https://wiki.ixheim.de/index.php?action=history&feed=atom&title=Linux_-_Netzwerk_und_Serveradminstration_Firewall_Debian 2026-05-14T16:02:26Z Versionsgeschichte dieser Seite in Xinux Wiki MediaWiki 1.35.1 https://wiki.ixheim.de/index.php?title=Linux_-_Netzwerk_und_Serveradminstration_Firewall_Debian&diff=69356&oldid=prev 2026-05-03T10:22:57Z

<p>Die Seite wurde neu angelegt: „= Firewall = = Routing und Masquerading = {{#drawio:5102-masquerade}} * Damit die Firewall als Internet-Router fungieren kann, muss die Quell-IP der Pakete umg…“</p> <p><b>Neue Seite</b></p><div>= Firewall =<br /> = Routing und Masquerading =<br /> {{#drawio:5102-masquerade}}<br /> * Damit die Firewall als Internet-Router fungieren kann, muss die Quell-IP der Pakete umgeschrieben werden<br /> * Dazu müssen Firewall-Regeln unter [nftables Masquerade|nftables]] erstellt werden, das machen wir weiter unten.<br /> <br /> =Wir klonen das debian-template=<br /> Folgendes stellen wir ein<br /> {| class=&quot;wikitable&quot;<br /> ! Attribut !! Wert !! Netzwerk / Typ<br /> |-<br /> | '''Name''' || fw || -<br /> |-<br /> | '''RAM''' || 4 GB || -<br /> |-<br /> | '''CPU''' || 4 Kerne || -<br /> |-<br /> | '''1. NIC''' || WAN || Bridge br0<br /> |-<br /> | '''2. NIC''' || DMZ || Internes Netzwerk (Client-Netz)<br /> |-<br /> | '''3. NIC''' || LAN || Internes Netzwerk (Demilitarized Zone)<br /> |-<br /> | '''4. NIC''' || SERVER || Internes Netzwerk (Server-Netz)<br /> |}<br /> <br /> =Erklärung=<br /> *XX = Platznummer<br /> *Y = Klassensaal<br /> =Hostname=<br /> *hostnamectl set-hostname fw.it2XX.int<br /> <br /> =Interfaces=<br /> *cat /etc/network/interfaces<br /> &lt;pre&gt;<br /> source /etc/network/interfaces.d/*<br /> <br /> # The loopback network interface<br /> auto lo<br /> iface lo inet loopback<br /> <br /> # The primary network interface<br /> #WAN<br /> auto enp0s3<br /> iface enp0s3 inet static<br /> address 192.168.Y.2XX/24<br /> gateway 192.168.Y.254<br /> dns-nameservers 192.168.Y.88 <br /> dns-search it2XX.int<br /> post-up ip route add 10.88.0.0/16 via 192.168.Y.88<br /> <br /> <br /> #DMZ<br /> auto enp0s8<br /> iface enp0s8 inet static<br /> address 10.88.2XX.1/24<br /> <br /> #LAN<br /> auto enp0s9<br /> iface enp0s9 inet static<br /> address 172.26.2XX.1/24<br /> <br /> <br /> #SERVER<br /> auto enp0s10<br /> iface enp0s10 inet static<br /> address 10.2XX.1.1/24<br /> &lt;/pre&gt;<br /> <br /> =Reboot=<br /> *systemctl reboot<br /> <br /> =SSH Keys hinterlegen=<br /> *[[SSH Keys hinterlegen fw]]<br /> <br /> =NAT mit nftables=<br /> ;Datei erstellen, alles was drin ist kann raus<br /> *cat /etc/nftables.conf<br /> &lt;pre&gt;<br /> #!/usr/sbin/nft -f<br /> <br /> # Variablen<br /> define LAN = 172.26.2XX.0/24<br /> define SERVER = 10.2XX.1.0/24<br /> define DMZ = 10.88.2XX.0/24<br /> <br /> # Alte Regeln löschen (flush)<br /> flush ruleset<br /> <br /> # NAT-Tabelle erstellen/verwenden<br /> table ip nat {<br /> chain postrouting {<br /> type nat hook postrouting priority 100; policy accept;<br /> <br /> # DMZ nach 192.168.Y.0/24 - kein NAT (RETURN)<br /> ip saddr $DMZ ip daddr 192.168.Y.0/24 return<br /> <br /> # DMZ nach 10.88.0.0/16 - kein NAT (RETURN)<br /> ip saddr $DMZ ip daddr 10.88.0.0/16 return<br /> <br /> # DMZ nach außen (enp0s3) - Masquerade<br /> ip saddr $DMZ oif enp0s3 masquerade<br /> <br /> # LAN nach außen - Masquerade<br /> ip saddr $LAN oif enp0s3 masquerade<br /> <br /> # SERVER nach außen - Masquerade<br /> ip saddr $SERVER oif enp0s3 masquerade<br /> }<br /> }<br /> &lt;/pre&gt;<br /> ;Firewall aktivieren<br /> *systemctl enable nftables --now<br /> ;Kontrolle<br /> *nft list ruleset<br /> <br /> =Forward=<br /> *echo &quot;net.ipv4.ip_forward=1&quot; &gt; /etc/sysctl.d/99-ipforward.conf<br /> *sysctl -p /etc/sysctl.d/99-ipforward.conf<br /> <br /> =Reboot=<br /> *systemctl reboot<br /> =Allgemeine Tests=<br /> ;Kontrolle der IPs<br /> *ip a s <br /> ;Kontrolle der Routen<br /> *ip r s <br /> ;Kontrolle Nameserver<br /> *cat /etc/resolv.conf<br /> ;Kontrolle NFTables<br /> *nft list ruleset<br /> ;Kontrolle IPFORWARD<br /> *cat /proc/sys/net/ipv4/ip_forward</div>

Thomas.will