Firewall regels met dubbele NAT (router achter router)

[Hofstede]

@Ray308
De laatste regel waarin je alles blokkeert is eigenlijk niet nodig. Want je moet, buiten wat je voor "Alle interfaces" opgeeft, het default gedrag voor elke interface apart definiëren. Als je bijvoorbeeld "LAN" selecteert i.p.v. "Alle interfaces" kun je onderin het scherm aangeven wat de firewall standaard moet doen als aan geen van de voorgaande regels wordt voldaan. Je kunt daar kiezen uit "Toegang toestaan" of  "Toegang blokkeren".

Als je "Toegang blokkeren" kiest geldt dit:
De regels in de firewall worden 1 voor 1 getest, van boven naar beneden. Als 1 van de regels toegang geeft worden de daaropvolgende regels niet meer doorlopen. Is dan ook niet meer nodig want de firewall laat immers de data al door. Je hoeft dus geen blokkeer regels op te geven.

Als je "Toegang toestaan" kiest geldt dit:
De regels in de firewall worden 1 voor 1 getest, van boven naar beneden. Als 1 van de regels toegang blokkeert worden de daaropvolgende regels niet meer doorlopen. Is dan ook niet meer nodig want de firewall blokkeert de data al. Je hoeft dus geen toegang regels op te geven.


Onderstaande komt rechtstreeks uit de DSM help voor de firewall:

Opmerking:
- Met slepen en neerzetten kunt u de regels in de lijst opnieuw rangschikken.
- de prioriteit van de regels wordt bepaald door hun positie in de lijst.


Gedrag van firewellregels
DSM Firewall stemt overeen met regels volgens prioriteit. Zodra een regel overeenstemt, wordt hij geïmplementeerd en zal DSM Firewall hem niet meer afstemmen op resterende regels. Als er geen regels overeenstemmen, zal DSM Firewall de standaardactie uitvoeren die in elke interface is opgegeven.

Prioriteit van firewellregels:
Regels gedefinieerd in "All interface"
Regels gedefinieerd in respectievelijke interfaces waartoe de verbinding behoort
Regels gedefinieerd in respectievelijke interfaces waartoe de verbinding behoort




Zie ook: https://kb.synology.com/nl-nl/DSM/help/DSM/AdminCenter/connection_security_firewall?version=7

[Bobo]

Dit vind ik over toepassen van de regels in de Synology Knowledgebase:

Firewall rule behavior
DSM Firewall will match rules according to priority. Once a rule is matched, it will be enforced and DSM Firewall will not continue matching remaining rules. If there are no rules matched, DSM Firewall will perform the default action specified in each interface.

Lijkt mij ook logisch, want als altijd alles gechecked wordt heeft prioritering van de regels geen/weinig zin.
Doorlopen van de volgende regels is wel logisch als eerdere regels niet van toepassing zijn.
De tellers in voorbeeld van Babylonia zijn dan ook verklaarbaar omdat de eerste echte alle-weigeren-regel helemaal onderaan staat en bovenliggende regels 'passeerbaar' zijn.

Maar om het gezellig te houden zoals Nazgul aangaf:
Ik zat in het verleden op een cursus bij Digital. Ging over netwerk en machtigingen: Authorize, authorize en authorize, maar dat was op de verschillende levels niet hetzelfde! Wij aan de studie. Na paar minuten gaf ik aan het te snappen. Docent verbaasd, zo snel. Leg uit vroeg ie. Ik: "Gewoon mazzel als je binnenkomt, dit valt niet snappen! "

[Briolet]

De evaluatie van Firewall regels gaat door tot aan de laatste firewall regel, ondanks eerdere treffers,
en services die helemaal niet worden aangedaan / of niet actief zijn.

Zie bijgaand voorbeeld van de firewall in de router die de daadwerkelijke treffers weergeeft.
Het stopt niet na de eerste treffer met wat je beschrijft, anders zou je dit resultaat niet krijgen.

Dat resultaat uit je plaatje krijg je gewoon bij het stoppen na de eerste hit.

Ik geef hier even een voorbeeld:

Code: [Selecteer]

....
3: Sta alle poorten uit Nederlend toe
4: Blokkeer alle poorten 80 en 443
...
Wat gebeurd er volgens jou als iemand uit Nederland de website via poort 80 of 443 probeert te bereiken?

Bij regel 3 heb je een treffer en stopt de evaluatie.

Jij beweert echter dat de evaluatie door gaat en dan kom je bij regel 4. Dan krijg je dus weer een hit.

De firewall heeft dan twee tegenstrijdige hits. Regel 3 geeft de instructie om het verkeer door te laten. Regel 4 zegt echter dat het verkeer geblokkeerd moet worden. Wat moet de firewall volgens jou dan doen?

En zeg niet dat dan regel 3 uitgevoerd moet worden, want dan zeg je zelf dat hij bij de eerste hit moet stoppen met evaluatie.

