Rocky fw nftabels - Versionsgeschichte

Thomas.will: /* Kontrolle */

2026-07-06T13:22:29Z

Kontrolle

Thomas.will: /* enp0s3 (WAN) */

2026-07-06T12:13:27Z

enp0s3 (WAN)

Thomas.will: /* enp0s3 (WAN) */

2026-07-06T12:13:14Z

enp0s3 (WAN)

Thomas.will: /* nftables */

2026-07-06T11:06:35Z

nftables

Thomas.will am 6. Juli 2026 um 11:05 Uhr

2026-07-06T11:05:24Z

Änderungen zeigen

Thomas.will: /* Plan */

2026-07-06T11:02:36Z

Plan

Thomas.will: /* nftables */

2026-07-06T11:02:13Z

nftables

Thomas.will: /* Regelwerk (mit Variablen) */

2026-07-06T10:57:10Z

Regelwerk (mit Variablen)

Änderungen zeigen

Thomas.will am 6. Juli 2026 um 10:38 Uhr

2026-07-06T10:38:25Z

Thomas.will: Die Seite wurde neu angelegt: „= Die Firewall = == Ziel == Die Firewall trennt drei Netzbereiche voneinander: das Schulungsnetz (WAN), die DMZ und das interne LAN. Sie übernimmt gleichzeit…“

2026-07-06T10:34:09Z

Die Seite wurde neu angelegt: „= Die Firewall = == Ziel == Die Firewall trennt drei Netzbereiche voneinander: das Schulungsnetz (WAN), die DMZ und das interne LAN. Sie übernimmt gleichzeit…“

Neue Seite

= Die Firewall =

== Ziel ==
Die Firewall trennt drei Netzbereiche voneinander: das Schulungsnetz (WAN), die DMZ und das interne LAN. Sie übernimmt gleichzeitig die Aufgaben eines Routers, eines DHCP-Servers für das LAN und kontrolliert den gesamten Netzverkehr zwischen den Zonen.

Die Filterung erfolgt über '''nftables''' mit einer einzigen Regeldatei. Alle standortspezifischen Werte (Interfaces, IPs, Admin-Host) stecken oben in Variablen – für einen neuen Standort reicht es, nur diesen Block anzupassen.

== Plan ==

{| class="wikitable"
! Interface !! Zone !! Wert !! Erläuterung
|-
| '''enp0s3''' || wan || 192.168.HS.2XX/24 || Bridge Adapter: br0
|-
| '''GW''' || || 10.88.2XX.1 || GATEWAY
|-
| '''NS''' || || 192.168.HS.88 || Resolver
|-
| '''enp0s8''' || dmz || 10.88.2XX.1/24|| Internal Network: DMZ
|-
| '''enp0s9''' || lan || 172.26.2XX.1/24 || Internal Network: LAN
|-
| '''GW''' || || 192.168.HS.254 || GATEWAY
|-
| '''FQDN''' || || fw.it2XX.int || Fully Qualified Domain Name
|-
| '''SHORT''' || || fw|| Short Name
|-
| '''DOM''' || || it2XX.int|| Domain Name
|-
| '''ROUTE''' || || 10.88.0.0/16|| 192.168.HS.88
|}

== Dienste auf der Firewall ==

;nftables: Paketfilterung, Masquerading (ersetzt firewalld)
;Kea DHCP4: IP-Vergabe für das LAN (172.26.2XX.0/24)

== Regelwerk ==

{| class="wikitable"
! Von !! Nach !! Erlaubt !! Gesperrt
|-
| lan || wan || alles || —
|-
| lan || dmz || alles (SSH für Ansible, DNS, HTTP ...) || —
|-
| dmz || wan || alles || —
|-
| wan || dmz || UDP+TCP/53 nur auf ns, TCP/80+443 nur auf http || alles andere
|-
| wan || lan || — || alles
|-
| dmz || lan || — || alles
|}

;lan ist vertrauenswürdig: Aus dem internen Netz darf alles raus – sowohl ins WAN als auch in die DMZ. So kann Ansible von client.it2XX.int per SSH alle DMZ-Maschinen erreichen.
;wan → dmz gezielt: Aus dem Internet kommen nur die Dienste rein, die wirklich öffentlich sein sollen – und nur auf die jeweilige Ziel-IP.
;dmz → lan gesperrt: LDAP liegt jetzt in der DMZ – kein Grund mehr für Verbindungen aus der DMZ ins LAN.

