Was ist eine Firewall? Regeln, Ports und Netzwerkzugriff

Eine Firewall lässt Netzwerkverkehr nach festgelegten Regeln zu oder blockiert ihn. Sie kann auf einem Computer, einem Heimrouter oder an der Grenze eines Cloud-Netzes laufen. Regeln steuern den Zugriff auf Verbindungen – eine zugelassene Anwendung wird dadurch aber nicht automatisch sicher.

Wie Firewallregeln funktionieren

Eine Regel kann die Richtung einer Verbindung, Adressen, Protokoll, Port und manchmal die Anwendung berücksichtigen. Ein Heimrouter begrenzt meist unaufgeforderten eingehenden Datenverkehr, während die Firewall des Betriebssystems den Verkehr zum Gerät selbst kontrolliert. Zustandsorientierte Firewalls können Antworten auf bestehende ausgehende Verbindungen durchlassen, ohne jeden eingehenden Port zu öffnen.

Datenverkehr durchläuft oft mehrere Ebenen. Eine Cloud-Sicherheitsgruppe kann einen Port freigeben, während die Host-Firewall ihn blockiert. Auch eine lokale Freigaberegel bleibt wirkungslos, wenn der Router den Port nicht weiterleitet oder der Internetanbieter Carrier-Grade NAT einsetzt. Ermitteln Sie jede dieser Ebenen, bevor Sie weitreichende Änderungen vornehmen.

Warum ein Dienst nicht erreichbar ist

Prüfen Sie zuerst, ob die Anwendung läuft und auf dem erwarteten Protokoll, Port und der richtigen Netzwerkadresse lauscht. Ein Dienst, der nur an Loopback gebunden ist, ist lokal erreichbar, von außen aber nicht. Prüfen Sie danach Host-Regel, Weiterleitung im Router und Einschränkungen des Providers. Ein externer Porttest zeigt die Erreichbarkeit von seinem Standort aus, kann aber nicht die eine Ursache eines Ausfalls benennen.

Unterscheiden Sie zwischen einer abgelehnten Verbindung, einem Timeout und einem Fehler auf Anwendungsebene. Sie deuten auf unterschiedliche Fehlerstellen hin, auch wenn Filter das Bild verschleiern können. Testen Sie aus einem wirklich getrennten Netz; manche Router behandeln Verbindungen zu ihrer eigenen öffentlichen Adresse anders als Verkehr von außen. Um die Erreichbarkeit von außerhalb Ihres Netzes zu prüfen, nutzen Sie die Portprüfung von 2IP; bei einem geschlossenen Ergebnis müssen Sie trotzdem lokale Firewall, NAT und den lauschenden Dienst prüfen.

Regeln sicherer ändern

Erlauben Sie nur den Zugriff, den der Dienst braucht, nach Möglichkeit nur von eingegrenzten Quelladressen. Halten Sie den Dienst aktuell und verlangen Sie eine angemessene Authentifizierung. Dokumentieren Sie, warum eine Regel existiert, und entfernen Sie sie, wenn der Dienst stillgelegt wird. Wer jede ausgehende Verbindung blockiert, legt womöglich Updates oder DNS lahm – klären Sie also die Abhängigkeiten, bevor Sie eine Regel anwenden.

Eine Firewall schützt nicht vor Phishing, unsicheren Downloads oder Angriffen über einen zugelassenen Dienst. Setzen Sie sie zusammen mit Updates, Backups und Kontosicherheit ein. Prüfen Sie nach einer Änderung, ob die benötigte Verbindung funktioniert und nichts ungewollt offenliegt.

Prüfen Sie bei IPv6 die tatsächliche Schnittstellenadresse und die Firewallrichtlinie, statt anzunehmen, dass die NAT-Regeln für IPv4 gelten. Eine Anwendung kann in einer Adressfamilie lauschen, während ein Client es mit der anderen versucht.

ICMP ist mehr als Ping

ICMP überträgt nicht nur Echo-Nachrichten, sondern auch Steuer- und Fehlerinformationen, auf die Diagnosewerkzeuge und Mechanismen wie Path MTU Discovery angewiesen sind. Wer es pauschal blockiert, verursacht schwer zu findende Fehler. Siehe ICMP und MTU.