[Babylonia]

      Wat gebeurd er volgens jou als iemand uit Nederland de website via poort 80 of 443 probeert te bereiken?

Dan wordt die op basis van die regel doorgelaten.

      Jij beweert echter dat de evaluatie door gaat en dan kom je bij regel 4. Dan krijg je dus weer een hit.

De werking / evaluatie van firewall regels "erna" gaat inderdaad gewoon door, want er is buiten die data nog veel meer data.
Er stopt dus helemaal niets na die regel.  Alleen die data voor poort 80 of 443 is bij regel 3 al doorgelaten en daarmee buiten beeld.
Levert daarmee dan ook geen extra hit meer op. (Heb ik ook helemaal niet beweert).

Maar datzelfde is toch al eens pakweg  7 jaar geleden  < HIER >  -en- < HIER >  ter sprake geweest?
Met naar ikzelf vond een erg aardig "huiselijk" en praktisch te begrijpen voorbeeld.      

Op wat meer uitgebreide functies na, vooral nu met de Firewall voor een Synology router, is de basis ervan nog steeds altijd hetzelfde.

[hoorna]

Heren @Babylonia en @Briolet, ik raak wat verward -en waarschijnlijk ook anderen- door de discussie van twee experts over de werking van firewall regels. Ik vraag jullie mede namens alle forumgebruikers om helderheid over hoe firewall regels nu precies werken.

Misschien dat het volgende citaat uit het online Synlogy Knowledge Center voor jullie behulpzaam is om ons de gewenste duidelijkheid te geven. Er wordt daar het volgende gesteld over firewallregels in SRM:

"De SRM firewall past regels toe volgens een bepaalde volgorde. Zodra een regel overeenstemt, wordt hij geïmplementeerd en zal SRM firewall hem niet meer afstemmen op resterende regels. U kunt de volgorde van regels wijzigen door belangrijke regels hoger te plaatsen of minder belangrijke regels lager te plaatsen."

[Babylonia]

Meer een interpretatieverschil hoe je dingen beschrijft of je regels "per packet" bekijkt
of meer een algemene beschrijving van alle opgenomen firewall regels in de visualisatie van het begrip.
Waarbij we wellicht hetzelfde bedoelen, maar onhandig Nederlands gebruiken, en dit dan een eigen leven gaat leiden.
Dan mogelijk meer onbegrip naar elkaar gaat opleveren dan begrip.

De dik gedrukte tekst met wat je aanhaalt komt overeen met wat ik hiervoor al schreef:

      Alleen die data voor poort 80 of 443 is bij regel 3 al doorgelaten en daarmee buiten beeld.

Het sluit aan met wat 7 jaar terug ook al is beschreven. Eveneens daarin de volgorde van regels.
(Voorbeelden met rode kersen en groene appels...).

Ik vraag jullie mede namens alle forumgebruikers om helderheid over hoe firewall regels nu precies werken.

Inmiddels ook al weer een wat ouder onderwerp, vanuit de werking van een Synology router.
Maar vergelijkbare basis principes gelden ook voor een NAS, alleen minder diepgaand, en daarbij alleen voor inkomend verkeer.

https://www.synology-forum.nl/synology-router/firewall-instellingen-synology-router-srm-1-2-x/
https://www.synology-forum.nl/synology-router/rt6600ax-router-setup-en-zijn-mogelijkheden/msg312656/#msg312656

Als mensen conflicten daarin tegen komen met wat niet zou kloppen, hoor ik het graag.

[Bobo]

Kort samengevat:
Natuurlijk gaat het telkens over een pakket met data en niet over alle data die het komende uur binnenkomt.
Elk pakket wordt vanaf regel 1 door de firewall gehaald.
Elk volgend pakket begint weer opnieuw bij regel 1.
Zodra een regel voor dat pakket van toepassing is, wordt die regel uitgevoerd.
Daarna stopt voor dat pakket de firewall-controle van de navolgende regels.

[André PE1PQX]

Zie https://kb.synology.com/nl-nl/DSM/help/DSM/AdminCenter/connection_security_firewall?version=7

Ergens onderaan:

Zodra een regel overeenstemt, wordt hij geïmplementeerd en zal DSM Firewall hem niet meer afstemmen op resterende regels. Als er geen regels overeenstemmen, zal DSM Firewall de standaardactie uitvoeren die in elke interface is opgegeven.

Zoals ik het lees:
Zodra een regel overeenkomt stopt verdere evaluatie van die situatie. ("niet meer afstemmen op.....")
De vervolgregels mogen wellicht 'gelezen' worden, maar er wordt niets mee gedaan omdat er al 'een hit' is geweest. Effectief gezien stopt dus verdere evaluatie.

Ik hoop dat de (zinvolle!!!) discussie hiermee een juiste antwoord vind.