= Umsetzung =

== Netzwerkkonfiguration ==
=== Hostname setzen ===
*hostnamectl set-hostname fw.it2XX.int

=== enp0s3 (WAN) ===
;Die WAN-Verbindung bekommt eine feste IP. Da die Connection bereits existiert, wird sie per mod angepasst.
* nmcli con mod enp0s3 ipv4.method manual ipv4.addresses 192.168.HS.2XX/24 ipv4.gateway 192.168.HS.254 ipv4.dns 192.168.HS.88
* nmcli con up enp0s3

=== Tabula Rasa ===
;Rocky legt für neue Interfaces automatisch Connections mit generischen Namen an – diese werden gelöscht
* nmcli con delete "Wired connection 1"
* nmcli con delete "Wired connection 2"

=== enp0s8 (DMZ) ===
;Neue Connection mit explizitem Namen – kein Gateway, kein DNS nötig
* nmcli con add type ethernet ifname enp0s8 con-name enp0s8 ipv4.method manual ipv4.addresses 10.88.2XX.1/24
* nmcli con up enp0s8

=== enp0s9 (LAN) ===
;Das LAN-Interface wird Gateway für alle internen Clients
* nmcli con add type ethernet ifname enp0s9 con-name enp0s9 ipv4.method manual ipv4.addresses 172.26.2XX.1/24
* nmcli con up enp0s9

=== IP-Forwarding aktivieren ===
;Ohne IP-Forwarding leitet der Kernel keine Pakete zwischen den Interfaces weiter – die Firewall wäre kein Router
* echo "net.ipv4.ip_forward=1" > /etc/sysctl.d/99-forwarding.conf
* sysctl -p /etc/sysctl.d/99-forwarding.conf

== nftables ==

=== firewalld deaktivieren ===
;Bevor nftables übernimmt, muss firewalld komplett raus – sonst kollidieren beide beim Regelaufbau (nftables-Backend vs. firewalld-Backend)
* systemctl disable --now firewalld
* dnf remove -y firewalld

=== Installation ===
* dnf install -y nftables
* systemctl enable --now nftables

=== Regelwerk (mit Variablen) ===
;Alle 2XX-Werte und der Admin-Host stehen oben als Variablen – für einen neuen Standort reicht es, nur diesen Block zu ändern
* vim /etc/sysconfig/nftables.conf

<pre>
#!/usr/sbin/nft -f

flush ruleset

# --- Variablen ---
define WAN_IF = enp0s3
define DMZ_IF = enp0s8
define LAN_IF = enp0s9

define NS_IP = 10.88.2XX.21
define HTTP_IP = 10.88.2XX.11

define ADMIN_IP = 192.168.HS.TN

table inet filter {

chain input {
type filter hook input priority 0; policy drop;

iifname "lo" accept
ct state established,related accept
ct state invalid drop

icmp type echo-request accept
icmpv6 type { echo-request, nd-neighbor-solicit, nd-neighbor-advert } accept

# SSH zur Firewall selbst: aus dem LAN immer, aus dem WAN nur vom Admin-Host
iifname $LAN_IF tcp dport 22 accept
iifname $WAN_IF ip saddr $ADMIN_IP tcp dport 22 accept
}

chain forward {
type filter hook forward priority 0; policy drop;

ct state established,related accept
ct state invalid drop

icmp type echo-request accept

# lan -> wan und lan -> dmz: alles erlaubt
iifname $LAN_IF accept

# dmz -> wan: alles erlaubt
iifname $DMZ_IF oifname $WAN_IF accept

# wan -> dmz: nur DNS auf ns, HTTP/HTTPS auf http
iifname $WAN_IF oifname $DMZ_IF ip daddr $NS_IP udp dport 53 accept
iifname $WAN_IF oifname $DMZ_IF ip daddr $NS_IP tcp dport 53 accept
iifname $WAN_IF oifname $DMZ_IF ip daddr $HTTP_IP tcp dport { 80, 443 } accept

