Firewall-FAQ: Sicherheit ist ein gepflegtes Konzept
Zusammenfassung
Lutz Donnerhackes FAQ zur Newsgroup de.comp.security.firewall beantwortet die Fragen, die Neulinge dort immer wieder stellten. Eine Firewall ist danach ein organisatorisches und technisches Konzept zur Trennung von Netzbereichen samt korrekter Umsetzung und dauerhafter Pflege. Die FAQ räumt mit Irrtümern über NAT, Desktop-Firewalls, Portscans und gesperrtes ICMP auf.
Warum gesperrtes ICMP Verbindungen bricht
Die FAQ erklärt ein Problem, das Admins bis heute begegnet. Path MTU Discovery nach RFC 1191 von 1990 sendet Pakete mit gesetztem Don't-Fragment-Bit. Passt ein Paket unterwegs nicht durch, meldet der Router per ICMP „Fragmentation needed“ die zulässige Größe zurück. Wer ICMP pauschal verwirft, wirft genau diese Meldung weg: Kleine Pakete kommen an, große verschwinden, und die Verbindung hängt.
Für IPv6 ist das noch wichtiger, weil dort nach RFC 8200 nur der Absender fragmentiert, nicht der Router. RFC 4890 von 2007 führt „Packet Too Big“ deshalb unter den ICMPv6-Meldungen, die eine Firewall nicht verwerfen darf. RFC 4821 beschreibt mit Packetization Layer PMTUD einen Weg, solche ICMP-Schwarzen Löcher ohne Rückmeldung zu erkennen.
REJECT oder DENY
Die FAQ rät zum aktiven Ablehnen. Stilles Verwerfen bremse Scanner nicht, weil diese Tausende Ziele parallel abfragen und auf alle Timeouts gleichzeitig warten. Legitime Gegenstellen dagegen warten jedes Mal bis zum Timeout, etwa bei ident-Anfragen.
Ideen
- Eine Firewall ist ein gepflegtes Konzept, nicht nur ein Gerät.
- Sicherheit gilt immer nur gegenüber konkret benannten Szenarien.
- Verbiete alles und schalte nur frei, was sachlich begründet ist.
- NAT dient der Adressumsetzung und ist keine Sicherheitskomponente.
- Pauschal gesperrtes ICMP bricht Path MTU Discovery.
- Ein Portscan allein ist weder Angriff noch sicheres Indiz für einen.
- Desktop-Firewalls helfen beim Lernen, ersetzen aber kein Sicherheitskonzept.
Einsichten
- Unverstandene Schutzmaßnahmen verleiten zu nachlässigerem Verhalten an anderer Stelle.
- Soziale Probleme wie verbotene Tunnel lassen sich technisch nicht erschlagen.
- Viele Fehlerbilder hinter Firewalls entstehen durch zu viel statt zu wenig Filterung.
Zitate
- Ein NAT-Router ist deswegen keine Sicherheitskomponente. (Lutz Donnerhacke)
Fakten
- Die FAQ beschreibt die klassische Anordnung aus zwei Paketfiltern mit einer DMZ und Proxys dazwischen.
- Lutz Donnerhacke definiert ein System als sicher, wenn die Angriffskosten den erzielbaren Nutzen nie unterschreiten.
- RFC 1191 von 1990 beschreibt Path MTU Discovery über ICMP-Rückmeldungen.
- RFC 4890 zählt ICMPv6 Packet Too Big zu den Meldungen, die eine Firewall nicht verwerfen darf.
Referenzen
- Lutz Donnerhacke: de.comp.security.firewall FAQ
- Frühester gefundener Archivstand vom 9. April 2001
- RFC 1191: Path MTU Discovery (1990)
- RFC 4890: Recommendations for Filtering ICMPv6 Messages in Firewalls (2007)
- RFC 4821: Packetization Layer Path MTU Discovery (2007)
- RFC 8200: Internet Protocol, Version 6 (IPv6) Specification (2017)
Bemerkungen
- Das Beitragsdatum ist der früheste gefundene Archivstand vom 9. April 2001, nicht die Erstveröffentlichung.
- Viele Links der Literaturliste verweisen auf Angebote, die es nicht mehr gibt; die Grundaussagen gelten weiter.
Empfehlungen
- Erlaube ICMP Destination Unreachable und ICMPv6 Packet Too Big in jeder Filterregel.
- Schreibe vor der ersten Regel auf, welche Szenarien die Firewall abwehren soll.
- Antworte an Perimeter-Firewalls mit REJECT, wo kein besonderer Grund für DROP besteht.
Links zur Originalquelle und zum Webarchiv öffnen einen neuen Tab.