Beschreibung:

In einigen Szenarien ist es erforderlich den Datenverkehr vor dem Einsatz der Unified Firewall in einem Netzwerk zu beobachten. Dies kann durch die Verwendung einer transparenten Bridge realisiert werden.

In diesem Artikel wird beschrieben, wie eine  LANCOM R&S®Unified Firewall im Bridge Mode betrieben werden kann.

Im transparenten Bridge Mode stehen nur die UTM-Features IDS/IPS und Application-Management zur Verfügung. Die restlichen UTM-Features können nicht verwendet werden!



Voraussetzungen:


Szenario:



Vorgehensweise:

1. Einrichtung des Bridge-Modus auf der Unified Firewall:

1.1 Öffnen Sie die Konfiguration der Unified Firewall im Browser, wechseln in das Menü Netzwerk → Verbindungen → DNS-Einstellungen.

1.2 Passen Sie folgende Parameter an und klicken auf Speichern.

Optional können Sie auch einen 2. Nameserver hinterlegen.

1.3 Wechseln Sie in das Menü Netzwerk → Verbindungen → Netzwerk-Verbindungen und löschen mit einem Klick auf das "Mülltonnen-Symbol" zwei nicht verwendete Verbindungen, damit zwei Ethernet-Ports für eine Bridge zur Verfügung stehen (in diesem Beispiel eth1 und eth2).

1.4 Wechseln Sie in das Menü Netzwerk → Interfaces → Bridge Interfaces und klicken auf das "Plus-Zeichen", um ein Bridge Interface zu erstellen.

1.5 Fügen Sie bei Ports die in Schritt 1.3 frei gewordenen Ethernet-Ports hinzu und klicken auf Erstellen (in diesem Beispiel eth1 und eth2).

1.6 Wechseln Sie in das Menü Netzwerk → Verbindungen → Netzwerk-Verbindungen und klicken auf das "Plus-Zeichen", um eine neue Verbindung anzulegen.

1.7 Passen Sie folgende Parameter an:

1.8 Wechsel Sie in den Reiter WAN, passen die folgenden Parameter an und klicken auf Erstellen:

1.9 Klicken Sie auf das Symbol zum Erstellen eines Internet-Objektes.

1.10 Passen Sie folgende Parameter an und klicken auf Erstellen:

1.11 Klicken Sie auf das Symbol zum Erstellen eines Netzwerks.

1.12 Passen Sie folgende Parameter an und klicken auf Erstellen:

1.13 Klicken Sie auf Aktivieren, damit die vorgenommenen Änderungen von der Unified Firewall umgesetzt werden.



2. Protokollierung und Auswertung des Datenverkehrs:

Es gibt verschiedene Möglichkeiten die Pakete mitzuprotokollieren und anschließend auszuwerten. Im Folgenden werden zwei unterschiedliche Ansätze beschrieben ("Deny All" und "Allow All"). 

Weiterhin können folgende UTM-Funktionen konfiguriert werden:


2.1 Jeglicher Datenverkehr wird geblockt (Deny All):

Da ab Werk alle Pakete verworfen werden (Deny All Strategie), muss keine separate Firewall-Regel erstellt werden.

Dieser Modus eignet sich nur, um den Datenverkehr für einen kurzen Zeitraum zu überprüfen, da keine Kommunikation möglich ist.

2.1.1 Wechseln Sie in das Menü Monitoring & Statistiken → Einstellungen. 

2.1.2 Wählen Sie bei den folgenden Optionen jeweils Rohdaten lokal speichern aus, damit die blockierten Pakete im Detail protokolliert werden. Klicken Sie anschließend auf Speichern.

Die Rohdaten werden auf der Festplatte der Unified Firewall gespeichert. Dies kann dazu führen, dass die Speicherkapazität der Festplatte vollständig belegt wird. Daher darf die Option Rohdaten lokal speichern nicht dauerhaft aktiv sein!

2.1.3 Wechseln Sie in das Menü Monitoring & Statistiken → Protokolle → Alarmprotokoll. 

2.1.4 Wählen Sie im Feld Weitere Filter den Filter Category: Connection Blocked aus, damit die von der Unified Firewall blockierten Pakete angezeigt werden.

Sollen nur durch die Funktion IDS/IPS erfasste / blockierte Pakete angezeigt werden, muss der Filter Category: IDPS verwendet werden.


2.2 Jeglicher Datenverkehr wird zugelassen (Allow All):

Damit alle Pakete zugelassen werden, muss ein Objekt erstellt werden, welches für alle Ports und Protokolle gilt. Anschließend kann dieses in einer Firewall-Regel verwendet werden.

Dieser Modus kann längerfristig verwendet werden, da die Kommunikation vollständig erlaubt wird.

2.2.1 Wechseln Sie in das Menü Desktop → Dienste → Benutzerdef. Dienste und klicken auf das "Plus-Zeichen", um einen neuen benutzerdefinierten Dienst zu erstellen.

2.2.2 Vergeben Sie bei Name einen aussagekräftigen Namen und klicken auf das "Plus-Zeichen" bei Ports und Protokolle, um zur Port- und Protokoll-Auswahl zu gelangen.

2.2.3 Hinterlegen Sie die Ports von 1 - 65535 und setzen die Haken bei TCP und UDP. Klicken Sie anschließend auf OK.

2.2.4 Fügen Sie weiterhin die Protokolle ICMP,  AH und ESP sowie GRE hinzu. 

    

2.2.5 Klicken Sie auf Erstellen, um den benutzerdefinierten Dienst anzulegen.

2.2.6 Klicken Sie auf dem Desktop auf das in Schritt 1.12 erstellte Netzwerk-Objekt (in diesem Beispiel LAN), wählen das Verbindungswerkzeug aus und klicken auf das in Schritt 1.10 erstellte Internet-Objekt (in diesem Beispiel WAN-Bridge).  

2.2.7 Fügen Sie den in Schritt 2.2.2 - 2.2.5 erstellten benutzerdefinierten Dienst hinzu.

2.2.8 Klicken Sie unter Aktion dreimal auf den grünen Pfeil, damit dieser zu einem beidseitigen Pfeil wird und die Kommunikation in beide Richtungen erlaubt wird.

2.2.9 Klicken Sie unter Optionen auf NAT, um weitergehende Einstellungen anzupassen.

2.2.10 Setzen Sie das NAT / Masquerading auf Aus, damit der Datenverkehr transparent übertragen wird. 

2.2.11 Klicken Sie anschließend auf Erstellen.

2.2.12 Klicken Sie auf Aktivieren, um die vorgenommenen Änderungen umzusetzen.

2.2.13 Wechseln Sie in das Menü Monitoring & Statistiken.

2.2.14 Wählen Sie bei Web-Zugriff zugelassen die Option Rohdaten lokal speichern aus, um den erlaubten Datenverkehr im Detail zu protokollieren.

Die Rohdaten werden auf der Festplatte der Unified Firewall gespeichert. Dies kann dazu führen, dass die Speicherkapazität der Festplatte vollständig belegt wird. Daher darf die Option Rohdaten lokal speichern nicht dauerhaft aktiv sein!

2.2.15 Wechseln Sie in das Menü Monitoring & Statistiken → Protokolle → Alarmprotokoll. 

2.2.16 Wählen Sie im Feld Weitere Filter den Filter Category: Connection Finished aus, damit die von der Unified Firewall übertragenen Pakete angezeigt werden.