Linux-Firewall konfigurieren: Der ultimative Leitfaden

Um eine Linux-Firewall zu konfigurieren, legen Sie zunächst eine Standardrichtlinie fest, die alles blockiert. Anschließend erlauben Sie mit iptables oder einem Front-End wie UFW oder firewalld genau den Datenverkehr, den Ihre Dienste benötigen. Jede Linux-Distribution filtert Pakete auf Kernel-Ebene. Die folgenden Tools bieten also lediglich unterschiedliche Wege, diese eingebaute Funktion zu steuern.

Der Linux-Kernel selbst ist faktisch eine Paketvermittlungs-Firewall, denn er ist von Grund auf um die Prinzipien der Paketfilterung auf unterster Betriebssystemebene herum aufgebaut. Das zeigt, welche zentrale Rolle Firewalls für die Systemsicherheit spielen. Für alle, die sich mit IT und Linux-Sicherheit beschäftigen, ist diese Kombination ein wesentlicher Baustein auf dem Weg zu einer souveränen digitalen Verteidigung.
Eine saubere Firewall-Konfiguration sorgt dafür, dass nur legitimer Datenverkehr verarbeitet wird, und verringert so die Angriffsfläche des Systems. Durch klar definierte Regeln können Firewalls kritische Dienste und Daten wirksam abschirmen. Eine falsch eingerichtete Firewall lässt dagegen ungewollt Ports offen, legt sensible Dienste frei oder blockiert sogar legitime Vorgänge. Solche Fehlkonfigurationen sind eine offene Einladung für Angreifer und können zu Datenschutzverletzungen oder Denial-of-Service-Angriffen (DoS) führen.
Wenn Sie eine Linux-Firewall konfigurieren, prüft diese anschließend alle Datenpakete, die an das System gesendet oder von ihm verschickt werden. Anhand von Merkmalen wie Zielport, Quell-IP und Protokoll entscheidet sie auf Basis vordefinierter Regeln, ob der Datenverkehr erlaubt oder abgelehnt wird. Wenn Sie es lieber visuell nachvollziehen möchten, sehen Sie sich die Videoanleitung an: So konfigurieren Sie eine Linux-Firewall.

Best Practices für die Konfiguration einer Linux-Firewall

An der Schnittstelle von Linux-Systemadministration und Cybersicherheit ist die Firewall-Konfiguration ein Grundpfeiler der gesamten Verteidigungsarchitektur. Wer sich darin zurechtfinden will, braucht mehr als technisches Know-how: Gefragt ist ein strategisches Vorgehen, das sich an den übergeordneten Sicherheitszielen orientiert. Diese Praktiken sind dabei entscheidend:

Die Sicherheitsrichtlinie verstehen

Bevor Sie sich in Konfigurationen stürzen, sollten Sie eine klar formulierte Sicherheitsrichtlinie haben. Legen Sie fest, welche Daten und Dienste geschützt werden müssen und vor welchen Bedrohungen. So wird Ihre Firewall zu einer wirksamen ersten Verteidigungslinie. Dazu gehört nicht nur die Frage, was von wem blockiert wird: Auch informationssicherheitsrelevante Überlegungen wie die Art der Blockierung spielen hier eine Rolle.

Standardrichtlinien festlegen

Für optimale Linux-Sicherheit gilt der Grundsatz der minimalen Exposition. Als Best Practice sollten Sie standardmäßig alles blockieren und Zugänge nur dann öffnen, wenn es nötig ist. Das entspricht im Kern einer Zero-Trust-Architektur. So minimieren Sie mögliche Angriffsflächen und vermeiden ungewollte Offenlegungen. Ein typischer Anwendungsfall ist die Unterscheidung zwischen „deny“- und „drop“-Regeln in der Firewall: Erstere sendet aktiv eine REQUEST DENIED-Antwort an den Absender der Pakete, letztere verwirft die Anfragepakete stillschweigend ohne Antwort. Wer schon einmal einen Produktionsserver im offenen Internet betrieben hat, weiß, warum es klug ist, die eigene IP-Adresse nicht an beliebige Portscans zu verraten.

