Erstellen Sie eine Firewall-Regel

Hinweis Dieser Artikel behandelt speziell, wie man eine Firewall-Regel erstellt. Informationen zur Konfiguration des Firewall-Moduls finden Sie unter Einrichten der Server- und Workload Protection Firewall.

1. Fügen Sie eine neue Regel hinzu.
2. Wählen Sie das Verhalten und das Protokoll der Regel aus.
3. Wählen Sie eine Paketquelle und ein Paketziel aus.

• Regelereignisse und Warnungen konfigurieren
• Legen Sie einen Zeitplan für die Regel fest
• Weisen Sie der Regel einen Kontext zu
• Siehe Richtlinien und Computer, denen eine Regel zugewiesen ist

Neue Regel hinzufügen

• Erstellen Sie eine neue Regel. Klicken Sie auf Neu → New Firewall Rule.
• Importieren Sie eine Regel aus einer XML-Datei. Klicken Sie auf Neu → Import From File.
• Kopieren Sie eine vorhandene Regel und ändern Sie sie. Klicken Sie mit der rechten Maustaste auf die Regel in der Firewall-Regelliste und klicken Sie dann auf Duplizieren. Um die neue Regel zu bearbeiten, wählen Sie sie aus und klicken Sie dann auf Eigenschaften.

Wählen Sie das Verhalten und das Protokoll der Regel aus

1. Geben Sie einen Name und einen Beschreibung für die Regel ein.

   Hinweis Es ist eine gute Praxis, alle Änderungen der Firewall-Regeln im Beschreibungsfeld der Firewall-Regel zu dokumentieren. Notieren Sie, wann und warum Regeln erstellt oder gelöscht wurden, um die Wartung der Firewall zu erleichtern.

2. Wählen Sie das Aktion aus, das die Regel auf Pakete anwenden soll. Sie können eine der folgenden fünf Aktionen auswählen:

   Hinweis Auf ein Paket wird nur eine Regelaktion angewendet, und Regeln (mit derselben Priorität) werden in der unten aufgeführten Reihenfolge der Vorrangigkeit angewendet.

   • Die Regel kann den Datenverkehr erlauben, den bypass der Firewall zu übergehen. Eine Übergehregel erlaubt es dem Datenverkehr, die Firewall und die Intrusion-Prevention-Engine mit der schnellstmöglichen Geschwindigkeit zu passieren. Übergehregeln sind für Datenverkehr gedacht, der medienintensive Protokolle verwendet, bei denen Filter möglicherweise nicht erwünscht sind, oder für Datenverkehr aus vertrauenswürdigen Quellen.

   Tipp Ein Beispiel dafür, wie Sie eine Übergehungsregel für vertrauenswürdige Quellen in einer Richtlinie erstellen und verwenden, finden Sie unter Vertrauenswürdigen Datenverkehr die Firewall übergehen lassen.

   Hinweis Bypass-Regeln sind unidirektional. Für jede Verkehrsrichtung sind explizite Regeln erforderlich.

   Tipp Sie können die maximale Durchsatzleistung bei einer Übergehensregel mit den folgenden Einstellungen erreichen: Priority: Highest Frame Type: IP Protokoll:TCP, UDP oder ein anderes IP-Protokoll. (Verwenden Sie nicht die Option "Beliebig".) Source and Destination IP and MAC: alle "Beliebig" Wenn das Protokoll TCP oder UDP ist und die Richtung des Datenverkehrs "eingehend" ist, müssen die Zielports ein oder mehrere angegebene Ports sein (nicht "Beliebig"), und die Quellports müssen "Beliebig" sein. Wenn das Protokoll TCP oder UDP ist und die Richtung des Datenverkehrs "ausgehend" ist, müssen die Quellports ein oder mehrere angegebene Ports sein (nicht "Beliebig"), und die Zielports müssen "Beliebig" sein. Zeitplan: Keine.

   • Die Regel kann log only. Diese Aktion wird Einträge in den Protokollen erstellen, aber den Datenverkehr nicht verarbeiten.
   • Die Regel kann den definierten Datenverkehr force allow (sie wird den durch diese Regel definierten Datenverkehr zulassen, ohne anderen Datenverkehr auszuschließen.)
   • Die Regel kann den Datenverkehr deny (sie wird den durch diese Regel definierten Datenverkehr verweigern.)
   • Die Regel kann den Datenverkehr allow (sie wird ausschließlich den durch diese Regel definierten Datenverkehr zulassen.)

