| Firewall für Rechner im LAN öffnen |
|
In der Grundeinstellung erlaubt die SX-GATE-Firewall keine direkten Verbindungen in das Internet. Beachten Sie zu diesem Thema bitte auch den Artikel Firewall Grundeinstellung. Muss ein Rechner im LAN dennoch eine direkte Verbindung zu einem Server im Internet herstellen können, so ist sowohl die TCP/IP-Konfiguration des internen Rechners als auch die Firewall-Konfiguration des SX-GATE entsprechend einzustellen.
Konfiguration des Rechners im LAN Wird dem Rechner die IP-Konfiguration per DHCP dynamisch zugewiesen, so sind die entsprechenden Einstellungen auf dem DHCP-Server zu prüfen. Andernfalls erfolgt die Konfiguration auf dem Rechner selbst. Hinterlegen Sie die IP-Adresse des SX-GATE als Gateway (Standard-Gateway, Router) und als Namens-Server (DNS). Bitte löschen Sie eventuell vorhandene andere Adressen bei diesen beiden Einstellungen, da es sonst zu Konflikten kommen kann. Konfiguration des SX-GATE Setzen Sie zunächst den Parameter "IP-Routing" direkt unter "Expertenmodus -> Firewall" Um im Firewall eine bestimmte Anwendung freischalten zu können, müssen Sie deren Portnummer kennen. Ist Ihnen diese nicht bekannt, so prüfen Sie bitte die Dokumentation der Anwendung oder fragen Sie deren Hersteller. Schließlich können Sie auch einfach einen Zugriffsversuch starten und dann mit Hilfe von SX-GATEs Firewall-Log die genutzte Port-Nummer ermitteln (DPT=). Ab SX-GATE Version 5.0 gehen Sie dann bitte wie folgt vor: • Öffnen Sie das Menü "Expertenmodus -> Firewall -> Protokolle" • Eine Reihe von häufig genutzten Protokollen mit den zugehörigen Portsignaturen ist dort bereits vordefiniert. Falls das von Ihnen benötigte Protokoll bereits vorhanden ist, brauchen Sie hier keine Änderung vornehmen • Andernfalls legen Sie bitte mit "Neu..." eine neues Protokoll an • Fügen Sie darin die notwendigen Signaturen hinzu. Die Voreinstellungen für neue Einträge (Protokoll tcp, Quell-Port 1024-65535) sind in den meisten Fällen zutreffend. Lediglich unter "Ziel-Port" müssen Sie die benötigte Nummer eintragen • Klicken Sie "Übernehmen" nachdem alle erforderlichen Einträge hinzugefügt wurden. Die benötigte Regel muss nun in der Firewall-Konfiguration der Internet-Schnittstelle eingetragen werden • Klicken Sie dazu im geöffneten Menü "Expertenmodus -> Firewall" den Namen Ihrer Internet-Schnittstelle an (in der Regel ippp0, adsl0 oder eth1) • Der Parameter "Klassifizierung (Vertrauen)" dieser Schnittstelle sollte auf "Internet (keines)" stehen Sie haben nun zwei Möglichkeiten, die Freigabe im Firewall einzutragen (im Beispiel sei "adsl0" der Name der Internet-Schnittstelle): Einfache Variante: Anwendung darf von allen Rechnern im LAN entweder alle oder einen bestimmten Server im Internet kontaktieren • Wechseln Sie auf den Reiter "LAN -> adsl0" • Ab Version 5.0 wählen Sie bitte das vordefinierte bzw. zuvor angelegte Protokoll. Bis Version 4.2 ist hier stattdessen das IP-Protokoll anzugeben (in der Regel TCP) • Tragen Sie die IP-Adresse des Internet-Servers ein oder lassen Sie das Feld für die Ziel-IP frei um den Zugriff auf alle Server im Internet zu erlauben • Bis Version 4.2 ist zusätzlich die Port-Nummer der Anwendung anzugeben • Fügen Sie nun die Regel hinzu und übernehmen Sie die Änderungen Detaillierte Variante: Nur bestimmte Rechner im LAN und/oder nur ein bestimmtes Server-Netzwerk im Internet dürfen genutzt werden • Wechseln Sie auf den Reiter "* -> adsl0" • Ab Version 5.0 wählen Sie bitte das vordefinierte bzw. zuvor angelegte Protokoll. Bis Version 4.2 ist hier stattdessen das IP-Protokoll anzugeben (in der Regel TCP) • Soll nur ein einzelner Rechner im LAN die Verbindung aufbauen dürfen, so geben Sie bitte dessen Adresse als "Quell-IP" ein. Das Feld für die "Netzmaske" bleibt leer. Dürfen sich alle Rechner im LAN verbinden, so geben Sie bitte als "Quell-IP" die Netzwerk-Adresse Ihres LANs und die zugehörige Netzmaske an • Bis Version 4.2 kann hier noch der "Quell-Port" angeben werden. In der Regel ist "1024:65535" der optimale Wert. Sie können das Feld aber auch leer lassen. • Darf nur ein bestimmter Server im Internet kontaktiert werden, so geben Sie dessen Adresse bitte als "Ziel-IP" ein. Lassen Sie das Feld leer wenn alle Server kontaktiert werden dürfen. Das Feld für die "Netzmaske" bleibt in beiden Fällen leer. Soll hingegen ein ganzes Ziel-Netzwerk freigegeben werden, so geben Sie bitte die Netzwerk-Adresse mit der zugehörigen Netzmaske an • Bis Version 4.2 ist zudem noch die Port-Nummer der Anwendung unter "Ziel-Port" einzutragen • Aktivieren Sie die NAT-Option • Fügen Sie nun die Regel hinzu und übernehmen Sie die Änderungen |
