Auf Geräten der FL MGUARD 2000-Serie steht das Menü in reduzierter Form zur Verfügung.
Auf Geräten der FL MGUARD 2000-Serie steht das Menü in reduzierter Form zur Verfügung. |
7.1Netzwerksicherheit >> Paketfilter
Der mGuard beinhaltet eine Stateful Packet Inspection Firewall. Die Verbindungsdaten einer aktiven Verbindung werden in einer Datenbank erfasst (connection tracking). Dadurch sind Regeln nur für eine Richtung zu definieren. Dann werden die Daten aus der anderen Richtung der jeweiligen Verbindung, und nur diese, automatisch durchgelassen.
Ein Nebeneffekt ist, dass bestehende Verbindungen bei einer Umkonfiguration nicht abgebrochen werden, selbst wenn eine entsprechende neue Verbindung nicht mehr aufgebaut werden dürfte.
Die unter Netzwerksicherheit >> Paketfilter konfigurierbaren Firewallregeln werden nicht auf IP-Pakete angewendet, die direkt auf eine IP-Adresse des mGuards gerichtet sind. Sie gelten nur für IP-Verbindungen bzw. IP-Verkehr, der durch den mGuard hindurch geht.
Werkseitige Voreinstellung der Firewall
–Alle eingehenden Verbindungen werden verworfen (außer VPN).
–Die Datenpakete aller ausgehenden Verbindungen werden durchgelassen.
Firewall-Regeln an dieser Stelle wirken sich aus auf die Firewall, die immer aktiv ist, mit folgenden Ausnahmen:
–VPN-Verbindungen. Für VPN-Verbindungen werden eigene Firewall-Regeln definiert (siehe „IPsec VPN >> Verbindungen“ auf Seite 235, „Firewall“ auf Seite 265).
–Benutzer-Firewall. Wenn sich Benutzer anmelden, für die Benutzer-Firewall-Regeln definiert sind, werden vorrangig diese Regeln angewandt (siehe „Netzwerksicherheit >> Benutzerfirewall“ auf Seite 220), sekundär die immer aktiven Firewall-Regeln.
Sind mehrere Firewall-Regeln gesetzt, werden diese in der Reihenfolge der Einträge von oben nach unten abgefragt, bis eine passende Regel gefunden wird. Diese wird dann angewandt. Sollten nachfolgend in der Regelliste weitere Regeln vorhanden sein, die auch passen würden, werden diese ignoriert. |
Firewall-Einstellungen bei Geräten der FL MGUARD 2000-Serie
Die Geräte der FL MGUARD 2000-Serie verfügen über eine einfache Firewall-Funktionalität. Folgende Funktionen werden nicht unterstützt: –Firewall-Regelsätze können nicht konfiguriert werden. –MAC-Filter können nicht konfiguriert werden. –Eine Benutzerfirewall kann nicht konfiguriert werden. –Hostnamen in IP-Gruppen können nicht verwendet werden. Hinweis: Konfigurationsprofile, die entsprechende Einstellungen enthalten, können nicht importiert werden. |
Verwendung von Hostnamen in IP-Gruppen (Firewall-Regeln)
In IP-Gruppen können neben IP-Adressen, IP-Bereichen und Netzwerken auch Hostnamen angegeben werden (DNS-basierte Firewall-Regeln). Die IP-Adressauflösung der Hostnamen erfolgt entsprechend den DNS-Einstellungen des mGuards. Auf diese Weise lassen sich Hostnamen über IP-Gruppen in Firewall-Regeln einsetzen (siehe „IP- und Portgruppen“ auf Seite 209).
ACHTUNG: Bei der Verwendung von Hostnamen besteht grundsätzlich die Gefahr, dass ein Angreifer DNS-Anfragen manipuliert oder blockiert (u. a. DNS spoofing). Konfigurieren Sie deshalb im mGuard nur vertrauenswürdige und abgesicherte DNS-Server aus Ihrem internen Firmennetzwerk, um entsprechende Angriffe zu vermeiden. IP-Gruppen, die Hostnamen enthalten, sollten aus Sicherheitsgründen nicht in Firewall-Regeln verwendet werden, die als Aktion „Verwerfen“ oder „Abweisen“ ausführen. |
Kann ein Hostname aus einer IP-Gruppe nicht aufgelöst werden, weil z. B. ein DNS-Server nicht konfiguriert wurde oder nicht erreichbar ist, wird dieser Host bei der Regel nicht berücksichtigt. Weitere Einträge in der IP-Gruppe sind davon nicht betroffen und werden berücksichtigt. |
PROFINET RT
Die Geräte FL MGUARD 210X/410X/430X sind hardwaretechnisch so gestaltet, dass die WAN-Seite (Interface XF1) und die LAN-Seite (Interface XF2 bzw. XF2-XF5) über den Applikationsprozessor sicher voneinander getrennt sind.
Zudem ist die mGuard-Firmware 10.x so implementiert, dass eine Übertragung von Layer 2-Datagrammen wie z. B. PROFINET RT bei Nutzung des Netzwerk-Modus „Router“ (Werkseinstellung) ausgeschlossen ist.
mGuard-Geräte können somit als sichere Netzwerkgrenze für PROFINET verwendet werden. Sie können als Schutzgeräte für PROFIsafe-Netzwerkzellen, in Umgebungen, in denen eine Eindeutigkeit der PROFIsafe-Adressen nicht sichergestellt werden kann, verwendet werden.
Der Einsatz der Geräte erfolgt hierbei konform zur Norm IEC 61784-3-3 (5.4.2 und 8.1.2).
Listet die eingerichteten Firewall-Regeln auf. Sie gelten für eingehende Datenverbindungen, die von extern initiiert werden (WAN --> LAN). Für die Geräte der FL MGUARD 2000-Serie gelten gesonderte Firewall-Einstellungen (siehe „Firewall-Einstellungen bei Geräten der FL MGUARD 2000-Serie“ auf Seite 191). In der werkseitigen Voreinstellung werden alle eingehenden Verbindungen (außer VPN) verworfen. 
