{"id":2187,"date":"2010-02-05T22:19:00","date_gmt":"2010-02-05T21:19:00","guid":{"rendered":"https:\/\/www.boc.de\/watchguard-info-portal\/vorsicht-bei-deny-firewall-rules-auf-der-x-edge\/"},"modified":"2016-08-23T15:58:01","modified_gmt":"2016-08-23T13:58:01","slug":"vorsicht-bei-deny-firewall-rules-auf-der-x-edge","status":"publish","type":"post","link":"https:\/\/wordpress.boc.de\/watchguard-info-portal\/2010\/02\/vorsicht-bei-deny-firewall-rules-auf-der-x-edge\/","title":{"rendered":"Vorsicht bei „Deny“ Firewall Rules auf der X Edge!"},"content":{"rendered":"

Durch die Migration einer Firebox X Edge von der Version 10 auf die neue Fireware XTM v11.x \u00e4ndert sich unter anderem auch die Reihenfolge, in der die Firewallregeln ausgef\u00fchrt werden<\/strong>. Unter Version 10 war es kein Problem, bei Firewall > Outgoing<\/em> die nicht ben\u00f6tigten Services auf „Deny“ (roter Hintergrund) zu setzen, solange z.B. die „Outgoing“-Regel selbst auf „Allow“ (gr\u00fcner Hintergrund) stand.<\/p>\n

Bei Fireware XTM v11.x ist es anders. Dies zeigt dieser Supportfall: Kunde f\u00fchrt ein Update einer X Edge mit 10-er Software auf Fireware XTM v11.x durch. Das Update l\u00e4uft erfolgreich durch. Anschlie\u00dfend ist pl\u00f6tzlich kein HTTP-Zugriff mehr auf das Internet m\u00f6glich. Beim Versuch, auf das Webinterface der X Edge (neu, Port 8080) zuzugreifen, erscheint die Meldung, dass hierf\u00fcr zun\u00e4chst der Adobe Flash Player heruntergeladen und installiert werden m\u00fcsse. Dumm gelaufen, HTTP funktioniert ja gerade eben nicht… Gut, wenn noch ein weiterer PC lokal vorhanden ist, auf dem schon Flash installiert ist und man von diesem PC aus auf das Webinterface der X Edge zugreifen kann – oder wenn vor der Migration eine Remote Access Regel f\u00fcr Port 8080 (Firewall > Incoming<\/em>) angelegt wurde, die einem externen Supporter Zugang zu dem Ger\u00e4t erm\u00f6glicht… \ud83d\ude09 Dieser konnte so die „Deny“-Regel f\u00fcr HTTP aus dem Regelwerk l\u00f6schen, die nun „weiter oben“ sa\u00df und dadurch den kompletten HTTP-Verkehr verhinderte.<\/p>\n

Meine Empfehlung: Pr\u00fcfen Sie vor der Migration einer X Edge von Version 10 auf Fireware XTM v11.x, ob es Firewallregeln gibt, die auf „Deny“ stehen (roter Hintergrund). Wenn es hierf\u00fcr keinen dringenden Grund gibt, sollten Sie diese Regeln auf „No Rule“ setzen (grauer Hintergrund). Nach der Migration wird das Regelwerk wesentlich anschaulicher dargestellt und Sonderregelungen k\u00f6nnen hier viel einfacher eingebaut werden.<\/p>\n