Firewall-Regeln einrichten
Firewall-Regeln in OPNsense erstellen, verstehen und verwalten.
🧠 Schritt 1: Wie Firewall-Regeln funktionieren
Grundprinzipien:
- First Match Wins: Die erste passende Regel wird angewendet
- Top-Down: Regeln werden von oben nach unten geprueft
- Interface-gebunden: Regeln gelten fuer eingehenden Traffic am Interface
- Implicit Deny: Was nicht erlaubt ist, wird blockiert
Wichtig: Eingehend = am Interface ankommend
Regel-Verarbeitung
1. Paket kommt an Interface an
2. Erste Regel wird geprueft
3. Match? → Aktion ausfuehren (Pass/Block)
4. Kein Match? → Naechste Regel pruefen
5. Keine Regel passt? → Implicit Deny (Block)
📖 Schritt 2: Standard-Regeln verstehen
Nach der Installation hat OPNsense diese Default-Regeln:
LAN Interface (Standard)
| ✓ Pass | IPv4+IPv6 | LAN net → any | Alles erlaubt |
WAN Interface (Standard)
| ✗ Block | Private Networks | RFC1918 → any | Spoofing-Schutz |
| ✗ Block | Bogon Networks | Bogons → any | Ungueltige IPs |
| — | Implicit Deny (alles andere blockiert) | ||
Default = Offen nach aussen
➕ Schritt 3: Erste Regel erstellen
Beispiel: HTTP/HTTPS vom LAN erlauben
- Firewall → Rules → LAN
- Klicke auf „+" (Add)
- Fulle die Felder aus:
| Action: | Pass |
| Interface: | LAN |
| Direction: | in |
| TCP/IP Version: | IPv4 |
| Protocol: | TCP |
| Source: | LAN net |
| Destination: | any |
| Destination Port: | HTTP_HTTPS (443, 80) |
| Description: | Allow Web Browsing |
- Klicke „Save"
- Klicke „Apply Changes" (oben)
Regel aktiv
↕️ Schritt 4: Regel-Reihenfolge
Die Reihenfolge ist entscheidend!
❌ Falsche Reihenfolge
- 1. Pass - LAN net → any (ALLES erlaubt)
- 2. Block - LAN net → Malware-IPs
→ Block-Regel wird nie erreicht, weil Regel 1 alles matcht!
✓ Richtige Reihenfolge
- 1. Block - LAN net → Malware-IPs
- 2. Pass - LAN net → any
→ Erst spezifische Blocks, dann allgemeine Erlaubnis
Regeln verschieben:
- Drag & Drop in der Regelliste
- Oder: Regel bearbeiten → Position aendern
- Nach Aenderung: „Apply Changes" nicht vergessen!
🏷️ Schritt 5: Aliase verwenden
Aliase machen Regeln uebersichtlicher und wartbarer:
Alias erstellen:
- Firewall → Aliases
- Klicke auf „+"
- Waehle den Typ:
Host(s)
Einzelne IPs oder Hostnamen
Type: Host(s)
Content: 10.0.1.10, 10.0.1.11
Network(s)
IP-Bereiche / Subnetze
Type: Network(s)
Content: 10.0.0.0/8, 192.168.0.0/16
Port(s)
Port-Nummern oder Bereiche
Type: Port(s)
Content: 80, 443, 8080
URL Table
Externe Blocklisten
Type: URL Table
URL: https://blocklist.example/ips.txt
Aliase in Regeln
📝 Schritt 6: Logging aktivieren
Logs sind essentiell fuer Troubleshooting und Sicherheit:
Pro Regel:
- Regel bearbeiten → „Log packets" aktivieren
- Empfohlen fuer: Block-Regeln, wichtige Pass-Regeln
Logs anzeigen:
- Firewall → Log Files → Live View
- Oder: Firewall → Diagnostics → pfTop (Live-Traffic)
Jan 15 10:23:45 opnsense filterlog: 5,,,block,em0,match,in,4, TCP,192.168.1.100:54321,8.8.8.8:53,S,...
Performance
✨ Schritt 7: Best Practices
1. Deny-by-Default
Loesche die Default „Allow All" Regel auf LAN. Erlaube nur was noetig ist.
2. Beschreibungen nutzen
Jede Regel braucht eine aussagekraeftige Description. In 6 Monaten weisst du sonst nicht mehr warum.
3. Aliase verwenden
Statt IPs in Regeln: Aliase. Aenderungen dann nur an einer Stelle.
4. Regeln gruppieren
Separators nutzen um Regeln zu strukturieren (z.B. „--- Management ---", „--- User Traffic ---").
5. Outbound einschraenken
Auch ausgehenden Traffic filtern. Malware kann sonst ungehindert nach Hause telefonieren.
Nicht aussperren!
🔒 Schritt 8: Beispiel: Sicheres Regelwerk
Ein Beispiel fuer ein restriktiveres LAN-Regelwerk:
LAN Rules (von oben nach unten)
| Action | Source | Dest | Port | Beschreibung |
|---|---|---|---|---|
| Pass | LAN net | LAN address | 443 | Zugriff auf Firewall-GUI |
| Pass | LAN net | LAN address | 53 | DNS via Firewall |
| Block | LAN net | RFC1918 | * | Block andere private Netze |
| Pass | LAN net | any | 80,443 | Web-Browsing |
| Pass | LAN net | any | 993,465 | E-Mail (IMAPS, SMTPS) |
| Block | LAN net | any | * | Block alles andere (Logging!) |
Anpassen!