|
||
|
Allgemeine Firewall-Einstellung |
Alle Verbindungen annehmen, die Datenpakete aller eingehenden Verbindungen werden angenommen. Alle Verbindungen verwerfen, die Datenpakete aller eingehenden Verbindungen werden verworfen. Nur Ping zulassen, die Datenpakete aller eingehenden Verbindungen werden verworfen, mit Ausnahme der Ping-Pakete (ICMP). Diese Einstellung lässt alle Ping-Pakete passieren. Der integrierte Schutz vor Brute-Force-Attacken ist hier ausnahmsweise nicht wirksam. Wende das unten angegebene Regelwerk an, weitere Einstellmöglichkeiten werden eingeblendet. |
|
Die folgenden Einstellungen sind nur sichtbar, wenn „Wende das unten angegebene Regelwerk an“ eingestellt ist. |
|
|
Interface |
Extern / Alle Gibt an, über welches Interface die Datenpakete eingehen, damit sich die Regel auf sie bezieht. Auf Geräten der FL MGUARD 2000/4000-Serie steht nur das Interface Extern zur Verfügung. |
|
Protokoll |
Alle bedeutet: TCP, UDP, ICMP, GRE und andere IP-Protokolle |
|
Von IP / Nach IP |
0.0.0.0/0 bedeutet alle IP-Adressen. Um einen Adressenbereich anzugeben, benutzen Sie die CIDR-Schreibweise (siehe „CIDR (Classless Inter-Domain Routing)“ auf Seite 34). Namen von IP-Gruppen, sofern definiert. Bei Angabe des Namens einer IP-Gruppe werden die Hostnamen, IP-Adressen, IP-Bereiche oder Netzwerke berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). 
|
|
(Nur bei den Protokollen TCP und UDP) |
any bezeichnet jeden beliebigen Port. startport:endport (z. B. 110:120) bezeichnet einen Portbereich. Einzelne Ports können Sie entweder mit der Port-Nummer oder mit dem entsprechenden Servicenamen angegeben (z. B. 110 für pop3 oder pop3 für 110). Namen von Portgruppen, sofern definiert. Bei Angabe des Namens einer Portgruppe werden die Ports oder Portbereiche berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). |
|
Aktion |
Annehmen bedeutet, die Datenpakete dürfen passieren. Abweisen bedeutet, die Datenpakete werden zurückgewiesen, so dass der Absender eine Information über die Zurückweisung erhält. 
Verwerfen bedeutet, die Datenpakete dürfen nicht passieren. Sie werden verschluckt, so dass der Absender keine Information über deren Verbleib erhält. Namen von Regelsätzen, sofern definiert. Bei der Auswahl eines Regelsatzes treten die Firewall-Regeln in Kraft, die unter diesem Regelsatz konfiguriert sind (siehe „Regelsätze“ auf Seite 202). 
|
|
Ein frei wählbarer Kommentar für diese Regel. |
|
|
Log |
Für jede einzelne Firewall-Regel können Sie festlegen, ob bei Greifen der Regel –das Ereignis protokolliert werden soll - Funktion Log aktivieren –oder nicht - Funktion Log deaktivieren (werkseitige Voreinstellung). |
|
Log-Einträge für unbekannte Verbindungsversuche |
Bei aktivierter Funktion werden alle Verbindungsversuche protokolliert, die nicht von den voranstehenden Regeln erfasst werden. (Werkseitige Voreinstellung: deaktiviert ) |
Ausgehend |
Listet die eingerichteten Firewall-Regeln auf. Sie gelten a)für ausgehende Datenverbindungen, die von intern initiiert werden (LAN --> WAN), b)für Datenverbindungen, die von einem VLAN-Netzwerk auf der LAN-Seite zu einem anderen VLAN-Netzwerk auf der LAN-Seite initiiert werden. Für die Geräte der FL MGUARD 2000-Serie gelten gesonderte Firewall-Einstellungen (siehe „Firewall-Einstellungen bei Geräten der FL MGUARD 2000-Serie“ auf Seite 191). In der werkseitigen Voreinstellung ist eine Regel gesetzt, die alle ausgehenden Verbindungen zulässt. 
|
|
|
Allgemeine Firewall-Einstellung |
Alle Verbindungen annehmen, die Datenpakete aller ausgehenden Verbindungen werden angenommen. Alle Verbindungen verwerfen, die Datenpakete aller ausgehenden Verbindungen werden verworfen. Nur Ping zulassen, die Datenpakete aller ausgehenden Verbindungen werden verworfen, mit Ausnahme der Ping-Pakete (ICMP). Wende das unten angegebene Regelwerk an, blendet weitere Einstellmöglichkeiten ein. |
|
Die folgenden Einstellungen sind nur sichtbar, wenn „Wende das unten angegebene Regelwerk an“ eingestellt ist. |
|
|
Protokoll |
Alle bedeutet: TCP, UDP, ICMP, GRE und andere IP-Protokolle |
|
Von IP / Nach IP |
0.0.0.0/0 bedeutet alle IP-Adressen. Um einen Adressenbereich anzugeben, benutzen Sie die CIDR-Schreibweise (siehe „CIDR (Classless Inter-Domain Routing)“ auf Seite 34). Namen von IP-Gruppen, sofern definiert. Bei Angabe des Namens einer IP-Gruppe werden die Hostnamen, IP-Adressen, IP-Bereiche oder Netzwerke berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). 
|
|
Von Port / Nach Port (Nur bei den Protokollen TCP und UDP) |
any bezeichnet jeden beliebigen Port. startport:endport (z. B. 110:120) bezeichnet einen Portbereich. Einzelne Ports können Sie entweder mit der Port-Nummer oder mit dem entsprechenden Servicenamen angegeben (z. B. 110 für pop3 oder pop3 für 110). Namen von Portgruppen, sofern definiert. Bei Angabe des Namens einer Portgruppe werden die Ports oder Portbereiche berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). |
|
Aktion |
Annehmen bedeutet, die Datenpakete dürfen passieren. Abweisen bedeutet, die Datenpakete werden zurückgewiesen, so dass der Absender eine Information über die Zurückweisung erhält 
. Verwerfen bedeutet, die Datenpakete dürfen nicht passieren. Sie werden verschluckt, so dass der Absender keine Information über deren Verbleib erhält. Namen von Regelsätzen, sofern definiert. Bei der Auswahl eines Regelsatzes treten die Firewall-Regeln in Kraft, die unter diesem Regelsatz konfiguriert sind (siehe „Regelsätze“ auf Seite 202). 
