English
Deutsch
PolskiUniFi Zone Matrix: Richtlinienzustände für Server-, CCTV- und IoT-Netze
Inhalt
Die UniFi Zone Matrix fasst Firewall-Richtlinien zwischen Netzwerkzonen zusammen. Eine Zone bündelt Schnittstellen oder Netze; eine Richtlinie bestimmt zulässigen Datenverkehr. Das Raster erleichtert den Überblick. Für die tatsächliche Wirkung bleibt jedoch die konkrete Regelliste entscheidend.
Quelle und Ziel getrennt lesen
Die Zeilen zeigen die Quelle, die Spalten das Ziel. Internal → Server Network beschreibt damit Verkehr aus Internal in die Serverzone. Das umgekehrte Feld betrifft eine eigene Richtung. Gemeint sind Filterregeln, keine Routingtabelle und keine physische Trennung.
- Allow All: erlaubt den Verkehr für das dargestellte Zonenpaar.
- Allow Return: bezeichnet eine Konfiguration mit zulässigen Antworten auf erlaubte Verbindungen, ohne neue Verbindungen in Gegenrichtung allgemein freizugeben. Die wirksame Rückverkehrsregel ist zu prüfen.
- Block All: sperrt die erfasste Richtung. Eine vorrangige Ausnahme kann das tatsächliche Ergebnis verändern.
- Policies: mehrere konkrete Erlaubnis- und Sperrregeln gelten; deren Liste muss geprüft werden.
Beispiel: Zugriff auf einen Server
Ein Laptop benötigt HTTPS-Zugriff auf ein NAS. Eine gezielte Freigabe vom Laptopnetz zur NAS-Adresse auf TCP-Port 443 beschreibt diesen Bedarf genauer als eine Freigabe sämtlicher Dienste aller Server. Der Rückverkehr muss erlaubt sein, beispielsweise durch die zugehörige automatische Rückverkehrsregel.
Eine vom NAS neu gestartete Verbindung zum Laptop bleibt gesperrt, solange kein eigener Dienst diese Richtung benötigt. Das begrenzt einen Angriffsweg. Ein kompromittierter Server kann trotzdem schädliche Inhalte innerhalb einer erlaubten Sitzung liefern. Systemupdates und Zugriffsschutz der Anwendung bleiben erforderlich.
Beispiel: Kameras und IoT
Ein eigenes IoT-VLAN mit einer benutzerdefinierten Zone macht die gewünschte Grenze deutlich. DMZ und Hotspot haben unterschiedliche Standardzwecke und Regeln; die Namen sind keine austauschbaren Kameranetz-Voreinstellungen.
Zugriff benötigen nur die vorgesehenen Steuergeräte beziehungsweise Rekorder und die nötigen Ports. Von Kameras gesendete Ereignisse, DNS und Zeitsynchronisierung können eigene Regeln erfordern. IoT → External zu sperren kann direkten Internetzugriff über dieses Gateway unterbinden, verhindert aber auch Cloud-Funktionen und Updates. Verkehr zum Gateway selbst ist gesondert zu betrachten.
Zwei Kameras im selben lokalen Netz können direkt miteinander kommunizieren, ohne die Gateway-Firewall zu passieren. Zonenregeln allein isolieren deshalb keine Endgeräte innerhalb dieses Netzes. Dafür können zusätzliche Switch- oder WLAN-Isolationsfunktionen nötig sein.
Die beabsichtigte Grenze prüfen
Ein Praxistest umfasst vier Fälle: Eine erlaubte Verbindung funktioniert, die Antwort kommt an, eine unerlaubte neue Gegenverbindung scheitert und eine unerlaubte Internetverbindung scheitert. Bei aktivem Dual Stack sind IPv4 und IPv6 zu prüfen. Entscheidend sind echte Anwendungsports, nicht nur Ping. Regelreihenfolge und Protokolle helfen bei unerwarteten Ergebnissen.
Fragen und Antworten
Gelten VPN-Clients automatisch als vertrauenswürdige Internal-Geräte?
Nein. UniFi besitzt eine VPN-Zone für Fernzugriff und Standortkopplung; externe VPN-Client-Verbindungen haben eine andere Rolle. Vor neuen Regeln sind die tatsächliche Schnittstellenzuordnung und der benötigte Zugriff zu prüfen.
Kann ein einzelnes Gerät eine Ausnahme erhalten?
Eine Richtlinie kann den Zugriff auf ein Gerät oder eine Adresse eingrenzen, ohne das ganze Netz zu verschieben. Adressbasierte Regeln benötigen stabile Adressen. Eine DHCP-Reservierung allein authentifiziert jedoch kein Gerät und verhindert keine Adressfälschung.
Beweist Block All vollständige Isolation?
Nein. Der betreffende Verkehr muss das durchsetzende Gateway passieren und zu den vorgesehenen Regeln passen. Andere Schnittstellen, Verkehr im selben Netz, ausdrückliche Ausnahmen und Anwendungszugriffe sind gesondert zu betrachten.
Passend dazu