Ein- und ausgehenden Datenverkehr steuern

Der Fokus liegt meist darauf, unerwünschten eingehenden Datenverkehr abzuwehren. Genauso wichtig ist es jedoch, ausgehenden Datenverkehr zu überwachen und zu kontrollieren. So wird verhindert, dass möglicherweise kompromittierte Systeme im Netzwerk zu Kanälen für Datenabfluss oder andere schädliche Aktivitäten werden. Endpunkt-Infektionen auf den Laptops Ihrer Benutzer:innen können andere Rechner in Ihrem Netzwerk, etwa Netzwerkspeicher oder Unternehmensserver, leichter anstecken als externe Angreifer, nicht zuletzt wegen des bereits bestehenden Vertrauens. Deshalb hilft es, die mobile Geräteflotte Ihres Unternehmens mit Produkten wie NinjaOne Endpoint Management zu verwalten: So schützen Sie Ihr Kernnetzwerk, indem Sie Geräte vor Viren, Spyware und Cyberangriffen wie der immer häufigeren Ransomware absichern.

Dienstspezifische Regeln konfigurieren

Unterschiedliche Dienste bringen unterschiedliche Schwachstellen mit sich. Passen Sie Ihre Firewall-Regeln an diese Feinheiten an, damit jeder Dienst, ob SSH, HTTP oder FTP, seinen eigenen maßgeschneiderten Schutzschild erhält. Watchdog-Dienste wie fail2ban können außerdem die Protokolle der Dienste auf Anzeichen von Angriffen überwachen und in der Regel passende Maßnahmen ergreifen, indem sie Firewall-Regeln und Blacklists anpassen.

Firewall regelmäßig prüfen und aktualisieren

Die Bedrohungslage entwickelt sich ständig weiter, und das sollte Ihre Verteidigung ebenfalls tun. Wenn Sie Ihre Firewall-Konfigurationen regelmäßig prüfen und aktualisieren, bleiben sie robust, relevant und reaktionsfähig gegenüber der aktuellen Bedrohungslage. Im Kern geht es beim Konfigurieren einer Linux-Firewall nicht nur darum, Regeln aufzustellen. Es geht darum, ein umfassendes Schutzgeflecht zu weben, das zum Sicherheitsstandard des Unternehmens passt.

So konfigurieren Sie Ihre Linux-Firewall

Einführung in iptables und die iptables-Konfiguration

iptables ist ein leistungsfähiges Userspace-Tool zur Konfiguration von IPv4-Paketfilterregeln im Linux-Kernel. Es gehört zum netfilter-Projekt und ist das De-facto-Tool für die direkte Interaktion mit dem Paketfilter-Framework des Kernels. Über iptables können Systemadministrator:innen Regelsätze für ein- und ausgehenden Datenverkehr definieren und so das System vor potenziell schädlicher Netzwerkkommunikation abschirmen.

Die Funktionsweise von iptables beruht auf drei Hauptkomponenten

1. Tabellen: Jede Tabelle definiert eine Reihe von Chains und ist einer bestimmten Art der Paketverarbeitung zugeordnet.
2. Chains: Das sind Regelsätze, die vorgeben, wie Pakete verarbeitet werden sollen. Die drei Standard-Chains sind INPUT (für eingehende Pakete), OUTPUT (für ausgehende Pakete) und FORWARD (für weitergeleitete Pakete).

Regeln: Die Regeln innerhalb einer Chain bestimmen das Schicksal eines Pakets, also ob es akzeptiert, verworfen, abgelehnt oder anders behandelt wird.

Grundlegende iptables-Befehle und ihre Konfiguration

1. Aktuelle Regeln auflisten

sudo iptables -L -v -n
Dieser Befehl zeigt alle aktuellen Regeln der `iptables`-Firewall an.

2. Standardrichtlinien festlegen

– Gesamten eingehenden Datenverkehr standardmäßig verwerfen:
sudo iptables -P INPUT DROP
– Gesamten ausgehenden Datenverkehr standardmäßig zulassen:
sudo iptables -P OUTPUT ACCEPT

3. Bestimmten Datenverkehr zulassen

– Eingehenden SSH-Verkehr auf Port 22 zulassen:
sudo iptables -A INPUT -p tcp –dport 22 -j ACCEPT

4. Bestimmten Datenverkehr blockieren

– Eingehenden Datenverkehr von einer bestimmten IP-Adresse blockieren (z. B. `192.168.1.10`):
sudo iptables -A INPUT -s 192.168.1.10 -j DROP

5. NAT-Konfiguration (Portweiterleitung)

– Eingehenden Datenverkehr auf Port 8080 an einen internen Rechner 192.168.1.10 auf Port 80 weiterleiten:
sudo iptables -t nat -A PREROUTING -i eth0 -p tcp –dport 8080 -j DNAT –to-destination 192.168.1.10:80

