Die Firewall

Ziel

Die Firewall trennt drei Netzbereiche voneinander: das Schulungsnetz (WAN), die DMZ und das interne LAN. Sie übernimmt gleichzeitig die Aufgaben eines Routers, eines DHCP-Servers für das LAN und kontrolliert den gesamten Netzverkehr zwischen den Zonen.

Netzplan

Interface	Zone	Netz	IP Firewall
enp0s3	external	192.168.HS.0/24 (Schulungsnetz)	192.168.HS.2XX
enp0s8	dmz	10.88.2XX.0/24	10.88.2XX.1
enp0s9	internal	172.26.2XX.0/24	172.26.2XX.1

Feste IP-Adressen

System	Netz	IP	Dienste
fw.it2XX.int	WAN/DMZ/LAN	siehe oben	firewalld, Kea DHCP
ns.it2XX.int	DMZ	10.88.2XX.21	BIND9 (DNS)
http.it2XX.int	DMZ	10.88.2XX.11	Apache
ldap.it2XX.int	DMZ	10.88.2XX.31	OpenLDAP
client.it2XX.int	LAN	per DHCP	Ansible Control Node

Dienste auf der Firewall

firewalld: Zonenverwaltung, Paketfilterung, Masquerading
Kea DHCP4: IP-Vergabe für das LAN (172.26.2XX.0/24)

Regelwerk

Von	Nach	Erlaubt	Gesperrt
LAN	WAN	alles	—
LAN	DMZ	alles (SSH für Ansible, DNS, HTTP ...)	—
DMZ	WAN	alles	—
WAN	DMZ	UDP+TCP/53 nur auf ns, TCP/80+443 nur auf http	alles andere
WAN	LAN	—	alles
DMZ	LAN	—	alles

LAN ist vertrauenswürdig: Aus dem internen Netz darf alles raus – sowohl ins WAN als auch in die DMZ. So kann Ansible von client.it2XX.int per SSH alle DMZ-Maschinen erreichen.
WAN → DMZ gezielt: Aus dem Internet kommen nur die Dienste rein, die wirklich öffentlich sein sollen – und nur auf die jeweilige Ziel-IP. Dafür werden Rich Rules verwendet.
DMZ → LAN gesperrt: LDAP liegt jetzt in der DMZ – kein Grund mehr für Verbindungen aus der DMZ ins LAN.

Umsetzung

Netzwerkkonfiguration

enp0s3 (WAN)

Die WAN-Verbindung bekommt eine feste IP. Da die Connection bereits existiert, wird sie per mod angepasst.

nmcli con mod enp0s3 ipv4.method manual ipv4.addresses 192.168.HS.2XX/24 ipv4.gateway 192.168.HS.254 ipv4.dns 192.168.HS.88
nmcli con up enp0s3

Tabula Rasa

Rocky legt für neue Interfaces automatisch Connections mit generischen Namen an – diese werden gelöscht

nmcli con delete "Wired connection 1"
nmcli con delete "Wired connection 2"

enp0s8 (DMZ)

Neue Connection mit explizitem Namen – kein Gateway, kein DNS nötig

nmcli con add type ethernet ifname enp0s8 con-name enp0s8 ipv4.method manual ipv4.addresses 10.88.2XX.1/24
nmcli con up enp0s8

enp0s9 (LAN)

Das LAN-Interface wird Gateway für alle internen Clients

nmcli con add type ethernet ifname enp0s9 con-name enp0s9 ipv4.method manual ipv4.addresses 172.26.2XX.1/24
nmcli con up enp0s9

Zonen über NetworkManager setzen

Der saubere Weg: NetworkManager teilt firewalld mit welche Zone ein Interface bekommt – reproduzierbar auch nach Reboot

nmcli con mod enp0s3 connection.zone external
nmcli con mod enp0s8 connection.zone dmz
nmcli con mod enp0s9 connection.zone internal
nmcli con up enp0s3
nmcli con up enp0s8
nmcli con up enp0s9

IP-Forwarding aktivieren

Ohne IP-Forwarding leitet der Kernel keine Pakete zwischen den Interfaces weiter – die Firewall wäre kein Router

echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-forwarding.conf
sysctl -p /etc/sysctl.d/99-forwarding.conf

firewalld

Installation und Start

firewalld ist auf Rocky meist vorinstalliert, zur Sicherheit

dnf install -y firewalld
systemctl enable --now firewalld

Policies für inter-zone Forwarding

In modernem firewalld regeln Policies den Verkehr zwischen Zonen – nicht die Zonen selbst. Ohne Policy wird Forwarding zwischen Zonen standardmäßig geblockt.

