Auch wenn GREEN und ORANGE derselben Proxmox-Bridge (isoLAN) zugewiesen sind, m\u00fcssen ihnen w\u00e4hrend der IPFire-Ersteinrichtung unterschiedliche IP-Netze zugewiesen werden. Andernfalls k\u00f6nnen die beiden Netzbereiche von IPFire beziehungsweise den iptables-Regeln nicht eindeutig voneinander unterschieden und getrennt behandelt werden.<\/p>\n
\n
Vorgehen bei der Ersteinrichtung<\/h2>\n\n- IPFire wird zun\u00e4chst mit aktivem GREEN-Interface auf der Proxmox-Bridge isoLAN eingerichtet. Dabei bleibt die GREEN-NIC verbunden, w\u00e4hrend die ORANGE-NIC in der Proxmox-VM-Konfiguration vorerst deaktiviert wird (link_down=1).<\/li>\n
- Der Zugriff auf die IPFire-WebGUI zur weiteren Konfiguration erfolgt tempor\u00e4r \u00fcber das GREEN-Netzwerk mittels einer separaten Management-VM. Diese Management-VM wird manuell mit einer statischen IP-Adresse konfiguriert, falls im GREEN-Netzwerk kein DHCP-Server aktiv ist. Die verwendete IP-Adresse muss sich dabei im gleichen Netzwerkbereich befinden wie das in IPFire konfigurierte GREEN-Netz.<\/li>\n
- \u00dcber das GREEN-Interface wird anschlie\u00dfend die Erreichbarkeit der IPFire-WebGUI aus dem RED-Netz eingerichtet und getestet.<\/li>\n
- Sobald der Zugriff auf die WebGUI \u00fcber RED erfolgreich funktioniert, wird die GREEN-NIC in der Proxmox-VM-Konfiguration deaktiviert (link_down=1) und stattdessen die ORANGE-NIC aktiviert.<\/li>\n
- Ab diesem Zeitpunkt erfolgt der Betrieb des isolierten Netzwerks ausschlie\u00dflich \u00fcber die ORANGE-Zone. Das GREEN-Interface bleibt zwar deaktiviert, wird von IPFire jedoch weiterhin als Bestandteil der Firewall-Konfiguration vorausgesetzt und kann nicht vollst\u00e4ndig entfernt werden.
\n
\n<\/li>\n<\/ol>\nKommunikation aller Netze untereinander per Default sperren<\/h2>\n
Per Default erm\u00f6glicht IPFire die Kommunikation einiger Dienste und Netze untereinander (so hat z.B. GREEN standardm\u00e4\u00dfig Zugriff auf alle \u00fcbrigen Netze). Dieses Verhalten wird in den Firewalloptionen im Abschnitt Standardverhalten der Firewall konfiguriert. Die dort zur Auswahl stehenden M\u00f6glichkeiten (Forward sowie Outgoing) betreffen die Kommunikation der Netze untereinander (Forward) sowie die ausgehende Kommunikation der Firewall selbst (Outgoing). Um die Kommunikation der Netze untereinander vollst\u00e4ndig zu unterbinden und ausschlie\u00dflich explizit \u00fcber Firewallregeln freigegebene Kommunikation zuzulassen, sollte jegliche Kommunikation der Netze untereinander per Default gesperrt werden.<\/p>\n
Navigieren Sie zu Firewall<\/strong> und w\u00e4hlen Sie Firewalloptionen<\/strong>\u00a0aus.<\/p>\nAbschnitt “Standardverhalten der Firewall”:<\/strong><\/p>\n\n- Im Dropdown-Men\u00fc unter Forward von “zugelassen” auf “Blockiert” \u00e4ndern.<\/li>\n<\/ul>\n
Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Speichern” das Standardverhalten der Firewall aktivieren.<\/p>\n
\nZugriff auf Firewall aus RED-Netz einrichten (Voraussetzung f\u00fcr beide Varianten)<\/h2>\n
Navigieren Sie zu Firewall \u2192 Firewallregeln und w\u00e4hlen Sie “Neue Regel erstellen”.<\/p>\n
Abschnitt “Quelle”:<\/strong><\/p>\n\n- Radiobutton \u201eQuelladresse (IP-\/MAC-Adresse oder IP-Netzwerk)” aktivieren.<\/li>\n
- Den IP-Bereich des RED-Netzes direkt in die Eingabemaske eintragen (z. B. 192.168.0.1, abh\u00e4ngig von der Heimnetzkonfiguration)<\/li>\n
- Alternativ kann das RED-Netzwerk \u00fcber die Standard-Netzwerke ausgew\u00e4hlt werden: Radiobutton “Standard-Netzwerke” aktivieren und im Dropdown-Men\u00fc: RED ausw\u00e4hlen<\/li>\n<\/ul>\n
Abschnitt “NAT”:<\/strong><\/p>\n\n- Checkbox nicht aktivieren (bei DROP\/REJECT ohne Funktion).<\/li>\n<\/ul>\n
Abschnitt “Ziel”:<\/strong><\/p>\n\n- Radiobutton “Firewall” aktivieren.<\/li>\n
- Dropdown-Men\u00fc: RED.<\/li>\n<\/ul>\n
Abschnitt “Protokoll”:<\/strong><\/p>\n\n- Dropdown auf “Alle” belassen.<\/li>\n<\/ul>\n
Abschnitt Aktions-Auswahl:<\/strong><\/p>\n\n- Radiobutton bei “Verwerfen (DROP)” ausw\u00e4hlen (stilles Verwerfen, kein REJECT n\u00f6tig \u2013 REJECT w\u00fcrde dem Client eine Fehlermeldung schicken, DROP l\u00e4sst das Paket einfach verschwinden, ist f\u00fcr Isolationszwecke \u00fcblich und etwas unauff\u00e4lliger).<\/li>\n<\/ul>\n
Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n\n- Feld “Anmerkung”: z. B. “Zugriff auf Firewall aus RED-Netz erlauben”.<\/li>\n
- Feld “Regelposition”: 1 (wichtig, da der Zugriff auf die Firewall ohne GREEN andernfalls nicht m\u00f6glich ist).<\/li>\n
- Checkbox “Regel aktivieren” setzen.<\/li>\n<\/ul>\n
Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Speichern” die Regel anlegen.<\/p>\n
Hinweis:<\/strong> Die Darstellung in der \u00dcbersicht der Firewallregeln ist etwas \u00fcbersichtlicher, wenn f\u00fcr die Quelle der direkte IP-Bereich statt des Standardnetzes RED eingetragen wird, da in der \u00dcbersicht dann die IP und nicht nur “RED” angezeigt wird. Da als Ziel die Firewall direkt ausgew\u00e4hlt wird, erscheint die Regel anschlie\u00dfend im Abschnitt “Eingehender Firewallzugang” statt bei den Firewallregeln. S\u00e4mtliche Zugriffe, die die Firewall direkt betreffen, werden in diesem Bereich gelistet.<\/p>\nDamit ist die grundlegende Konfiguration von IPFire f\u00fcr den Zugriff aus dem RED-Netz abgeschlossen.<\/p>\n
\nKonfiguration der ORANGEN Zone<\/h2>\n
F\u00fcr die Realisierung eines vollst\u00e4ndig isolierten Netzwerks innerhalb der ORANGE-Zone stehen zwei unterschiedliche Architekturvarianten zur Verf\u00fcgung. Beide Ans\u00e4tze erm\u00f6glichen eine kontrollierte Trennung der Systeme vom internen Netzwerk, unterscheiden sich jedoch hinsichtlich Sicherheitsniveau, \u00dcberwachungsm\u00f6glichkeiten und der Platzierung zentraler Dienste.<\/p>\n
