volgorde firewall regels

[Briolet]

2. Koop alleen appels uit Israël

Strikt genomen bestaat het equivalent van "alleen" niet op de nas. Om exact dit in te stellen heb je op de nas twee regels nodig:

2a. Koop appels uit Israël
2b. Koop geen appels.

Zo heb ik ook meerdere van mijn regels opgebouwd.

[spikehome]

Firewall werkt simpel.
Eerst alles regels erin die je wilt.
De laatste blokkeert alles.

Zolang het mag word er naar de volgende regel gekeken.
Zodra iets niet mag stopt het.

[Briolet]

Zolang het mag word er naar de volgende regel gekeken.

Mensen snappen er toch blijkbaar minder van dan ik dacht. Als het mag (of beter: als een treffer is), wordt er niet naar een volgende gekeken, maar stopt de evaluatie. Het mag namelijk al (of juist niet), dus is er geen reden om verder te kijken.

Kijk naar mijn voorbeeld 2a hierboven. Als 2a klopt, wordt er niet eens meer naar 2b gekeken.

[Babylonia]

Ik gebruik regels juist ook wel eens andersom

2a. Koop geen appels uit Israël, Frankrijk en Spanje
2b. Koop appels.

Praktisch gezien komen de appels dan overal vandaan, behalve uit de drie genoemde landen

[Pippin]

Het fruit is voor mij moeilijk te verteren dus voor een NAS geldt:

In de firewall onder Regels bewerken vindt men rechtsboven een drop-down menu waar de interfaces staan.

Een LAN poort is een interface.

Een Bond is een interface.
Indien er een Bond is gemaakt van LAN poorten verschijnt deze in het drop-down menu als Bond 1.
De LAN poorten die voor een Bond zijn gebruikt verdwijnen uit het drop-down menu.

Indien er gebruik gemaakt wordt van VPN verschijnt deze ook in het drop-down menu.

In het drop-down menu vindt men ook Alle interfaces, dat betekent precies wat er staat.

Er kunnen er meer staan/tevoorschijn komen afhankelijk van configuratie, werking is hetzelfde wat dat betreft.


Wat belangrijk is om te weten/begrijpen is dat de firewall`s default chain policy ACCEPT (Toestaan) is.
Dit houd in dat er dus eerst regels gemaakt moeten worden van wat men specifiek wil blokkeren/toestaan om als laatste alles te blokkeren.
Blokkeren doet men onderaan het scherm van de specifieke interfaces, Indien niet voldaan wordt aan de regels: Toegang weigeren.


De volgorde die wordt afgewerkt door de firewall met betrekking tot interfaces:
1. Regels op Alle interfaces.
2. Regels op LAN poorten op volgorde, eerst LAN 1 dan LAN 2, etc.
2a. Regels op Bonds op volgorde, eerst Bond 1 dan Bond 2.
3. Regels op VPN.

Regels worden van boven naar beneden gelezen.
Als een regel treft stop de verwerking van volgende regels (technisch niet helemaal correct maar voor de werking wel).
Regels gelden uitsluitend voor inkomend verkeer en doorgaand verkeer.
Voor uitgaand verkeer kunnen geen regels gemaakt worden.

[Babylonia]

Als aanvullende opmerking op:

Regels gelden uitsluitend voor inkomend verkeer en doorgaand verkeer.
Voor uitgaand verkeer kunnen geen regels gemaakt worden.

Dat geldt alleen voor een Firewall zoals gebruikt in de NAS (en door de meeste mensen op dit forum als zodanig bedoeld als in te stellen Firewall).

Het onderwerp staat in dit geval specifiek onder de rubriek "netwerk algemeen".
Mocht je de Firewall opties van een Synology router willen instellen, kun je tevens ook uitgaand verkeer regelen. (Extra kolom met "Doel-IP").
Gelden niet de aparte interfaces voor VPN, LAN1, LAN2 of een bond. Maar in dat geval verschil tussen IPv4 en IPv6 (of beiden).
En heb je onderaan nog wat extra opties m.b.t. IPv4 en IPv6 in relatie tot verkeer "tot" de router of er voorbij (indien port forwarders ingesteld).

Bij een NAS "kun je" de aparte interfaces gebruiken, maar doorgaans voor de meeste gebruikte regels is het niet noodzakelijk om dat te doen.
Voor het overzicht heb ik dat zelf bijv. allemaal onder "Alle interfaces" ondergebracht. Ook die van VPN. Sluit het meer aan met de Firewall zoals gebruikt in de router. (Bij de NAS gebruik ik slechts één LAN-poort van de twee).

[Pippin]

Mijn vorige post geldt inderdaad voor een NAS, had ik moeten vermelden.
@André PE1PQX heeft volgens zijn handtekening geen Synology router.


Waar men de regels neerzet, Alle interfaces of de individuele interfaces (LAN/Bond/VPN).

Omwille van correctheid, begrip van de werking en efficiëntie in de zin van CPU last maak ik alleen regels op individuele interfaces want regels op Alle interfaces schrijft daadwerkelijk alle regels op LAN/Bond/VPN.
Nu kun je je voorstellen dat een regel voor het VPN niets te zoeken heeft op LAN/Bond. Andersom is natuurlijk ook zo.

Mijn advies zou dus zijn, zet de regels daar waar ze nodig zijn.

[André PE1PQX]

Ik heb i.d.d. geen Syno router.

[Babylonia]

@André PE1PQX heeft volgens zijn handtekening geen Synology router.

Maar mogelijk andere gebruikers die het forum en het onderwerp lezen wel.  Daar zijn die berichten toch ook voor bedoeld?
Het is een algemene kennisbank "voor iedereen".

[spikehome]

Nou ik heb diverse firewall's gedraaid
Altijd eerst alle regels erin die je toestaat en dan block regels.

Verstuurd vanaf mijn Nexus 7 met Tapatalk

[Briolet]

Dat is echt geen regel dat je eerste moet toestaan.

Probeer maar eens de SMTP poort voor de hele wereld open te zetten met uitzondering van China. Dan zul je toch eerst een blockregel moeten toepassen en daarna pas een toestaan regel.

Als je dat doet met toestaan als eerste, kan dat, maar je moet dan eerst alle IP blokken in de wereld uitpluizen die niet in China liggen. Het kan, maar eerst blokken dat je wilt uitsluiten is dan echt een stuk simpeler.

[Pippin]

Een veel simpeler voorbeeld:
Denk je dat dat werkt met deze regels?