Sophos Firewall Grundregel

[owl2010]

Ich bin gerade dabei meine Sophos XG Firewall einzurichten und zu optimieren.
Bei den Firewall-Regeln würde ich erst einmal nur eine "Grundregel" definieren und dann schauen, was ich evtl. noch hinzufügen muss/sollte.
Bei der Grundregel LAN to WAN würde ich erstmal nur die folgenden Dienste freischalten:
HTTP, HTTPS
FTP
DNS
POP/IMAP
SMTP

Wie seht ihr das? Könnte man so arbeiten, dass diese Dienste generell freigeschaltet sind und alles weitere dann halt benutzerdefiniert.

 

[chr1zZo]

Ehm! 1. Es gibt Schulungen, falls du Sophos Partnert bist 2. Man sollte schon wissen was man da macht 3. Desktop oder 19" oder Cloud / Server ?

 

[owl2010]

Bin kein Sophos Partner. Nutze die Firewall für mich privat.
19"

 

[chr1zZo]

Du kannst die Grundregeln einstellen, und solltest dann definieren was du brauchst. Wobei es da ja auch fertige Listen gibt wie z.B. Steam oder so.

 

[owl2010]

Ok...aber der "Grundregel" muss ich jetzt nicht nochmal explizit Ports definieren der einzelnen Dienste - da kann ich alle Ports as default nehmen oder?

 

[RalphS]

Kann man so machen, ja. Hat aber natürlich das Problem, daß es arg pauschal ist.

Es gibt durchaus Tutorials für sinnvolle und grundsätzlich sichere Firewallkonfigurationen, die man dann natürlich anpassen und gemäß dem eigenen Bedarf weniger restriktiv gestalten kann/muß.

Wichtiger ist ein Verständnis, was da passiert. Nicht bös gemeint, aber das lese ich derzeit nicht raus.

Daher, erstmal belesen.

 

[madmax2010]

Ok, du hast dir eine Hardwarefirewall nach hause gestellt.
Was genau erhoffst du dir davon und was gennau ist dein Ziel? Warrum genau diese? Wenn wir das besser verstehen koennen wir auch gerichteter helfen. Bei den aktuellenn anforderungen tut es auch die Windows Firewall // PF auf einem Raspi

Welches Modell hast du genau?

 

[owl2010]

Die Hardware-Firewall habe ich geschenkt bekommen, da diese ausgemustert wurde. Es ist eine Sophos XG135.
Mein Ziel ist es, einfach mehr über Firewalls und deren Einrichtung zu erfahren. Es ist also alles eher ein Testbetrieb und es steht jetzt nicht sicherheitsrelevantes dahinter....

 

[minimii]

Naja die XG kann auch virtuell sein.

dein Ansatz ist schonmal nicht ganz falsch.
Anstatt „any any any“ was definieren.

du wirst allerdings noch einiges Nachpflegen müssen...ICMP beispielsweise...irgendwelche exotischen Ports oder Ranges...

ausserdem ist die Frage wo du ansetzt.

• Ziel nach Quelle ?
• nur Ziel ?
• Applikations gebunden ?
• Auf Portbasis ?
• Zonen
• etc

nicht umsonst gibt es da Dienstleister für, die da jahrelange Erfahrungen haben

schau dir erstmal im Netz mal Grundlagen an.
Sophos oder Fortinet haben da auch frei verfügbare Ressourcen.

Ergänzung (5. April 2021)

Die Hardware-Firewall habe ich geschenkt bekommen, da diese ausgemustert wurde. Es ist eine Sophos XG135.
Mein Ziel ist es, einfach mehr über Firewalls und deren Einrichtung zu erfahren. Es ist also alles eher ein Testbetrieb und es steht jetzt nicht sicherheitsrelevantes dahinter....

Okay
Dann hat das Ding eh keinen Service ?
Sprich: reines perimeter firewalling (google 😅)
Da du für alles andere keine Updates bekommen wirst. (AV, application und web filtering, IPS etc)

da kannst (übertrieben ausgedrückt) für zuhause besser ne pfsense nehmen.
Da kannste zumindest einige Features mehr nutzen...und ist frei für privat ne coole Sache

zumindest zum spielen und rein zu kommen ist die Sophos natürlich schick

edit: ich hasse meine Handy Tastatur 😅

 

[nosti]

Für gewöhnlich hat man erstmal eine Defaultregel, ala „allow anything from LAN to WAN“.
Aktiviere darauf mal das logging, dann siehst du schonmal was alles nach draußen geht. Vergiss nicht eine NAT Regel für den Outbound Traffic zu erstellen und zu aktivieren.
Inbound Regeln werden nach Bedarf gesetzt, für den Anfang kommst du wohl ohne zurecht.