|
|
Kommentar |
Ein frei wählbarer Kommentar für diese Firewall-Regel. |
|
Log |
Für jede einzelne Firewall-Regel können Sie festlegen, ob bei Greifen der Regel –das Ereignis protokolliert werden soll - Aktion Log aktivieren –oder nicht - Aktion Log deaktivieren (werkseitige Voreinstellung). |
|
Log-Einträge für unbekannte Verbindungsversuche |
Bei aktivierter Funktion werden alle Verbindungsversuche protokolliert, die nicht von den voranstehenden Regeln erfasst werden. (Werkseitige Voreinstellung: deaktiviert) |
Firewall-Regeln für die DMZ (Nur bei FL MGUARD 4305)
|
Die DMZ kann über einen eigenen Satz von Firewall-Regeln gegen Zugriffe aus dem internen (LAN-Interface) und dem externen Netz (WAN-Interface) abgesichert werden. Die Einstellungen werden für die vier möglichen Richtungen des Netzwerkverkehrs getrennt vorgenommen. |
|
WAN DMZ |
|
Wenn keine Regel
gesetzt ist, werden die Datenpakete aller eingehenden Verbindungen
(außer VPN) verworfen |
DMZ LAN |
|
Wenn keine Regel
gesetzt ist, werden die Datenpakete aller ausgehenden Verbindungen
(außer VPN) verworfen |
DMZ WAN |
|
Per Werkseinstellung ist eine Regel gesetzt, die alle ausgehenden Verbindungen zulässt. |
LAN DMZ |
|
Per Werkseinstellung ist eine Regel gesetzt, die alle eingehenden Verbindungen zulässt. |
|
Protokoll |
Alle bedeutet: TCP, UDP, ICMP, GRE und andere IP-Protokolle |
|
Von IP / Nach IP |
0.0.0.0/0 bedeutet alle IP-Adressen. Um einen Adressenbereich anzugeben, benutzen Sie die CIDR-Schreibweise (siehe „CIDR (Classless Inter-Domain Routing)“ auf Seite 34). Namen von IP-Gruppen, sofern definiert. Bei Angabe des Namens einer IP-Gruppe werden die Hostnamen, IP-Adressen, IP-Bereiche oder Netzwerke berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). 
|
|
Von Port / Nach Port (Nur bei den Protokollen TCP und UDP) |
any bezeichnet jeden beliebigen Port. startport:endport (z. B. 110:120) bezeichnet einen Portbereich. Einzelne Ports können Sie entweder mit der Port-Nummer oder mit dem entsprechenden Servicenamen angegeben (z. B. 110 für pop3 oder pop3 für 110). Namen von Portgruppen, sofern definiert. Bei Angabe des Namens einer Portgruppe werden die Ports oder Portbereiche berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). |
|
Aktion |
Annehmen bedeutet, die Datenpakete dürfen passieren. Abweisen bedeutet, die Datenpakete werden zurückgewiesen, so dass der Absender eine Information über die Zurückweisung erhält 
. Verwerfen bedeutet, die Datenpakete dürfen nicht passieren. Sie werden verschluckt, so dass der Absender keine Information über deren Verbleib erhält. Namen von Regelsätzen, sofern definiert. Bei der Auswahl eines Regelsatzes treten die Firewall-Regeln in Kraft, die unter diesem Regelsatz konfiguriert sind (siehe „Regelsätze“ auf Seite 202). 
|
|
Kommentar |
Ein frei wählbarer Kommentar für diese Regel. |
|
Log |
Für jede einzelne Firewall-Regel können Sie festlegen, ob bei Greifen der Regel –das Ereignis protokolliert werden soll - Aktion Log aktivieren –oder nicht - Aktion Log deaktivieren (werkseitige Voreinstellung). |
|
Log-Einträge für unbekannte Verbindungsversuche |
Bei aktivierter Funktion werden alle Verbindungsversuche protokolliert, die nicht von den voranstehenden Regeln erfasst werden. (Werkseitige Voreinstellung: deaktiviert) |
Firewall-Regelsätze werden dazu verwendet, Firewall-Regeln in einem Regelsatz zusammenzufassen. Diese können dann über den Regelsatz gemeinsam aktiviert oder deaktiviert werden.
Ein Regelsatz – und damit alle darin konfigurierten Firewall-Regeln – könnte z. B. über einen Ein-/Aus-Schalter oder eine aufgebaute VPN-Verbindung gesteuert werden (siehe „Verwaltung >> Service I/O“ auf Seite 108).
Hinweise zur Verwendung von Regelsätzen, die nur temporär aktiviert werden In Firewall-Regelsätzen, die nur temporär aktiviert werden (z. B. über einen Schalter gesteuert), sollten immer sogenannte „Allow-Regeln“ (Aktion = Annehmen) verwendet werden: – Der Regelsatz wird aktiviert, um die konfigurierten Verbindungen zu erlauben. – Der Regelsatz wird deaktiviert, um die konfigurierten Verbindungen zu blockieren. „Deny-Regeln“ (Aktion = Abweisen/Verwerfen) sollten in temporär geltenden Regelsätzen nicht verwendet werden, da entsprechende bereits bestehende Datenverbindungen mit der Aktivierung des Regelsatzes nicht automatisch beendet würden. |
Wenn eine Verbindung, die zu einem Firewall-Regelsatz passt, aufgebaut worden ist und diese Verbindung kontinuierlich Datenverkehr erzeugt, dann kann es sein, dass das Deaktivieren des Firewall-Regelsatzes diese Verbindung nicht wie erwartet unterbricht. Das ist so, weil der (ausgehende) Response von einem Dienst auf der LAN-Seite einen Eintrag in der Verbindungsverfolgungs-Tabelle (Connection Tracking Table) erzeugt, der einen anderen (eingehenden) Request von einem Peer außerhalb ermöglicht. Dieser Peer passiert die Firewall mit den selben Verbindungsparametern, ist aber nicht mit dem Firewall-Regelsatz verbunden. Es gibt zwei Wege, den mGuard so einzurichten, dass er mit dem Ausschalten eines Firewall-Regelsatzes auch die zugehörigen Verbindungen unterbricht. –Aktivieren Sie unter „Netzwerksicherheit >> Paketfilter >> Erweitert“ die Option „Erlaube TCP-Verbindungen nur mit SYN“ . –Blockieren
Sie in der Firewall die ausgehenden Verbindungen, die über den
Port laufen, den die eingehenden Verbindungen als Ziel haben. |
Regelsätze (Dieser Menüpunkt gehört nicht zum Funktionsumfang der Serie FL MGUARD 2000.) |