Die einfachste und direkt \u00fcber die IPFire-WebGUI konfigurierbare Variante ist die isolierte ORANGE-Zone (B1) mit einem externen DNS-Resolver. Da Firewalls Netzwerkverbindungen grunds\u00e4tzlich anhand von IP-Adressen verarbeiten und regeln, ist f\u00fcr die Aufl\u00f6sung von Domainnamen ein DNS-Resolver erforderlich. Hierf\u00fcr kann entweder ein externer DNS-Dienst im Internet oder alternativ der interne DNS-Resolver von IPFire (B2) verwendet werden.<\/p>\n
Bei Verwendung des IPFire-DNS-Resolvers (B2) muss der Zugriff auf Port 53 von der ORANGE-Zone zur Firewall explizit freigegeben werden. Dadurch wird ein zus\u00e4tzlicher Dienst der Firewall aus dem isolierten Netzwerksegment erreichbar, wodurch ein potenzieller zus\u00e4tzlicher Angriffspunkt entsteht.<\/p>\n
IPFire verarbeitet Firewall-Regeln in der festgelegten Reihenfolge von oben nach unten. Zun\u00e4chst wird gepr\u00fcft, ob eine Verbindung durch eine Blockierungsregel betroffen ist. Trifft diese zu, wird die Kommunikation verhindert. Greift keine Sperrregel, wird die nachfolgende Freigaberegel angewendet und die Kommunikation mit nicht explizit ausgeschlossenen Netzwerken erlaubt. Daher m\u00fcssen Blockierungsregeln grunds\u00e4tzlich vor allgemeinen Freigaberegeln angeordnet werden.<\/p>\n
\nVariante A: Separate DNS-\/VPN-\/TOR-Gateway VM in der ORANGE-Zone<\/strong><\/p>\nEigenst\u00e4ndige DNS-\/VPN-\/TOR-Gateway-VM zur zentralisierten Kommunikation der ORANGE-Zone. S\u00e4mtlicher Netzwerkverkehr der Clients innerhalb der ORANGE-Zone wird ausschlie\u00dflich \u00fcber diese Gateway-VM geleitet. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten wie z.B. dem Internet ist nicht m\u00f6glich.<\/p>\n
\n- Gesammte Kommunikation aus ORANGE-Zone \u00fcber DNS\/TOR-Gateway<\/li>\n
- Keine direkt erreichbaren Firewall-Dienste aus der ORANGE-Zone, au\u00dfer von Gateway-VM<\/li>\n
- H\u00f6herer Administrationsaufwand<\/li>\n
- Keine zentrale Verbindungsanalyse \u00fcber die Firewall bei Verwendung von Gateway-VM oder DNS Anfragen<\/li>\n<\/ul>\n
Variante B1: Vollst\u00e4ndig getrennte ORANGE-Zone<\/strong><\/p>\nDie Firewall selbst ist aus der ORANGE-Zone nicht erreichbar. S\u00e4mtliche Clients innerhalb der ORANGE-Zone erhalten den Internetzugriff \u00fcber die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen internen Netzwerksegmenten ist nicht m\u00f6glich. Die DNS-Aufl\u00f6sung erfolgt entweder \u00fcber einen internen DNS-Resolver innerhalb der ORANGE-Zone oder \u00fcber externe DNS-Server.<\/p>\n
\n- Zentrale Verwaltung und \u00dcberwachung der ORANGE-Zone Cleints \u00fcber die IPFire-WebGUI<\/li>\n
- Firewall selbst ist vollst\u00e4ndig von ORANGE-Zone getrennt<\/li>\n
- Eigener DNS Resolver in ORANGE-Zone oder externe DNS Server erforderlich<\/li>\n<\/ul>\n
Variante B2: DNS-Resolver auf der IPFire-Firewall<\/strong><\/p>\nDie Firewall \u00fcbernimmt die DNS-Aufl\u00f6sung f\u00fcr alle Clients der ORANGE-Zone. S\u00e4mtliche Clients der ORANGE-Zone erhalten direkten Zugriff auf das Internet \u00fcber die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten ist, bis auf den DNS Resolver der Firewall selbst, weiterhin nicht m\u00f6glich.<\/p>\n
\n- Zentrale Verwaltung und \u00dcberwachung der ORANGE-Zone Cleints \u00fcber die IPFire-WebGUI<\/li>\n
- DNS-Dienst der Firewall aus der ORANGE-Zone erreichbar<\/li>\n
- DNS Portfreigabe nur \u00fcber Startparameter realisierbar<\/li>\n
- Zus\u00e4tzlicher potenzieller Angriffspunkt<\/li>\n<\/ul>\n
\nVariante A: Vollst\u00e4ndig isoliertes ORANGE-Netz mit DNS\/TOR Gateway VM<\/h3>\n[Heimrouter 192.168.0.1]\r\n \u2502 RED\r\n [IPFire]\r\n \u2502 orange0 (192.168.10.0\/24)\r\n [Tor-Gateway-VM] \u2190 eigener DNS-Resolver, eigenes Routing\r\n \u2502 \u2502\r\n[Client-VM] [Client-VM] (Gateway und DNS-Server: Tor-Gateway-VM, nicht IPFire)<\/pre>\nIn diesem Aufbau kommuniziert ausschlie\u00dflich die Tor-Gateway-VM direkt mit IPFire. S\u00e4mtliche weiteren Client-VMs im ORANGE-Netz haben keinerlei M\u00f6glichkeit mit der Firewall selbst oder anderen Nezten zu kommunizieren; sie tragen stattdessen die Tor-Gateway-VM sowohl als Default-Gateway als auch als DNS-Server ein. Die Tor-Gateway-VM \u00fcbernimmt dabei folgende Aufgaben:<\/p>\n
\n- Betrieb von Tor mit aktiviertem TransPort (transparenter Proxy f\u00fcr TCP-Verbindungen) sowie DNSPort (DNS-Aufl\u00f6sung \u00fcber das Tor-Netzwerk).<\/li>\n
- Umleitung s\u00e4mtlichen Client-Traffics auf der eigenen, ORANGE-seitigen Schnittstelle mittels eigener iptables-Regeln (REDIRECT auf TransPort bzw. DNSPort). Dies erfolgt vollst\u00e4ndig auf der Tor-Gateway-VM selbst, nicht auf IPFire.<\/li>\n
- Aufbau eigener Verbindungen zu Tor-Entry-Guards, die gegen\u00fcber IPFire als Traffic eines einzelnen Hosts (der Tor-Gateway-VM) in Erscheinung treten.<\/li>\n
- Die IPFire-Firewall kommuniziert ausschlie\u00dflich mit dem Tor-Gateway und verwirft jegliche Anfragen der \u00fcbrigen, im ORANGE-Netz befindlichen VMs.<\/li>\n<\/ul>\n
Konfiguration der Firewallregel in der IPFire-WebGUI<\/h3>\n
F\u00fcr diese Variante ist lediglich eine weitere Regel erforderlich, die es der TOR VM erm\u00f6glicht mit der Firewall zu kommunizieren. Diese wird wie folgt angelegt:<\/p>\n
Navigieren Sie zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> und w\u00e4hlen Sie Neue Regel erstellen<\/strong>.<\/p>\nAbschnitt “Quelle”:<\/strong><\/p>\n\n- Radiobutton “Quelladresse (IP-\/MAC-Adresse oder IP-Netzwerk)” aktivieren.<\/li>\n