# wan -> lan und dmz -> lan: keine Regel = drop (Policy greift)
}

chain output {
type filter hook output priority 0; policy accept;
}
}

table inet nat {

chain postrouting {
type nat hook postrouting priority 100;

oifname $WAN_IF masquerade
}
}
</pre>

=== Laden und aktivieren ===
;Erst syntaktisch prüfen, dann aktivieren – so gibt es keinen Reboot-Ausschluss durch einen Tippfehler
* nft -c -f /etc/sysconfig/nftables.conf
* systemctl restart nftables

=== Kontrolle ===
* nft list ruleset
* nft list table inet filter
* nft list table inet nat

== Kea DHCP4 für das LAN ==

=== Installation ===
* dnf install -y kea

=== Konfiguration ===
;Kea lauscht nur auf enp0s9 (LAN) und verteilt IPs im Bereich .100–.200.
* vim /etc/kea/kea-dhcp4.conf
<pre>
{
"Dhcp4": {
"interfaces-config": {
"interfaces": [ "enp0s9" ]
},
"lease-database": {
"type": "memfile",
"persist": true,
"name": "/var/lib/kea/kea-leases4.csv"
},
"valid-lifetime": 3600,
"subnet4": [
{
"id": 1,
"subnet": "172.26.2XX.0/24",
"pools": [ { "pool": "172.26.2XX.100 - 172.26.2XX.200" } ],
"option-data": [
{ "name": "routers", "data": "172.26.2XX.1" },
{ "name": "domain-name-servers", "data": "10.88.2XX.21" },
{ "name": "domain-name", "data": "it2XX.int" }
]
}
]
}
}
</pre>

=== Start ===
* systemctl enable --now kea-dhcp4

=== Kontrolle ===
* ss -lnup | grep 67
* systemctl status kea-dhcp4
* journalctl -fu kea-dhcp4
* cat /var/lib/kea/kea-leases4.csv

← Nächstältere Version		Version vom 6. Juli 2026, 11:06 Uhr
Zeile 91:		Zeile 91:

	== nftables ==		== nftables ==
		+	=== Tabellen ===
		+
		+	* Eine Skizze über die Reihenfolge der Hooks.
		+	* Als erstes greift der Prerouting-Hook
		+	* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward-Hook
		+	* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output-Hook
		+	* Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen
		+
		+	{{#drawio:nft-inet1}}

	=== firewalld deaktivieren ===		=== firewalld deaktivieren ===

← Nächstältere Version		Version vom 6. Juli 2026, 11:02 Uhr
Zeile 193:		Zeile 193:

	== nftables ==		== nftables ==
		+
		+	== Tabellen ==
		+
		+	* Eine Skizze über die Reihenfolge der Hooks.
		+	* Als erstes greift der Prerouting-Hook
		+	* Je nachdem wie geroutet wird greift dann entweder Input- oder Forward-Hook
		+	* Falls ein lokaler Prozess ein Paket sendet, dann greift der Output-Hook
		+	* Als letztes kann man das Paket mit dem Postrouting-Hook beeinflußen
		+
		+	{{#drawio:nft-inet1}}

	=== firewalld deaktivieren ===		=== firewalld deaktivieren ===

@@ Zeile 207: / Zeile 207: @@
 * nft list table inet nat
 * journalctl -k -f | grep nftables-drop
 == Kea DHCP4 für das LAN ==

@@ Zeile 68: / Zeile 68: @@
 ;Die WAN-Verbindung bekommt eine feste IP. Da die Connection bereits existiert, wird sie per mod angepasst.
 * nmcli con mod enp0s3 ipv4.method manual ipv4.addresses 192.168.HS.2XX/24 ipv4.gateway 192.168.HS.254 ipv4.dns 192.168.HS.88
-* nmcli con mod enp0s3 +ipv4.routes "10.88.0.0/16 192.168.3.88"
+* nmcli con mod enp0s3 +ipv4.routes "10.88.0.0/16 192.168.HS.88"
 * nmcli con up enp0s3

