Firewall, Ruleset & Security - Logo


Das Firewall Ruleset

ACHTUNG: Wichtig um die Funktionsweise einer Firewall zu verstehen:
Ein Ruleset besteht aus mehreren einzelnen Regeln, die eine Firewall bei jeder Anfrage in oder aus dem Internet/Netzwerk von oben angefangen nach unten abgearbeitet bzw. überprüft, und beim Zutreffen einer Regel anhält und diese ausführt, die darauf folgenden Regeln werden dann ignoriert
!
Das Ruleset verarbeitet jede Kommunikation und filtert alle Datenpäckchen, die zwischen Computern im Internet hin und herlaufen.
By the way: Um so mehr Regeln (bei den vorgegebenen Rulesets von den Herstellern meist ziemlich viele), um so mehr Speicher und Ressourcen braucht deine Firewall in deinem System. - Also Rulesets immer möglichst kompakt und übersichtlich halten!

Eine Regel ergibt sich aus folgenden Mustern.

1.) Einer Richtung (=Direction): ..wird ein Päckchen
- gesendet OUT,
- wird eins empfangen IN,
- oder halt beides: BOTH

2.) Einem Protokoll: Das Internet basiert auf verschiedenen Protokollen, die für die Übertragung den Datenpäckchen zuständig sind.
Die wichtigsten von den meisten Firewalls unterstützten Protokolle sind TCP, UDP, ICMP, (...)

3.) Einer Quelle: Also woher eine Anfrage stammt:
- Host (=eine IP),
- Port (=von der Firewall zu öffnende & schließende "Tore", die durch eine Zahl gekennzeichnet sind.),
- Service/Application (=Programm)

4.) Einem Ziel (wohin das Packet soll):
- Host (=eine IP),
- Port (=von der Firewall zu öffnende & schließende "Tore", die durch eine Zahl gekennzeichnet sind.),
- Service/Application (=Programm)

5.) Einer Erlaubnis Blockieren (Block / Deny) oder Erlauben (Permit)

6.) Als letztes haben die meisten Firewalls noch eine Option, eine Log-Datei zu führen.

-> Hier könnt ihr euch das ganze einmal bildlich als Beispiel ansehen!

-> Hier findet ihr Links zum testen eurer Firewall!



Ruleset Beschreibung

No Type Rule Description Direction Protocol Local Port Application Remote Host Remote Port Erklärung der Regeln
1 Permit ICMP Outgoing ICMP
+ Echo Request
Any Any Any Any ICMP ist in mehrere Unterbereiche aufgeteilt, weswegen ich diesem Thema eine Extraseite
[-> hier] widme. Erlaubt ist hier der Echo Request, womit ihr andere Leute anpingen könnt!
2 Permit ICMP Incoming ICMP
+ Echo Reply
+ Destination Unreachable
+ Time Exeeded
Any Any Any Any ICMP ist in mehrere Unterbereiche aufgeteilt, weswegen ich diesem Thema eine eigene Page
[-> hier] widme. Erlaubt ist hier Echo (die Anwort auf euren Ping) sowie Ziel nicht erreichbar und Zeit abgelaufen! Der Rest wird unten in der letzten Regel geblockt!
3 Permit Corporate DNS Both UDP Any Any Corporate Name Servers IP's (DNS) 53 Diese Regel erlaubt deinem Computer sich mit dem Name-Server (die eine IP in einen Hostnamen auflösen und umgekehrt ) deines Providers zu verbinden. Die IP's der Name Server findest du meist unter den Zugangsdaten für MacOs bei deinem Provider auf der Homepage. Trage diese unter Trustfull Addresses ein. Die Adressen kannst du auch sammeln, indem du dich von deinem aktiviertem Ruleassistenten anfangs immer Fragen läßt.

Eine Liste, wo ihr die IP's für das DNS für bekannte Provider wie T-online befinden findet ihr -> hier!

