Wie kann man den Internetzugriff ausschließlich aufs Surfen beschränken?

In diesem Konfigurationsbeispiel wird erläutert, wie Sie mit Hilfe der Router-Firewall den Internetzugang Ihrer Clients lediglich auf das Surfen im Web-Browser beschränken können. Alle anderen Anwendungen oder Dienste, welche nicht die unten genannten Ports benötigen, werden geblockt.

Für den Aufruf und die Namensauflösung von Webseiten werden folgende Ports benötigt:

Internetzugriff einschränken

  • HTTP, TCP 80
  • HTTPS, TCP 443
  • DNS, UDP 53

Nun gilt es den Clients ausschließlich die Verwendung dieser Ports zu erlauben und alles andere zu blocken.

Um dies umzusetzen beginnt die Konfiguration zunächst im Router-Menü zu Objects Setting >> Service Type Object.
Klicken Sie hier auf einen freien Index.

Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup

Firewall >> Filter-Setup

Hier legen wir zunächst die 3 benötigten Services (HTTP, HTTPS und DNS) fest.

  1. Geben Sie dem Service Type Object einen Namen
  2. Passen Sie das Protocol an
  3. Passen Sie den Destination Port an

Wiederholen Sie die Schritte für HTTPS und DNS.

Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup

Firewall >> Filter-Setup

Wenn Sie diese 3 Objekte angelegt haben, gehen Sie zu Objects Setting >> Service Type Group.

Klicken Sie hier auf einen freien Index und fügen Sie die Objekte der Gruppe hinzu.

Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup

Firewall >> Filter-Setup

Nun kann die Konfiguration der Router-Firewall beginnen. Gehen Sie dafür zu Firewall >> Filter Setup und klicken dort auf den Filtersatz 2.

Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup

Firewall >> Filter-Setup

Klicken Sie dort auf die Filterregel 2.

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Bearbeiten Sie die Regel wie folgt:

  1. Aktivieren Sie die Regel
  2. Vergeben Sie einen Kommentar (optional)
  3. Ändern Sie die Direction auf "LAN/DMZ/RT/VPN -> WAN"
  4. Passen Sie die Source IP an. Sie können es auch bei "Any" belassen damit diese Regel für alle Clients gilt
  5. Bei Destination IP sollte "Any" ausgewählt bleiben
  6. Bei Service Type gehen Sie auf Edit und stellen dort den Service Type um auf "Group and Objects". Anschließend können Sie bei Service Group Ihre angelegte Gruppe auswählen
  7. Stellen Sie die Action auf "Pass immediately"
Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Abschließend wird noch eine weitere Filterregel benötigt, die alle nicht hinterlegten Services blockt.

Dazu klicken Sie auf die Firewall-Regel 3 und konfigurieren Sie diese wie folgt:

  1. Aktivieren Sie die Regel
  2. Vergeben Sie einen Kommentar (optional)
  3. Passen Sie die Source IP an. Sie können es auch bei "Any" belassen damit diese Regel für alle Clients gilt
  4. Stellen Sie die Action auf "Block immediately"
Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Die Filtersätze bzw. Filterregeln werden von oben nach unten abgearbeitet. Somit ist nach der Konfiguration sichergestellt, dass ausschließlich die angegebenen Ports erlaubt sind. Die Anfragen zu anderen Ports werden geblockt.

Erweiterte Einrichtung

Nach diesem Prinzip kann die Pass-Regel natürlich um weitere erlaubte Ports erweitert werden.