Initialer Modus |
Deaktiviert / Aktiv / Inaktiv Bestimmt den Ausgangszustand des Firewall-Regelsatzes nach einer Neukonfiguration oder einem Neustart. Die „Aktiv/Inaktiv“-Einstellung wirkt sich nur bei einem angeschlossenen Taster aus, Wenn die Firewall-Regelsätze über einen Schalter oder eine VPN-Verbindung gesteuert werden, haben diese Vorrang. Bei der Einstellung „Deaktiviert“ kann der Firewall-Regelsatz nicht dynamisch aktiviert werden. Der Firewall-Regelsatz bleibt bestehen, hat aber keinen Einfluss. |
|
Schaltender Service-Eingang oder VPN-Verbindung |
Service-Eingang CMD 1-3 (I 1-3), VPN-Verbindung Der Firewall-Regelsatz kann über einen Taster/Schalter oder über eine VPN-Verbindung geschaltet werden. Der Taster/Schalter muss an einen der Servicekontakte (CMD 1-3 / I 1-3) angeschlossenen sein. |
|
Zustand |
Gibt den aktuellen Status wieder. |
|
Ein beschreibender Name |
Sie können den Firewall-Regelsatz frei benennen bzw. umbenennen. |
|
Regelsatz aktivieren / inaktivieren |
Aktivieren / Inaktivieren Sie können den Regelsatz durch
einen Klick auf die Icons |
Nach
Klicken auf das Icon |
||
|
||
Allgemein |
Ein beschreibender Name |
Sie können den Firewall-Regelsatz frei benennen bzw. umbenennen. |
|
Initialer Modus |
Deaktiviert / Aktiv / Inaktiv Bestimmt den Ausgangszustand des Firewall-Regelsatzes nach einer Neukonfiguration oder einem Neustart. Die „Aktiv/Inaktiv“-Einstellung wirkt sich nur bei einem angeschlossenen Taster aus, Wenn die Firewall-Regelsätze über eine Schalter oder eine VPN-Verbindung gesteuert werden, haben diese Vorrang. Bei der Einstellung „Deaktiviert“ kann der Firewall-Regelsatz nicht dynamisch aktiviert werden. Sie bleibt bestehen, hat aber keinen Einfluss. |
|
Schaltender Service-Eingang oder VPN-Verbindung |
Service-Eingang CMD 1-3 (I 1-3), VPN-Verbindung Der Firewall-Regelsatz kann über einen Taster/Schalter oder über eine VPN-Verbindung geschaltet werden. Der Taster/Schalter muss an einen der Servicekontakte (CMD 1-3 / I 1-3) angeschlossenen sein. |
|
Invertierte Logik verwenden |
Kehrt das Verhalten des angeschlossenen Tasters/Schalters oder der schaltenden VPN-Verbindung um. Wenn der schaltende Service-Eingang als Ein-/Aus-Schalter konfiguriert ist, kann er z. B. einen Firewall-Regelsatz ein und gleichzeitig einen anderen ausschalten. Das gleich gilt für schaltende VPN-Verbindungen. |
|
Timeout zur Deaktivierung |
Aktivierte Firewall-Regelsätze werden nach Ablauf dieser Zeit deaktiviert. Bei 0 ist diese Einstellung abgeschaltet. Zeit in hh:mm:ss (maximal 1 Tag) Die Eingabe kann aus Sekunden [ss], Minuten und Sekunden [mm:ss] oder Stunden, Minuten und Sekunden [hh:mm:ss] bestehen. |
Firewall-Regeln |
Protokoll |
Alle bedeutet: TCP, UDP, ICMP, GRE und andere IP-Protokolle. |
|
Von IP |
0.0.0.0/0 bedeutet alle IP-Adressen. Um einen Adressenbereich anzugeben, benutzen Sie die CIDR-Schreibweise (siehe „CIDR (Classless Inter-Domain Routing)“ auf Seite 34). Namen von IP-Gruppen, sofern definiert. Bei Angabe des Namens einer IP-Gruppe werden die Hostnamen, IP-Adressen, IP-Bereiche oder Netzwerke berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). 
|
|
Von Port / Nach Port (Nur bei den Protokollen TCP und UDP) |
any bezeichnet jeden beliebigen Port. startport:endport (z. B. 110:120) bezeichnet einen Portbereich. Einzelne Ports können Sie entweder mit der Port-Nummer oder mit dem entsprechenden Servicenamen angegeben (z. B. 110 für pop3 oder pop3 für 110). Namen von Portgruppen, sofern definiert. Bei Angabe des Namens einer Portgruppe werden die Ports oder Portbereiche berücksichtigt, die unter diesem Namen gespeichert sind (siehe Registerkarte „IP- und Portgruppen“). |
|
Aktion |
Annehmen bedeutet, die Datenpakete dürfen passieren. Abweisen bedeutet, die Datenpakete werden zurückgewiesen, so dass der Absender eine Information über die Zurückweisung erhält. 
Verwerfen bedeutet, die Datenpakete dürfen nicht passieren. Sie werden verschluckt, so dass der Absender keine Information über deren Verbleib erhält. Namen von Regelsätzen, sofern definiert. Bei der Auswahl eines Regelsatzes treten die Firewall-Regeln in Kraft, die unter diesem Regelsatz konfiguriert sind (siehe „Regelsätze“ auf Seite 202). 
|
|
Kommentar |
Ein frei wählbarer Kommentar für diese Regel. |
|
Log |
Für jede Firewall-Regel können Sie festlegen, ob bei Greifen der Regel –das Ereignis protokolliert werden soll – Funktion Log aktivieren –oder nicht – Funktion Log deaktivieren (werkseitig voreingestellt). |
Dieser Menüpunkt gehört nicht zum Funktionsumfang der Serie FL MGUARD 2000. Die Regeln für eingehende und ausgehende Verbindungen gelten nur für den Netzwerkmodus Stealth. |
Der MAC-Filter „Eingehend“ wird auf Frames angewendet, die der mGuard an der WAN-Schnittstelle empfängt. Der MAC-Filter „Ausgehend“ wird auf Frames angewendet, die der mGuard an der LAN-Schnittstelle empfängt.
Im Stealth-Modus können neben dem Paketfilter (Layer 3/4), der den Datenverkehr z. B. nach ICMP-Nachrichten oder TCP/UDP-Verbindungen filtert, zusätzlich MAC-Filter (Layer 2) gesetzt werden. Ein MAC-Filter (Layer 2) filtert nach MAC-Adressen und Ethernet-Protokollen.
Im
Gegensatz zum Paketfilter ist der MAC-Filter stateless. Wenn Regeln eingeführt
werden, müssen ebenfalls entsprechende Regeln für die Gegenrichtung erstellt
werden.
Wenn keine Regel gesetzt ist, sind alle ARP- und IP-Pakete erlaubt.