@@ Zeile 113: / Zeile 113: @@
 ! Interface !! Zone !! Wert !! Erläuterung
 |-
-| '''enp0s3''' || wan || 192.168.HS.2XX/24 || Bridge Adapter: br0
+| '''enp0s3''' || WAN || 192.168.HS.2XX/24 || Bridge Adapter: br0
 |-
 | '''GW''' || || 10.88.2XX.1 || GATEWAY
@@ Zeile 119: / Zeile 119: @@
 | '''NS''' || || 192.168.HS.88 || Resolver
 |-
-| '''enp0s8''' || dmz || 10.88.2XX.1/24|| Internal Network: DMZ
+| '''enp0s8''' || DMZ || 10.88.2XX.1/24|| Internal Network: DMZ
 |-
-| '''enp0s9''' || lan || 172.26.2XX.1/24 || Internal Network: LAN
+| '''enp0s9''' || LAN || 172.26.2XX.1/24 || Internal Network: LAN
 |-
 | '''GW''' || || 192.168.HS.254 || GATEWAY

@@ Zeile 119: / Zeile 119: @@
 define ADMIN_IP = 192.168.HS.TN
 table inet filter {
@@ Zeile 126: / Zeile 130: @@
          iifname "lo" accept
          ct state invalid drop
-         icmp type echo-request accept
+         icmp type echo-request ct state new,established,related accept
-         icmpv6 type { echo-request, nd-neighbor-solicit, nd-neighbor-advert } accept
+         icmpv6 type { echo-request, nd-neighbor-solicit, nd-neighbor-advert } ct state new,established,related accept
          # SSH zur Firewall selbst: aus dem LAN immer, aus dem WAN nur vom Admin-Host
-         iifname $LAN_IF tcp dport 22 accept
+         iifname $LAN_IF tcp dport 22 ct state new,established accept
-         iifname $WAN_IF ip saddr $ADMIN_IP tcp dport 22 accept
+         iifname $WAN_IF ip saddr $ADMIN_IP tcp dport 22 ct state new,established accept
+     }
@@ Zeile 140: / Zeile 146: @@
          type filter hook forward priority 0; policy drop;
          ct state invalid drop
-         icmp type echo-request accept
+         icmp type echo-request ct state new,established,related accept
          # lan -> wan und lan -> dmz: alles erlaubt
-         iifname $LAN_IF accept
+         iifname $LAN_IF ct state new,established,related accept
          # dmz -> wan: alles erlaubt
-         iifname $DMZ_IF oifname $WAN_IF accept
+         iifname $DMZ_IF oifname $WAN_IF ct state new,established,related accept
          # wan -> dmz: nur DNS auf ns, HTTP/HTTPS auf http
-         iifname $WAN_IF oifname $DMZ_IF ip daddr $NS_IP udp dport 53 accept
+         iifname $WAN_IF oifname $DMZ_IF ip daddr $NS_IP udp dport 53 ct state new,established,related accept
-         iifname $WAN_IF oifname $DMZ_IF ip daddr $NS_IP tcp dport 53 accept
+         iifname $WAN_IF oifname $DMZ_IF ip daddr $NS_IP tcp dport 53 ct state new,established,related accept
-         iifname $WAN_IF oifname $DMZ_IF ip daddr $HTTP_IP tcp dport { 80, 443 } accept
+         iifname $WAN_IF oifname $DMZ_IF ip daddr $HTTP_IP tcp dport { 80, 443 } ct state new,established,related accept
          # wan -> lan und dmz -> lan: keine Regel = drop (Policy greift)
@@ Zeile 167: / Zeile 172: @@
      chain postrouting {
-         type nat hook postrouting priority 100;
+         type nat hook postrouting priority 100; policy accept;
          oifname $WAN_IF masquerade
+     }