- In das zugeh\u00f6rige Eingabefeld die MAC-Adresse oder IP der Tor-Gateway-VM eintragen (Um Unabh\u00e4ngigkeit von einer festen VM-IP zu gew\u00e4hrleisten wird MAC empfohlen).<\/li>\n
- Die \u00fcbrigen Radiobuttons dieses Abschnitts (“Firewall”, “Standard-Netzwerke”, “L\u00e4nderfilter”) bleiben unausgew\u00e4hlt.<\/li>\n<\/ul>\n
Abschnitt “NAT”:<\/strong><\/p>\n\n- Checkbox “Network Address Translation (NAT) benutzen” deaktiviert lassen.<\/li>\n<\/ul>\n
Abschnitt “Ziel”:<\/strong><\/p>\n\n- Radiobutton “Zieladresse (IP-Adresse oder -Netzwerk)” aktivieren.<\/li>\n
- In das zugeh\u00f6rige Eingabefeld die IP-Adresse des Internetgateway\/Routers eintragen: 192.168.0.1.<\/li>\n
- Die \u00fcbrigen Radiobuttons dieses Abschnitts bleiben unausgew\u00e4hlt.<\/li>\n<\/ul>\n
Abschnitt “Protokoll”:<\/strong><\/p>\n\n- Dropdown auf “Alle” belassen.<\/li>\n<\/ul>\n
Abschnitt Aktions-Auswahl (gr\u00fcn\/rot\/dunkelrot):<\/strong><\/p>\n\n- Radiobutton bei “Akzeptieren (ACCEPT)” ausw\u00e4hlen.<\/li>\n<\/ul>\n
Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n\n- Feld “Anmerkung”: z. B. “Tor-Gateway Zugriff auf Internetgateway erlauben”.<\/li>\n
- Feld “Regelposition”: Position frei w\u00e4hlbar, da es sich um die einzige Regel handelt.<\/li>\n
- Checkbox “Regel aktivieren” setzen.<\/li>\n
- \u00dcbrige Optionen (Protokollierung, SYN-Flood-Schutz, Zeitrahmen, Verbindungsbeschr\u00e4nkung, Ratenlimitierung) bleiben unber\u00fchrt.<\/li>\n<\/ul>\n
Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Hinzuf\u00fcgen” speichern und mit “\u00c4nderungen \u00dcbernehmen” Regel aktivieren.<\/p>\n
Eine weitergehende Regel f\u00fcr den Internetzugriff des im ORANGE-Netz befindlichen Tor-Gateways ist in dieser Variante nicht erforderlich, da das Tor-Gateway NAT-Routing und DNS-Anfragen der im ORANGE-Netz befindlichen VMs selbst verarbeitet und als einziger Host auf Grund der o.g MAC\/IP Regel mit der Firewall kommunizieren kann.<\/p>\n
\nVariante B1: Vollst\u00e4ndig getrennte ORANGE-Zone<\/strong><\/h2>\n[Heimrouter 192.168.0.1]\r\n \u2502 RED\r\n [IPFire] \u2190 Zugriff auf Firewall selbst nicht m\u00f6glich, DNS Server oder externer DNS Resolver erforderlich\r\n \u2502 orange0 (192.168.10.0\/24)\r\n[VM 1] [VM 2] [VM 3] ... (Gateway: IPFire direkt)<\/pre>\nIn dieser Variante ist der Zugriff auf die Firewall selbst, wie bereits in Variante B1, aus der ORANGE-Zone vollst\u00e4ndig gesperrt. Gleichzeitig wird die Kommunikation aller Clients innerhalb der ORANGE-Zone mit dem Internet erlaubt. Der interne IPFire-DNS-Resolver ist dadurch nicht erreichbar, weshalb die Clients entweder einen externen DNS-Resolver (z. B. 8.8.8.8) oder einen eigenen DNS-Server innerhalb der ORANGE-Zone verwenden m\u00fcssen.<\/p>\n
F\u00fcr die grundlegende Konfiguration sind drei Firewall-Regeln erforderlich. Die erste Regel blockiert die Kommunikation zwischen der ORANGE- und der RED-Zone. Die zweite Regel erlaubt der ORANGE-Zone die Kommunikation mit allen \u00fcbrigen Netzwerken einschlie\u00dflich des Internets. Die dritte Regel sperrt den Zugriff auf die Firewall selbst f\u00fcr die ORANGE-Zone.<\/p>\n
Regel 1 – Sperrung des Zugriffs von ORANGE auf RED<\/h3>\n
Navigieren Sie zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> und w\u00e4hlen Sie Neue Regel erstellen<\/strong>.<\/p>\nAbschnitt “Quelle”:<\/strong><\/p>\n\n- Radiobutton “Standard-Netzwerke” aktivieren.<\/li>\n
- Im zugeh\u00f6rigen Dropdown-Men\u00fc ORANGE (192.168.10.0\/24) ausw\u00e4hlen.<\/li>\n<\/ul>\n
Abschnitt “NAT”:<\/strong><\/p>\n\n- Checkbox “Network Address Translation (NAT) benutzen” deaktiviert lassen (bei einer verwerfenden Regel ohne Funktion).<\/li>\n<\/ul>\n
Abschnitt “Ziel”:<\/strong><\/p>\n\n- Radiobutton “Zieladresse (IP-Adresse oder -Netzwerk)” aktivieren.<\/li>\n
- In das zugeh\u00f6rige Eingabefeld manuell eintragen: 192.168.0.0\/24.<\/li>\n
- Ausdr\u00fccklich zu vermeiden: die Auswahl des Radiobuttons “Standard-Netzwerke” mit dem Wert RED. Dieser Wert wird von IPFire nicht subnetzbasiert, sondern interface-basiert ausgewertet und erfasst s\u00e4mtlichen Datenverkehr, der \u00fcber die Schnittstelle red0 das System verl\u00e4sst \u2014 einschlie\u00dflich des gesamten Internet-Traffics, sofern RED zugleich als Netzwerk-Uplink und Internetweg dient. Eine solche Auswahl w\u00fcrde den gesamten Internetzugriff des ORANGE-Netzes unterbinden.<\/li>\n<\/ul>\n
Abschnitt “Protokoll”:<\/strong><\/p>\n\n- Dropdown auf “Alle” belassen.<\/li>\n<\/ul>\n
Abschnitt Aktions-Auswahl:<\/strong><\/p>\n\n- Radiobutton bei “Verwerfen (DROP)” ausw\u00e4hlen. (“Verweigern (REJECT)” ist ebenfalls m\u00f6glich, sendet dem anfragenden Client jedoch eine Fehlermeldung zur\u00fcck; f\u00fcr Isolationszwecke ist DROP das unauff\u00e4lligere und gebr\u00e4uchlichere Verhalten.)<\/li>\n<\/ul>\n
Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n\n- Feld “Anmerkung”: z. B. “ORANGE – Zugriff auf RED Netz blockieren”.<\/li>\n
- Feld “Regelposition”: 1 eintragen (diese Regel muss zwingend vor der nachfolgenden Freigabe-Regel ausgewertet werden).<\/li>\n
- Checkbox “Regel aktivieren” setzen.<\/li>\n
- Checkbox “Protokollierung aktivieren” empfohlen setzen, um die Wirksamkeit der Regel im Firewall-Log nachvollziehen zu k\u00f6nnen.<\/li>\n<\/ul>\n
Abschlie\u00dfend \u00fcber “Hinzuf\u00fcgen” speichern.<\/p>\n
Regel 2 – Freigabe des Internetzugriffs f\u00fcr ORANGE<\/h3>\n
