen bei jeder Installation eingerichtet werden. Die Zonen ORANGE<\/strong> und BLUE<\/strong> sind optional und k\u00f6nnen bei Bedarf erg\u00e4nzt werden. Jede Zone erfordert eine eigene physische oder virtuelle Netzwerkschnittstelle, sodass jede Sicherheitszone \u00fcber ein separates Netzwerksegment verf\u00fcgt.<\/p>\n Im Standardkonzept von IPFire sind die Rollen wie folgt festgelegt:<\/p>\n IPFire erwartet grunds\u00e4tzlich, dass sich der Internet-Uplink im RED-Netz befindet, w\u00e4hrend GREEN ausnahmslos als vertrauensw\u00fcrdiges internes Netzwerk behandelt wird. Dies hat zur Folge, dass das Webinterface der Firewall standardm\u00e4\u00dfig aus dem GREEN-Netz erreichbar ist \u2013 selbst dann, wenn der Zugriff per Firewall-Regel untersagt wurde. Das RED-Netz hingegen ist standardm\u00e4\u00dfig als nicht vertrauensw\u00fcrdige Zone und f\u00fcr den Internet-Uplink vorgesehen. F\u00fcr das hier beschriebene Setup eignet sich GREEN daher nicht als vollst\u00e4ndig isolierte Uplink-Zone. Soll RED anstatt GREEN, wie in diesem Szenario, als vertrauensw\u00fcrdige Zone genutzt werden, weicht dies vom vorgesehenen Sicherheitsmodell von IPFire ab und erfordert entsprechende Anpassungen und ein weiteres ORANGE Netz.<\/p>\n Deshalb wird RED als vertrauensw\u00fcrdiges Netz konfiguriert, nicht weil IPFire dies vorsieht \u2014 im Gegenteil, RED gilt systemseitig weiterhin als nicht vertrauensw\u00fcrdig \u2014, sondern weil RED die einzige Zone ist, die zwingend als Internet-Gateway-Interface fungiert. Der Router im RED-Netz \u00fcbernimmt in diesem Setup die tats\u00e4chliche Internetanbindung; IPFire h\u00e4ngt sich \u00fcber RED lediglich als Client daran. Der Administrationszugriff von RED aus wird daher nicht automatisch gew\u00e4hrt, sondern muss \u00fcber eine explizite Firewallregel eingerichtet werden (siehe Schritt 4).<\/p>\n Da GREEN ein obligatorisches Interface ist, l\u00e4sst es sich in IPFire nicht deaktivieren oder unkonfiguriert lassen. Eine vollst\u00e4ndige Entfernung ist nicht vorgesehen. Stattdessen wird GREEN funktional entwertet, indem es an eine Bridge ohne angeschlossene VMs und ohne Uplink gebunden wird. GREEN bleibt dadurch als Interface bestehen, tr\u00e4gt jedoch keinen produktiven Traffic mehr und ist f\u00fcr kein anderes System erreichbar.<\/p>\n Daraus ergibt sich die folgende Reihenfolge bei der Einrichtung:<\/p>\n Wird GREEN deaktiviert, bevor der Zugriff von RED aus eingerichtet ist, ist die Firewall-Oberfl\u00e4che zwischenzeitlich von keiner Zone aus erreichbar. Eine Korrektur w\u00e4re in diesem Fall nur \u00fcber die lokale Konsole der Proxmox-VM m\u00f6glich.<\/p>\n ORANGE ist im Standardkonzept von IPFire als DMZ-Zone vorgesehen \u2014 f\u00fcr Systeme, die von au\u00dfen erreichbar sein sollen, ohne mit dem internen Netz zu kommunizieren. F\u00fcr das hier beschriebene Szenario ergeben sich daraus passende Grundeigenschaften:<\/p>\n Eine vergleichbare Isolation lie\u00dfe sich auf GREEN nur mit zus\u00e4tzlichem Regelaufwand ann\u00e4hern, wobei der Zugriff auf die Firewall-Administration von GREEN aus grunds\u00e4tzlich nicht vollst\u00e4ndig unterbindbar ist. Bei ORANGE ist diese Isolation bereits systemseitig vorgesehen.