192 lines
8.9 KiB
JSON
192 lines
8.9 KiB
JSON
{
|
|
"format": 1,
|
|
"name": "Firewall-Rollout OPNsense",
|
|
"beschreibung": "Austausch oder Neuaufbau einer OPNsense-Firewall: von den Providerdaten über Regelwerk und VPN bis zur Abnahme und zur außer Betrieb genommenen Altfirewall.",
|
|
"kategorie": "Netzwerk",
|
|
"schlagworte": ["firewall", "opnsense", "netzwerk", "vpn", "rollout"],
|
|
"struktur": {
|
|
"variablen": [
|
|
{
|
|
"schluessel": "wan_typ",
|
|
"beschriftung": "WAN-Typ",
|
|
"typ": "AUSWAHL",
|
|
"optionen": ["DHCP", "Statisch", "PPPoE"],
|
|
"pflicht": true
|
|
},
|
|
{ "schluessel": "lan_netz", "beschriftung": "LAN-Netz", "typ": "TEXT", "pflicht": true },
|
|
{
|
|
"schluessel": "vpn_typ",
|
|
"beschriftung": "VPN-Typ",
|
|
"typ": "AUSWAHL",
|
|
"optionen": ["WireGuard", "OpenVPN", "IPsec", "Keines"]
|
|
}
|
|
],
|
|
"abschnitte": [
|
|
{
|
|
"titel": "Vorbereitung",
|
|
"schritte": [
|
|
{
|
|
"titel": "Zugangsdaten des Providers vorhanden, WAN-Typ: {{wan_typ}}",
|
|
"hilfetext": "Bei PPPoE Benutzername und Passwort, bei einer statischen Leitung Adresse, Netzmaske und Gateway. Fehlt eine Angabe, steht der Umbau mitten im Wartungsfenster still.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Netzplan mit VLANs und Adressbereichen abgestimmt, LAN: {{lan_netz}}",
|
|
"hilfetext": "Jedes VLAN braucht ID, Adressbereich und Zweck. Überschneidungen mit den Netzen der Gegenstellen fallen sonst erst beim ersten VPN-Tunnel auf.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Wartungsfenster mit den betroffenen Abteilungen vereinbart",
|
|
"hilfetext": "Der Umbau trennt Internet und alle Dienste hinter der Firewall. Telefonie, Filialanbindung und externe Dienstleister ausdrücklich mitnennen.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Konfiguration der Altfirewall gesichert",
|
|
"hilfetext": "Vollständiger Konfigurationsexport, dazu Ausdruck oder Screenshots des Regelwerks. Das ist der einzige Rückweg, wenn später eine Regel fehlt.",
|
|
"pflicht": true
|
|
}
|
|
]
|
|
},
|
|
{
|
|
"titel": "Grundkonfiguration",
|
|
"schritte": [
|
|
{
|
|
"titel": "Aktuelle Firmware installiert",
|
|
"hilfetext": "Vor dem Einrichten aktualisieren, nicht danach: ein Update startet die Firewall neu und setzt Dienste neu auf.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Firmware-Version",
|
|
"hilfetext": "Genau so eintragen, wie das Dashboard sie anzeigt. Damit lässt sich ein späteres Fehlverhalten einer Version zuordnen.",
|
|
"typ": "TEXT",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Hostname, Domain, Zeitzone, NTP gesetzt",
|
|
"hilfetext": "Eine falsche Uhr macht Zertifikate, VPN-Aushandlung und Logauswertung unbrauchbar. NTP-Quelle nicht nur eintragen, sondern die Synchronisation prüfen.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Admin-Zugang: eigenes Konto, Passwort im Passwortmanager, Root-Login per Passwort eingeschränkt",
|
|
"hilfetext": "Persönliches Konto je Techniker, damit das Log zeigt, wer etwas geändert hat. root bleibt für den Notfall, möglichst nur per Schlüssel.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "WebGUI nur aus Management-Netz erreichbar, HTTPS",
|
|
"hilfetext": "Von außen gegenproben: die Oberfläche darf auf der WAN-Seite nicht antworten. Ein selbstsigniertes Zertifikat ist in Ordnung, unverschlüsseltes HTTP nicht.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "WAN eingerichtet und Internetzugang getestet",
|
|
"hilfetext": "Nicht nur den Link prüfen, sondern Namensauflösung und einen echten Abruf. Bei PPPoE auf die MTU achten, sonst brechen einzelne Seiten ab.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "LAN und VLANs mit DHCP eingerichtet",
|
|
"hilfetext": "Je Netz Bereich, Gateway, DNS und Leasedauer. Feste Reservierungen für Drucker und Server aus der Altkonfiguration übernehmen.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "DNS-Resolver konfiguriert",
|
|
"hilfetext": "Interne Zonen an den Domänencontroller weiterleiten, alles andere nach außen auflösen. Sonst findet kein Client mehr seine Freigaben.",