LAN → WAN: Clients kommen ins Internet, Masquerading ersetzt die private Quell-IP

firewall-cmd --permanent --new-policy lan-to-wan
firewall-cmd --permanent --policy lan-to-wan --add-ingress-zone internal
firewall-cmd --permanent --policy lan-to-wan --add-egress-zone external
firewall-cmd --permanent --policy lan-to-wan --set-target ACCEPT
firewall-cmd --permanent --policy lan-to-wan --add-masquerade

DMZ → WAN: DMZ-Server kommen ins Internet, ebenfalls mit Masquerading

firewall-cmd --permanent --new-policy dmz-to-wan
firewall-cmd --permanent --policy dmz-to-wan --add-ingress-zone dmz
firewall-cmd --permanent --policy dmz-to-wan --add-egress-zone external
firewall-cmd --permanent --policy dmz-to-wan --set-target ACCEPT
firewall-cmd --permanent --policy dmz-to-wan --add-masquerade

LAN → DMZ: Ansible und andere interne Zugriffe auf DMZ-Server

firewall-cmd --permanent --new-policy lan-to-dmz
firewall-cmd --permanent --policy lan-to-dmz --add-ingress-zone internal
firewall-cmd --permanent --policy lan-to-dmz --add-egress-zone dmz
firewall-cmd --permanent --policy lan-to-dmz --set-target ACCEPT

WAN → DMZ: nur gezielt per Rich Rule

DNS auf ns.it2XX.int (10.88.2XX.21)

firewall-cmd --permanent --zone=dmz --add-rich-rule='rule family="ipv4" destination address="10.88.2XX.21" service name="dns" accept'

HTTP und HTTPS auf http.it2XX.int (10.88.2XX.11)

firewall-cmd --permanent --zone=dmz --add-rich-rule='rule family="ipv4" destination address="10.88.2XX.11" service name="http" accept'
firewall-cmd --permanent --zone=dmz --add-rich-rule='rule family="ipv4" destination address="10.88.2XX.11" service name="https" accept'

ICMP überall erlauben

Ping wird in allen Zonen und Policies freigeschaltet – erleichtert die Fehlersuche im Labor

firewall-cmd --permanent --zone=external --add-protocol=icmp
firewall-cmd --permanent --zone=dmz --add-protocol=icmp
firewall-cmd --permanent --zone=internal --add-protocol=icmp
firewall-cmd --permanent --policy lan-to-wan --add-protocol=icmp
firewall-cmd --permanent --policy dmz-to-wan --add-protocol=icmp
firewall-cmd --permanent --policy lan-to-dmz --add-protocol=icmp

Konfiguration laden

firewall-cmd --reload

Kontrolle

firewall-cmd --list-all --zone=external
firewall-cmd --list-all --zone=dmz
firewall-cmd --list-all --zone=internal
firewall-cmd --info-policy lan-to-wan
firewall-cmd --info-policy dmz-to-wan
firewall-cmd --info-policy lan-to-dmz

Kea DHCP4 für das LAN

Installation

dnf install -y kea

Konfiguration

Kea lauscht nur auf enp0s9 (LAN) und verteilt IPs im Bereich .100–.200.

vim /etc/kea/kea-dhcp4.conf

{
  "Dhcp4": {
    "interfaces-config": {
      "interfaces": [ "enp0s9" ]
    },
    "lease-database": {
      "type": "memfile",
      "persist": true,
      "name": "/var/lib/kea/kea-leases4.csv"
    },
    "valid-lifetime": 3600,
    "subnet4": [
      {
        "id": 1,
        "subnet": "172.26.2XX.0/24",
        "pools": [ { "pool": "172.26.2XX.100 - 172.26.2XX.200" } ],
        "option-data": [
          { "name": "routers", "data": "172.26.2XX.1" },
          { "name": "domain-name-servers", "data": "10.88.2XX.21" },
          { "name": "domain-name", "data": "it2XX.int" }
        ]
      }
    ]
  }
}

Start

systemctl enable --now kea-dhcp4

Kontrolle

ss -lnup | grep 67
systemctl status kea-dhcp4
journalctl -fu kea-dhcp4
cat /var/lib/kea/kea-leases4.csv

Rocky fw

Inhaltsverzeichnis

Die Firewall

Ziel

Netzplan

Feste IP-Adressen

Dienste auf der Firewall

Regelwerk

Umsetzung

Netzwerkkonfiguration

enp0s3 (WAN)

Tabula Rasa

enp0s8 (DMZ)

enp0s9 (LAN)

Zonen über NetworkManager setzen

IP-Forwarding aktivieren

firewalld

Installation und Start

Policies für inter-zone Forwarding

WAN → DMZ: nur gezielt per Rich Rule

ICMP überall erlauben

Konfiguration laden

Kontrolle

Kea DHCP4 für das LAN

Installation

Konfiguration

Start

Kontrolle

Navigationsmenü

Suche