Die Firewall des Windows Server 2008 - Teil 4 Firewall-Regeln und IPSec-Authentifizierung für expliziten Traffic

Wie wir in den ersten drei Praxisartikeln dieser Serie erfahren haben, bietet die erweiterte Firewall im Windows Server 2008 weitaus mehr Funktionen und Konfigurationsmöglichkeiten. In diesem Teil unserer Artikelreihe widmen wir uns dem Einstellen von Regeln für einen bestimmten Datenverkehr und die mögliche IPSec-Authentifizierung zwischen Kommunikationspartnern.

Anbieter zum Thema

Moxa Europe GmbH

Mimecast Germany GmbH

Specops Software GmbH

Die Firewall des Windows Servers 2008 erlaubt eine feingranulare Einstellung der Firewall-Regeln. Nach der Selektion des Profils im Server Manager und darunter im Eintrag zur „Windows Firewall with Advanced Security“ kann der Administrator unter „Settings“ | „Customize“ (Einstellungen | Anpassen) diese Feineinstellung vornehmen. Hier sind nun die weiteren Konfigurationen für das jeweils gewählte Profil einzustellen.

Unter dem Bereich der „Firewalleinstellungen“ ist festzulegen, ob das System eine Nachricht generieren soll, wenn eine eingehende Verbindung durch die Firewall geblockt wird. Die Voreinstellung dabei ist „Nein“.

Dies sollte man auch so beibehalten. Ansonsten werden unzählige Meldungen generiert, die natürlich nur dann sinnvoll sind, wenn sie auch ausgewertet werden. Eine Änderung an dieser Einstellung ist anzuraten, wenn der Verdacht auf einen Angriff besteht.

Multicast erhöht Netzwerklast

Die Option unter „Unicast response” (Unicastantwort) bestimmt, ob auf Unicast- und auch Multicast-Anfragen reagiert werden sollte oder diese zu blockieren sind. Diese Option steht standardmäßig auf „Ja“. Damit antwortet der Server auf Unicast-Anfragen aus dem Netzwerk.

Wenn allerdings in einer Systemumgebung keine Multi- oder Unicast-Kommunikation stattfindet, sollte auch dieser Eintrag verneint werden. Dabei gilt es zu beachten, dass ältere Applikationen häufig mittels NetBIOS über TCP/IP operierten und daher Multi- oder Unicast-Kommunikation benötigen.

Die letzte Option in dieser Konfigurationsmaske schließlich bezieht sich auf die Verknüpfung von Regeln mittels der Group Policies. Neben diesen, hier erwähnten, Dialog-gestützten Einstellungen der Firewall-Parameter besteht ferner die Konfiguration über die Gruppenrichtlinien.

Durch die Schalter des „Rule Merging“ wird bestimmt, wie die Geräte verfahren sollen, wenn Firewall-Richtlinien lokal konfiguriert sind, aber auch durch die Gruppenrichtlinien zugewiesen werden. Standardmäßig werden beiden Richtliniensätze nach den Regeln der Gruppenrichtlinien miteinander kombiniert.

Unter Logging (Protokollierung) ist der Pfad der Logdatei und deren Größe anzugeben. Ferner ist hier zu bestimmen, ob „Verworfene Pakete“ und „Erfolgreiche Verbindungen“ protokolliert werden sollen. Um insbesondere in der Anfangsphase keine Log-Informationen zu verlieren, sollte diese Datei groß genug gewählt werden.

Seite 2: IPSec sichert die Kommunikation ab

IPSec sichert die Kommunikation ab

Der vierte Reiter schließlich beschäftigt sich mit der Konfiguration von IPsec und deren Einstellungen. IPSec erhöht damit die Sicherheitsanforderungen für die beteiligten Kommunikationspartner.

Hierbei kann bestimmt werden, dass sich die Kommunikationspartner gegenseitig authentifizieren müssen, bevor eine Kommunikation stattfinden kann. Eine weitere mögliche Sicherheitseinstellung ist die Verschlüsselung der Kommunikation, auch diese lässt sich an dieser Stelle einrichten.

Die erweiterten Einstellungen, so wie oben beschrieben, finden sich analog für alle drei Profiltypen. Damit lassen sich für jedes der drei Profile eigene Konfigurationen vornehmen.

Policies bündeln Firewall-Regeln

Das gesamte Regelwerk der Firewall, mit den drei Profilen, bildet gemeinsam eine Policy. Eine Policy eines Rechners kann durch die Optionen des Kontextmenüs der Firewall exportiert oder auch importiert werden. Dieses ermöglicht den Austausch der Regeln zwischen den Systemen. Abgelegt werden die Policies in einer Datei mit der Erweiterung .WFW.

Damit ist die Standardeinstellung abgeschlossen und wir wenden uns den speziellen Regeln zu. Diese bestimmen im Detail die erlaubten oder verbotenen Kommunikationswege.

Um den Datenverkehr zu erlauben stehen im Windows Server 2008 mehrere Regeltypen zur Wahl. Der generelle Aufbau der Regeln kennt immer zwei Kommunikationspartner und das überwachte Kommunikationsobjekt. Hierbei unterscheidet der Windows Server nach Ports, Applikationen, Diensten (Service) und weiteren spezifischen Kriterien.

Bei der Definition der Regeln sollte man aber eines beachten: Der Einstellung „Outbound connection that do not match a rule are allowed” in der Übersichtsmaske mit den drei Profilen liegt ein anderes Konzept zugrunde, als es bei netzwerkbasierten Firewalls meist vorzufinden ist. Hierbei wird meist umgekehrt verfahren.

Nur der explizit erlaubte Datenverkehr sollte dabei erlaubt sein. Existiert hingegen keine Regel, die den Datenverkehr explizit erlaubt oder blockiert, so wird dann die Kommunikation meist unterbunden. Die Firewall des Windows Server verfährt also gerade nach dem umgekehrten Prinzip.

In folgenden letzen Teil diese Reihe widmen wir uns den Attributen der Regeln.

(ID:2017006)