Es handelt sich bestimmt um eine Rev. 2 oder Rev.1 Hardware, deswegen wurde die womöglich auch außer Betrieb genommen.

Gibt es für die XG auch noch die Home Use Lizenzen wie für die SG? Sonst ist die Nutzung stark eingeschränkt. Auf Sophos Hardware kann man aber oft z.B. pfSense betreiben

Grüße

 

[owl2010]

Also ich würde so ansetzen, dass ich erstmal meinem LAN erlaube ins Internet zu gehen über die anfangs erwähnten Dienste. Sollten Anwendungen mehr verlangen, so würde ich dass dann nachpflegen. In der Sophos ist ja werkseitig die any-any Regel aktiv so wäre meine Firewall ja komplett offen. Daher möchte ich schon vorab ein paar Türen wieder schließen. Aber Grundbedürfnisse, wie das Surfen und eMail sollten per se schon gehen.

 

[minimii]

Achja, an den Te: machst du das auch nur aus Interesse oder bist du in der IT unterwegs ?
@nosti ja die gibts tatsächlich noch.

https://www.sophos.com/de-de/products/free-tools/sophos-xg-firewall-home-edition.aspx

 

[dauerbrutzler]

Für HTTP/HTTPS ist ein Proxy in der XG.
Für SMTP/POP/IMAP ist ein Proxy in der XG
Für DNS verwendet man die XG als Relay

Die einzige default Regel, die Sinn macht und vermutlich schon da ist, ist ein Drop als letzte Regel.
Danach siehst du, was dagegenprasselt und gibst das frei, was du freigeben willst.
Viel Spaß, wenn du das erste Spiel startest

 

[owl2010]

Diese NAT-Regel habe ich erstellt:

 

[nosti]

@Minime9191 vielen Dank. Die Lizenz sollte sich @owl2010 auch mal ansehen.

Die NAT Regel würde ich nicht zusätzlich auf Dienste einschränken. Das machst du an genau einer Stelle über das FW Regelwerk, sonst musst du immer mehrere Sachen anpassen. Auch solltest du die IP Addresse der Anfragen auf die public IP der Firewall übersetzen lassen. Private Adressen werden im Internet nämlich nicht geroutet.

Grüße

 

[owl2010]

Also erstelle ich nur eine generelle NAT-Regel und lasse die dann immer so bestehen?

 

[minimii]

Richtig.
Es sei denn du möchtest irgendwas an Quell/Ziel IP bzw Port ändern.

ansonsten maskierst du alles mit dieser NAT Regel.

NAT hat nur indirekt was mit den FW oder anderen Policies zu tun

 

[owl2010]

Aber anders gefragt: Brauche ich überhaupt eine NAT-Regel?
Wie müsste denn dann die allgemeine NAT-Regel ausschauen?

Ergänzung (5. April 2021)

Kann einer vielleicht gute Tutorials empfehlen, wo ich mich einlesen kann oder youtube-Videos?

 

[nosti]

Wie sind denn deine Kenntnisse zu Fähigkeiten zum Thema Netzwerk?
es gibt eine ganze Reihe guter Materialien, auch die Hersteller bieten oft gute Sachen an, jedoch sind diese mit Vorkenntnissen wesentlich besser zu verstehen. Tutorials gibt es ebenso, aber dafür sollte man wissen, was man eigentlich erreichen möchte. Das Thema Netzwerk ist dermaßen umfangreich dass du schnell den Überblick verlieren wirst.

Du solltest dir ein konkretes Ziel setzen und nicht einfach wild drauf los bauen.
Skizziere doch mal dein Heimnetzwerk mit der Sophos und poste es hier. Da ist ja womöglich noch der Router von deinem Internetanbieter davor.

Grüße

 

[owl2010]

Ich würde schon behaupten, dass ich über Grundkenntnisse in Sachen Netzwerke verfüge.
Also mein Heimnetzwerk schaut so aus:
Clients (Domäne) ->Firewall->Router