4
Permit
Loopback Both UDP/TCP Any möglichst explizit deine Interntprogs 127.0.0.1 Any Da diese Loopback Regel eine sehr wichtige ist, gibt es mehr Informationen auf einer Extraseite [ -> hier!]
5
Permit
NetBT Datagram Both UDP 137, 138 Any Trustful addresses Any Diese Regel erlaubt NetBios (Windows Neighborhood protocol) datagrams (UDP) die bei jedem Computer im lokalen Netzwerk gesendet werden um sich zu identifizieren. (Diese Regel kannst du löschen, falls du kein Netzwerk hast.)
Als vertrauenswürige Remote/Locale-Adresse unbedingt die IP und Subnetzmaske der Rechner im Netwerk angeben; z.B. :
Lokales Netz = Trustful addresses z.B. 172.23.0.0 / 255.255.0.0
Übrigens bei der Tiny Personal Firewall kann man das Netzwerk auch einfacherer unter dem Register "Microsoft Networking" einrichten!
Wie du Netbios maximal sicher einrichtest findest du in einer Anleitung [-> hier]
6
Permit
NetBT Session Outgoing TCP Any Any Trustful Addresses 139 Diese Regel erlaubt , das Windows Ressourcen im lokalen Netzwerk nur mit den "Custom Address Group", also vertrauenswürdigen IP's teilt, die du in deiner Firewall eintragen kannst. (Diese Regel kannst du löschen, wenn du kein Netzwerk hast.)
Als vertrauenswürige Remote/Locale-Adresse unbedingt die IP und Subnetzmaske der Rechner im Netwerk angeben; z.B. :
Lokales Netz = Trustful addresses z.B. 172.23.0.0 / 255.255.0.0
Übrigens bei der Tiny Personal Firewall kann man das Netzwerk auch einfacherer unter dem Register "Microsoft Networking" einrichten!
Wie du Netbios maximal sicher einrichtest findest du in einer Anleitung [-> hier]
7
Permit
NetBT Session Incoming TCP 139 Any Trustful Addresses Any Diese Regel erlaubt "vertrauenswürdigen Computern" im Netzwerk auf deine Windows Ressourcen zuzugreifen. Dieses kannst du blocken, wenn du kein NetBios Zugriff haben willst (und genauso löschen, wenn du kein Netzwerk hast.)
Als vertrauenswürige Remote/Locale-Adresse unbedingt die IP und Subnetzmaske der Rechner im Netwerk angeben; z.B. :
Lokales Netz = Trustful addresses z.B. 172.23.0.0 / 255.255.0.0
Übrigens bei der Tiny Personal Firewall kann man das Netzwerk auch einfacherer unter dem Register "Microsoft Networking" einrichten!
Wie du Netbios maximal sicher einrichtest findest du in einer Anleitung [-> hier]
8
Permit
Internet Browser Outgoing TCP Any Dein Browser Any oder IP's deines Proxys 80, 443 Diese Regel erlaubt deinem Browser Zugang zum Internet (HTTP=Port80, HTTPS=Port443)
9 Permit Mail/ Program Outgoing TCP Any Dein Mail Client IP's deines Mailservers z.B. pop.gmx.net & mail.gmx.net 110, 995, 25 Diese Regel erlaubt deinem Mailclient Zugang zu deiner Mailbox Port110=POP3-Protokoll und Port995=SPOP3-Protokoll (<-falls du deine Mails über eine sichere Verbindung prüftst). Port 25 ist für SMTP also das versenden von Mails zuständig.

Falls du völlig sicher sein willst, das nicht ohne Nachfrage (z.B. von Mail- Viren) Mails verschickt werden kannst du bei dieser Regel Port 25 entfernen und bekommst damit jedesmal von deiner Firewall eine Extra Abfrage, ob ein Mail versendet werden darf (natürlich nur, wenn der Regelassistent eingeschaltet ist).

IP's feststellen
Es ist möglich, dass deine Firewall Domainnamen wie pop.gmx.net nicht automatisch in eine IP auflöst (wie bei der Tiny Personal Firewall); dann must du die Domainnamen selbst in eine IP auflösen!
Die IP's irgendeiner Adresse kannst du [ -> hier] unter NS Lookup feststellen! Einfach zum Beispiel pop.gmx.net eingeben und die Resultate in deine Custom Address Group eingeben!
10 Permit Newsclient Outgoing TCP Any Dein Newsprog IP's deines News- servers 119 Diese Rule ist nur nötig, falls du mit einem Newsprogramm oder deinem Emailprogramm in Newsgroups liest! Port 119 steht für NNTP

IP's feststellen siehe Regel 9

11 Permit Download Butler Outgoing TCP Any Dein Filefetcher Any 80, 21 Diese Regel erlaubt deinem Download Butler (z.B. Getright) Zugang zum downloaden, über den HTTP-Port und dem FTP-Port.
ACHTUNG! Getright würde ich am Anfang mit logen, und bestimmte Verbindungen zum Beispiel zum Homeserver (dort wo er die Werbung lädt) blocken!
12 Permit Download Butler Incoming TCP Any Dein Filefetcher Any 20 Diese zweite Verbindung (Datenverbindung) ist für "FTP-Data" bzw. für die Übertragung der Daten zuständig. Ftp-Data=Port 20

IP's feststellen siehe Regel 9

13 Permit Instant Messenger Outgoing TCP Any Dein Instant Messenger Any oder IP's zum Terminal 5190 Diese Regel erlaubt deinem Instant Messenger z.B. AIM Zugang zum Internet; über den AOL-Port=5190
14
Permit
Telnet Client Outgoing TCP Any Dein Telnet Progi Any 23 Diese Regel erlaubt deinem Telnet Programm kompletten Zugriff auf andere Server im Internet. Ebenfalls löschen, falls du Telnet nicht benutzt.
15
Permit
FTP Client Outgoing TCP Any Dein FTP Progi IP's von deinem FTP Server / Website 21 Diese Regel erlaubt deinem FTP Uploader Zugriff auf zum Beispiel deine Website, wo du was uploaden möchtest. Über Port 21 wird die Steuerverbindung augebaut, auf der FTP-Befehle und Parameter zwischen Client und Server ausgetauscht werden! FTP=Port 21

