Zuerst einmal ganz vielen Dank an Naichbindas der seinen Samstag Abend geopfert hat, um mir die prinzipielle Funktionsweise der ZBF zu erläutern und mich langsam an das Thema heranzuführen. Ich hoffe ich werde in meinen Ausführungen Deinem Opfer gerecht. 
Wir benötigen für die Einrichtung der Zonebased Firewall – im Folgenden der Einfachheit halber ZBF genannt – mindestens ein Admin-Gerät. Dies dürfte im Normalfall ein PC sein, der sich üblicherweise im Home-Netzwerk befindet und über eine feste IP-Adresse verfügt.
Hierzu begeben wir uns unter Settings/Overview und scrollen nach unten, bis wir im Bereich „Network Lists“ ankommen. Dort erstellen wir eine Liste der von uns gewünschten Admin-Geräte anhand derer IP-Adressen – in meinem Fall heißt diese Liste „Devices | Admin devices“.
Da wir uns gerade in diesem Bereich aufhalten, erstellen wir geich noch einige andere „Network Lists“ mit dem folgenden Inhalt:
- „GW | Interface ports“ : Eine Liste der Ports, die Zugriff auf die Management-Oberfläche des Unifi-Gateways zulassen, dies sind die Ports 80 (http) und 443 (https) für die GUI sowie 22 (ssh) für das CLI.
- „GW | All except VLAN10“ : Hier kommen die IP-Adressen aller Gateways, außer dem des VLAN 10 rein.
- „GW | All except VLAN20“ : Hier kommen die IP-Adressen aller Gateways, außer dem des VLAN 20 rein.
- „GW | All except VLAN30“ : Hier kommen die IP-Adressen aller Gateways, außer dem des VLAN 30 rein.
- „GW | All except VLAN40“ : Hier kommen die IP-Adressen aller Gateways, außer dem des VLAN 40 rein.
Damit haben wir diesen Bereich vorerst abgeschlossen und können uns unserer ersten ZBF-Regel zuwenden.
Hierzu wenden wir uns dem Bereich „Settings/Zones“ zu und wählen „Internal/Internal“ aus. Ein Klick auf „Create Policy“ und wir legen los:
Unsere Regel bekommt den Namen „Admin devices habe general access“ und soll dafür Sorgen, dass unsere zuvor ausgewählten Admin-Geräte auf alle Netze innerhalb der Zone „Internal/Internal“ zugreifen dürfen, selbst wenn wir hier die Kommunikation zwischen den Netzen in den folgenden Schritten einschränken werden.
Nachdem wir unsere erste Regel nun erstellt haben, speichern wir sie ab und nutzen die "Reorder" Funktion unter den Regeln dazu, sie in der Reihenfolge ganz nach oben zu bewegen. Dies ist wichtig, da nach wie vor gilt, dass die Regeln in der Reihenfolge von oben nach unten abgearbeitet werden und eine Allow-Regel, die erst nach einer Block-Regel folgt, somit keine Funktion mehr hat.
Im nächsten Schritt wählen wir nun den Bereich "Internal/Gateway" aus und erstellen hier eine weitere Regel. "Admin devices allowed to GW interfaces" soll sicherstellen, dass wir auf das Interface unseres Gateways mit unseren Admin-Geräten zugreifen können und sieht so aus:
Auch diese Regel befördern wir nach Fertigstellung in der Reihenfolge innerhalb von "Internal/Gateway" ganz nach oben.
Damit haben wir zuerst einmal sichergestellt, dass wir uns nicht von unserem eigenen Gateway aussperren, bevor wir im Folgenden einige Block-Regeln erstellen.
Da wir uns gerade im Bereich "Internal/Gateway" befinden, erstellen wir hier einige Regeln, die dafür sorgen, dass sich die einzelnen VLANs nur an das jeweils eigene Gateway wenden dürfen - zum Beispiel zwecks DNS und DHCP - darüber hinaus jedoch die im VLAN befindlichen Nicht-Admin-Geräte keinen Zugriff auf die Management-Oberfläche des Gateways bekommen.
Mit dieser ersten Block-Regel verbieten wir dem VLAN10 dem Zugriff auf die Gateways der übrigen Netze.
Und gleich im Anschluss blockieren wir für VLAN10 den Zugriff auf das eigene Management-Interface - denn dort sollen ja nur die Admin-Geräte zugreifen dürfen.
Je nach Anzahl unserer VLANs wiederholen wir diesen Schritt nun für die weiteren Netze aus der Internal-Zone. Bei mir sieht das dann wie folgt aus:
Falls ihr euch wundert, weshalb das VLAN30 hier nicht mit auftaucht: dabei handelt es sich um mein Gäste-Netzwerk, welches sich in einer eigenen Zone (Hotspot) befindet.
Wir bringen die erstellten Regeln sofern nötig in eine sinnvolle Reihenfolge, die bei mir dermaßen ausschaut:
Mein VLAN40 bringt aufgrund einiger besonderer Anforderungen die "Isolated Networks" Regel mit, die bei euch im Normalfall nicht auftauchen sollte.
Mit dieser Aktion sind wir im Bereich "Internal/Gateway" fertig und wechseln zurück nach "Internal/Internal". Aufgrund der dort herrschenden "Allow all" Regel ist die Kommunikation der in dieser Zone befindlichen Netze untereinander ja prinzipiell erst einmal erlaubt und das möchten wir gerne ändern.
Wir beginnen mit einer Regel, die es VLAN10 untersagt, auf andere Netze als das eigene in der Zone Internal zuzugreifen:
Hiermit ist sichergestellt, dass keines der in VLAN10 befindlichen Geräte - mit Ausnahme unserer Admin-Geräte natürlich - einfach so in andere Netze aus "Internal" darf.
Da wir aber alle Netze in dieser Zone voneinander abschirmen möchten, erstellen wir flott noch weitere Regeln für diese anderen VLANs.
Auch nach Erstellung dieser Regeln bitte noch einmal die Reihenfolge überprüfen, hier das Beispiel aus meinem Setup:
Wie man hier wieder schön sehen kann: Admin-Geräte dürfen auf alles zugreifen - diese Regel hat Vorrang vor dem Verbot der einzelnen VLANs, miteinander zu kommunizieren.
Und damit sind wir am Ende unseres Teiles angelangt. Im nächsten Schritt beschäftigen wir uns dann mit der Einrichtung und Behandlung weiterer Zonen.
Jegliche hier beschriebenen Schritte erfolgen ausnahmslos in eigener Verantwortung des Durchführenden. Eltern haften für ihre Kinder.
Comments 1