Firewall-Konfiguration

Nach Abschluss der Grundkonfiguration lohnt ein Blick unter "Firewalls / Rules / LAN", denn dort hat OPNSense automatisch drei Firewall-Regeln erzeugt. Die erste "Anti Lockout Rule" sorgt dafür, dass der Zugriff auf die Web-GUI immer möglich bleibt und Sie sich nicht durch eine andere Regel versehentlich aus dem System aussperren. Die zweite und dritte Regel erlauben den Zugriff per IPv4 und IPv6 in alle Netze und für alle Dienste. Mit dieser Default-Einstellung haben also alle an die Firewall angeschlossenen Netze uneingeschränkten Zugriff auf alle Dienste und Netze und damit auch auf das Internet. Die dafür erforderliche NAT-Konfiguration nimmt OPNSense ebenfalls selbständig vor: Unter "Firewall / NAT / Outbound" ist der Modus "Automatic outbound NAT rule generation" aktiv.

Bild 2: Durch die Einbindung der kostenfreien DROP- und EDROP-Listen von Spamhaus unterbindet OPNSense jegliche Kommunikation mit IP-Netzwerken, die bekanntermaßen für kriminelle Zwecke genutzt werden

Der Vorteil dieser offenen Konfiguration ist, dass der Internet-Zugriff sofort funktioniert und alle Dienste korrekt arbeiten. Ein wichtiges Paradigma für die Konfiguration von Firewalls lautet allerdings "Alles, was nicht explizit erlaubt wurde, ist verboten". So sollte beispielsweise ausschließlich dem internen Mailserver gestattet werden, per SMTP in Richtung Internet zu kommunizieren. Die Gefahr ist ansonsten einfach zu groß, dass sich Malware im Netz diese Freizügigkeit zu Nutze macht und vertrauliche Informationen ins Internet überträgt oder gar die eigene Firewall zur Spamschleuder macht. Sie sollten sich also in jedem Fall Gedanken über ein eigenes Regelwerk machen und die Default-Regeln abschalten. Aktive Firewall-Regeln erkennen Sie an dem vorangestellten grünen Pfeil. Durch Klick auf den Pfeil lassen sich Regeln komfortabel deaktivieren und aktivieren, zum Editieren einer Regel verwenden Sie das Stiftsymbol. Kommt in Ihrem Netzwerk kein IPv6 zum Einsatz, können Sie die vorhandene IPv6-Regel also problemlos deaktivieren.

Zeit sparen mit Aliasen

Unter Aliasen versteht OPNSense eine Liste von Netzwerken, Hosts oder Ports und Diensten. So können Sie beispielsweise die IP-Adressen sämtlicher Drucker, Clients oder Server im Netzwerk unter je einem Aliasnamen zusammenfassen, sprechende Namen für einzelne Hosts vergeben (zum Beispiel "AdminWorkstation"), Port-Ranges definieren oder - mit einem Alias vom Typ "URL Table (IPs)" – sogar automatisch Listen mit IP-Adressen von einem externen Server beziehen (Bild 1). Mit Hilfe von Aliasen lässt sich die Anzahl der benötigten Firewall-Regeln drastisch reduzieren, was für wesentlich mehr Übersichtlichkeit im Regelwerk sorgt. Die unter "Firewall / Aliases / View" definierten Aliase können Sie später in allen Dialogen mit Source-/Destination-Angabe wie zum Beispiel Firewall- oder NAT-Regeln verwenden.