Netzwerksicherheit >> Paketfilter >> MAC-Filter |
||
|---|---|---|
Eingehend
|
Quell-MAC |
xx:xx:xx:xx:xx:xx steht für alle MAC-Adressen. |
|
Ziel-MAC |
xx:xx:xx:xx:xx:xx steht für alle MAC-Adressen. Der Wert ff:ff:ff:ff:ff:ff ist die Broadcast MAC- Adresse, an die z. B. alle ARP-Anfragen geschickt werden. |
|
%any steht für alle Ethernet-Protokolle. Weitere Protokolle können mit dem Namen oder in HEX angegeben werden, zum Beispiel: –IPv4 oder 0800 –ARP oder 0806 |
|
|
Aktion |
Annehmen bedeutet, die Datenpakete dürfen passieren. Verwerfen bedeutet, die Datenpakete werden verworfen. |
|
Kommentar |
Ein frei wählbarer Kommentar für diese Regel. |
Ausgehend |
Die Erklärung unter „Eingehend“ gilt auch für „Ausgehend“. |
|
Mithilfe von IP- und Portgruppen lassen sich Firewall- und NAT-Regeln in komplexen Netzwerkstrukturen einfacher anlegen und verwalten.
Hostnamen, IP-Adressen, IP-Bereiche und Netzwerke können in IP-Gruppen zusammengefasst und mit einem Namen bezeichnet werden. Ports oder Portbereiche lassen sich ebenfalls in Portgruppen zusammenfassen.
Wird eine Firewall- oder NAT-Regel angelegt, können die IP- oder Portgruppen direkt anstelle von IP-Adressen/IP-Bereichen bzw. Ports/Portbereichen in den entsprechenden Feldern ausgewählt und der Regel zugewiesen werden.
ACHTUNG: Bei der Verwendung von Hostnamen besteht grundsätzlich die Gefahr, dass ein Angreifer DNS-Anfragen manipuliert oder blockiert (u. a. DNS spoofing). Konfigurieren Sie deshalb im mGuard nur vertrauenswürdige und abgesicherte DNS-Server aus Ihrem internen Firmennetzwerk, um entsprechende Angriffe zu vermeiden. IP-Gruppen, die Hostnamen enthalten, sollten aus Sicherheitsgründen nicht in Firewall-Regeln verwendet werden, die als Aktion „Verwerfen“ oder „Abweisen“ ausführen. |
Verwendung von Hostnamen Die Adressauflösung von Hostnamen erfolgt entsprechend den DNS-Einstellungen des mGuards (siehe „Netzwerk >> DNS“ auf Seite 143). Wenn ein Hostname in mehrere IP-Adressen aufgelöst werden kann, werden alle vom DNS-Server zurückgelieferten IP-Adressen berücksichtigt. Kann ein Hostnamen aus einer IP-Gruppe nicht aufgelöst werden, weil z. B. ein DNS-Server nicht konfiguriert wurde oder nicht erreichbar ist, wird dieser Host bei der Regel nicht berücksichtigt. Weitere Einträge in der IP-Gruppe sind davon nicht betroffen und werden berücksichtigt. Wenn ein DNS-Server einen aufgelösten Hostnamen nach Ablauf der TTL mit einer anderen IP-Adresse auflöst, wird eine bestehende Verbindung mit der ursprünglichen IP-Adresse nicht abgebrochen. |
mGuard-Geräte der FL MGUARD 2000-Serie Die Verwendung von Hostnamen in IP-Gruppen wird von Geräten der FL MGUARD 2000-Serie nicht unterstützt. |
Netzwerksicherheit >> Paketfilter >> IP- und Portgruppen |
||
|---|---|---|
IP-Gruppen |
Name |
Sie können die IP-Gruppe frei benennen bzw. umbenennen. |
|
Kommentar |
Ein frei wählbarer Kommentar für diese Gruppe/Regel. |
Editieren |
Nach
Klicken auf das Icon |
|
|
||
Name |
Sie können die IP-Gruppe frei benennen bzw. umbenennen. |
|
|
Kommentar |
Ein frei wählbarer Kommentar für diese Gruppe/Regel. |
|
Hostname, IP, IP-Bereich oder Netzwerk |
Die Einträge können einen Hostnamen (z. B. mguard.com), eine IP-Adresse (z. B. 192.168.3.1), einen IP-Adressbereich (z. B. 192.168.3.1-192.168.3.10) oder ein Netzwerk in CIDR-Schreibweise (z. B. 192.168.1.0/24) angeben. 
|
Portgruppen |
Name |
Sie können die Portgruppe frei benennen bzw. umbenennen. |
|
Kommentar |
Ein frei wählbarer Kommentar für diese Gruppe/Regel. |
Editieren |
Nach
Klicken auf das Icon |
|
|
||
Einstellung Portgruppen |
Name |
Sie können die Portgruppe frei benennen bzw. umbenennen. |
|
Kommentar |
Ein frei wählbarer Kommentar für diese Gruppe/Regel. |
|
Port oder Portbereich |
Die Einträge können einen Port (z. B. pop3 oder 110) oder einen Portbereich angeben (z. B. 110:120 oder 110-120). |
Die Einstellungen betreffen das grundlegende Verhalten der Firewall.
Globale Filter (Dieser Menüpunkt gehört nicht zum Funktionsumfang der Serie FL MGUARD 2000.)
|
TCP-Pakete mit gesetztem URGENT-Flag blockieren
|
Bei aktivierter Funktion werden Pakete mit im TCP-Header gesetztem URGENT-Flag blockiert: –Im Netzwerkmodus „Router“ werden die Verbindungen, über die entsprechende Pakete gesendet werden, beendet. –Im Netzwerkmodus „Stealth“ werden die entsprechenden Pakete verworfen. TCP-Pakete mit gesetztem URGENT-Flag, die durch einen VPN-Tunnel geroutet werden, werden ebenfalls blockiert. |
Konsistenzprüfungen (Dieser Menüpunkt gehört nicht zum Funktionsumfang der Serie FL MGUARD 2000.)