|
|
"pflicht": true
|
|
}
|
|
]
|
|
},
|
|
{
|
|
"titel": "Regelwerk",
|
|
"schritte": [
|
|
{
|
|
"titel": "Regeln pro Netz nach Konzept, keine Any-Any-Regeln zwischen den VLANs",
|
|
"hilfetext": "Jede Regel mit Beschreibung anlegen. Die Trennung der Netze ist der ganze Sinn der Übung, und eine einzige Any-Any-Regel hebt sie wieder auf.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Gäste- und IoT-Netz vom internen Netz getrennt",
|
|
"hilfetext": "Aus dem Gastnetz gegenproben: Ping und Zugriff auf eine interne Freigabe müssen scheitern. Auch den Weg über DNS und Multicast mitprüfen.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Portweiterleitungen nur soweit nötig und dokumentiert",
|
|
"hilfetext": "Jede Weiterleitung ist ein Loch nach innen. Quelladressen einschränken, wo es geht, und RDP niemals offen ins Internet stellen.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Eingerichtete Portweiterleitungen",
|
|
"hilfetext": "Je Zeile externer Port, Ziel und Zweck. Wer das nicht notiert, sucht in einem Jahr, wozu Port 8443 einmal gehörte.",
|
|
"typ": "TEXT",
|
|
"konfig": { "mehrzeilig": true }
|
|
}
|
|
]
|
|
},
|
|
{
|
|
"titel": "VPN und Dienste",
|
|
"schritte": [
|
|
{
|
|
"titel": "VPN eingerichtet: {{vpn_typ}}",
|
|
"hilfetext": "Der Adressbereich des Tunnels darf sich mit keinem Netz auf beiden Seiten überschneiden. Zugriff auf das Nötige begrenzen, nicht auf alles."
|
|
},
|
|
{
|
|
"titel": "VPN-Zugriff von extern getestet",
|
|
"hilfetext": "Aus einem fremden Netz testen, etwa über das Mobilfunknetz. Ein Test aus dem eigenen LAN sagt über den Zugang von draußen nichts."
|
|
},
|
|
{
|
|
"titel": "Dynamisches DNS eingerichtet (falls keine feste IP)",
|
|
"hilfetext": "Nach dem Einrichten eine Aktualisierung erzwingen und den Namen auflösen. Ohne feste Adresse hängt der ganze VPN-Zugang daran."
|
|
}
|
|
]
|
|
},
|
|
{
|
|
"titel": "Betrieb",
|
|
"schritte": [
|
|
{
|
|
"titel": "Automatische Konfigurationssicherung eingerichtet",
|
|
"hilfetext": "Ziel außerhalb der Firewall wählen, sonst ist die Sicherung mit dem Gerät verloren. Einmal eine Sicherung herunterladen und hineinsehen.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Syslog an zentralen Logserver",
|
|
"hilfetext": "Lokal hält die Firewall nur wenige Tage vor. Erst ein externer Empfänger macht Regelfehler und Angriffe im Nachhinein nachvollziehbar.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Monitoring eingerichtet (SNMP/Agent, WAN-Verfügbarkeit)",
|
|
"hilfetext": "Neben der Erreichbarkeit auch Durchsatz, Auslastung und Zustand des WAN-Gateways erfassen. Einen Alarm einmal auslösen und die Benachrichtigung abwarten.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Benachrichtigungen bei Firmware-Updates geklärt",
|
|
"hilfetext": "Festlegen, wer von neuen Versionen erfährt und wer über den Einbau entscheidet. Sicherheitsupdates einer Firewall dulden keine Wochen.",
|
|
"pflicht": true
|
|
}
|
|
]
|
|
},
|
|
{
|
|
"titel": "Abnahme",
|
|
"schritte": [
|
|
{
|
|
"titel": "Funktionstest vor Ort: Internet, interne Dienste, Drucker, Telefonie, VPN",
|
|
"hilfetext": "Mit einem echten Arbeitsplatz durchgehen, nicht vom Technikerlaptop aus. Telefonie zuletzt prüfen, denn SIP scheitert am ehesten an NAT-Einstellungen.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Altfirewall außer Betrieb, zurückgesetzt bzw. sicher gelöscht",
|
|
"hilfetext": "Bis zur Abnahme nur vom Netz nehmen, erst danach zurücksetzen. Auf dem Gerät stehen Zugangsdaten, Zertifikate und VPN-Schlüssel.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Netzwerkdokumentation aktualisiert",
|
|
"hilfetext": "VLANs, Adressbereiche, Regelwerk, Weiterleitungen und Zugänge nachziehen. Die Dokumentation von gestern beschreibt noch die Altfirewall.",
|
|
"pflicht": true
|
|
},
|
|
{
|
|
"titel": "Abnahme durch den Verantwortlichen",
|
|
"hilfetext": "Mit Namen und Datum festhalten. Was danach kommt, ist eine Änderung und kein Teil des Rollouts mehr.",
|
|
"pflicht": true
|
|
}
|
|
]
|
|
}
|
|
]
|
|
}
|
|
}
|