---
id: N6
titel: Zwischen Netzen – Routing und Firewallregeln
block: netzwerk
woche: 11
worum: Netze zu trennen ist leicht. Die Kunst ist, genau den Verkehr durchzulassen, der gebraucht wird, und zu wissen, welcher Weg genommen wird.
rahmenplan: [B2, A6, A8]
lernfeld: LF9
merksatz: Die genaueste Route gewinnt. Regeln von oben nach unten, die erste passende entscheidet, am Ende ist alles verboten.
karten:
  - frage: Welche Route wählt ein Router, wenn mehrere Einträge auf ein Ziel passen?
    antwort: Die genaueste, also die mit dem längsten Präfix. Für 10.10.30.7 gewinnt 10.10.30.0/24 gegen 10.10.0.0/16, und beide gewinnen gegen die Standardroute 0.0.0.0/0.
  - frage: In welcher Reihenfolge werden Firewallregeln ausgewertet?
    antwort: Von oben nach unten. Die erste Regel, auf die ein Paket passt, entscheidet; alle weiteren werden nicht mehr geprüft. Passt keine, greift die Grundregel am Ende – üblicherweise blockieren.
  - frage: Was bedeutet, dass eine Firewall zustandsbehaftet arbeitet?
    antwort: Sie merkt sich erlaubte Verbindungen und lässt die zugehörigen Antworten von selbst durch. Man muss deshalb nur die Richtung erlauben, in der die Verbindung aufgebaut wird.
---

## Das Wesentliche

- **Eine Routingtabelle** sagt für jedes Zielnetz, wohin ein Paket als Nächstes geht:
  Zielnetz, nächster Router (Next Hop) und Schnittstelle.
- **Die genaueste Route gewinnt** (längstes Präfix). Passt nichts Genaueres, greift die
  **Standardroute** `0.0.0.0/0` – meist Richtung Internet.
- **Routen entstehen** von selbst für direkt angeschlossene Netze, statisch von Hand oder
  dynamisch über Routingprotokolle. Im kleinen Betrieb reichen fast immer direkt
  angeschlossene Netze und eine Standardroute.
- **Zwischen VLANs** routet der Router, die Firewall oder ein Layer-3-Switch. Steht dort eine
  Firewall, wird aus „getrennt" endlich „geregelt".
- **Eine Firewallregel** besteht aus Quelle, Ziel, Dienst (Protokoll und Port) und Aktion.
  Gute Regeln sind so eng wie möglich: nicht „Verwaltung darf ins Servernetz", sondern
  „Verwaltung darf den Dateiserver über SMB".
- **Von oben nach unten, erste Regel gewinnt.** Eine weite Erlaubnis oben macht jede Sperre
  darunter wirkungslos. Spezielle Regeln nach oben, allgemeine nach unten.
- **Grundregel blockieren.** Was nicht ausdrücklich erlaubt ist, ist verboten – nicht
  umgekehrt.
- **Zustandsbehaftet:** Antworten auf erlaubte Verbindungen kommen von selbst durch. Eine
  zweite Regel für die Rückrichtung ist überflüssig und meist ein Zeichen dafür, dass jemand
  das Prinzip nicht kannte.
- **Jede Regel braucht eine Beschreibung** mit Zweck und Ticketnummer. Eine Regel, deren Zweck
  niemand kennt, traut sich keiner zu löschen.

## Übersicht

| Nr. | Quelle | Ziel | Dienst | Aktion | Zweck |
|---|---|---|---|---|---|
| 1 | Gäste | Firewall (Gateway Gäste) | DNS | erlauben | Namensauflösung |
| 2 | Gäste | alle internen Netze | alle | blockieren | Gäste bleiben draußen |
| 3 | Gäste | beliebig | HTTP, HTTPS | erlauben | Internetzugang |
| 4 | Verwaltung | Dateiserver | SMB | erlauben | Ablagen |
| 5 | Verwaltung | Druckernetz | Druckdienst | erlauben | Drucken |
| 6 | beliebig | beliebig | alle | blockieren | Grundregel |

Regel 1 steht vor der Sperre, weil das Gateway der Gäste – hier 10.10.90.1 – selbst in einem
internen Adressbereich liegt. Andersherum würde Regel 2 auch die Namensauflösung sperren.

## Prüfungsfrage

**Frage:** Ein Router hat folgende Einträge: `0.0.0.0/0 → 192.0.2.1`,
`10.10.0.0/16 → 10.0.0.2`, `10.10.30.0/24 → 10.0.0.3`. Wohin leitet er Pakete an
10.10.30.7, 10.10.40.5 und 8.8.8.8? Begründen Sie.

**Antwort:** 10.10.30.7 passt auf alle drei Einträge; gewählt wird der genaueste,
`10.10.30.0/24`, also an 10.0.0.3. 10.10.40.5 passt auf `10.10.0.0/16` und die
Standardroute; der genauere Eintrag gewinnt, also an 10.0.0.2. 8.8.8.8 passt nur auf die
Standardroute und geht an 192.0.2.1. Maßgeblich ist jeweils die Präfixlänge, nicht die
Reihenfolge der Einträge in der Tabelle.