Navigieren Sie erneut zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> \u2192 Neue Regel erstellen<\/strong>.<\/p>\nAbschnitt “Quelle”:<\/strong><\/p>\n\n- Radiobutton “Standard-Netzwerke” aktivieren.<\/li>\n
- Dropdown-Men\u00fc: ORANGE.<\/li>\n<\/ul>\n
Abschnitt “NAT”:<\/strong><\/p>\n\n- Checkbox “Network Address Translation (NAT) benutzen” nicht aktivieren. Das in der GUI integrierte Source-NAT ist in dieser Konfigurationvariante (RED als vertrauensw\u00fcrdiges Netz einzustufen) fehlerhaft (Details siehe unten); NAT wird stattdessen manuell \u00fcber firewall.local realisiert.<\/li>\n<\/ul>\n
Abschnitt “Ziel”:<\/strong><\/p>\n\n- Radiobutton “Standard-Netzwerke” aktivieren.<\/li>\n
- Dropdown-Men\u00fc: Alle.<\/li>\n
- Ausdr\u00fccklich zu vermeiden: die Auswahl des Radiobuttons “Firewall” mit dem Wert “Alle”. “Firewall” als Ziel bezeichnet in IPFire ausschlie\u00dflich Datenverkehr, der an die Firewall selbst adressiert ist (INPUT-Kette), nicht durchgeleiteten Datenverkehr (FORWARD-Kette). Eine solche Regel w\u00fcrde in der \u00dcbersicht f\u00e4lschlich unter “Eingehender Firewallzugang” erscheinen und f\u00fcr den eigentlichen Internetzugriff wirkungslos bleiben.<\/li>\n<\/ul>\n
Abschnitt “Protokoll”:<\/strong><\/p>\n\n- Dropdown auf “Alle” belassen.<\/li>\n<\/ul>\n
Abschnitt Aktions-Auswahl:<\/strong><\/p>\n\n- Radiobutton bei “Akzeptieren (ACCEPT)” ausw\u00e4hlen.<\/li>\n<\/ul>\n
Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n\n- Feld “Anmerkung”: z. B. “ORANGE – Internetzugriff erlauben”.<\/li>\n
- Feld “Regelposition”: 2 eintragen (wichtig, da sonst der zugriff von Orange auf red erlaubt wird und o.g. regel aus schritt 1 nicht mehr greift).<\/li>\n
- Checkbox “Regel aktivieren” setzen.<\/li>\n<\/ul>\n
Regel 3 \u2013 Sperrung des Zugriffs von ORANGE auf die Firewall selbst<\/h3>\n
Die beiden vorgenannten Regeln betreffen die ein- und ausgehende Kommunikation, nicht jedoch die Kommunikation mit der Firewall selbst. Diese wird im Abschnitt “Eingehender Firewallzugang” gelistet und betrifft ausschlie\u00dflich die Kommunikation mit der Firewall selbst.<\/p>\n
Der Zugriff auf die Firewall selbst ist in der Standardkonfiguration von IPFire ausschlie\u00dflich aus der GREEN-Zone vorgesehen und sollte weder aus der RED- noch aus der ORANGE-Zone m\u00f6glich sein. In der hier verwendeten, abweichenden Netzwerktopologie ist es jedoch erforderlich, den Zugriff aus der ORANGE-Zone explizit durch eine Firewall-Regel zu blockieren, da andernfalls ein Zugriff auf Firewall-Dienste m\u00f6glich ist. Die Ursache f\u00fcr dieses abweichende Verhalten konnte bislang nicht abschlie\u00dfend ermittelt werden. Es ist daher empfehlenswert, den Zugriff auf die Firewall aus der ORANGE-Zone unabh\u00e4ngig von der Standardkonfiguration explizit zu sperren.<\/p>\n
Navigieren Sie erneut zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> \u2192 Neue Regel erstellen<\/strong>.<\/p>\nAbschnitt “Quelle”:<\/strong><\/p>\n\n- Radiobutton “Standard-Netzwerke” aktivieren.<\/li>\n
- Dropdown-Men\u00fc: ORANGE.<\/li>\n<\/ul>\n
Abschnitt “NAT”:<\/strong><\/p>\n\n- Checkbox “Network Address Translation (NAT) benutzen” nicht aktivieren. Das in der GUI integrierte Source-NAT ist in dieser Konfigurationvariante (RED als vertrauensw\u00fcrdiges Netz einzustufen) fehlerhaft, NAT wird stattdessen manuell \u00fcber firewall.local realisiert.<\/li>\n<\/ul>\n
Abschnitt “Ziel”:<\/strong><\/p>\n\n- Radiobutton “Firewall” aktivieren (dies betrifft die Kommunikation mit der Firewall selbst).<\/li>\n
- Dropdown-Men\u00fc: Alle.<\/li>\n<\/ul>\n
Abschnitt “Protokoll”:<\/strong><\/p>\n\n- Dropdown auf “Alle” belassen.<\/li>\n
- Ausdr\u00fccklich zu vermeiden:<\/strong> die Auswahl eines spezifischen Protokolls mit fest definiertem Port (z. B. “TCP” mit Port 444). In der getesteten IPFire-Version erzeugt eine solche Portauswahl eine fehlerhafte Regel, bei der sowohl Quell- als auch Zielport auf denselben Wert gesetzt werden (tcp spt:snpp dpt:snpp statt ausschlie\u00dflich dpt:snpp). Da ein anfragender Client praktisch nie von Port 444 aus verbindet, matcht eine derart erzeugte Regel de facto nie.<\/li>\n<\/ul>\n
Abschnitt Aktions-Auswahl:<\/strong><\/p>\n\n- Radiobutton bei “Verwerfen (DROP)” ausw\u00e4hlen.<\/li>\n<\/ul>\n
Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n\n- Feld “Anmerkung”: z. B. “ORANGE – Zugriff auf Firewall sperren “.<\/li>\n
- Feld “Regelposition”: 2 eintragen (wichtig, da sonst der zugriff von Orange auf red erlaubt wird und o.g. regel aus schritt 1 nicht mehr greift).<\/li>\n
- Checkbox “Regel aktivieren” setzen.<\/li>\n<\/ul>\n
Abschlie\u00dfend \u00fcber “Hinzuf\u00fcgen” speichern und mit “\u00c4nderung \u00fcbernehmen” Regeln aktivieren.<\/p>\n
\nVariante B2: DNS-Resolver auf der IPFire-Firewall<\/h2>\n[Heimrouter 192.168.0.1]\r\n \u2502 RED\r\n [IPFire] \u2190 \u00fcbernimmt DNS f\u00fcr s\u00e4mtliche Clients selbst ( DNS Resovler auf 192.168.10.1)\r\n \u2502 orange0 (192.168.10.0\/24)\r\n[VM 1] [VM 2] [VM 3] ... (Gateway und DNS-Server: IPFire direkt)<\/pre>\nDer Zugriff auf die Firewall ist in der standardm\u00e4\u00dfigen IPFire-Netzwerktopologie f\u00fcr die GREEN-Zone bereits eingeschr\u00e4nkt, f\u00fcr RED jedoch nicht. Die standardm\u00e4\u00dfig erlaubte Kommunikation zwischen ORANGE- und RED-Zone wurde durch Regel 1 aus Variante B1 bereits gesperrt, w\u00e4hrend der Internetzugriff der ORANGE-Zone \u00fcber Regel 2 weiterhin erm\u00f6glicht wird.<\/p>\n
