Thomas.will am 7. April 2026 um 13:20 Uhr

2026-04-07T13:20:23Z

Thomas.will: Die Seite wurde neu angelegt: „= Firewall-Konfiguration mit Ansible = Dieser Artikel zeigt wie man mehrere Firewall-VMs automatisiert mit Ansible konfiguriert. Wir ve…“

2026-04-07T12:43:24Z

Die Seite wurde neu angelegt: „= Firewall-Konfiguration mit Ansible = Dieser Artikel zeigt wie man mehrere Firewall-VMs automatisiert mit Ansible konfiguriert. Wir ve…“

Neue Seite

= Firewall-Konfiguration mit Ansible =

Dieser Artikel zeigt wie man mehrere Firewall-VMs automatisiert mit [[Ansible Grundlagen|Ansible]] konfiguriert.
Wir verwenden eine Ansible-Rolle die Netzwerk-Interfaces, Hostnamen, DNS-Auflösung und NAT mit nftables einrichtet.

== Voraussetzungen ==

* Ansible ist auf dem Control-Node installiert ([[Ansible Grundlagen]])
* Alle Firewall-VMs sind erreichbar (SSH)
* User <code>kit</code> ist auf allen VMs vorhanden und hat <code>sudo NOPASSWD</code>-Rechte
* SSH-Schlüssel ist hinterlegt

== Variablen ==

Jede Firewall-VM hat zwei individuelle Werte:

{| class="wikitable"
! Variable !! Bedeutung !! Beispiel
|-
| <code>fw_xx</code> || Teilnehmernummer (201–213) || <code>212</code>
|-
| <code>fw_y</code> || Klassensaal (1–16) || <code>16</code>
|}

Diese Werte werden in alle Konfigurationsdateien als Jinja2-Variablen eingesetzt, z.B. <code>172.26.{{ fw_xx }}.1</code>.

== Projektstruktur ==

<pre>
ansible-fw/
├── ansible.cfg
├── site.yml
├── inventory/
│ └── hosts.ini
└── roles/
└── fw/
├── tasks/
│ └── main.yml
├── handlers/
│ └── main.yml
└── templates/
├── interfaces.j2
├── hosts.j2
├── resolv.conf.j2
├── nftables.conf.j2
└── 99-ipforward.conf.j2
</pre>

== Inventory ==

In der Datei <code>inventory/hosts.ini</code> werden alle Firewall-VMs definiert.
Jeder Host bekommt seine eigene <code>fw_xx</code>-Variable. Die gemeinsamen Variablen stehen unter <code>[firewalls:vars]</code>.

<pre>
[firewalls]
fw201 ansible_host=192.168.16.201 fw_xx=201
fw202 ansible_host=192.168.16.202 fw_xx=202
...
fw213 ansible_host=192.168.16.213 fw_xx=213

[firewalls:vars]
ansible_user=kit
ansible_become=true
ansible_become_method=sudo
fw_y=16
</pre>

== ansible.cfg ==

Die <code>ansible.cfg</code> im Projektverzeichnis setzt Standardwerte damit man diese nicht jedes Mal auf der Kommandozeile angeben muss.

<pre>
[defaults]
inventory = inventory/hosts.ini
remote_user = kit
host_key_checking = False

[privilege_escalation]
become = True
become_method = sudo
</pre>

== Playbook ==

Das Playbook <code>site.yml</code> ist bewusst einfach gehalten – es ruft nur die Rolle <code>fw</code> auf.

<pre>
---
- name: Firewall-VMs konfigurieren
hosts: firewalls
gather_facts: false

roles:
- fw
</pre>

== Rolle: fw ==

=== Tasks ===

Die Datei <code>roles/fw/tasks/main.yml</code> führt alle Konfigurationsschritte der Reihe nach aus:

# Hostname setzen
# <code>/etc/hosts</code> konfigurieren
# <code>/etc/network/interfaces</code> konfigurieren
# <code>/etc/resolv.conf</code> konfigurieren
# <code>/etc/nftables.conf</code> konfigurieren
# nftables aktivieren und starten
# IP-Forward konfigurieren
# Reboot

Wenn sich <code>interfaces</code> oder <code>nftables.conf</code> ändern, lösen die Tasks automatisch die zugehörigen Handler aus (Neustart des Dienstes).