|
Bezieht sich auf die Länge des gesamten Paketes inklusive Header. Normalerweise beträgt die Paketlänge 64 Byte, kann aber auch größer sein. Sollen übergroße Pakete verhindert werden, um „Verstopfungen“ zu vermeiden, kann ein maximaler Wert angegeben werden. Dieser sollte auf jeden Fall über 64 liegen, damit normale ICMP-Echo-Anfragen nicht blockiert werden. |
|
|
Aktiviere TCP/UDP/ICMP-Konsistenzprüfungen |
Bei aktivierter Funktion führt der mGuard eine Reihe von Tests auf falsche Prüfsummen, Paketgrößen, usw. durch und verwirft Pakete, die die Tests nicht bestehen. Werkseitig ist die Funktion deaktiviert. |
|
Erlaube TCP-Keepalive-Pakete ohne TCP-Flags |
Normalerweise werden TCP-Pakete ohne gesetzte Flags in deren TCP-Header von Firewalls verworfen. Mindestens ein Typ von Steuerungen von Siemens mit älterer Firmware versendet TCP-Keepalive-Pakete ohne gesetzte TCP-Flags, welche vom mGuard deshalb als ungültig verworfen werden. Die aktivierte Funktion erlaubt das Weiterleiten von TCP-Paketen, bei denen keine TCP-Flags im Header gesetzt sind. Dies gilt ausschließlich, wenn solche TCP-Pakete innerhalb einer schon existierenden, regulär aufgebauten TCP-Verbindungen versendet werden. TCP-Pakete ohne TCP-Flags führen nicht zu einem neuen Eintrag in der Verbindungstabelle (siehe „Verbindungs-Verfolgung (Connection Tracking)“ auf Seite 215). Besteht die Verbindung, wenn der mGuard neu gestartet wird, werden entsprechende Pakete weiterhin verworfen und Verbindungsstörungen werden beobachtet, solange keine zu der Verbindung gehörenden Pakete mit Flags gesendet werden. Diese Einstellung wirkt auf alle TCP-Pakete ohne Flags. Eine Aktivierung ist also eine Abschwächung der Sicherheitsfunktion, die der mGuard bietet. |
ICMP via primärem externen Interface für den mGuard ICMP via DMZ für den mGuard
|
Mit dieser Option können Sie das Verhalten beim Empfang von ICMP-Nachrichten beeinflussen, die aus dem externen Netz über das primäre externe Interface an den mGuard gesendet werden. 
Verwerfen: Alle ICMP-Nachrichten zu allen IP-Adressen des mGuards werden verworfen. Annehmen von Ping: Nur Ping-Nachrichten (ICMP Typ 8) zu allen IP-Adressen des mGuards werden akzeptiert. Alle ICMPs annehmen: Alle Typen von ICMP-Nachrichten zu allen IP-Adressen des mGuards werden akzeptiert. |
|
Das GARP VLAN Registration Protocol (GVRP) wird von GVRP-fähigen Switches verwendet, um Konfigurationsinformationen miteinander auszutauschen. Bei aktivierter Funktion können GVRP-Pakete den mGuard im Stealth-Modus passieren. |
||
|
Erlaube Weiterleitung von STP-Paketen |
Das Spanning-Tree Protocol (STP) (802.1d) wird von Bridges und Switches verwendet, um Schleifen in der Verkabelung zu entdecken und zu berücksichtigen. Bei aktivierter Funktion können STP-Pakete den mGuard im Stealth-Modus passieren. |
|
Erlaube Weiterleitung von DHCP-Paketen |
Bei aktivierter Funktion wird dem Client erlaubt, über DHCP eine IP-Adresse zu beziehen - unabhängig von den Firewall-Regeln für ausgehenden Datenverkehr. Werkseitig ist die Funktion aktiviert. |
Dieser Eintrag legt eine Obergrenze fest. Diese ist so gewählt, dass sie bei normalem praktischen Einsatz nie erreicht wird. Bei Angriffen kann sie dagegen leicht erreicht werden, so dass durch die Begrenzung ein zusätzlicher Schutz eingebaut ist. Sollten in Ihrer Betriebsumgebung besondere Anforderungen vorliegen, dann können Sie den Wert erhöhen. Auch vom mGuard aus aufgebaute Verbindungen werden mitgezählt. Deshalb dürfen Sie diesen Wert nicht zu klein wählen, da es sonst zu Fehlfunktionen kommt. |
||
|
SYN ist ein spezielles Datenpaket im TCP/IP-Verbindungsaufbau, das den Anfang des Verbindungsaufbaus markiert. Funktion deaktiviert (Standard): Der mGuard erlaubt auch Verbindungen, deren Anfang er nicht registriert hat. D. h. der mGuard kann bei Bestehen einer Verbindung einen Neustart durchführen, ohne dass die Verbindung abreißt. Funktion akviert: Der mGuard muss das SYN-Paket einer bestehenden Verbindung registriert haben. Sonst baut er die Verbindung ab. Falls der mGuard während des Bestehens einer Verbindung einen Neustart durchführt, wird diese Verbindung getrennt. Damit werden Angriffe auf bestehende Verbindungen und das Entführen bestehender Verbindungen erschwert. |
|
|
Wird eine TCP-Verbindung über den hier angegebenen Zeitraum hinaus nicht verwendet, so werden ihre Verbindungsdaten gelöscht. Eine durch NAT umgeschriebene Verbindung (nicht 1:1-NAT), muss danach erneut aufgebaut werden. Wenn die Funktion „Erlaube TCP-Verbindungen nur mit SYN“ aktiviert wurde, dann müssen alle abgelaufen Verbindungen neu aufgebaut werden. Voreinstellung: 120 Stunden (120:00:00) Die Eingabe kann aus Sekunden [ss], Minuten und Sekunden [mm:ss] oder Stunden, Minuten und Sekunden [hh:mm:ss] bestehen. |
|
|
Timeout für geschlossene TCP-Verbindungen |
Der Timeout gibt an, wie lange der mGuard eine TCP-Verbindung noch offen hält, wenn zwar die eine Seite die Verbindung mit einem „FIN-Paket" beendet, die Gegenstelle dies jedoch noch nicht bestätigt hat. Voreinstellung: 1 Stunde (1:00:00) Die Eingabe kann aus Sekunden [ss], Minuten und Sekunden [mm:ss] oder Stunden, Minuten und Sekunden [hh:mm:ss] bestehen. |
|
Bestehende Verbindungen nach Änderungen an der Firewall zurücksetzen |