IP's feststellen siehe Regel 9

16 Permit FTP Client Incoming TCP Any Dein FTP Progi IP's von deinem FTP Server / Website 20 Diese zweiteVerbindung (Datenverbindung) ist für "FTP-Data" bzw. für die Übertragung der Daten zuständig. Ftp-Data=Port 20

IP's feststellen siehe Regel 9

17
Permit
(...) <- Hier kannst du individuelle Regeln für hier nicht angeführte Programme z.B. nach der Anleitung unten einbauen. -> (...)
Übrigens hier vorgeschlagende Regeln für Programme die du nicht benutzt, brauchst du natürlich nicht in deiner Firewall...
18
Block
Block Incoming Any
( UDP/TCP
& ICMP )
Any Any Any Any Diese Regel blockiert und registriert es, wenn sich ein Computer mit deinem Verbinden will. Es empfielt sich hier die Log bzw. Protokoll Funktion zu aktvieren.
Diese Regel gehört als letztes abgearbeitet, da sie alle Incoming Verbindungen die nicht zuvor erlaubt worden sind blockiert! Für den Rest Outbound ist immer noch der Learning Assistent zuständig, der sich meldet, falls ein Programm Zugang zum Internet möchte.
Bei der Tiny Personal Firewall kann man auch statt dieser Rule unter miscellaneous -> "log packets to unopened ports" anklicken und auf diese Regel im Ruleset verzichten!

-> Hier könnt ihr euch das ganze einmal bildlich als Beispiel ansehen!


Regeln selbst erstellen

Nach dieser Schritt für Schritt Anleitung kannst du selbst Regeln für deine Programme erstellen!

Nachdem du eine Grundstruktur für dein Ruleset hast (siehe Beschreibung oben), kommen vielleicht ein paar Anfragen von anderen Programmen die du verwendest. Viele Verbindungen davon sind unnötig, da sich viele Programme z.B. mit dem Hersteller verbinden, um eine Seriennummer zu überprüfen!
Folglich also erstmal alles blocken, und falls das Programm dann nicht funktioniert Stück für Stück erlauben!

1) Die "Block All Rule" deaktivieren sowie den Lernmodus der Firewall aktivieren. (Bei der Tiny Personal Firewall unter "Firewall Administration" -> "Advanced..." -> Register "Filter Rules" -> und ein Haken vor "ask for action when no rule is found"

2) Alle zu konfigurierenden Internetprogramme einmal bei einer Onlineverbindung starten und wie normal verwenden, sodaß du mit dem Ruleassistenten eine Regel erstellen kannst.

3) Beim aufpoppen des Regelassistenten solltet ihr:
- grundsätzlich die Anfrage ersteinmal blockieren, da viele Programme unnötige Internetverbindungen z.B.
  zum Herstellerserver zum registrieren, oder überprüfen der Seriennummer anfordern.
- falls das Programm dann nicht funktioniert, müßt ihr dieses nocheinmal ausführen,
  und diesmal mit Hilfe des Regelassistenten eine Regel definieren und erlauben. Folgendes ist hierbei zu beachten:

a) Die Erlaubnis sollte möglichst genau definiert werden, d.h. wenn ein Programm zum Beispiel
   TCP-Outbound verlangt wird nur TCP-Outbound freigeben, genauso auch erstmal nur mit den angefragten IP's verfahren!
b) Für jedes Programm also eine spezifische Regel mit spezifischem Service!
c) Sollte ein Programm mehrere Ports benötigen einen bereich von - bis freigeben und nach und nach weiter eingrenzen.

5) Ruleset durchsehen und Regeln zusammenfassen, zum Beispiel wenn man einem Programm mehrere Ports freigibt, kann man diese bei einer Rule unter dem Menüpunkt "Edit" für dieses Programm all diese Ports eintragen und die anderen Rules für dieses Programm löschen!

6) Nach dem Erstellen der Regel, könnt ihr den Lernmodus wieder abschalten, falls er zu oft durch unzulässige Anfragen stört.

7) Nach Deinstallation von betroffenen Internetprogrammen nicht vergessen auch die Rule für dieses Programm manuell zu löschen, um die Firewalls möglichst kompakt zu halten (das erhöht die Sicherheit).



© 2001 Lukas - keine unerlaubte Vervielfältigung, auch nicht auszugsweise! - Alle Rechte vorbehalten.