Firewall
Firewall Einstellungen sind ein Mittel, um das System vor Netzwerkangriffen zu schützen. Eingehende Ports, die Sie nicht benötigen, sollten blockiert werden. Besser ist es jedoch, Dienste, die diese Ports öffnen, nicht zu starten. Die nötigen Einstellungen bedingen eine mit allen Beteiligten abgestimmte Übersicht der genutzten Ports.
Mit einer Firewall können die sie durchlaufenden Netzwerkpakete gefiltert werden. Je nach Firewall‑Technologie lassen sich Filterregeln auf Basis von Adresse, Port, Zustand der Kommunikationsbeziehung, Inhalt des Pakets und vielem mehr formulieren. Firewalls sind damit ein Werkzeug, um die Angriffsoberfläche zu verkleinern.
Eine Firewall kann als zusätzlich installierte Software, als Teil des Betriebssystems oder als eigenständiges Gerät eingesetzt werden. Jede dieser Formen hat Vor- und Nachteile. Eine hostbasierte Firewall ermöglicht die Absicherung direkt auf dem System, während eine externe Firewall den Netzwerkverkehr zentral filtern kann.
Firewalls mit Deep-Packet-Inspection, die auch die Nutzdaten der Datenpakete auswerten, können den Inhalt von verschlüsselten Verbindungen prinzipiell nicht einsehen. Um dennoch den Inhalt verarbeiten zu können, wird beispielsweise häufig die Verschlüsselung für Webanwendungen an der Firewall terminiert und die Daten für den Client neu verschlüsselt. Hierdurch sind der Firewall die Inhalte sichtbar, aber die Ende-zu-Ende-Verschlüsselung ist unterbrochen.
Restriktive, explizite Einstellungen für die Kommunikation über eine Firewall sind eine wichtige Maßnahme, um Netzwerkzugriffe nur im notwendigen Umfang zuzulassen.
Unter Wichtige TCP/UDP-Ports befindet sich eine Liste von TCP/UDP-Ports, die typischerweise berücksichtigt werden müssen, um eine Firewall zu konfigurieren.
Unter Beckhoff RT Linux® erfolgt die Paketfilterung über netfilter mit nftables. Damit lassen sich Regeln für eingehende, ausgehende und weitergeleitete Netzwerkverbindungen definieren.
Die aktuell aktive Firewall-Konfiguration kann mit sudo nft list ruleset angezeigt werden. Auch wenn die Standarddatei /etc/nftables.conf auf dem System vorhanden ist, wird sie auf diesem nicht als primäre Konfigurationsdatei verwendet. Maßgeblich ist die durch den nftables-Dienst geladene Datei /etc/nftables-bhf.conf, welche weitere Regeldateien aus /etc/nftables.conf.d/ einbindet. Dadurch ist eine modulare und besser wartbare Struktur der Firewall-Regeln möglich.
Für die Konfiguration müssen Sie sicherstellen, dass nur die für den Betrieb tatsächlich benötigten Verbindungen freigegeben werden. Nicht benötigte Ports und Dienste sollten Sie deaktivieren oder durch entsprechende Filterregeln sperren. Falls sichere und unsichere Kommunikationsvarianten zur Verfügung stehen, sollten Sie nach Möglichkeit nur die sicheren Varianten freigeben.
Änderungen an der Firewall-Konfiguration sollten Sie nach der Inbetriebnahme und nach Software-Updates erneut prüfen, um unbeabsichtigte Freigaben oder blockierte Kommunikationsbeziehungen zu vermeiden.