Firewall-Regeln und Filter: was OPNsense wirklich kann
Regeln bestimmen, wer im Netz wohin darf – auch von innen nach aussen. Filter prüfen, was durchgeht. Was davon im Betrieb wirklich zählt.
Die kurze Antwort: Eine Firewall macht zwei Dinge, die eine gewöhnliche Box vom Internetanbieter nicht macht. Erstens legt sie in Regeln fest, wer im Netz wohin darf — auch von innen nach aussen. Zweitens prüft sie den Datenverkehr inhaltlich, mit Filtern: auf Angriffsmuster, auf bekannte Schadadressen, auf ganze Herkunftsländer, auf Seitenkategorien und auf Viren im Download.
Dass die Box vom Anbieter etwas anderes ist als eine Firewall, steht in Router vom Internetanbieter: reicht das als Schutz?. Hier geht es darum, was die Firewall im Alltag konkret tut.
Regeln: wer darf wohin
Eine Regel ist ein Satz in der Form «von diesem Gerät zu jenem Ziel: erlaubt» oder «gesperrt». Die Firewall arbeitet die Liste von oben nach unten ab, und die erste passende Regel entscheidet. Darum zählt die Reihenfolge, nicht nur der Inhalt.
In der Grundstellung ist von aussen alles zu: Was nicht ausdrücklich erlaubt wurde, kommt nicht herein. Was hinausgeht, wird dagegen durchgelassen — genau das steht so beim Hersteller. Und genau dort liegt der Hebel, den kaum jemand nutzt.
Ein paar Regeln aus dem Betriebsalltag:
- Die Kamera und die Heizungssteuerung dürfen gar nicht ins Internet. Geräte, die niemand mehr aktualisiert, sind der häufigste offene Punkt im Firmennetz.
- Das Kassensystem darf nur zu seinem Zahlungsdienst, sonst nirgendwohin.
- Der Server darf von sich aus keine Verbindung nach draussen aufbauen. Ein Schadprogramm, das dort landet, holt sich sonst als Erstes Nachschub und Befehle.
- Der Rechner in der Werkstatt kommt nicht an die Buchhaltung.
Gruppen und Zeitpläne sparen Arbeit
Zwei Kleinigkeiten, die viel ausmachen: Geräte lassen sich zu Gruppen zusammenfassen — die Regel für «Kameras» schreibt man einmal und hängt später ein Gerät dazu. Und eine Regel kann einen Zeitplan haben, also nur an bestimmten Tagen gelten. Jede Regel kann zudem mitschreiben, wenn sie greift.
Die Filter, die OPNsense mitbringt
Regeln entscheiden nach Absender und Ziel. Filter schauen sich an, was durchgeht. Fünf davon sind im Betrieb wirklich brauchbar — jeder gegen einen anderen Schaden.
1. Angriffserkennung und -abwehr. Der Datenverkehr wird laufend mit Listen bekannter Angriffsmuster verglichen. Zwei Betriebsarten sind möglich: nur melden, oder das verdächtige Paket gleich wegwerfen. Die Musterlisten kommen von mehreren Anbietern und werden nachgeführt. Verhindert im Alltag: dass ein bekannter Angriff auf Ihre Geräte unbemerkt durchgeht.
2. Der Namensfilter — die Seite lädt gar nicht erst. Jeder Aufruf einer Website beginnt mit einer Frage ans Netz: «Welche Adresse hat diese Seite?» Diese Auskunft kann die Firewall selbst geben — oder verweigern. Steht der Name auf einer Sperrliste, kommt keine Antwort, und der Browser lädt nichts. Das wirkt für alle Geräte im Netz, auch fürs Handy und den Drucker, ohne dass dort etwas installiert werden muss.
Fertige Listen gibt es zur Auswahl, eigene lassen sich ergänzen. Gesperrt wird auf Wunsch ein ganzer Namensbereich samt allen Unterseiten; einzelne Ausnahmen sind möglich. Auch die «sichere Suche» der grossen Suchdienste lässt sich damit erzwingen. Verhindert im Alltag: dass der Klick auf den Link in der gefälschten Rechnungsmail zum gefälschten Anmeldeformular führt — die Seite erscheint schlicht nicht.
3. Sperrlisten mit Adressen. Statt einzelner Namen lassen sich ganze Listen bekannter Schadadressen einbinden. Die Firewall holt sie in einem eingestellten Takt selbständig beim Anbieter ab und hält sie aktuell. Sperren lässt sich sogar nach der Stelle, die für einen ganzen Adressbereich verantwortlich ist. Verhindert im Alltag: dass ein Schadprogramm, das schon im Haus ist, seine Steuerzentrale erreicht. Es bleibt stumm.
