generelle Frage zu Firewall-Regeln

ja, du kannst Regeln auch objekt-basiert bauen, mache ich fast ausschliesslich hier, zumindest dann, wenn es granularer wird / sein soll.

Erst mal Regeln, die für alle / komplette Subnetze gelten sollen und danach auf Objektebene; z.B. die Webfilter auf einzelne Geräte / User.

Aber denke daran, er arbeitet sich von oben nach unten durch. Sobald was blockiert wird, bringt ein "allow" danach nichts mehr.

Bin mir mit der Reihenfolge / Priorisierung nicht mehr ganz sicher, aber glaube es war von der Reihenfolge so:

Application Control -> Webfilter -> Firewall

Und genau das macht es dann manchmal etwas schwierig in der Konfiguration, wenn man z.B. auf Firewall-Ebene dann was blockieren möchte, es aber durch den Webfilter bereits erlaubt wird. ;)

Nein,

Wie soll das gehen?

Die UTM ist ein, wenn auch sehr komfortabler, Paketfilter. Die Filterregeln werden auf IP Pakete angewendet. Wenn du also eine Hostnamen als Objekt verwendest, wird der vorher nach der IP Adresse aufgelöst und diese in der Regel dann als Ziel oder Quelle benutzt. Die IP muss also von "irgendwo" herkommen. Du kannst auch manuelle IP-Adressen vergeben und dich dann in einem Host Objekt darauf beziehen, so macht man das mit Servern. Letztlich sorgt man ja mit einer DHCP Reservierung nur dafür, dass der Client anhand der weltweit eindeutigen Hardware-Mac wiedererkannt wird und dann die im bereits zugeordnete IP immer wieder erhält. Sonst könnte es sein, dass er eine andere IP aus dem DHCP Pool erhält. Das will man aber gerade im Zusammenhang mit Firewall Regeln vermeiden.

Hm...also von der Reihenfolge muss das anders sein, weil wenn ich in der Application Control z.B. WhatsApp oder Teamviewer freigebe wird es trotzdem blockiert bzw. funktioniert nicht. Erst wenn ich die Firewall Regeln hinzufüge läuft es.

Kann das sein?

Eventuell wirkt das ergänzend, wenn z.B. Ports verwendet werden, welche in den Signaturen für Application Control, Webfilter nicht enthalten sind. Habe ich auch schon gesehen.

Ich hatte es hier jedoch so, als ich einem Client testweise den kompletten Weg / Internet nach aussen sperren und hierzu nicht über den Webfilter gehen wollte, dass eine Deny-ANY Firewall-Regel auf das einzelne Objekt (statische IP Adresse) nicht gewirkt hat. Erst nachdem der Webfilter deaktiviert war, bzw eine Skip-Ausnahmeregel innerhalb des Webfilters gesetzt wurde.

Also, der OP hatte nach Firewallregeln gefragt, daher finde ich die Diskussion über Application Control und Webfilter für jemanden, der sich in das Thema einarbeiten möchte, eher verwirrend.

Wenn man die Funktionsweise des Paketfilters und der Wirkungsweise der Sophos GUI zur Ansteuerung erstmal verstanden hat, dann kann man sich den anderen Themen zuwenden.