   Hinweis Wenn Sie auf einem Computer keine Erlaubnisregeln in Kraft haben, ist der gesamte Datenverkehr erlaubt, es sei denn, er wird durch eine Verweigerungsregel speziell gesperrt. Sobald Sie eine einzelne Erlaubnisregel erstellen, wird der gesamte andere Datenverkehr gesperrt, es sei denn, er erfüllt die Anforderungen der Erlaubnisregel. Es gibt eine Ausnahme: ICMPv6-Datenverkehr ist immer erlaubt, es sei denn, er wird durch eine Verweigerungsregel speziell gesperrt.

3. Wählen Sie den !!Priority!! der Regel aus. Die Priorität bestimmt die Reihenfolge, in der Regeln angewendet werden. Wenn Sie "erzwingen erlauben", "verweigern" oder "übergehen" als Regelaktion ausgewählt haben, können Sie eine Priorität von 0 (niedrig) bis 4 (höchste) festlegen. Durch das Festlegen einer Priorität können Sie die Aktionen von Regeln kombinieren, um einen kaskadierenden Regel-Effekt zu erzielen.

   Hinweis Nur protokollieren-Regeln können nur eine Priorität von 4 haben, und Zulassen-Regeln können nur eine Priorität von 0 haben.

   Hinweis Regeln mit hoher Priorität werden vor Regeln mit niedriger Priorität angewendet. Zum Beispiel wird eine eingehende Verweigerungsregel für Port 80 mit einer Priorität von 3 ein Paket verwerfen, bevor eine eingehende Erzwingungserlaubnisregel für Port 80 mit einer Priorität von 2 darauf angewendet wird.

   Weitere Informationen darüber, wie Aktionen und Prioritäten zusammenarbeiten, finden Sie unter Firewall-Regelaktionen und -prioritäten.
4. Wählen Sie einen Paketrichtung aus. Wählen Sie, ob diese Regel auf eingehenden (vom Netzwerk zum Computer) oder ausgehenden (vom Computer zum Netzwerk) Datenverkehr angewendet wird.

   Hinweis Eine einzelne Firewall-Regel gilt nur für eine Richtung des Datenverkehrs. Möglicherweise müssen Sie eingehende und ausgehende Firewall-Regeln paarweise für bestimmte Arten von Datenverkehr erstellen.

5. Wählen Sie ein Ethernet Frame Type aus. Der Begriff "Frame" bezieht sich auf Ethernet-Frames, und die verfügbaren Protokolle geben die Daten an, die der Frame trägt. Wenn Sie "Andere" als Frame-Typ auswählen, müssen Sie eine Frame-Nummer angeben.

   Hinweis IP umfasst sowohl IPv4 als auch IPv6. Sie können auch IPv4 oder IPv6 einzeln auswählen.

   Hinweis Auf Solaris werden Agenten nur Pakete mit einem IP-Frame-Typ untersuchen, und Linux-Agenten werden nur Pakete mit IP- oder ARP-Frame-Typen untersuchen. Pakete mit anderen Frame-Typen werden durchgelassen.

   Wenn Sie den Internet-Protokoll (IP)-Rahmentyp auswählen, müssen Sie das Transportprotokoll auswählen. Wenn Sie "Andere" als Protokoll auswählen, müssen Sie auch eine Protokollnummer eingeben.

Wählen Sie eine Paketquelle und ein Paketziel

Tipp Sie können eine zuvor erstellte IP-, MAC- oder Portliste verwenden.

Hinweis ARP- und REVARP-Frame-Typen unterstützen nur die Verwendung von MAC-Adressen als Paketquellen und -ziele.

• URG
• ACK
• PSH
• RST
• SYN
• FIN

Regelereignisse und Warnungen konfigurieren

Hinweis Regeln, die die Aktionen "Erlauben", "Erzwingen" und "Übergehen" verwenden, protokollieren keine Ereignisse.

Warnungen

Hinweis Nur Firewall-Regeln mit einer Aktion, die auf "Verweigern" oder "Nur protokollieren" gesetzt ist, können so konfiguriert werden, dass sie einen Alarm auslösen.

Legen Sie einen Zeitplan für die Regel fest

Der Regel einen Kontext zuweisen

Tipp Ein Beispiel für eine Richtlinie, die Firewall-Regeln mithilfe von Kontexten implementiert, finden Sie in den Eigenschaften der Richtlinie "Windows Mobile Laptop".

Richtlinien und Computer anzeigen, denen eine Regel zugewiesen ist

Eine Regel exportieren

Eine Regel löschen

Hinweis Firewall-Regeln, die einem oder mehreren Computern zugewiesen sind oder Teil einer Richtlinie sind, können nicht gelöscht werden.