Bei aktivierter Funktion (Standard) werden die bestehenden Verbindungen zurückgesetzt, –wenn die Funktion „Erlaube TCP-Verbindungen nur mit SYN“ aktiviert wurde und –wenn die Firewall-Regeln angepasst wurden oder –wenn die Funktion aktiviert wird (auch ohne Änderung der Firewall-Regeln.) Nach einer Änderung der Firewall-Regeln verhält sich der mGuard wie nach einem Neustart, allerdings gilt dies nur für die weitergeleiteten Verbindungen. Bestehende TCP-Verbindungen werden unterbrochen, auch wenn sie nach den neuen Firewall-Regeln erlaubt sind. Verbindungen zum Gerät sind davon nicht betroffen, selbst wenn die Firewall-Regeln für den Remote-Zugriff geändert wurden. Bei inaktivierter Funktion bleiben die Verbindungen bestehen, auch wenn die geänderten Firewall-Regeln diese nicht erlauben oder beenden würden. |
|
FTP |
Wird beim FTP-Protokoll eine ausgehende Verbindung hergestellt, um Daten abzurufen, gibt es zwei Varianten der Datenübertragung: Beim „aktiven FTP“ stellt der angerufene Server im Gegenzug eine zusätzliche Verbindung zum Anrufer her, um auf dieser Verbindung die Daten zu übertragen. Beim „passiven FTP“ baut der Client diese zusätzliche Verbindung zum Server zur Datenübertragung auf. Damit die zusätzlichen Verbindungen von der Firewall durchgelassen werden, muss FTP aktiviert sein (Standard). |
|
IRC |
Ähnlich wie bei FTP: Beim Chatten im Internet per IRC müssen nach aktivem Verbindungsaufbau auch eingehende Verbindungen zugelassen werden, soll das Chatten reibungslos funktionieren. Damit diese von der Firewall durchgelassen werden, muss IRC aktiviert sein (Standard). |
|
Standard: deaktivert Muss aktiviert sein, wenn von lokalen Rechnern ohne Zuhilfenahme des mGuards VPN-Verbindungen mittels PPTP zu externen Rechner aufgebaut werden können sollen.Muss aktiviert sein, wenn GRE-Pakete von intern nach extern weiter geleitet werden müssen. |
|
|
H.323 |
Standard: deaktivert Protokoll, das zum Aufbau von Kommunikationssitzungen mit zwei oder mehr Teilnehmern dient. Wird für audio-visuelle Übertragungen verwendet. Dieses Protokoll ist älter als SIP. |
|
SIP |
Standard: deaktiviert Das SIP (Session Initiation Protocol) dient zum Aufbau von Kommunikationssitzungen mit zwei oder mehr Teilnehmern. Wird häufig bei der IP-Telefonie verwendet. Bei aktivierter Funktion kann der mGuard das SIP verfolgen und dynamisch notwendige Firewall-Regeln einfügen, wenn weitere Kommunikationskanäle zu derselben Sitzung aufgebaut werden. Wenn zusätzlich NAT aktiviert ist, können einer oder mehrere lokal angeschlossene Rechner über den mGuard mit extern erreichbaren Rechnern per SIP kommunizieren. |
7.2Netzwerksicherheit >> DoS-Schutz
Dieses Menü steht nicht auf Geräten der FL MGUARD 2000-Serie zur Verfügung. |
ACHTUNG: Firewall-Einstellung beeinflusst DoS-Schutz Der DoS-Schutz des Geräts steht nicht zur Verfügung, wenn unter Netzwerksicherheit >> Paketfilter >> Eingangsregeln als Allgemeine Firewall-Einstellung „Alle Verbindungen annehmen“ ausgewählt ist (siehe „Eingangsregeln“ auf Seite 193). Um den DoS-Schutz in diesem Fall bereitzustellen, müssen Sie die Allgemeine Firewall-Einstellung „Wende das unten angegebene Regelwerk an“ auswählen und anschließend eine Firewall-Regel erstellen, mit der alle Verbindungen angenommen werden. |
Netzwerksicherheit >> DoS-Schutz >> Flood Protection |
||
|---|---|---|
Maximale Anzahl neuer TCP-Verbindungen (SYN) |
Ausgehend / Eingehend |
Ausgehend: Werkseinstellung: 75 Eingehend: Werkseinstellung: 25 Maximalwerte für die zugelassenen ein- und ausgehenden TCP-Verbindungen pro Sekunde. Sie sind so gewählt, dass sie bei normalem praktischen Einsatz nie erreicht werden. Bei Angriffen können sie dagegen leicht erreicht werden, so dass durch die Begrenzung ein zusätzlicher Schutz eingebaut ist. Sollten in Ihrer Betriebsumgebung besondere Anforderungen vorliegen, dann können Sie die Werte erhöhen. |
Ausgehend / Eingehend |
Ausgehend: Werkseinstellung: 5 Eingehend: Werkseinstellung: 3 Maximalwerte für die zugelassenen ein- und ausgehenden „Ping“-Pakete pro Sekunde. Sie sind so gewählt, dass sie bei normalem praktischen Einsatz nie erreicht werden. Bei Angriffen können sie dagegen leicht erreicht werden, so dass durch die Begrenzung ein zusätzlicher Schutz eingebaut ist. Sollten in Ihrer Betriebsumgebung besondere Anforderungen vorliegen, dann können Sie die Werte erhöhen. Der Wert 0 bewirkt, dass kein „Ping“ Paket durchgelassen bzw. eingelassen wird. |
|
Jeweils maximale Anzahl von ARP-Anfragen und ARP-Antworten (Nur im Netzwerkmodus „Stealth“) |
Ausgehend / Eingehend |
Werkseinstellung: 500 Maximalwerte für die zugelassenen ein- und ausgehenden ARP-Anfragen oder Antworten pro Sekunde. Sie sind so gewählt, dass sie bei normalem praktischen Einsatz nie erreicht werden. Bei Angriffen können sie dagegen leicht erreicht werden, so dass durch die Begrenzung ein zusätzlicher Schutz eingebaut ist. Sollten in Ihrer Betriebsumgebung besondere Anforderungen vorliegen, dann können Sie die Werte erhöhen. |
7.3Netzwerksicherheit >> Benutzerfirewall
Dieses Menü steht nicht auf Geräten der FL MGUARD 2000-Serie zur Verfügung. |
Die Benutzerfirewall ist ausschließlich bei Firewall-Benutzern in Kraft, also bei Benutzern, die sich als Firewall-Benutzer angemeldet haben (siehe „Authentifizierung >> Firewall-Benutzer“ auf Seite 167).
Jedem Firewall-Benutzer kann ein Satz von Firewall-Regeln, ein sogenanntes Template, zugeordnet werden.
Wenn ein Benutzerfirewall-Template oder eine Firewall-Regel eines Templates hinzugefügt, geändert, gelöscht oder deaktiviert wird, sind sofort alle eingeloggten Firewall-Benutzer betroffen.
Bestehende Verbindungen werden unterbrochen. Eine Ausnahme bildet die Änderung von Benutzerfirewall-Regeln, wenn unter „Netzwerksicherheit >> Paketfilter >> Erweitert“ die Funktion „Bestehende Verbindungen nach Änderungen an der Firewall zurücksetzen“ deaktiviert ist. In diesem Fall wird eine Netzwerkverbindung, die aufgrund einer vorher erlaubten Regel besteht, nicht unterbrochen.
