Linux - Netzwerk und Serveradminstration Firewall Rocky - Versionsgeschichte

Thomas.will: /* Forward */

2026-04-29T10:06:46Z

Forward

Thomas.will: /* Forward */

2026-04-29T10:05:45Z

Forward

Thomas.will: /* NAT mit nftables */

2026-04-27T12:16:55Z

NAT mit nftables

Thomas.will: /* Interfaces */

2026-04-27T12:10:03Z

Interfaces

Thomas.will: /* Interfaces */

2026-04-27T12:09:48Z

Interfaces

Thomas.will: /* Hosts */

2026-04-27T12:00:43Z

Hosts

Thomas.will: /* NAT mit nftables */

2026-04-14T17:30:57Z

NAT mit nftables

Thomas.will: /* Interfaces */

2026-04-14T17:30:31Z

Interfaces

Thomas.will: /* Wir klonen das Rocky-Template */

2026-04-14T17:30:03Z

Wir klonen das Rocky-Template

Thomas.will: Die Seite wurde neu angelegt: „= Firewall = {{#drawio:5102-firewall-01}} = Routing und Masquerading = {{#drawio:5102-masquerade}} * Damit die Firewall als Internet-Router fungieren kann, mus…“

2026-04-14T17:28:25Z

Die Seite wurde neu angelegt: „= Firewall = {{#drawio:5102-firewall-01}} = Routing und Masquerading = {{#drawio:5102-masquerade}} * Damit die Firewall als Internet-Router fungieren kann, mus…“

Neue Seite

= Firewall =
{{#drawio:5102-firewall-01}}
= Routing und Masquerading =
{{#drawio:5102-masquerade}}
* Damit die Firewall als Internet-Router fungieren kann, muss die Quell-IP der Pakete umgeschrieben werden
* Dazu müssen Firewall-Regeln unter [nftables Masquerade|nftables]] erstellt werden, das machen wir weiter unten.
=Wir klonen das Rocky-Template=
Folgendes stellen wir ein
{| class="wikitable"
! Attribut !! Wert !! Netzwerk / Typ
|-
| '''Name''' || fw || -
|-
| '''RAM''' || 4 GB || -
|-
| '''CPU''' || 4 Kerne || -
|-
| '''1. NIC''' || WAN || NAT / Bridge (Extern)
|-
| '''2. NIC''' || DMZ || Internes Netzwerk (Client-Netz)
|-
| '''3. NIC''' || LAN || Internes Netzwerk (Demilitarized Zone)
|-
| '''4. NIC''' || SERVERS || Internes Netzwerk (Server-Netz)
|}
=Erklärung=
*XX = Platznummer
*Y = Klassensaal
=Hostname=
*hostnamectl hostname fw.it2XX.int
=firewalld deaktivieren=
;firewalld und nftables gleichzeitig führen zu Konflikten – firewalld wird dauerhaft deaktiviert
*sudo systemctl disable --now firewalld
=Interfaces=
*cat /etc/NetworkManager/system-connections/

;Alle Interfaces mit nmcli konfigurieren

;WAN
nmcli con mod enp0s3 ipv4.addresses 192.168.Y.2XX/24
nmcli con mod enp0s3 ipv4.gateway 192.168.Y.254
nmcli con mod enp0s3 ipv4.method manual
nmcli con mod enp0s3 connection.autoconnect yes
nmcli con up enp0s3
;Statische Route für 10.88.0.0/16
nmcli con mod enp0s3 +ipv4.routes "10.88.0.0/16 192.168.Y.88"
nmcli con up enp0s3

;DMZ
nmcli con mod enp0s8 ipv4.addresses 10.88.2XX.1/24
nmcli con mod enp0s8 ipv4.method manual
nmcli con mod enp0s8 connection.autoconnect yes
nmcli con up enp0s8

;LAN
nmcli con mod enp0s9 ipv4.addresses 172.26.2XX.1/24
nmcli con mod enp0s9 ipv4.method manual
nmcli con mod enp0s9 connection.autoconnect yes
nmcli con up enp0s9

;SERVERS
nmcli con mod enp0s10 ipv4.addresses 10.2XX.1.1/24
nmcli con mod enp0s10 ipv4.method manual
nmcli con mod enp0s10 connection.autoconnect yes
nmcli con up enp0s10

=Hosts=
*cat /etc/hosts
<pre>
127.0.0.1 localhost
127.0.1.1 fw.it2XX.int fw
# The following lines are desirable for IPv6 capable hosts
::1 localhost ip6-localhost ip6-loopback
ff02::1 ip6-allnodes
ff02::2 ip6-allrouters
</pre>

=Resolver=
;DNS wird über nmcli gesetzt
nmcli con mod enp0s3 ipv4.dns 192.168.Y.88
nmcli con mod enp0s3 ipv4.dns-search it2XX.int
nmcli con up enp0s3

;Hinweis: /etc/resolv.conf wird unter Rocky von NetworkManager automatisch verwaltet – nicht manuell bearbeiten!