4. Herkunftssperre nach Ländern. Adressbereiche lassen sich nach Land zusammenfassen und in Regeln verwenden. Wer nur Schweizer Kundschaft hat, muss den Fernzugang nicht der halben Welt offen halten. Dafür braucht es ein Konto beim Datenlieferanten und einen Schlüssel, damit die Länderdatenbank laufend nachgeladen werden kann. Verhindert im Alltag: den täglichen Dauerbeschuss auf Ihre Zugänge aus Weltgegenden, mit denen Sie nie zu tun haben.
5. Web-Filter nach Kategorien. Webseiten sind in Kategorien einsortiert — etwa Schadsoftware, Glücksspiel oder Erotik — und man wählt aus, welche Kategorien gesperrt werden. Die Kategorienliste kommt von einer französischen Universität und ist frei nutzbar. Verhindert im Alltag: ganze Gruppen von Seiten, die im Betrieb nichts zu suchen haben.
Zwei ehrliche Einschränkungen zu den Filtern
Beim letzten Punkt ist die Einschränkung allerdings gross, und sie gehört dazu: Fast jede Seite ist heute verschlüsselt. Die Firewall sieht dann, wohin die Reise geht, aber nicht, was übertragen wird. Um hineinzusehen, müsste sie die Verschlüsselung aufbrechen. Der Hersteller warnt davor ausdrücklich, nennt es eine gefährliche Praxis und rät, Seiten wie das E-Banking zwingend auszunehmen. Wir bauen das darum nur, wenn es wirklich gefordert ist. Für den Normalfall ist der Namensfilter der ruhigere Weg.
Es gibt noch einen sechsten: Downloads lassen sich unterwegs auf Viren durchleuchten, bevor sie beim Mitarbeiter ankommen. Der Hersteller sagt aber selbst dazu, dass das die Geräte nicht schützt — der Virenschutz auf dem Computer bleibt nötig. Für kleine Betriebe ist das darum kein Muss.
Wo jeder Filter aufhört
Kein Filter fängt alles, und wer etwas anderes verspricht, verkauft Ihnen etwas.
- Listen kennen nur, was schon bekannt ist. Was heute neu auftaucht, steht auf keiner Liste.
- Der Hersteller sagt zum frei verfügbaren Angriffs-Regelwerk ausdrücklich, es sei keine vollständige Abdeckung und tauge nicht als einziger Schutz.
- Ein Namensfilter wirkt über den Namen. Was ohne Namen aufgerufen wird, sieht er nicht.
- Filter ersetzen kein Backup. Sie verhindern einen Teil der Fälle. Für den Rest brauchen Sie eine Datensicherung, die funktioniert.
- Eingebaut und vergessen gibt es nicht. Listen, Regeln und Ausnahmen wollen gepflegt sein, sonst blockieren sie irgendwann das Falsche.
Was das bei Ihnen heisst
Nicht jeder Betrieb braucht jeden Filter. In den allermeisten kleinen Firmen bringt schon das Einfachste am meisten: saubere Regeln nach draussen, der Namensfilter und die Angriffserkennung im Melde-Betrieb. Alles Weitere kommt erst, wenn es einen Grund gibt.
Das Gerät gibt es bei uns ab CHF 590.–. Die Einrichtung kommt nach Aufwand dazu, für Firmen CHF 160.– pro Stunde im 15-Minuten-Takt. Wir schauen Ihr Netz vorher an und sagen ehrlich, was nötig ist und was nicht — mehr dazu auf unserer Seite OPNsense Firewall & Netzwerksicherheit oder direkt unter 052 383 23 32.
Gut zu wissen
Sehen Sie damit, was meine Mitarbeitenden im Internet machen?
Nein, und das ist auch nicht der Zweck. Die Firewall hält fest, was blockiert wurde und wann eine Regel gegriffen hat. Es geht dabei um den Störfall — nicht darum, Leute zu beobachten.
Bremst das mein Internet aus?
Jede Prüfung braucht Rechenleistung, das ist ehrlich gesagt so. Deshalb wählen wir das Gerät passend zur Leitung — und schalten nicht jeden Filter ein, nur weil es ihn gibt.
Kann ich diese Filter selber einschalten?
Technisch ja. Der Haken liegt woanders: Bei den Regeln entscheidet die Reihenfolge, und eine zu scharf gestellte Sperrliste blockiert am Montagmorgen den Zahlungsverkehr.
Bringt das auch etwas gegen Erpressungssoftware?
Es hilft an zwei Stellen: Die Seite mit dem Schadprogramm lädt oft gar nicht erst, und ein Programm, das trotzdem drin ist, erreicht seine Gegenstelle nicht. Die Antwort auf den Ernstfall bleibt trotzdem das Backup.
Was davon kann die Box vom Internetanbieter?
Sie lässt von aussen nichts unaufgefordert herein, und das ist nicht nichts. Filter und eigene Regeln nach draussen bringt sie nicht mit — der Vergleich steht in Router vom Internetanbieter: reicht das als Schutz?.
Das könnte Sie interessieren
Bereit für IT, die einfach läuft?
Rufen Sie an oder schreiben Sie uns – wir melden uns mit einer ehrlichen Einschätzung.