<\/p>\n Das bestehende RED-Interface wird der Bridge\/Netz in der sich Router (192.168.1.1) und die zu sch\u00fctzenden Systeme befinden, zugewiesen, wobei die IP zuweisung per DHCP vom Router erfolgt (z. B. 192.168.1.99). Die zweite vNIC wird der Green Bridge\/Netz zugewiesen in der sich ebenfalls die Management VM mit GUI und Browser f\u00fcr die Initialkonfiguration befindet. Die dritte vNIC\/Netz wird der ORANGE Bridge\/Netz zugewiesen in der sich TOR Gateway und alle weiteren isolierten VMs befinden. F\u00fcr die zweite und dritte vNIC werden feste IPs via Terminal setup befehl IPFire zugewiesen und bei Bedarf ein DHCP Server eingerichtet.<\/p>\n RED, GREEN, ORANGE und BLUE sollten nicht an derselben Bridge h\u00e4ngen, da dies die logische Zonentrennung von IPFire auf L2-Ebene aufheben w\u00fcrde.<\/p><\/blockquote>\n Beim Anlegen einer Regel unter Firewall \u2192 Firewallregeln \u2192 Neue Regel erstellen<\/strong> lassen sich Quelle und Ziel jeweils \u00fcber verschiedene Typen definieren. Die Auswahl bestimmt, welche Firewall-Chain die Regel betrifft und wie pr\u00e4zise sie greift:<\/p>\n Quelltypen:<\/strong><\/p>\n Zieltypen:<\/strong><\/p>\n Diese Unterscheidung ist relevant, weil eine Regel mit Ziel \u201eStandardnetzwerk ROT\u201c ausschlie\u00dflich durchgeleiteten Traffic betrifft \u2014 Zugriffe auf IPFire selbst (etwa das Webinterface auf der RED-IP) werden davon nicht erfasst. F\u00fcr Regeln, die den Zugriff auf die Firewall-Administration steuern sollen, muss als Ziel explizit Firewall<\/strong> gew\u00e4hlt werden.<\/p>\n Unter Firewall \u2192 Firewallregeln \u2192 Neue Regel erstellen<\/strong>:<\/p>\n Die Bindung an die MAC-Adresse verhindert, dass eine andere VM im ORANGE-Netz die Regel durch IP-Spoofing f\u00fcr sich nutzen kann. Als Zieltyp wird hier IP-Adresse<\/strong> statt Standardnetzwerk<\/strong> gew\u00e4hlt, da nur der einzelne Router adressiert werden soll, nicht das gesamte RED-Netz.<\/p>\n Unter Firewall \u2192 Firewalloptionen \u2192 Firewallrichtlinie<\/strong>:<\/p>\n Diese Einstellung sorgt daf\u00fcr, dass s\u00e4mtliche Zonen-\u00dcberg\u00e4nge (ORANGE\u2192ROT, ORANGE\u2192GR\u00dcN, GR\u00dcN\u2192ORANGE etc.) standardm\u00e4\u00dfig gesperrt sind, sofern keine explizite Ausnahmeregel greift. Die in Schritt 2 angelegte Regel wird dadurch zur wirksamen Ausnahme.<\/p>\n Die Outgoing-Policy<\/strong> (Verbindungen, die IPFire selbst initiiert \u2014 Updates, NTP, DNS-Aufl\u00f6sung) sollte auf \u201eZugelassen\u201c belassen werden, da sonst f\u00fcr jeden Wartungsdienst manuell eine Ausnahme angelegt werden m\u00fcsste.<\/p>\n Es wird eine Firewallregel erstellt um Zugriff auf das Webinterface aus dem RED Netz zu erhalten, da sonst mit der “Deaktivierung” des GREEN Netzes kein Zugriff auf das Webinterface mehr m\u00f6glich ist.\u00a0 Unter Firewall \u2192 Firewallregeln \u2192\u00a0 Neue Regel erstellen<\/strong>:<\/p>\n Diese Regel l\u00e4sst sich optional weiter eingrenzen, etwa auf eine einzelne Administrations-IP oder -MAC innerhalb von RED anstelle des gesamten \/24-Netzes, sowie auf bestimmte Ports (444, 22) statt auf s\u00e4mtliche Dienste der Firewall.<\/p>\n Wenn das Webinterface aus dem RED Netz erreichbar ist (https:\/\/<DHCP-vergebene-IP-f\u00fcr-IPFire>:444) ist die Management VM nicht mehr notwendig und kann aus dem GREEN Netz wieder<\/p>\n Von einer Client-VM im ORANGE-Netz (nicht der Tor-Gateway-VM):<\/p>\n Von der Tor-Gateway-VM:<\/p>\n IPFire bietet zwar ein eigenes Tor-Paket. Dieses ist prim\u00e4r f\u00fcr den Betrieb von IPFire als Tor-Relay, -Bridge oder -Exit-Node vorgesehen und nicht in erster Linie als transparenter Client-Proxy f\u00fcr ein gesamtes LAN-Segment konzipiert. Gegen den Betrieb von Tor direkt auf IPFire anstelle einer separaten Gateway-VM sprechen zudem folgende Punkte:<\/p>\n Die dedizierte Tor-Gateway-VM im ORANGE-Netz wird daher gegen\u00fcber der IPFire-internen Tor-Integration als die robustere L\u00f6sung eingesch\u00e4tzt.