@mike69 said in Anfängerfragen zur Konfiguration der Firewall:
Regeln: Block RFC 1918, Block Bogon, wäre es hier nicht schlauer die Regeln zu Löschen? Denn wenn ich es richtig Verstanden
habe ist alles was nicht erlaubt ist eh Verboten oder? Prüft die Firewall dann nicht zusätzlich?
Wie reagiert der WAN Port wenn eine anfrage kommt? Wird Blockiert oder Abgewiesen?
Gab es hierfür nicht eine Einstellung in der pfSense oder irre ich mich?
Die beiden Regeln verhindern, dass Anfragen vom Heimnetz nach draussen gehen. wenn die Sense sich einwählt, die Haken lassen.
Anfage von wo? Von draussen ist alles zu, bist du was öffnest, zB Portfreigaben. Von drinnen lässt WAN alles durch, dafür setzt du auch Rules für LAN, OPT1 etc... Wenn keine Rules vorhanden sind, geht nichts raus.
Das stimmt leider nicht ganz, was Mike schreibt.
Zuerst mal: Die Bogon und RFC1918 Block Regeln sind sinnvoll hier. Sonst gäbe es die Optionen nicht ;)
Es geht darum, dass - wenn diese Haken auf dem Interface gesetzt sind - die Block Regeln über allen anderen Regeln auf dem WAN eingefügt werden. Sprich: somit gelten die vor irgendwelchen Freigaben, die man ggf. auf dem WAN einrichtet um bspw. VPN oder ähnliches erreichbar zu machen. Ja, wenn man nichts freigibt sind sie quasi überflüssig aber durchaus sinnvoll, da diese Regeln im Log extra gefiltert und kenntlich gemacht sind. Man sieht somit, dass etwas gegen diese Regeln verstoßen hat und kann sich ansehen warum und weshalb.
Gibt man dann aber mal tatsächlich etwas frei - bspw. VPN für ein RoadWarrior VPN - wird trotzdem der Zugriff darauf von Bogon und RFC1918 Netzen verboten, denn aus denen sollte auf dem WAN keinerlei Traffic ankommen! Daher sind diese durchaus sinnvoll.
Die pfSense allgemein reagiert IMMER an jedem Interface - solange nicht anders definiert - mit einem block any. Kein reject, somit also blockieren, nicht abweisen und rückmelden. Eine generelle Einstellung dafür gibt es nicht, man kann selbst bei Regeln natürlich auswählen, was man nutzen möchte. Vom LAN aus wird gern mal reject statt block genutzt.
erlauben Schnittstelle: LAN, IPv4, alle Protokolle, Quelle (LAN-Net?) Ziel LAN-NET oder LAN-Adress oder Netzwerk mit 192.168.1.1/24 (was wählt man hier, das Intern alles erlaubt ist?)
Um das was Mike schreibt vielleicht etwas verständlicher zu machen: ein Router (und pfSense ist fürs LAN erstmal primär genau das), bekommt Pakete nur wenn sie nicht im lokalen Netz zugestellt werden. Somit muss gar nichts getan werden um vom einer LAN IP an eine andere zu senden, das bekommt die Sense nämlich nicht mit. Intern wird immer direkt zugestellt.
erlauben Schnittstelle: LAN, IPv4, TCP, Quelle(LAN-NET?), Ziel: WAN-NET oder WAN Adress Zielports: Alias mit (80, 443, 465, 993, 995
Nochmals für alle die darüber stolpern sollten: Die Auswahl XY_Net bzw. XY_Address beziehen sich nur auf die IP Adresse oder das Subnetz, was am entsprechenden Netzwerkinterface anliegt. WAN_NET ist NICHT das Internet, sondern nur das Subnetz, welches auf dem WAN Port konfiguriert ist bzw. aufliegt. Das Internet wäre rein technisch gesehen any ohne den RFC1918 und Bogon Bereich -> also alle Public IPs.
erlauben Schnittstelle: LAN, IPv4, TCP, Quelle(LAN-NET?), Ziel: WAN-NET oder WAN Adress Zielports: Alias mit (80, 443, 465, 993, 995
Wie gesagt WAN-Net ist nicht das Internet, s.o. Ansonsten wenn dir diese wenigen Zielports genügen, ist das durchaus legit. Ich vermute aber du wirst mehr öffnen müssen ;)
brauche ich noch eine Regeln für Port 53 und 123 ?
Je nachdem wer das bedient, natürlich. Soll es die Sense tun, dann bräuchte es einen Filter wie "pass udp from LAN_Net to LAN_Address port 52,123" der das auf dem LAN IF erlaubt.
Generell werden Regeln da erstellt, wo das Paket zuerst auf der Sense auftrifft. Und nur dort.
als letztes dann Abweisen Schnittstelle: LAN, IPv4/ IPv6, alle Protokolle, Quelle LAN-Adress, Ziel WAN und diese Regel dann protokollieren
Für ein striktes Ruleset mit nur definierten/wenigen offenen Ports und wenn du es extra Loggen möchtest richtig, ja. Ansonsten würde die default block rule greifen.
Ist es möglich eine Email zu bekommen wenn das WAN-Gateway eine Zeit lang nicht funktioniert hat ?
Jein. "Eine Zeit lang" - nein. Wenn es down ist bzw. wieder up geht, ja.
Gibt es weitere Empfehlungen?
Das hängt ganz davon ab, was du eigentlich genau erreichen möchtest!? Davon habe ich nichts gelesen. Auch nicht ob du überhaupt keine Segmentierung o.ä. anstrebst da du einen VLAN fähigen Switch angibst. Oder welche Art Traffic/Verkehr du hast/erwartest.