Um den internen IPFire-DNS-Resolver aus der ORANGE-Zone zu erreichen, ist eine manuelle Konfiguration \u00fcber die Startregeln in `firewall.local` erforderlich. Eine gezielte Freigabe ausschlie\u00dflich f\u00fcr Port 53 funktioniert \u00fcber die WebGUI nicht zuverl\u00e4ssig. Je nach Konfiguration werden entweder s\u00e4mtliche Firewall-Dienste (z. B. WebGUI, SSH, DNS) freigegeben oder die Firewall bleibt vollst\u00e4ndig gesperrt. Der Zugriff auf den IPFire-DNS-Resolver muss daher explizit \u00fcber eine eigene iptables-Regel in `firewall.local` definiert werden.<\/p>\n
Manuelle Erg\u00e4nzung zur Freigabe des IPFire DNS Resolvers f\u00fcr das ORANGE Netz: \/etc\/sysconfig\/firewall.local<\/h3>\ncase \"$1\" in\r\n start)\r\n # Source-NAT f\u00fcr ORANGE \u2192 Internet (Workaround f\u00fcr GUI-Fehler bei dynamischer RED-IP)\r\n iptables -t nat -A POSTROUTING -s 192.168.10.0\/24 -o red0 -j MASQUERADE\r\n\r\n # Nur erforderlich, sofern IPFire selbst als DNS-Resolver f\u00fcr ORANGE fungiert (Option B):\r\n iptables -I INPUTFW 1 -i orange0 -p udp --dport 53 -j ACCEPT\r\n iptables -I INPUTFW 1 -i orange0 -p tcp --dport 53 -j ACCEPT\r\n ;;\r\n stop)\r\n iptables -t nat -D POSTROUTING -s 192.168.10.0\/24 -o red0 -j MASQUERADE 2>\/dev\/null\r\n iptables -D INPUTFW -i orange0 -p udp --dport 53 -j ACCEPT 2>\/dev\/null\r\n iptables -D INPUTFW -i orange0 -p tcp --dport 53 -j ACCEPT 2>\/dev\/null\r\n ;;\r\n reload)\r\n $0 stop\r\n $0 start\r\n ;;\r\n *)\r\n echo \"Usage: $0 {start|stop|reload}\"\r\n ;;\r\nesac<\/pre>\nAnschlie\u00dfend ausf\u00fchrbar machen und aktivieren:<\/p>\n
chmod +x \/etc\/sysconfig\/firewall.local \r\n\/etc\/sysconfig\/firewall.local start<\/pre>\nBegr\u00fcndung: Warum in dieser Variante manuelle Erg\u00e4nzungen erforderlich sind<\/h3>\n\n- NAT f\u00fcr ein vollst\u00e4ndiges Subnetz:<\/strong> IPFire muss f\u00fcr s\u00e4mtliche privaten IP-Adressen aus 192.168.10.0\/24 gleichzeitig Source-NAT durchf\u00fchren. Genau dieser Fall l\u00f6st den bekannten GUI-Fehler (SNAT … to:0.0.0.0 bei dynamisch bezogener RED-IP oder wenn RED als als vertrauenw\u00fcrdig eingestuft wird) aus. MASQUERADE behebt dies, da die aktuelle Interface-IP zur Laufzeit dynamisch abgefragt wird, anstatt eine feste, in der Konfiguration hinterlegte IP-Adresse zu erwarten.<\/li>\n
- DNS-Aufl\u00f6sung f\u00fcr s\u00e4mtliche Clients:<\/strong> Sofern kein externer DNS-Server in den Orange VMs oder im Orange Netz selbst konfiguriert wird, muss jede VM ihre DNS-Anfragen an IPFire selbst richten. Dies trifft auf die fehlerhafte Port-Zuordnungslogik der WebGUI beim gezielten Freischalten von Port 53.<\/li>\n<\/ul>\n
\nHinweis zur Wahl der Tor-Implementierung<\/h2>\n
IPFire bietet zwar ein eigenes Tor-Paket. Gegen den Betrieb von Tor direkt auf IPFire anstelle einer separaten Gateway-VM sprechen zudem folgende Punkte:<\/p>\n
\n- Firewall, Router und Tor-Client liefen in einem System, was die Angriffsfl\u00e4che der Firewall selbst vergr\u00f6\u00dfert.<\/li>\n
- Der Isolationsvorteil einer separaten Gateway-VM \u2014 eine kompromittierte Client-VM hat keinen direkten Zugriff auf die Gateway-Konfiguration \u2014 entfiele.<\/li>\n
- Tor-Updates w\u00e4ren an den IPFire-Update-Zyklus gebunden, statt unabh\u00e4ngig davon eingespielt werden zu k\u00f6nnen.<\/li>\n
- Der Netzwerkpfad (ORANGE \u2192 RED) bliebe unver\u00e4ndert, unabh\u00e4ngig davon, auf welchem System Tor l\u00e4uft.<\/li>\n<\/ul>\n
Die dedizierte Tor-Gateway-VM im ORANGE-Netz wird daher gegen\u00fcber der IPFire-internen Tor-Integration als die robustere L\u00f6sung eingesch\u00e4tzt.<\/p>\n
\n![\"CC_BY_NC_SA\"](\"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-content\/uploads\/2014\/08\/CC_BY_NC_SA.png\")
by Speefak<\/p>\n","protected":false},"excerpt":{"rendered":"
Eine strukturierte Netzwerksegmentierung ist eine zentrale Sicherheitsma\u00dfnahme, um Systeme voneinander zu isolieren und unerw\u00fcnschte Kommunikation zu verhindern. Besonders Testumgebungen, KI-Agenten, Malware-Analysen und andere sicherheitskritische Anwendungen sollten daher in einem separaten, abgeschotteten Netzwerk betrieben werden. Die klassische IPFire-Netzwerkarchitektur wird f\u00fcr dieses Szenario angepasst. Grund hierf\u00fcr ist die feste Zuordnung der IPFire-Zonen: Die RED-Schnittstelle ist ausschlie\u00dflich als […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8,32,43,46],"tags":[],"class_list":["post-8748","post","type-post","status-publish","format-standard","hentry","category-anleitungen","category-netzwerke","category-sicherheit","category-virtualisierung"],"rttpg_featured_image_url":null,"rttpg_author":{"display_name":"speefak","author_link":"https:\/\/speefak.spdns.de\/oss_lifestyle\/author\/speefak_oss\/"},"rttpg_comment":0,"rttpg_category":"Anleitungen<\/a> Netzwerke<\/a> Sicherheit<\/a> Virtualisierung<\/a>","rttpg_excerpt":"Eine strukturierte Netzwerksegmentierung ist eine zentrale Sicherheitsma\u00dfnahme, um Systeme voneinander zu isolieren und unerw\u00fcnschte Kommunikation zu verhindern. Besonders Testumgebungen, KI-Agenten, Malware-Analysen und andere sicherheitskritische Anwendungen sollten daher in einem separaten, abgeschotteten Netzwerk betrieben werden. Die klassische IPFire-Netzwerkarchitektur wird f\u00fcr dieses Szenario angepasst. Grund hierf\u00fcr ist die feste Zuordnung der IPFire-Zonen: Die RED-Schnittstelle ist ausschlie\u00dflich als…","_links":{"self":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8748","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/comments?post=8748"}],"version-history":[{"count":4,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8748\/revisions"}],"predecessor-version":[{"id":8862,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8748\/revisions\/8862"}],"wp:attachment":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/media?parent=8748"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/categories?post=8748"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/tags?post=8748"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}