6. Regeln speichern

Regeln in `iptables` sind flüchtig: Sie verschwinden beim Neustart, sofern sie nicht gespeichert werden. Mit dem Wechsel zu systemd und firewalld in vielen Distributionen hat sich ein neues Vorgehen zum Speichern und Verwalten von iptables-Regeln etabliert. So speichern Sie Ihre iptables-Regeln mit der systemd-Methode, gefolgt von einer weiteren gängigen Methode:

Die systemd-Methode

Viele moderne Linux-Distributionen nutzen systemd für die System- und Dienstverwaltung. Wenn Sie iptables mit systemd einsetzen, können Sie folgendermaßen vorgehen:
Stellen Sie zunächst sicher, dass der iptables-Dienst beim Systemstart aktiviert wird:
sudo systemctl enable iptables
Nachdem Sie Ihre iptables-Regeln konfiguriert haben, speichern Sie sie:
sudo sh -c ‚iptables-save > /etc/iptables/iptables.rules‘
Zum Wiederherstellen der Regeln beim Systemstart nutzt systemd anschließend den Dienst iptables-restore, der standardmäßig aus der Datei /etc/iptables/iptables.rules liest.

Das Plugin netfilter-persistent nutzen

Eine weitere Methode, besonders beliebt auf Debian-basierten Systemen ohne systemd, ist der Einsatz von netfilter-persistent:
Zuerst müssen Sie die nötigen Plugins installieren:
sudo apt-get install iptables-persistent
Während der Installation werden Sie in der Regel gefragt, ob Sie Ihre aktuellen iptables-Regeln speichern möchten. Falls Sie Ihre Regeln später speichern müssen, geht das so:
sudo netfilter-persistent save
Dieser Befehl speichert die aktiven iptables-Regeln, sodass sie Neustarts überdauern.
Für welche Methode Sie sich auch entscheiden: Sichern Sie Ihre iptables-Regeln regelmäßig, insbesondere vor größeren Änderungen. So haben Sie bei Fehlern oder Problemen immer eine funktionierende Konfiguration, zu der Sie zurückkehren können.
Wer `iptables` in seine Linux-Sicherheitsstrategie einbinden will, muss die Struktur und die Anforderungen des eigenen Netzwerks genau kennen. Testen Sie neue Konfigurationen immer in einer kontrollierten Umgebung und bewahren Sie Backups früherer Regelsätze auf. Die Leistungsfähigkeit und Detailtiefe von iptables macht das Tool zu einem zweischneidigen Schwert: mit Bedacht eingesetzt ist es eine beeindruckende Barriere, unbedacht genutzt kann es wichtige Netzwerkfunktionen lahmlegen.

Weitere Front-End-Tools für iptables

Zu den weiteren gängigen Konfigurationstools für iptables zählen das (ursprünglich) Ubuntu-basierte ufw (Uncomplicated Firewall), das systemd-basierte firewalld und die ConfigServer Firewall (CSF).

UFW (Uncomplicated Firewall)

UFW, kurz für Uncomplicated Firewall, soll die Konfiguration der iptables-Firewall benutzerfreundlicher machen. Ursprünglich aus Ubuntu stammend, wurde es wegen seiner Einfachheit und leichten Bedienbarkeit von vielen anderen Distributionen übernommen.

Beispiele

UFW aktivieren

• sudo ufw enable

SSH-Verkehr zulassen

• sudo ufw allow ssh

Datenverkehr von einer bestimmten IP ablehnen

• sudo ufw deny from 192.168.1.10

UFW-Status und Regeln prüfen

• sudo ufw status verbose

Firewalld (Firewall-Komponente von systemd)

firewalld bietet einen dynamischen Firewall-Manager mit Unterstützung für Netzwerk- bzw. Firewall-Zonen, über die sich die Vertrauensstufe von Netzwerkverbindungen oder Schnittstellen definieren lässt. Es verfügt über den Kommandozeilen-Client firewall-cmd und die grafische Oberfläche firewall-config und ist damit für unterschiedliche Vorlieben geeignet.