<\/p>\n Eine saubere Netzwerksegmentierung geh\u00f6rt zu den wichtigsten Ma\u00dfnahmen, um Systeme voneinander zu isolieren und ungewollte Kommunikation zu verhindern. Besonders bei Testumgebungen, KI-Agenten, Malware-Analysen oder anderen sicherheitskritischen Anwendungen empfiehlt es sich, diese nicht direkt im Heimnetz zu betreiben, sondern in einem eigenen, abgeschotteten Netzwerk. In diesem Tutorial wird gezeigt, wie sich mit IPFire eine Architektur aufbauen […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8,32,99,43,46],"tags":[],"class_list":["post-8738","post","type-post","status-publish","format-standard","hentry","category-anleitungen","category-netzwerke","category-proxmox-ve","category-sicherheit","category-virtualisierung"],"rttpg_featured_image_url":null,"rttpg_author":{"display_name":"speefak","author_link":"https:\/\/speefak.spdns.de\/oss_lifestyle\/author\/speefak_oss\/"},"rttpg_comment":0,"rttpg_category":"Anleitungen<\/a> Netzwerke<\/a> Proxmox VE<\/a> Sicherheit<\/a> Virtualisierung<\/a>","rttpg_excerpt":"Eine saubere Netzwerksegmentierung geh\u00f6rt zu den wichtigsten Ma\u00dfnahmen, um Systeme voneinander zu isolieren und ungewollte Kommunikation zu verhindern. Besonders bei Testumgebungen, KI-Agenten, Malware-Analysen oder anderen sicherheitskritischen Anwendungen empfiehlt es sich, diese nicht direkt im Heimnetz zu betreiben, sondern in einem eigenen, abgeschotteten Netzwerk. In diesem Tutorial wird gezeigt, wie sich mit IPFire eine Architektur aufbauen…","_links":{"self":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8738","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/comments?post=8738"}],"version-history":[{"count":5,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8738\/revisions"}],"predecessor-version":[{"id":8743,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8738\/revisions\/8743"}],"wp:attachment":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/media?parent=8738"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/categories?post=8738"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/tags?post=8738"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\nDas IPFire-Zonenkonzept<\/h2>\n
\n
Warum GREEN nicht entfernt, sondern stillgelegt wird<\/h2>\n
\n
Warum ORANGE f\u00fcr das isolierte Netz verwendet wird<\/h2>\n
\n
\nVoraussetzungen<\/h2>\n
\n
Schritt 1: Netzwerk-Interfaces zuweisen<\/h2>\n
Quelle- und Zieltypen bei Firewallregeln<\/h2>\n
\n
\n
Schritt 2: Tor-Gateway-VM f\u00fcr Verbindung zum Router konfigurieren<\/h2>\n
\n
Schritt 3: Forward-Policy f\u00fcr ORANGE \u2192 RED auf \u201eBlockiert\u201c setzen<\/h2>\n
\n
Schritt 4: Zugriff auf die Firewall-Administration konfigurieren<\/h2>\n
\n
Schritt 5: Kontrolle<\/h2>\n
ping 192.168.1.1 # sollte fehlschlagen\r\nnmap -p 1-1000 192.168.1.1 #sollte keine offenen Ports zeigen\r\nnmap -p 444,81,514,22 192.168.10.1 # Firewall-Webinterface \u00fcber ORANGE-IP sollte nicht erreichbar sein<\/pre>\n
ping 192.168.1.1 # sollte funktionieren<\/pre>\n
Ergebnis<\/h2>\n
\n
Hinweis zur Wahl der Tor-Implementierung<\/h2>\n
\n
\n![\"CC_BY_NC_SA\"](\"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-content\/uploads\/2014\/08\/CC_BY_NC_SA.png\")
by Speefak<\/p>\n","protected":false},"excerpt":{"rendered":"