Firewalls: Stateful, Stateless und Next-Generation
Eine Firewall kontrolliert Netzwerkverkehr nach Regeln. Je nach Technik unterscheidet man mehrere Generationen.
Stateless (Packet Filter)
Prüft jeden Paket einzeln gegen Regeln (IP, Port, Protokoll). Schnell und günstig, aber ohne Kontext: Ein erlaubtes Antwortpaket kann nicht von einem unerwünschten unterschieden werden.
Stateful
Merkt sich Verbindungszustände (Connection Tracking). Antwortpakete zu bestehenden Verbindungen werden automatisch erlaubt. Standard in modernen Systemen (iptables conntrack, pf, nftables).
Next-Generation (NGFW)
Zusätzlich Deep Packet Inspection (DPI), Anwendungserkennung, IDS/IPS, TLS-Inspektion. Erkennt z.B. SQL-Injection oder Malware im Datenstrom – auch auf Port 443.
Praxis-Tipps
- Default-Deny: Alles blockieren, nur Benötigtes erlauben.
- Regeln minimal und dokumentiert halten.
- Management-Zugriff nur aus vertrauenswürdigen Netzen. Große Sperrlisten verwaltet ipset.
Weiterführend: Netzwerk: Sicherheit.