2.47 Firewall

Mit der Firewall kann Datenverkehr von und zu WLAN-Netzen auf IP-Ebene gefiltert werden. Es ist eine Deny-All-Strategie (jeglicher Verkehr wird verboten, bis auf konfigurierte Ausnahmen) oder eine Allow-All-Strategie (jeglicher Verkehr wird erlaubt, nur Ausnahmen werden verboten) möglich. Es können neben IP-Adressen auch Hostnamen / DNS-Namen als Ziel verwendet werden. Die Firewall liest dazu jegliche DNS-Anfragen von Clients im betroffenen WLAN-Netzwerk mit und speichert die aufgelösten IP-Adressen bis zum Erreichen der TTL (time-to-live) in einem internen Zwischenspeicher. Versucht ein Client anschließend die Verbindung zu einer so ermittelten IP-Adresse aufzubauen, kann diese - je nach Konfiguration - blockiert oder erlaubt werden.

Anmerkung: Das "mitlesen" Der DNS-Anfragen ist nur bei unverschlüsseltem DNS möglich. Verwendet der Client verschlüsselte Verfahren wie z. B. DoT (DNS-over-TLS) oder DoH (DNS-over-HTTPS), können die DNS-Anfragen nicht inspiziert werden. In diesem Fall kann es sich anbieten, diese DNS-Verfahren ebenfalls mittels der Firewall zu blockieren. Für DoT kann eine Sperre erfolgen, indem der dafür verwendete Port 853 gesperrt wird. DoH verwendet den regulären HTTPS-Port 443 und kann daher nicht generell blockiert werden; allerdings erfolgt die Auflösung der DoH-Server in der Regel initial über reguläres DNS, so dass populäre DoH-Server-Domains unter Angabe ihres Namens mit der Firewall blockiert werden können.

Eine lückenlose Blockade von DoH ist prinzipbedingt nicht möglich; steht im Vordergrund, dass jeglicher unkontrollierter Traffic unterbunden werden muss, empfiehlt sich daher eine Deny-All-Strategie zu konfigurieren und erlaubte Dienste explizit freizuschalten.

Beim Roaming eines Client zwischen APs stellen die Applikationen des Clients normalerweise nicht als Reaktion darauf neue DNS-Anfragen. Dies erfolgt i.d.R. erst nach Ablauf der TTL (time-to-live). Die Firewall des AP, auf den geroamt wird, kann also keine DNS-Anfragen analysieren und die aufgelösten IP-Adressen lernen und daher den Datenverkehr des Clients eigentlich nicht blockieren.Um dies trotzdem zu ermöglichen, wird der DNS-Cache der Firewall zwischen APs, welche mit der oder den selben SSIDs konfiguriert sind, via IAPP übertragen und synchron gehalten. Dadurch erzeugen alle zusammengehörigen APs des Netzwerks das selbe effektive Firewall-Regelwerk und können den Datenverkehr basierend auf den IP-Adressen filtern, die ein beliebiger AP im Netzwerk aus den DNS-Anfragen des Clients ermittelt hat. Der aktuelle DNS-Cache lässt sich auf dem AP mittels des CLI-Befehls ls /Status/DNS/Snooping-Results einsehen.

Wichtig: Beachten Sie, dass lediglich der (flüchtige) DNS Cache synchronisiert wird. Die Konfiguration des AP, bestehend aus Host-Gruppen und Filter-Regeln, wird nicht synchronisiert und muss separat für alle APs identisch gehalten werden.

SNMP-ID:: 2.47
Pfad Konsole:: Setup