\n
\n<\/li>\n<\/ol>\n
Kommunikation aller Netze untereinander per Default sperren<\/h2>\n
Per Default erm\u00f6glicht IPFire die Kommunikation einiger Dienste und Netze untereinander (so hat z.B. GREEN standardm\u00e4\u00dfig Zugriff auf alle \u00fcbrigen Netze). Dieses Verhalten wird in den Firewalloptionen im Abschnitt Standardverhalten der Firewall konfiguriert. Die dort zur Auswahl stehenden M\u00f6glichkeiten (Forward sowie Outgoing) betreffen die Kommunikation der Netze untereinander (Forward) sowie die ausgehende Kommunikation der Firewall selbst (Outgoing). Um die Kommunikation der Netze untereinander vollst\u00e4ndig zu unterbinden und ausschlie\u00dflich explizit \u00fcber Firewallregeln freigegebene Kommunikation zuzulassen, sollte jegliche Kommunikation der Netze untereinander per Default gesperrt werden.<\/p>\n
Navigieren Sie zu Firewall<\/strong> und w\u00e4hlen Sie Firewalloptionen<\/strong>\u00a0aus.<\/p>\n Abschnitt “Standardverhalten der Firewall”:<\/strong><\/p>\n Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Speichern” das Standardverhalten der Firewall aktivieren.<\/p>\n Navigieren Sie zu Firewall \u2192 Firewallregeln und w\u00e4hlen Sie “Neue Regel erstellen”.<\/p>\n Abschnitt “Quelle”:<\/strong><\/p>\n Abschnitt “NAT”:<\/strong><\/p>\n Abschnitt “Ziel”:<\/strong><\/p>\n Abschnitt “Protokoll”:<\/strong><\/p>\n Abschnitt Aktions-Auswahl:<\/strong><\/p>\n Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Speichern” die Regel anlegen.<\/p>\n Hinweis:<\/strong> Die Darstellung in der \u00dcbersicht der Firewallregeln ist etwas \u00fcbersichtlicher, wenn f\u00fcr die Quelle der direkte IP-Bereich statt des Standardnetzes RED eingetragen wird, da in der \u00dcbersicht dann die IP und nicht nur “RED” angezeigt wird. Da als Ziel die Firewall direkt ausgew\u00e4hlt wird, erscheint die Regel anschlie\u00dfend im Abschnitt “Eingehender Firewallzugang” statt bei den Firewallregeln. S\u00e4mtliche Zugriffe, die die Firewall direkt betreffen, werden in diesem Bereich gelistet.<\/p>\n Damit ist die grundlegende Konfiguration von IPFire f\u00fcr den Zugriff aus dem RED-Netz abgeschlossen.<\/p>\n F\u00fcr die Realisierung eines vollst\u00e4ndig isolierten Netzwerks innerhalb der ORANGE-Zone stehen zwei unterschiedliche Architekturvarianten zur Verf\u00fcgung. Beide Ans\u00e4tze erm\u00f6glichen eine kontrollierte Trennung der Systeme vom internen Netzwerk, unterscheiden sich jedoch hinsichtlich Sicherheitsniveau, \u00dcberwachungsm\u00f6glichkeiten und der Platzierung zentraler Dienste.<\/p>\n Die einfachste und direkt \u00fcber die IPFire-WebGUI konfigurierbare Variante ist die isolierte ORANGE-Zone (B1) mit einem externen DNS-Resolver. Da Firewalls Netzwerkverbindungen grunds\u00e4tzlich anhand von IP-Adressen verarbeiten und regeln, ist f\u00fcr die Aufl\u00f6sung von Domainnamen ein DNS-Resolver erforderlich. Hierf\u00fcr kann entweder ein externer DNS-Dienst im Internet oder alternativ der interne DNS-Resolver von IPFire (B2) verwendet werden.<\/p>\n Bei Verwendung des IPFire-DNS-Resolvers (B2) muss der Zugriff auf Port 53 von der ORANGE-Zone zur Firewall explizit freigegeben werden. Dadurch wird ein zus\u00e4tzlicher Dienst der Firewall aus dem isolierten Netzwerksegment erreichbar, wodurch ein potenzieller zus\u00e4tzlicher Angriffspunkt entsteht.<\/p>\n IPFire verarbeitet Firewall-Regeln in der festgelegten Reihenfolge von oben nach unten. Zun\u00e4chst wird gepr\u00fcft, ob eine Verbindung durch eine Blockierungsregel betroffen ist. Trifft diese zu, wird die Kommunikation verhindert. Greift keine Sperrregel, wird die nachfolgende Freigaberegel angewendet und die Kommunikation mit nicht explizit ausgeschlossenen Netzwerken erlaubt. Daher m\u00fcssen Blockierungsregeln grunds\u00e4tzlich vor allgemeinen Freigaberegeln angeordnet werden.<\/p>\n Variante A: Separate DNS-\/VPN-\/TOR-Gateway VM in der ORANGE-Zone<\/strong><\/p>\n Eigenst\u00e4ndige DNS-\/VPN-\/TOR-Gateway-VM zur zentralisierten Kommunikation der ORANGE-Zone. S\u00e4mtlicher Netzwerkverkehr der Clients innerhalb der ORANGE-Zone wird ausschlie\u00dflich \u00fcber diese Gateway-VM geleitet. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten wie z.B. dem Internet ist nicht m\u00f6glich.<\/p>\n Variante B1: Vollst\u00e4ndig getrennte ORANGE-Zone<\/strong><\/p>\n Die Firewall selbst ist aus der ORANGE-Zone nicht erreichbar. S\u00e4mtliche Clients innerhalb der ORANGE-Zone erhalten den Internetzugriff \u00fcber die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen internen Netzwerksegmenten ist nicht m\u00f6glich. Die DNS-Aufl\u00f6sung erfolgt entweder \u00fcber einen internen DNS-Resolver innerhalb der ORANGE-Zone oder \u00fcber externe DNS-Server.<\/p>\n Variante B2: DNS-Resolver auf der IPFire-Firewall<\/strong><\/p>\n Die Firewall \u00fcbernimmt die DNS-Aufl\u00f6sung f\u00fcr alle Clients der ORANGE-Zone. S\u00e4mtliche Clients der ORANGE-Zone erhalten direkten Zugriff auf das Internet \u00fcber die Firewall. Eine direkte Kommunikation der ORANGE-Clients mit anderen Netzwerksegmenten ist, bis auf den DNS Resolver der Firewall selbst, weiterhin nicht m\u00f6glich.