Seminar OpenBSD – Firewalling mit PF

PF bildet Regeln, Zustände, Übersetzungen, Tabellen und Datenverkehrssteuerung in einer einheitlichen Konfiguration ab. Das Seminar entwickelt vom Netzmodell bis zum getesteten Regelwerk eine wartbare OpenBSD-Firewall.

Inhaltsverzeichnis

• Zielsetzung
• Zielgruppe
• Voraussetzungen
• Seminarinhalte
• Praxisübungen
• Methodik

Zielsetzung

• Netzzonen, Verkehrsbeziehungen und Schutzanforderungen in PF-Regeln übersetzen
• Zustandsbehandlung, Normalisierung, NAT, Umleitungen und Tabellen sicher einsetzen
• Regelwerke mit Makros, Ankern und eindeutiger Reihenfolge wartbar strukturieren
• Änderungen, Protokollierung, Tests und Fehleranalyse kontrolliert durchführen

Zielgruppe

Netzwerk- und Sicherheitsadministration, Firewall-Verantwortliche, DevOps, Rechenzentrums- und Plattformbetrieb.

Voraussetzungen

Sichere TCP/IP-, Routing- und Subnetzkenntnisse sowie Grundlagen der OpenBSD-Administration. Für Laborübungen werden administrative Rechte benötigt.

Seminarinhalte

1. Schritt 1: Netz- und Schutzmodell erstellen

   Schnittstellen, Zonen, Dienste, Kommunikationsrichtungen und Vertrauensgrenzen werden erfasst. Jede erlaubte Verbindung erhält einen fachlichen Zweck und eine verantwortliche Stelle.

2. Schritt 2: PF-Syntax und Auswertung verstehen

   Makros, Listen, Optionen, Adressfamilien, Protokolle, Ports und Regelauswertung werden anhand kleiner, prüfbarer Regelblöcke eingeführt.

3. Schritt 3: Grundregelwerk nach dem Minimalprinzip aufbauen

   Standardverhalten, Loopback, Verwaltungszugänge, ausgehender Verkehr und definierte eingehende Dienste werden schrittweise freigegeben.

4. Schritt 4: Zustände und Zeitverhalten steuern

   State Tracking, Richtung, Flags, Zeitüberschreitungen und zustandsbezogene Diagnosen werden für TCP, UDP und ICMP untersucht.

5. Schritt 5: Datenverkehr normalisieren

   Fragmentbehandlung, TCP-Normalisierung und robuste Eingangsregeln werden passend zu den Schutzanforderungen eingesetzt.

6. Schritt 6: NAT und Umleitungen konfigurieren

   Quellübersetzung, statische Übersetzung, Portweiterleitung, Hairpin-Szenarien und Rückwege werden mit eindeutigen Tests aufgebaut.

7. Schritt 7: Tabellen und dynamische Adressmengen nutzen

   Statische und persistente Tabellen, Dateiimporte, Laufzeitänderungen und automatisierte Sperrlisten werden kontrolliert verwaltet.

8. Schritt 8: Regelwerke modularisieren

   Anker, Dateien, Makros, Namenskonventionen und Kommentare werden genutzt, um Verantwortungsbereiche und wiederverwendbare Komponenten zu trennen.

9. Schritt 9: Protokollierung und pflog auswerten

   Log-Regeln werden gezielt statt flächendeckend gesetzt. Pakete, Regelnummern, Schnittstellen, Zustände und Ursachen werden korreliert.

10. Schritt 10: Bandbreite und Prioritäten einordnen

    Warteschlangen und Priorisierungsanforderungen werden anhand messbarer Dienstziele geplant und in ein bestehendes Regelwerk integriert.

11. Schritt 11: Änderungen sicher einspielen

    Syntaxprüfung, Testladen, Konsolenzugang, Rückfallregel, Funktionsmatrix und Freigabe werden zu einem verbindlichen Änderungsablauf verbunden.

12. Schritt 12: PF-Fehler systematisch diagnostizieren

    Routing, Interface, Regelreihenfolge, Zustände, NAT, Namensauflösung und Gegenstelle werden mit pfctl und Paketmitschnitt schichtweise geprüft.

Praxisübungen

• Eine segmentierte Firewall für Verwaltung, Servernetz und externes Netz entwerfen und umsetzen
• NAT, Portweiterleitung und dynamische Tabellen in einen bestehenden Regelsatz integrieren
• Eine fehlerhafte Verbindung anhand von Regeln, Zuständen, pflog und Paketmitschnitt erklären

Methodik

Die Vermittlung verbindet fachliche Einordnung, demonstrierte Systemarbeit und schrittweise Laborübungen. Konfigurationen werden zunächst geplant, anschließend in einer Übungsumgebung umgesetzt, geprüft und dokumentiert. Fehlerbilder und Wiederherstellungswege werden bewusst einbezogen.