Paketfilter

Navigation: Konfiguration > Paketfilter

Die Seite Paketfilter steuert, welcher Netzwerkverkehr beim Durchlaufen der IRF3000 über die gerouteten Layer-3-Schnittstellen zugelassen oder verworfen wird. Sie ist das zentrale Werkzeug zur Durchsetzung der Netzwerksegmentierung und Zugriffskontrolle zwischen den WAN-, LAN-, WWAN- und Docker-Schnittstellen. Der Filter arbeitet mit einem System aus Regelsets, die jeweils bis zu 10 Einzelregeln enthalten können. Regelsets werden von oben nach unten ausgewertet: Trifft eine Regel auf ein Paket zu, wird die konfigurierte Aktion ausgeführt und die Verarbeitung beendet. Wenn kein Regelset oder keine Regel eines zutreffenden Sets greift, wird das Paket standardmäßig verworfen. Dieses Deny-All-Verhalten stellt sicher, dass nur ausdrücklich erlaubter Datenverkehr das Gerät passieren kann. Der Paketfilter arbeitet in Verbindung mit der Seite IP-Konfiguration (der Betriebsmodus muss auf IP-Router eingestellt sein) und ergänzt die Seiten Weiterleitung und 1:1 NAT für erweiterte Verkehrssteuerung. Zur Filterung auf gebridgten (geswitchten) Schnittstellen verwenden Sie die Registerkarte Layer 2.

Voraussetzungen

• Das Gerät muss im IP-Router-Modus betrieben werden. Der Layer-3-Paketfilter ist nur auf gerouteten Schnittstellen aktiv und hat im Transparent-Bridge-Modus keine Wirkung. Den Betriebsmodus konfigurieren Sie auf der Seite IP-Konfiguration.
• Planen Sie Ihre Sicherheitsrichtlinie, bevor Sie Regeln erstellen. Legen Sie fest, welche Datenflüsse zwischen den Schnittstellen zugelassen und welche blockiert werden sollen.
• Wenn Netzwerkgruppen oder Hardwaregruppen als Quell- oder Zielkriterien verwendet werden, definieren Sie diese auf den entsprechenden Konfigurationsseiten, bevor Sie sie in Paketfilterregeln referenzieren.

Einstellungen

Paketfilter Layer 3

Der Layer-3-Paketfilter kann alle das Gerät durchlaufenden Datenpakete zwischen gerouteten Netzwerkschnittstellen filtern.

Der Filter ist in Regelsets organisiert. Jedes Regelset wird durch einen Namen, eine Quellschnittstelle und eine Zielschnittstelle definiert. Innerhalb eines Regelsets legen einzelne Regeln detaillierte Filterkriterien wie Protokoll, IP-Adressen und Ports sowie die bei einem Treffer auszuführende Aktion fest.

Regelsets

Der Hauptbereich der Seite zeigt alle konfigurierten Regelsets in ihrer Auswertungsreihenfolge an. Jedes Regelset zeigt seinen Namen, die Anzahl der enthaltenen Regeln und eine kurze Beschreibung. Die Reihenfolge kann über die Pfeil-Schaltflächen geändert, ein Regelset über das Zahnrad-Symbol bearbeitet oder über das Papierkorb-Symbol gelöscht werden. Die Reihenfolge der Regelsets ist entscheidend: Pakete werden anhand ihrer Quell- und Zielschnittstelle von oben nach unten gegen die Regelsets abgeglichen.

Pakete durchlaufen den Paketfilter von oben nach unten. Treffen Quell- und Zielschnittstelle eines Regelsets auf das Paket zu, werden die untergeordneten Regeln des Sets der Reihe nach durchlaufen, bis eine Regel zutrifft. Die Verarbeitung endet bei der ersten zutreffenden Regel mit der dort definierten Aktion. Trifft keine Regel des Sets zu, wird das Paket mit dem nächsten Regelset abgeglichen. Trifft kein Regelset oder keine Regel der zutreffenden Sets zu, wird das Paket verworfen.

Neues Regelset hinzufügen

Klicken Sie auf die Schaltfläche +, um ein neues Regelset zu erstellen. Ein neues Regelset erfordert einen Namen, eine Quellschnittstelle und eine Zielschnittstelle. Nach der Erstellung können einzelne Regeln hinzugefügt werden, um Filterkriterien und Aktionen zu definieren.