<\/p>\n In diesem Aufbau kommuniziert ausschlie\u00dflich die Tor-Gateway-VM direkt mit IPFire. S\u00e4mtliche weiteren Client-VMs im ORANGE-Netz haben keinerlei M\u00f6glichkeit mit der Firewall selbst oder anderen Nezten zu kommunizieren; sie tragen stattdessen die Tor-Gateway-VM sowohl als Default-Gateway als auch als DNS-Server ein. Die Tor-Gateway-VM \u00fcbernimmt dabei folgende Aufgaben:<\/p>\n F\u00fcr diese Variante ist lediglich eine weitere Regel erforderlich, die es der TOR VM erm\u00f6glicht mit der Firewall zu kommunizieren. Diese wird wie folgt angelegt:<\/p>\n Navigieren Sie zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> und w\u00e4hlen Sie Neue Regel erstellen<\/strong>.<\/p>\n Abschnitt “Quelle”:<\/strong><\/p>\n Abschnitt “NAT”:<\/strong><\/p>\n Abschnitt “Ziel”:<\/strong><\/p>\n Abschnitt “Protokoll”:<\/strong><\/p>\n Abschnitt Aktions-Auswahl (gr\u00fcn\/rot\/dunkelrot):<\/strong><\/p>\n Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n Abschlie\u00dfend \u00fcber die Schaltfl\u00e4che “Hinzuf\u00fcgen” speichern und mit “\u00c4nderungen \u00dcbernehmen” Regel aktivieren.<\/p>\n Eine weitergehende Regel f\u00fcr den Internetzugriff des im ORANGE-Netz befindlichen Tor-Gateways ist in dieser Variante nicht erforderlich, da das Tor-Gateway NAT-Routing und DNS-Anfragen der im ORANGE-Netz befindlichen VMs selbst verarbeitet und als einziger Host auf Grund der o.g MAC\/IP Regel mit der Firewall kommunizieren kann.<\/p>\n In dieser Variante ist der Zugriff auf die Firewall selbst, wie bereits in Variante B1, aus der ORANGE-Zone vollst\u00e4ndig gesperrt. Gleichzeitig wird die Kommunikation aller Clients innerhalb der ORANGE-Zone mit dem Internet erlaubt. Der interne IPFire-DNS-Resolver ist dadurch nicht erreichbar, weshalb die Clients entweder einen externen DNS-Resolver (z. B. 8.8.8.8) oder einen eigenen DNS-Server innerhalb der ORANGE-Zone verwenden m\u00fcssen.<\/p>\n F\u00fcr die grundlegende Konfiguration sind drei Firewall-Regeln erforderlich. Die erste Regel blockiert die Kommunikation zwischen der ORANGE- und der RED-Zone. Die zweite Regel erlaubt der ORANGE-Zone die Kommunikation mit allen \u00fcbrigen Netzwerken einschlie\u00dflich des Internets. Die dritte Regel sperrt den Zugriff auf die Firewall selbst f\u00fcr die ORANGE-Zone.<\/p>\n Navigieren Sie zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> und w\u00e4hlen Sie Neue Regel erstellen<\/strong>.<\/p>\n Abschnitt “Quelle”:<\/strong><\/p>\n Abschnitt “NAT”:<\/strong><\/p>\n Abschnitt “Ziel”:<\/strong><\/p>\n Abschnitt “Protokoll”:<\/strong><\/p>\n Abschnitt Aktions-Auswahl:<\/strong><\/p>\n Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n Abschlie\u00dfend \u00fcber “Hinzuf\u00fcgen” speichern.<\/p>\n Navigieren Sie erneut zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> \u2192 Neue Regel erstellen<\/strong>.<\/p>\n Abschnitt “Quelle”:<\/strong><\/p>\n Abschnitt “NAT”:<\/strong><\/p>\n Abschnitt “Ziel”:<\/strong><\/p>\n Abschnitt “Protokoll”:<\/strong><\/p>\n Abschnitt Aktions-Auswahl:<\/strong><\/p>\n Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n Die beiden vorgenannten Regeln betreffen die ein- und ausgehende Kommunikation, nicht jedoch die Kommunikation mit der Firewall selbst. Diese wird im Abschnitt “Eingehender Firewallzugang” gelistet und betrifft ausschlie\u00dflich die Kommunikation mit der Firewall selbst.<\/p>\n Der Zugriff auf die Firewall selbst ist in der Standardkonfiguration von IPFire ausschlie\u00dflich aus der GREEN-Zone vorgesehen und sollte weder aus der RED- noch aus der ORANGE-Zone m\u00f6glich sein. In der hier verwendeten, abweichenden Netzwerktopologie ist es jedoch erforderlich, den Zugriff aus der ORANGE-Zone explizit durch eine Firewall-Regel zu blockieren, da andernfalls ein Zugriff auf Firewall-Dienste m\u00f6glich ist. Die Ursache f\u00fcr dieses abweichende Verhalten konnte bislang nicht abschlie\u00dfend ermittelt werden. Es ist daher empfehlenswert, den Zugriff auf die Firewall aus der ORANGE-Zone unabh\u00e4ngig von der Standardkonfiguration explizit zu sperren.<\/p>\n Navigieren Sie erneut zu Firewall<\/strong> \u2192 Firewallregeln<\/strong> \u2192 Neue Regel erstellen<\/strong>.<\/p>\n Abschnitt “Quelle”:<\/strong><\/p>\n Abschnitt “NAT”:<\/strong><\/p>\n Abschnitt “Ziel”:<\/strong><\/p>\n Abschnitt “Protokoll”:<\/strong><\/p>\n Abschnitt Aktions-Auswahl:<\/strong><\/p>\n Abschnitt “Weitere Einstellungen”:<\/strong><\/p>\n Abschlie\u00dfend \u00fcber “Hinzuf\u00fcgen” speichern und mit “\u00c4nderung \u00fcbernehmen” Regeln aktivieren.<\/p>\n Der Zugriff auf die Firewall ist in der standardm\u00e4\u00dfigen IPFire-Netzwerktopologie f\u00fcr die GREEN-Zone bereits eingeschr\u00e4nkt, f\u00fcr RED jedoch nicht. Die standardm\u00e4\u00dfig erlaubte Kommunikation zwischen ORANGE- und RED-Zone wurde durch Regel 1 aus Variante B1 bereits gesperrt, w\u00e4hrend der Internetzugriff der ORANGE-Zone \u00fcber Regel 2 weiterhin erm\u00f6glicht wird.<\/p>\n Um den internen IPFire-DNS-Resolver aus der ORANGE-Zone zu erreichen, ist eine manuelle Konfiguration \u00fcber die Startregeln in `firewall.local` erforderlich. Eine gezielte Freigabe ausschlie\u00dflich f\u00fcr Port 53 funktioniert \u00fcber die WebGUI nicht zuverl\u00e4ssig. Je nach Konfiguration werden entweder s\u00e4mtliche Firewall-Dienste (z. B. WebGUI, SSH, DNS) freigegeben oder die Firewall bleibt vollst\u00e4ndig gesperrt. Der Zugriff auf den IPFire-DNS-Resolver muss daher explizit \u00fcber eine eigene iptables-Regel in `firewall.local` definiert werden.