Beispiele

firewalld starten und aktivieren

• sudo systemctl start firewalld
• sudo systemctl enable firewalld

HTTP- und HTTPS-Dienste zulassen

• sudo firewall-cmd –add-service=http –permanent
• sudo firewall-cmd –add-service=https –permanent

Eine IP-Adresse blockieren

• sudo firewall-cmd –permanent –add-rich-rule=’rule family=“ipv4″ source address=“192.168.1.10″ reject‘

Konfiguration neu laden

• sudo firewall-cmd –reload

CSF (ConfigServer Firewall)

CSF ist eine funktionsreiche Firewall-Lösung für Linux-Server. Sie bietet wie die anderen Tools eine Verwaltung von `iptables`, darüber hinaus aber auch fortgeschrittene Funktionen wie Login- und Angriffserkennung sowie die Überwachung sicherheitsrelevanter Prozesse.

Beispiele

CSF installieren (etwa auf einem cPanel-Server)

• cd /usr/src
• wget https://download.configserver.com/csf.tgz
• tar -xzf csf.tgz
• cd csf
• sh install.cpanel.sh

Eine IP-Adresse zulassen

• sudo csf -a 192.168.1.20

Eine IP-Adresse blockieren

• sudo csf -d 192.168.1.10

CSF-Regeln neu laden

• sudo csf -r

Konfiguration ansehen

• sudo nano /etc/csf/csf.conf

Diese Tools bieten weit mehr Funktionen als die gezeigten Beispiele, doch als Einstieg sollte das Genannte genügen. Zu jedem dieser Firewall-Manager gibt es eine umfassende Dokumentation, die sich für vertiefte Einblicke und fortgeschrittene Konfigurationen lohnt.

ClearOS

ClearOS ist eine Linux-Distribution für die Verwaltung von Server-, Netzwerk- und Gateway-Funktionen. Sie ist benutzerfreundlich und bringt eine webbasierte Verwaltungskonsole mit. ClearOS lässt sich zwar über die grafische Oberfläche bedienen, wir zeigen hier aber einige Kommandozeilenbeispiele, um einen Eindruck von den Möglichkeiten zu geben.

Beispiele

Firewall-Modul installieren

(ausgehend von ClearOS 7, über die webbasierte Oberfläche)
Navigieren Sie zu ClearCenter → Software → Firewall und klicken Sie auf „Install“.
Firewall starten und aktivieren

• sudo systemctl start clearos-firewall
• sudo systemctl enable clearos-firewall

Einen Dienst zulassen (z. B. SSH)

• sudo firewall-cmd –zone=external –add-service=ssh –permanent
• sudo firewall-cmd –reload

Eine IP-Adresse blockieren

• sudo firewall-cmd –add-rich-rule=’rule family=“ipv4″ source address=“192.168.1.10″ reject‘ –permanent
• sudo firewall-cmd –reload

OPNsense

OPNsense ist eine kostenlose Open-Source-Plattform für Firewall und Routing auf Basis von FreeBSD. Sie ist als direkter Ersatz für pfSense konzipiert, bringt zahlreiche Funktionen mit und wird überwiegend über eine webbasierte Oberfläche verwaltet.

Konfigurationsschritte (webbasierte Oberfläche)

Zugriff auf die Weboberfläche

Nach der Ersteinrichtung erreichen Sie OPNsense in der Regel über einen Webbrowser, indem Sie die IP-Adresse des Geräts aufrufen, üblicherweise https://192.168.1.1 (Standard).
Firewall-Regeln einrichten

1. Navigieren Sie zu Firewall → Rules → LAN (oder zu der Schnittstelle, für die Sie eine Regel festlegen möchten).
2. Klicken Sie auf das Pluszeichen, um eine neue Regel hinzuzufügen.
3. Füllen Sie die Details aus, etwa Quelle, Ziel, Ports und Aktion (Allow/Deny).
4. Klicken Sie auf Save und anschließend auf Apply Changes.

NAT/Portweiterleitung

1. Navigieren Sie zu Firewall → NAT → Port Forward.
2. Klicken Sie auf das Pluszeichen, um eine neue Regel hinzuzufügen.
3. Füllen Sie die erforderlichen Felder aus, etwa Schnittstelle, Protokoll, Quell-/Ziel-IPs und Ports.
4. Klicken Sie auf Save und anschließend auf Apply Changes.

Eine IP-Adresse blockieren

1. Navigieren Sie zu Firewall → Aliases und legen Sie einen neuen Alias für die IP oder den IP-Bereich an, den Sie blockieren möchten.
2. Sobald der Alias angelegt ist, wechseln Sie zu Firewall → Rules → LAN (oder zur betreffenden Schnittstelle).
3. Erstellen Sie eine neue Regel, bei der Action auf „Block“ gesetzt ist, und verwenden Sie den Alias als Quelle oder Ziel.