Regelsets für folgende Schnittstellen anzeigen

Filtert die angezeigten Regelsets nach Quell- und Zielschnittstelle. Verwenden Sie die Dropdowns from und to, um bestimmte Schnittstellen auszuwählen, oder belassen Sie beide auf *, um alle Regelsets anzuzeigen. Dieser Filter wirkt sich nur auf die Anzeige aus und ändert nicht die aktive Konfiguration.

ACHTUNG

Die Standardrichtlinie ist, allen Datenverkehr zu verwerfen, der keiner Regel entspricht. Stellen Sie beim Erstellen einer neuen Konfiguration sicher, dass alle erforderlichen Datenflüsse ausdrücklich erlaubt sind, bevor Sie die Einstellungen übernehmen. Das Übernehmen eines unvollständigen Regelsatzes kann zum sofortigen Verlust der Netzwerkverbindung führen — einschließlich des Fernzugriffs auf das Gerät.

Sicherheit

Befolgen Sie das Prinzip der minimalen Rechtevergabe: Erlauben Sie nur die für Ihre Anwendung benötigten Protokolle, Ports und Adressbereiche und verweigern Sie alles andere. Vermeiden Sie pauschale „Alles erlauben"-Regelsets im Produktivbetrieb. Überprüfen Sie Regelsets regelmäßig, um veraltete Einträge zu entfernen und sicherzustellen, dass keine unbeabsichtigten Zugriffspfade bestehen. Gemäß IEC 62443 sollte der Datenverkehr zwischen Netzwerkzonen auf das für den Anlagenbetrieb erforderliche Minimum beschränkt werden, um die Angriffsfläche zu reduzieren.

Regelset-Assistent

Ein Klick auf die Schaltfläche + oder das Bearbeiten-Symbol eines bestehenden Regelsets öffnet einen mehrstufigen Assistenten zum Definieren von Regelsets und Regeln. Der Assistent führt durch alle Konfigurationsoptionen; welche Schritte angezeigt werden, hängt vom gewählten Protokoll und Verbindungskontrollmodus ab. Das folgende Diagramm zeigt alle möglichen Pfade durch den Layer-3-Regelset-Assistenten.

Regelset auswählen oder erstellen

Wählen Sie ein vordefiniertes Regelset aus oder erstellen Sie ein neues. Vordefinierte Regelsets (Allow_L3, Block_L3, ICMP_L3, Log_L3) bieten gängige Ausgangskonfigurationen. Vordefinierte Regelsets können nach dem Kopieren über die Schaltfläche Kopieren angepasst werden. Ein Regelset kann bis zu 10 Filterregeln enthalten. Bereits aktive Regelsets sind ausgegraut und können nicht erneut ausgewählt werden.

Name des neuen Regelsets

Wenn Neues Regelset definieren ausgewählt ist, geben Sie einen eindeutigen Namen für das neue Regelset ein.

Regelset-Übersicht

Zeigt alle Regeln des aktuellen Regelsets an. Von hier aus können Regeln hinzugefügt, bearbeitet, umsortiert oder gelöscht werden. Die Schnittstellenauswahl am oberen Rand legt fest, für welche Quell- und Zielschnittstellen dieses Regelset gilt.

Übersicht des Regelsets

Der Name des Regelsets. Bei benutzerdefinierten Regelsets ist dieses Feld bearbeitbar.

Eingehende Schnittstelle

Die Netzwerkschnittstelle, auf der eingehende Pakete abgeglichen werden. Wählen Sie eine bestimmte Schnittstelle oder * für alle Schnittstellen.

Ausgehende Schnittstelle

Die Netzwerkschnittstelle, auf der ausgehende Pakete abgeglichen werden. Wählen Sie eine bestimmte Schnittstelle oder * für alle Schnittstellen.

IP-Adressen und Protokoll

Legen Sie die Quell- und Ziel-IP-Adressen fest und wählen Sie das IP-Protokoll für diese Regel.

Quell-IP-Adresse/Maske

Die abzugleichende Quell-IP-Adresse und Subnetzmaske. Leer lassen oder * verwenden, um jede Quelladresse abzugleichen. Geben Sie eine IP-Adresse mit Subnetzmaske ein, um einen Netzbereich abzugleichen (z. B. 192.168.1.0 / 255.255.255.0).