<\/p>\n Anschlie\u00dfend ausf\u00fchrbar machen und aktivieren:<\/p>\n IPFire bietet zwar ein eigenes Tor-Paket. Gegen den Betrieb von Tor direkt auf IPFire anstelle einer separaten Gateway-VM sprechen zudem folgende Punkte:<\/p>\n Die dedizierte Tor-Gateway-VM im ORANGE-Netz wird daher gegen\u00fcber der IPFire-internen Tor-Integration als die robustere L\u00f6sung eingesch\u00e4tzt.<\/p>\n Eine strukturierte Netzwerksegmentierung ist eine zentrale Sicherheitsma\u00dfnahme, um Systeme voneinander zu isolieren und unerw\u00fcnschte Kommunikation zu verhindern. Besonders Testumgebungen, KI-Agenten, Malware-Analysen und andere sicherheitskritische Anwendungen sollten daher in einem separaten, abgeschotteten Netzwerk betrieben werden. Die klassische IPFire-Netzwerkarchitektur wird f\u00fcr dieses Szenario angepasst. Grund hierf\u00fcr ist die feste Zuordnung der IPFire-Zonen: Die RED-Schnittstelle ist ausschlie\u00dflich als […]<\/p>\n","protected":false},"author":1,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[8,32,43,46],"tags":[],"class_list":["post-8748","post","type-post","status-publish","format-standard","hentry","category-anleitungen","category-netzwerke","category-sicherheit","category-virtualisierung"],"rttpg_featured_image_url":null,"rttpg_author":{"display_name":"speefak","author_link":"https:\/\/speefak.spdns.de\/oss_lifestyle\/author\/speefak_oss\/"},"rttpg_comment":0,"rttpg_category":"Anleitungen<\/a> Netzwerke<\/a> Sicherheit<\/a> Virtualisierung<\/a>","rttpg_excerpt":"Eine strukturierte Netzwerksegmentierung ist eine zentrale Sicherheitsma\u00dfnahme, um Systeme voneinander zu isolieren und unerw\u00fcnschte Kommunikation zu verhindern. Besonders Testumgebungen, KI-Agenten, Malware-Analysen und andere sicherheitskritische Anwendungen sollten daher in einem separaten, abgeschotteten Netzwerk betrieben werden. Die klassische IPFire-Netzwerkarchitektur wird f\u00fcr dieses Szenario angepasst. Grund hierf\u00fcr ist die feste Zuordnung der IPFire-Zonen: Die RED-Schnittstelle ist ausschlie\u00dflich als…","_links":{"self":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8748","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/users\/1"}],"replies":[{"embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/comments?post=8748"}],"version-history":[{"count":4,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8748\/revisions"}],"predecessor-version":[{"id":8862,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/posts\/8748\/revisions\/8862"}],"wp:attachment":[{"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/media?parent=8748"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/categories?post=8748"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/speefak.spdns.de\/oss_lifestyle\/wp-json\/wp\/v2\/tags?post=8748"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}\n
\nZugriff auf Firewall aus RED-Netz einrichten (Voraussetzung f\u00fcr beide Varianten)<\/h2>\n
\n
\n
\n
\n
\n
\n
\nKonfiguration der ORANGEN Zone<\/h2>\n
\n\n
\n
\n
\nVariante A: Vollst\u00e4ndig isoliertes ORANGE-Netz mit DNS\/TOR Gateway VM<\/h3>\n
[Heimrouter 192.168.0.1]\r\n \u2502 RED\r\n [IPFire]\r\n \u2502 orange0 (192.168.10.0\/24)\r\n [Tor-Gateway-VM] \u2190 eigener DNS-Resolver, eigenes Routing\r\n \u2502 \u2502\r\n[Client-VM] [Client-VM] (Gateway und DNS-Server: Tor-Gateway-VM, nicht IPFire)<\/pre>\n
\n
Konfiguration der Firewallregel in der IPFire-WebGUI<\/h3>\n
\n
\n
\n
\n
\n
\n
\nVariante B1: Vollst\u00e4ndig getrennte ORANGE-Zone<\/strong><\/h2>\n
[Heimrouter 192.168.0.1]\r\n \u2502 RED\r\n [IPFire] \u2190 Zugriff auf Firewall selbst nicht m\u00f6glich, DNS Server oder externer DNS Resolver erforderlich\r\n \u2502 orange0 (192.168.10.0\/24)\r\n[VM 1] [VM 2] [VM 3] ... (Gateway: IPFire direkt)<\/pre>\n
Regel 1 – Sperrung des Zugriffs von ORANGE auf RED<\/h3>\n
\n
\n
\n
\n
\n
\n
Regel 2 – Freigabe des Internetzugriffs f\u00fcr ORANGE<\/h3>\n
\n
\n
\n
\n
\n
\n
Regel 3 \u2013 Sperrung des Zugriffs von ORANGE auf die Firewall selbst<\/h3>\n
\n
\n
\n
\n
\n
\n
\nVariante B2: DNS-Resolver auf der IPFire-Firewall<\/h2>\n
[Heimrouter 192.168.0.1]\r\n \u2502 RED\r\n [IPFire] \u2190 \u00fcbernimmt DNS f\u00fcr s\u00e4mtliche Clients selbst ( DNS Resovler auf 192.168.10.1)\r\n \u2502 orange0 (192.168.10.0\/24)\r\n[VM 1] [VM 2] [VM 3] ... (Gateway und DNS-Server: IPFire direkt)<\/pre>\n
Manuelle Erg\u00e4nzung zur Freigabe des IPFire DNS Resolvers f\u00fcr das ORANGE Netz: \/etc\/sysconfig\/firewall.local<\/h3>\n
case \"$1\" in\r\n start)\r\n # Source-NAT f\u00fcr ORANGE \u2192 Internet (Workaround f\u00fcr GUI-Fehler bei dynamischer RED-IP)\r\n iptables -t nat -A POSTROUTING -s 192.168.10.0\/24 -o red0 -j MASQUERADE\r\n\r\n # Nur erforderlich, sofern IPFire selbst als DNS-Resolver f\u00fcr ORANGE fungiert (Option B):\r\n iptables -I INPUTFW 1 -i orange0 -p udp --dport 53 -j ACCEPT\r\n iptables -I INPUTFW 1 -i orange0 -p tcp --dport 53 -j ACCEPT\r\n ;;\r\n stop)\r\n iptables -t nat -D POSTROUTING -s 192.168.10.0\/24 -o red0 -j MASQUERADE 2>\/dev\/null\r\n iptables -D INPUTFW -i orange0 -p udp --dport 53 -j ACCEPT 2>\/dev\/null\r\n iptables -D INPUTFW -i orange0 -p tcp --dport 53 -j ACCEPT 2>\/dev\/null\r\n ;;\r\n reload)\r\n $0 stop\r\n $0 start\r\n ;;\r\n *)\r\n echo \"Usage: $0 {start|stop|reload}\"\r\n ;;\r\nesac<\/pre>\nchmod +x \/etc\/sysconfig\/firewall.local \r\n\/etc\/sysconfig\/firewall.local start<\/pre>\n
Begr\u00fcndung: Warum in dieser Variante manuelle Erg\u00e4nzungen erforderlich sind<\/h3>\n
\n
\nHinweis zur Wahl der Tor-Implementierung<\/h2>\n
\n
\nby Speefak<\/p>\n","protected":false},"excerpt":{"rendered":"