=== Templates ===

Alle Konfigurationsdateien werden als Jinja2-Templates verwaltet. Ansible befüllt die Variablen beim Ausführen pro Host automatisch.

==== /etc/network/interfaces ====

<pre>
#WAN
auto enp0s3
iface enp0s3 inet static
address 192.168.{{ fw_y }}.{{ fw_xx }}/24
gateway 192.168.{{ fw_y }}.254
post-up ip route add 10.88.0.0/16 via 192.168.{{ fw_y }}.88

#DMZ
auto enp0s8
iface enp0s8 inet static
address 10.88.{{ fw_xx }}.1/24

#LAN
auto enp0s9
iface enp0s9 inet static
address 172.26.{{ fw_xx }}.1/24

#SERVERS
auto enp0s10
iface enp0s10 inet static
address 10.{{ fw_xx }}.1.1/24
</pre>

==== /etc/nftables.conf ====

Die Firewall verwendet NAT mit Masquerading. Pakete aus DMZ, LAN und SERVERS werden über das WAN-Interface (<code>enp0s3</code>) nach außen weitergeleitet.
Interner Verkehr innerhalb <code>192.168.Y.0/24</code> und <code>10.88.0.0/16</code> wird nicht genattet (RETURN).

<pre>
define LAN = 172.26.{{ fw_xx }}.0/24
define SERVER = 10.{{ fw_xx }}.1.0/24
define DMZ = 10.88.{{ fw_xx }}.0/24

flush ruleset

table ip nat {
chain postrouting {
type nat hook postrouting priority 100; policy accept;

ip saddr $DMZ ip daddr 192.168.{{ fw_y }}.0/24 return
ip saddr $DMZ ip daddr 10.88.0.0/16 return
ip saddr $DMZ oif enp0s3 masquerade
ip saddr $LAN oif enp0s3 masquerade
ip saddr $SERVER oif enp0s3 masquerade
}
}
</pre>

==== IP-Forward ====

Damit die Firewall Pakete zwischen den Interfaces weiterleitet, muss IP-Forwarding aktiviert sein:

<pre>
net.ipv4.ip_forward=1
</pre>

Diese Einstellung wird in <code>/etc/sysctl.d/99-ipforward.conf</code> gespeichert und ist nach dem Reboot dauerhaft aktiv.

== Ausführen ==

;Alle Hosts:
* <code>ansible-playbook site.yml</code>

;Nur einzelne Hosts (z.B. zum Testen):
* <code>ansible-playbook site.yml --limit fw212,fw213</code>

;Nur bestimmte Tasks ausführen (Tags, falls definiert):
* <code>ansible-playbook site.yml --limit fw212 --tags nftables</code>

== Siehe auch ==

* [[Ansible Grundlagen]]
* [[nftables Masquerade]]
* [[Debian Netzwerkkonfiguration]]

@@ Zeile 24: / Zeile 24: @@
 Diese Werte werden in alle Konfigurationsdateien als Jinja2-Variablen eingesetzt, z.B. <code>172.26.{{ fw_xx }}.1</code>.
 == Projektstruktur ==
@@ Zeile 115: / Zeile 118: @@
 Alle Konfigurationsdateien werden als Jinja2-Templates verwaltet. Ansible befüllt die Variablen beim Ausführen pro Host automatisch.
 ==== /etc/network/interfaces ====

Ansible KIT Firewall-Konfiguration - Versionsgeschichte

Thomas.will am 7. April 2026 um 13:20 Uhr

Thomas.will: Die Seite wurde neu angelegt: „= Firewall-Konfiguration mit Ansible = Dieser Artikel zeigt wie man mehrere Firewall-VMs automatisiert mit Ansible konfiguriert. Wir ve…“