Wenn ein Firewall-Regelsatz (Template) deaktiviert wird, werden betroffene eingeloggte Firewall-Benutzer weiter als eingeloggt angezeigt. Die Firewall-Regeln aus dem deaktivierten Template gelten allerdings nicht mehr für sie. Wenn ein Firewall-Regelsatz (Template) deaktiviert und anschließend wieder aktiviert wird, müssen sich betroffene eingeloggte Firewall-Benutzer zunächst ausloggen und dann wieder einloggen, um die Firewall-Regeln aus dem Template erneut für sich zu aktivieren. |
7.3.1Benutzerfirewall-Templates
Hier werden alle definierten Benutzerfirewall-Templates aufgelistet. Ein Template kann aus mehreren Firewall-Regeln bestehen. Ein Template kann mehreren Nutzern zugeordnet sein.
Template neu definieren:
•In
der Tabelle der Templates auf das Icon 
Neue Zeile einfügen klicken, um eine neue
Tabellenzeile hinzuzufügen.
•Auf
das Icon 
Zeile bearbeiten
klicken.
Template bearbeiten:
•In
der gewünschten Zeile auf das Icon 
Zeile bearbeiten klicken.
Netzwerksicherheit >> Benutzerfirewall >> Benutzerfirewall-Templates |
||
|---|---|---|
|
Aktiv |
Aktiviert / deaktiviert das betreffende Template. |
|
Ein beschreibender Name |
Name des Templates. Der Name ist beim Erstellen des Templates festgelegt worden. |
Nach
Klicken auf das Icon |
||
|
||
Optionen |
Sie können das Benutzerfirewall-Template frei benennen bzw. umbenennen. |
|
|
Aktiv |
Bei aktivierter Funktion ist das Benutzerfirewall-Template aktiv, sobald sich Firewall-Benutzer beim mGuard anmelden, die auf der Registerkarte Template Benutzer (s. u.) erfasst sind und denen dieses Template zugeordnet ist. Es spielt keine Rolle, von welchem Rechner und unter welcher IP-Adresse sich ein Benutzer anmeldet. Die Zuordnung Benutzer - Firewall-Regeln erfolgt über die Authentifizierungsdaten, die der Benutzer bei seiner Anmeldung angibt (Benutzername, Passwort). |
|
Kommentar |
Optional: erläuternder Text |
|
Timeout |
Standard: 8 Stunden (8:00:00) Gibt an, wann die Firewall-Regeln außer Kraft gesetzt werden. Dauert die Sitzung des betreffenden Benutzers länger als die hier festgelegte Timeout-Zeit, muss er sich neu anmelden. Die Eingabe kann aus Sekunden [ss], Minuten und Sekunden [mm:ss] oder Stunden, Minuten und Sekunden [hh:mm:ss] bestehen. |
|
Statisch / Dynamisch Bei statischem Timeout werden Benutzer automatisch abgemeldet, sobald die eingestellte Timeout-Zeit verstrichen ist. Bei dynamischem Timeout werden Benutzer automatisch abgemeldet, nachdem die Verbindungen durch den Benutzer geschlossen wurden oder aber auf dem mGuard abgelaufen sind und anschließend die hier eingestellte Timeout-Zeit verstrichen ist. Eine Verbindung gilt auf dem mGuard dann als abgelaufen, wenn über die folgenden Zeiträume hinaus keine Daten mehr für diese Verbindung vorlagen. |
|
|
Ablaufzeitraum der Verbindung nach Nichtbenutzung: –TCP: 5 Tage (Dieser Wert ist einstellbar, siehe „Timeout für aufgebaute TCP-Verbindungen“ auf Seite 215.) Hinzukommen zusätzlich 120 s nach Schließen der Verbindung. (Diese 120 s gelten auch nach dem Schließen durch den Benutzer.) –UDP: 30 s nach Datenverkehr in einer Richtung; 120 s nach Datenverkehr in beide Richtungen –ICMP: 30 s –Andere: 10 min |
|
|
VPN-Verbindung |
Gibt die VPN-Verbindung an, in der diese Benutzerfirewall-Regel gültig ist. Bedingung ist ein bestehender Remote-Zugang durch den VPN-Tunnel auf die Web-Oberfläche. |
Netzwerksicherheit >> Benutzerfirewall >> Benutzerfirewall-Templates >> Editieren > ... |
||
|---|---|---|
Geben Sie die Namen von Benutzern an. Die Namen müssen denen entsprechen, die unter Menü „Authentifizierung >> Firewall-Benutzer“ festgelegt sind (siehe Seite 167). |
||
|
||
Firewall-Regeln für die Benutzerfirewall-Templates. Wenn das Template mit dynamischem Timeout konfiguriert ist, setzen an dieser Stelle zugelassene UDP und andere Netzwerkpakete (außer ICMP) den dynamischen Timeout auf den Ausgangswert zurück. |
||
|
||
|
IP-Adresse, von der aus Verbindungsaufbauten zugelassen werden. Soll es die Adresse sein, von der sich der Benutzer beim mGuard angemeldet hat, sollte der Platzhalter „%authorized_ip“ verwendet werden. 
|
|
|
Protokoll |
Alle bedeutet: TCP, UDP, ICMP, GRE und andere IP-Protokolle. |
|
Von Port / Nach Port (Nur bei den Protokollen TCP und UDP) |
any bezeichnet jeden beliebigen Port. startport:endport (z. B. 110:120) > Portbereich. Einzelne Ports können Sie entweder mit der Port-Nummer oder mit dem entsprechenden Servicenamen angegeben (z. B. 110 für pop3 oder pop3 für 110). Namen von Portgruppen, sofern definiert. Bei Angabe des Namens einer Portgruppe werden die Ports oder Portbereiche berücksichtigt, die unter diesem Namen gespeichert sind (siehe „IP- und Portgruppen“ auf Seite 209). |
|
Nach IP |
0.0.0.0/0 bedeutet alle IP-Adressen. Um einen Bereich anzugeben, benutzen Sie die CIDR-Schreibweise (siehe „CIDR (Classless Inter-Domain Routing)“ auf Seite 34). Namen von IP-Gruppen, sofern definiert. Bei Angabe des Namens einer IP-Gruppe werden die Hostnamen, IP-Adressen, IP-Bereiche oder Netzwerke berücksichtigt, die unter diesem Namen gespeichert sind (siehe „IP- und Portgruppen“ auf Seite 209). 
|
|
Kommentar |
Ein frei wählbarer Kommentar für diese Regel. |
|
Log |
Für jede Firewall-Regel können Sie festlegen, ob bei Greifen der Regel –das Ereignis protokolliert werden soll – Funktion Log aktivieren –oder nicht – Funktion Log deaktivieren (werkseitig voreingestellt). |