=NAT mit nftables=
;Datei erstellen, alles was drin ist kann raus
*cat /etc/nftables.conf
<pre>
#!/usr/sbin/nft -f
# Variablen
define LAN = 172.26.2XX.0/24
define SERVER = 10.2XX.1.0/24
define DMZ = 10.88.2XX.0/24
# Alte Regeln löschen (flush)
flush ruleset
# NAT-Tabelle erstellen/verwenden
table ip nat {
chain postrouting {
type nat hook postrouting priority 100; policy accept;

# DMZ nach 192.168.Y.0/24 - kein NAT (RETURN)
ip saddr $DMZ ip daddr 192.168.Y.0/24 return

# DMZ nach 10.88.0.0/16 - kein NAT (RETURN)
ip saddr $DMZ ip daddr 10.88.0.0/16 return

# DMZ nach außen (enp0s3) - Masquerade
ip saddr $DMZ oif enp0s3 masquerade

# LAN nach außen - Masquerade
ip saddr $LAN oif enp0s3 masquerade

# SERVERS nach außen - Masquerade
ip saddr $SERVER oif enp0s3 masquerade
}
}
</pre>
;Firewall aktivieren
*sudo systemctl enable --now nftables

=Forward=
*echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-ipforward.conf
*sysctl -p /etc/sysctl.d/99-ipforward.conf

=Reboot=
*systemctl reboot

@@ Zeile 36: / Zeile 36: @@
 *cat /etc/NetworkManager/system-connections/
-;Alle Interfaces mit nmcli konfigurieren
+==Alle Interfaces mit nmcli konfigurieren==
 ;Wir arbeiten mit den Interface Namen
   nmcli con mod "Wired connection 2" connection.id enp0s8

← Nächstältere Version		Version vom 27. April 2026, 12:09 Uhr
Zeile 37:		Zeile 37:

	;Alle Interfaces mit nmcli konfigurieren		;Alle Interfaces mit nmcli konfigurieren
		+	;Wir arbeiten mit den Interface Namen
		+	nmcli con mod "Wired connection 2" connection.id enp0s8
		+	nmcli con mod "Wired connection 3" connection.id enp0s9
		+	nmcli con mod "Wired connection 1" connection.id enp0s10

	;WAN		;WAN

@@ Zeile 119: / Zeile 119: @@
 *echo "net.ipv4.conf.enp0s9.rp_filter=2" >> /etc/sysctl.d/99-ipforward.conf
 *sysctl -p /etc/sysctl.d/99-ipforward.conf
 =Reboot=
 *systemctl reboot

@@ Zeile 80: / Zeile 80: @@
 =NAT mit nftables=
 ;Datei erstellen, alles was drin ist kann raus
-*cat /etc/nftables.conf
+*cat /etc/sysconfig/nftables.conf
 <pre>
 #!/usr/sbin/nft -f

@@ Zeile 65: / Zeile 65: @@
   nmcli con mod enp0s10 connection.autoconnect yes
   nmcli con up enp0s10
 =Resolver=

@@ Zeile 113: / Zeile 113: @@
          ip saddr $LAN oif enp0s3 masquerade
-         # SERVERS nach außen - Masquerade
+         # SERVER nach außen - Masquerade
          ip saddr $SERVER oif enp0s3 masquerade
+     }

@@ Zeile 60: / Zeile 60: @@
   nmcli con up enp0s9
-;SERVERS
+;SERVER
   nmcli con mod enp0s10 ipv4.addresses 10.2XX.1.1/24
   nmcli con mod enp0s10 ipv4.method manual

@@ Zeile 22: / Zeile 22: @@
 | '''3. NIC''' || LAN || Internes Netzwerk (Demilitarized Zone)
 |-
-| '''4. NIC''' || SERVERS || Internes Netzwerk (Server-Netz)
+| '''4. NIC''' || SERVER || Internes Netzwerk (Server-Netz)
 |}
 =Erklärung=
 *XX = Platznummer