Dienstdefinitionen

Auf der Seite Definitionen & Benutzer > Dienstdefinitionen werden die Dienste und die Dienstgruppen zentral definiert und verwaltet. Dienste sind Definitionen bestimmter Arten von Netzwerkverkehr und bestehen aus einem Protokoll, z.B. TCPTransmission Control Protocol oder UDPUser Datagram Protocol, und protokollbezogenen Optionen wie Portnummern. Mittels der Dienste können Sie bestimmen, welche Arten von Netzwerkverkehr von der UTM angenommen oder abgelehnt werden.

Tipp – Durch einen Klick auf das Infosymbol einer Dienstdefinition in der Liste Dienstdefinitionen können Sie alle Konfigurationsoptionen sehen, in denen diese Dienstdefinition verwendet wird.

Um eine Dienstdefinition anzulegen, gehen Sie folgendermaßen vor:

1. Klicken Sie auf der Seite Dienstdefinitionen auf Neue Dienstdefinition.

   Das Dialogfeld Neue Dienstdefinition hinzufügen wird geöffnet.

2. Nehmen Sie die folgenden Einstellungen vor:

   (Abhängig von dem gewählten Definitionstyp werden weitere Parameter der Netzwerkdefinition angezeigt.)

   Name: Geben Sie einen aussagekräftigen Namen für diese Definition ein.

   Definitionstyp: Wählen Sie den Definitionstyp aus. Die folgenden Typen sind verfügbar:

   • TCP: TCP-Verbindungen (Transmission Control Protocol) verwenden Portnummern von 0 bis 65535. Verlorene Pakete werden von TCP erkannt und erneut angefragt. Bei einer TCP-Verbindung informiert der Empfänger den Absender darüber, wenn er ein Paket erfolgreich erhalten hat (verbindungsbezogenes Protokoll). TCP-Sitzungen beginnen mit einem 3-Wege-Handshake, und Verbindungen werden am Ende der Sitzung geschlossen. Geben Sie die folgenden Informationen an:

     • Zielport: Geben  Sie den Zielport entweder als einzelne Portnummer (z.B. 80) oder als Bereich (z.B. 1024:64000) an. Verwenden Sie Doppelpunkte als Trennung.
     • Quellport: Geben Sie den Quellport entweder als einzelne Portnummer (z.B. 80), oder als Bereich (z.B. 1024:64000) an. Verwenden Sie Doppelpunkte als Trennung.
   • UDP: Das UDP-Protokoll (User Datagram Protocol) verwendet Portnummern zwischen 0 und 65535 und ist ein zustandsloses (engl. stateless) Protokoll. Da UDP sich keine Zustände merkt, ist es schneller als TCP, vor allem wenn es sich um das Versenden kleiner Datenmengen handelt. Diese Zustandslosigkeit bedeutet aber auch, dass UDP nicht erkennen kann, wenn Pakete verloren gehen oder verworfen (engl. drop) werden. Der Empfänger-Computer teilt dem Absender nicht mit, wenn er ein Datenpaket erhält. Wenn Sie UDP gewählt haben, können Sie die gleichen Konfigurationsoptionen bearbeiten wie bei TCP.
   • TCP/UDP: Hierbei handelt es sich um eine Kombination von TCP und UDP, die sich besonders für Anwendungsprotokolle eignet, die beide Unterprotokolle verwenden, z. B. DNS. Wenn Sie TCP/UDP gewählt haben, können Sie die gleichen Konfigurationsoptionen angeben wie bei TCP oder UDP.
   • ICMP/ICMPv6: Das ICMP-Protokoll (Internet Control Message Protocol) wird hauptsächlich dazu verwendet, Fehlermeldungen zu versenden, die angeben, dass z. B. ein angeforderter Dienst nicht verfügbar ist oder dass ein Host oder Router nicht erreicht werden kann. Nachdem Sie ICMP oder ICMPv6 gewählt haben, geben Sie den ICMP-Typ/-Code an. Beachten Sie, dass IPv4-Firewallregeln nicht für ICMPv6-Verkehr gelten und IPv6-Firewallregeln nicht für ICMP-Verkehr.
   • IP: Das Internet-Protokoll (Internet Protocol, IP) ist ein Netzwerk- und Transportprotokoll für den Datenaustausch über das Internet. Nachdem Sie IP gewählt haben, geben Sie die Nummer desjenigen Protokolls an, das in IP eingebettet werden soll, z.B. 121 (steht für das SMP-Protokoll).
   • ESP: Das ESP-Protokoll (Encapsulating Security Payload) ist Teil des IPSec-Tunnelprotokoll-Pakets, welches Verschlüsselungsdienste für Daten bietet, die über VPN-Tunnel gesendet werden. Nach der Auswahl von ESP oder AH geben Sie den Sicherheitsparameterindex (SPI) an, der in Verbindung mit der IP-Adresse die Sicherheitsparameter identifiziert. Sie können entweder einen Wert zwischen 256 und 4.294.967.296 angeben, oder die Voreinstellung des Bereichs 256 bis 4.294.967.296 (Doppelpunkt als Trennzeichen) beibehalten, insbesondere wenn Sie automatischen Schlüsselaustausch für IPsec verwenden. Beachten Sie, dass die Zahlen 1–255 von der IANA (Internet Assigned Numbers Authority) reserviert sind.
   • AH: Die Authentifizierungskopfzeile (Authentication Header, AH) ist Teil der IPsec-Tunnelprotokoll-Lösung und befindet sich zwischen der IP-Kopfzeile (header) und den Datagramm-Nutzdaten (payload), um die Integrität der Daten zu verwalten – jedoch nicht deren Geheimhaltung.
   • Gruppe: Hierbei handelt es sich um eine Art Behälter, der eine Liste anderer Dienstdefinitionen enthält. Sie können ihn verwenden, um Dienstdefinitionen zusammenzufassen, damit Ihre Konfiguration übersichtlicher wird. Nachdem Sie Gruppe gewählt haben, erscheint das Feld Mitglieder, in das Sie Gruppenmitglieder, d.h. andere Dienstdefinitionen, hinzufügen können.

   Kommentar (optional): Fügen Sie eine Beschreibung oder sonstige Informationen hinzu.

3. Klicken Sie auf Speichern.

   Die neue Definition wird in der Liste Dienstdefinitionen angezeigt.

Um eine Definition zu bearbeiten oder zu löschen, klicken Sie auf die entsprechenden Schaltflächen.

Hinweis – Der Typ der Definition kann im Nachhinein nicht mehr geändert werden. Wenn Sie den Typ einer Definition ändern wollen, müssen Sie die Dienstdefinition löschen und eine neue mit den gewünschten Einstellungen anlegen.