LF 9 · Netzwerkinfrastruktur · 31/42 · 65 Min. angesetzt – Langform, jedes Wort zählt
NAT und Firewall: übersetzen ist nicht erlauben
NAT übersetzt Adressen. Eine Firewall erlaubt oder verbietet Verkehr nach Regel. Viele Kästen tun beides. Die Jobs bleiben zwei. Wer „NAT ist unsere Sicherheit“ sagt, hat eine Übersetzung und eine Hoffnung.
NAT / PAT
Viele interne private Adressen treten nach außen als eine oder wenige öffentliche auf. Port Address Translation unterscheidet die Sitzungen anhand der Ports. Rückweg klappt, weil der Kasten sich merkt, wer intern gefragt hat. Ungefragt von außen nach innen braucht DNAT – und das ist Angriffsfläche.
DNAT / Portweiterleitung
Öffentliche Anfrage auf Port 443 landet auf dem internen Webserver. Jede solche Zeile ist ein Versprechen, dass dieser Dienst das Internet aushält. Dokumentation, Update, WAF oder Verzicht – nicht „mal schnell für den Chef“ ohne Datum zum Widerruf.
Policy
Default deny: was nicht ausdrücklich darf, stirbt. Default allow ist Bequemlichkeit und später ein Gutachten. Eine Regel hat Quelle, Ziel, Dienst oder Port, Aktion, Log, Kommentar. Ohne Kommentar ist die Regel in sechs Monaten ein Fossil, das niemand anfassen will. Zonen schneiden die Welt: WAN, LAN, DMZ, Management, Gäste. Gäste in derselben Zone wie die Domänencontroller sind kein VLAN-Fehler allein. Das ist eine Policy, die die Trennung wieder aufhebt.
Stateful
Der Filter merkt sich, dass eine Antwort zu einer erlaubten Frage gehört. Deshalb musst du nicht jede Rückrichtung einzeln erfinden. Deshalb lügt der Zustand, wenn du mitten in einer Session die Regel kippst und dich wunderst, warum noch Pakete laufen – oder warum nach Timeout nichts mehr geht.
- Zeichnen: welche Zone darf mit welcher sprechen, für welchen Dienst.
- Wenige Regeln, benannt nach dem Zweck, nicht nach dem Ticketnummer-Schrei.
- Log anschauen. Grün in der GUI ist kein Nachweis.
- Änderung ist ein Change: Ziel, Risiko, Fenster, Rollback – LF 6 gilt hier hart.
Prüfung