Netzwerkgruppen verwenden

Wenn aktiviert, wählen Sie eine vordefinierte Netzwerkgruppe aus, statt eine IP-Adresse manuell einzugeben. Netzwerkgruppen werden auf der Seite Netzwerkgruppen definiert.

Ziel-IP-Adresse/Maske

Die abzugleichende Ziel-IP-Adresse und Subnetzmaske. Gleiches Format wie die Quelladresse.

IP-Protokoll

Das abzugleichende IP-Protokoll. Verfügbare Optionen: * (beliebig), TCP, UDP, ICMP, IPv6, GRE, ESP, AH, IPIP, ENCAP, Other. Das gewählte Protokoll bestimmt, welche zusätzlichen Optionen im nächsten Schritt des Assistenten erscheinen.

Protokolloptionen — TCP/UDP-Ports

Dieser Schritt erscheint, wenn TCP oder UDP als IP-Protokoll ausgewählt ist.

Quellport

Der abzugleichende Quellport. * für alle Ports verwenden. Geben Sie eine einzelne Portnummer (z. B. 80) oder einen Bereich mit Doppelpunkt ein (z. B. 1024:65535 für alle Ports über 1023).

Zielport

Der abzugleichende Zielport. Gleiches Format wie der Quellport. Gängige Werte: 80 (HTTP), 443 (HTTPS), 22 (SSH), 502 (Modbus TCP).

Protokolloptionen — ICMP-Typ

Dieser Schritt erscheint, wenn ICMP als IP-Protokoll ausgewählt ist. Wählen Sie den abzugleichenden ICMP-Nachrichtentyp. Die häufigsten Typen sind echo-request (Ping) und echo-reply (Ping-Antwort).

Verbindungskontrolle

Dieser Schritt erscheint bei TCP- und UDP-Regeln. Er bestimmt, wie die Firewall den Rückverkehr (Antwortpakete) für Verbindungen behandelt, die dieser Regel entsprechen.

Verbindungskontrolle

Wählen Sie den Verbindungsverfolgungsmodus:

• Auto — Erzeugt automatisch die erforderliche Regel für den Sitzungsverkehr in Gegenrichtung. Dies ist die empfohlene Einstellung für die meisten Anwendungsfälle.
• Stateless (nur TCP) — Ermöglicht im nächsten Schritt die Prüfung einzelner TCP-Header-Flags (SYN, ACK, FIN, RST, URG, PSH). Eine separate Regel für die entgegengesetzte Verkehrsrichtung muss manuell erstellt werden.
• Stateful — Der zustandsbehaftete Filter merkt sich den Verbindungszustand. Die Verbindungszustandsparameter (New, Established, Related, Invalid) können im nächsten Schritt konfiguriert werden. Eine separate zustandsbehaftete Regel für die Gegenrichtung muss manuell erstellt werden.
• Manual — Vollständig manuelle Steuerung ohne Verbindungszustandsverfolgung.

STATE-Einstellungen — Stateless (TCP-Flags)

Dieser Schritt erscheint, wenn für eine TCP-Regel die Verbindungskontrolle Stateless ausgewählt ist. Er ermöglicht den Abgleich einzelner TCP-Header-Flags zur Bestimmung des Verbindungszustands.

Für jedes TCP-Flag (SYN, ACK, FIN, RST, URG, PSH) stehen zwei Optionen zur Verfügung:

zu prüfen

Wenn aktiviert, wird dieses Flag in die Abgleichkriterien einbezogen.

aktivieren (Bit ist gesetzt)

Wenn zusammen mit „zu prüfen" aktiviert, muss das Flag im Paket gesetzt sein. Wenn nur „zu prüfen" aktiviert ist, „aktivieren" jedoch nicht, muss das Flag gelöscht (nicht gesetzt) sein.