Updates & Wartung

Regelmäßige Updates sind für die Sicherheit unerlässlich. Navigieren Sie zu System → Firmware → Updates, um verfügbare Updates zu prüfen und einzuspielen.

Sowohl ClearOS als auch OPNsense verfügen über Kommandozeilenfunktionen, ihre Stärke und ihr Design-Schwerpunkt liegen jedoch jeweils in der webbasierten Oberfläche, die eine intuitive Einrichtung für Anwender:innen aller Kenntnisstufen bietet. Denken Sie immer daran, Konfigurationen in einer kontrollierten Umgebung zu testen, bevor Sie sie in einer Produktivumgebung anwenden. Und legen Sie vor jeder Änderung Backups an! Die Backup-Funktion von NinjaOne unterstützt die Sicherung von Dateien und Ordnern auf Windows-, macOS- und Linux-Geräten, sodass Linux-Backups in derselben Konsole liegen wie der Rest Ihrer Endpunktflotte.

Probleme bei der Firewall-Konfiguration beheben

Häufige Probleme

• Blockierte Dienste: Legitime Dienste oder Anwendungen werden ungewollt blockiert
• Offene Schwachstellen: Ungewollt freigegebene Ports oder Dienste.
• Regelkonflikte: Überlappende oder widersprüchliche Regeln, die zu unerwartetem Verhalten führen
• Leistungseinbußen: Zu viele Regeln verringern die System- bzw. Netzwerkleistung

Diagnose & Behebung

• Protokolle & Alarmierungen: Prüfen Sie die Firewall-Protokolle regelmäßig auf Auffälligkeiten oder blockierte Aktivitäten
• Konfiguration testen: Testen Sie neue Regeln nach der Einrichtung in kontrollierten Szenarien, um das gewünschte Verhalten sicherzustellen
• Regelpriorität: Platzieren Sie spezifischere Regeln vor allgemeinen Regeln, um Konflikte zu vermeiden
• Überwachungstools nutzen: Tools wie nmap oder netstat helfen dabei, offene Ports und aktive Dienste sichtbar zu machen

Wartung & Leistung

• Regelmäßige Überprüfungen: Prüfen Sie veraltete oder überflüssige Regeln regelmäßig und entfernen Sie sie
• Updates: Halten Sie die Firewall-Software oder -Firmware aktuell, um Schwachstellen zu schließen
• Backups: Sichern Sie Konfigurationen immer, bevor Sie Änderungen vornehmen.
• Segmentierung: Setzen Sie auf Netzwerksegmentierung, um die Firewall zu entlasten und die Sicherheit zu erhöhen

Verbessern Sie Ihren Endpunktschutz mit Was ist eine Firewall-Konfiguration? So richten Sie Ihre Firewall ein.

Eine durchdachte Firewall-Konfiguration ist entscheidend für die Linux-Sicherheit

Wer Sicherheitsrichtlinien versteht, Standardregeln festlegt, Datenflüsse steuert, dienstspezifische Regeln konfiguriert und die Einrichtung regelmäßig überprüft, schützt sein System zuverlässig vor externen Bedrohungen. Eine sorgfältig konfigurierte Firewall ist nicht nur ein Türsteher, sondern eine zentrale Bastion in der gesamten Sicherheitsstrategie für Linux-Systeme. Sie blockiert nicht nur unerwünschten Datenverkehr, sondern steht für einen proaktiven Verteidigungsansatz, der Linux und die zugehörigen Geräte gegen immer neue Herausforderungen der Cybersicherheit wappnet.

Neben dem Einrichten von Firewalls und dem Befolgen von Best Practices der Cybersicherheit ist eine Lösung für das Endpunkt-Management eine der wirksamsten Möglichkeiten, Ihre Geräte zu schützen, zum Beispiel NinjaOne. Mit NinjaOne überwachen, verwalten und sichern Sie all Ihre Linux-Geräte aus der Ferne über eine einheitliche Benutzeroberfläche. Nutzen Sie die zahlreichen Automatisierungsfunktionen von NinjaOne, um Zeit zu sparen und effizienter zu arbeiten, ohne die Sicherheit Ihrer IT-Umgebung aus dem Blick zu verlieren.

Starten Sie noch heute Ihre kostenlose Testversion von NinjaOne und erleben Sie, wie einfach und effizient IT-Management sein kann.