STATE-Einstellungen — Stateful (Verbindungszustände)

Dieser Schritt erscheint, wenn die Verbindungskontrolle Stateful ausgewählt ist. Wählen Sie, welche Verbindungszustände diese Regel abgleichen soll:

• State new — Gleicht Pakete ab, die eine neue Verbindung aufbauen.
• State established — Gleicht Pakete ab, die zu einer bereits bestehenden Verbindung gehören.
• State related — Gleicht Pakete ab, die mit einer bestehenden Verbindung in Zusammenhang stehen (z. B. FTP-Datenkanal).
• State invalid — Gleicht Pakete ab, die zu keiner bekannten Verbindung gehören.

I/O-Signale

Erlauben oder verwerfen Sie Pakete abhängig vom Zustand der Ein-/Ausgangssignale des Geräts. Damit lassen sich Filterregeln von physikalischen Signalbedingungen abhängig machen — beispielsweise Datenverkehr nur dann zulassen, wenn ein Hardware-Schlüsselschalter in einer bestimmten Position steht.

Für jedes Signal (CUT, VPN KEY, VPN UP) stehen zwei Optionen zur Verfügung:

Signal prüfen

Wenn aktiviert, wird der Signalzustand in die Abgleichkriterien der Regel einbezogen.

Signal high

Wenn zusammen mit „Signal prüfen" aktiviert, muss das Signal auf hohem Spannungspegel liegen. Wenn nur „Signal prüfen" aktiviert ist, „Signal high" jedoch nicht, muss das Signal aus sein (keine Spannung).

Aktion und Regelname

Legen Sie fest, was geschieht, wenn ein Paket allen Kriterien dieser Regel entspricht.

Aktion

Wählen Sie die auszuführende Aktion:

• Allow — Das Paket wird weitergeleitet.
• Drop — Das Paket wird verworfen (ohne Rückmeldung).
• Reject — Das Paket wird verworfen und eine ICMP-Fehlermeldung an den Absender gesendet. Der Ablehnungsgrund kann konfiguriert werden (z. B. net-unreachable, host-unreachable, port-unreachable).
• Cut + Drop — Die Netzwerkverbindung wird auf Hardwareebene getrennt und das Paket verworfen.
• Cut + Allow — Die Netzwerkverbindung wird auf Hardwareebene getrennt und das Paket weitergeleitet.
• Inactive — Die Regel wird gespeichert, aber nicht auf den Datenverkehr angewendet.

Ablehnungsgrund

Nur verfügbar, wenn Reject ausgewählt ist. Bestimmt die an den Absender zurückgesendete ICMP-Fehlermeldung: net-unreachable, host-unreachable, port-unreachable, proto-unreachable, net-prohibited oder host-prohibited.

Log

Wenn aktiviert, wird für jedes dieser Regel entsprechende Paket ein Protokolleintrag erstellt.

Audit

Wenn aktiviert, werden dieser Regel entsprechende Pakete im Audit-Log protokolliert. Die Audit-Protokollierung ist auf ein Paket pro Minute begrenzt und protokolliert nur IPv4-Quelle, -Ziel und -Protokoll.

Alarm

Wenn aktiviert, wird bei einem Regeltreffer der Alarmausgang ausgelöst.

Max. Pakete/s

Begrenzt die maximale Anzahl der von dieser Regel pro Sekunde verarbeiteten Pakete. Leer lassen für keine Ratenbegrenzung.

Regelname

Ein eindeutiger Name zur Identifizierung dieser Regel innerhalb des Regelsets.

Regelset-Beschreibung

Geben Sie eine optionale Beschreibung für das Regelset ein. Dieser Text dient nur zu Dokumentationszwecken und beeinflusst die Paketfilterung nicht.

Regelset-Aktivität

Konfigurieren Sie die zeitgesteuerte Aktivierung des Regelsets. Wenn die Aktivitätsbegrenzung aktiviert ist, ist das Regelset nur innerhalb des angegebenen Zeitfensters und an den ausgewählten Wochentagen aktiv. Außerhalb des konfigurierten Zeitplans ist das Regelset inaktiv und seine Regeln werden nicht auf den Datenverkehr angewendet.

Aktivität begrenzen

Wenn aktiviert, wird das Regelset auf das konfigurierte Zeitfenster und die konfigurierten Tage beschränkt.

Von / Bis

Die Start- und Endzeit des Aktivitätsfensters (24-Stunden-Format, z. B. 08:00 – 17:00).

Mo – So

Wählen Sie die Wochentage, an denen das Regelset aktiv sein soll.