Ihr könnt euer Heimnetzwerk mit einer eigenen Hardware-Firewall sichern. Dazu eignet sich beispielsweise ein Raspberry Pi. Wie das geht, erklären wir hier.
Raspberry Pi als Firewall nutzen mit IPFire
IPFire ist eine Open-Source-Firewall-Software, die auf eurem Raspberry Pi eingerichtet wird und danach euer Netzwerk überwacht. In knapp einer halben Stunde ist die Grundkonfiguration abgeschlossen, sofern man sich mit Netzwerken und IP-Adressen einigermaßen auskennt. Bei Bedarf können weitere Filterregeln erstellt werden.
IPFire arbeitet mit maximal vier Netzwerktypen, die als Grün, Blau, Orange und Rot definiert sind:
- Grün (LAN) ist euer internes, lokales Netzwerk mit höchster Vertraulichkeit und höchstem Schutzbedarf.
- Blau (WLAN) ist das separate WLAN-Netzwerk für WLAN-Clients.
- Orange (DMZ) ist die sogenannte demilitarisierte Zone: Ein ungeschütztes Netzwerk, das vom lokalen Netzwerk und dem Internet aus erreichbar ist. Die DMZ soll hierbei aber nicht auf das lokale Netzwerk zugreifen dürfen.
- Rot (WAN) ist das externe Netzwerk, also die Verbindung zu eurem Internet-Service-Provider (ISP) oder schlicht: das Internet.
In der Standardeinstellung konfiguriert IPFire die zwei Netzwerktypen „GREEN“ (Grün) und „RED“ (Rot). Bedenkt, dass ihr für jeden Netzwerktypen eine eigene Netzwerkkarte benötigt. WLAN-Geräte sind aus Sicherheitsgründen nicht erlaubt. Das bedeutet, wenn ihr die Standardeinstellung mit den zwei Netzwerktypen GREEN und RED einrichtet, benötigt ihr auch zwei Netzwerkkarten. Falls ihr GREEN, BLUE, ORANGE und RED einrichten möchtet, benötigt ihr vier Netzwerkkarten.
Unterstützte Einplatinen-Computer
Wir empfehlen mindestens einen Raspberry Pi 4 Model B wegen der 1-Gigabit-Schnittstelle, die ältere Modelle nicht haben oder nicht ausreizen. Grundsätzlich werden aber auch die Modelle Raspberry Pi 3 Model B und B+ unterstützt. Der Raspberry Pi 5 funktioniert derzeit noch nicht mit IPFire. Das kann sich später aber ändern. Schaut dazu einfach in die Liste der unterstützten Einplatinen-Computer, ob euer Modell jetzt unterstützt wird.
Wie ihr euren Raspberry Pi als Netzwerk-weiten Werbeblocker einsetzt, zeigen wir euch hier:
IPFire auf Raspberry Pi einrichten
IPFire installieren
- Ladet euch hier die ISO-Datei für den Raspberry Pi herunter.
- Mit dem Tool BalenaEtcher könnt ihr die ISO-Datei am PC auf die microSD-Karte eures Pis flashen.
- Schließt Monitor und Tastatur am Pi an und startet ihn danach, um die Firewall IPFire zunächst zu installieren.
- Wählt dazu im roten Bildschirm den Eintrag „Install IPFire (…) aus. Der Eintrag wird nach einigen Sekunden aber auch automatisch ausgewählt.
- Klickt euch durch den Installationsassistenten und bestimmt Sprache, akzeptiert die Lizenzbedingungen (sofern ihr einverstanden seid), wählt die microSD-Karte des Pis als Installationsziel aus und ext4 als Dateisystem.
- Nach einem Neustart beginnt die Netzwerkeinrichtung.
Netzwerke einrichten
- Nach dem Neustart des Pis wählt ihr im Bootloader den Eintrag „IPFire (…)“ aus.
- Bestimmt die Tastaturbelegung („de“ für deutsche) und die Zeitzone (Europe/Berlin).
- Danach vergebt ihr einen Hostnamen für eure Hardware-Firewall (Voreinstellung ist: „ipfire“) sowie einen Domänennamen (Voreinstellung ist: „localdomain“).
- Bestimmt nun ein Passwort für den Benutzer „root“. Später könnt ihr euch mit diesem Benutzer an eurem Pi anmelden, um auf die Befehlszeile zuzugreifen. Beachtet, dass ihr eure Passworteingabe aus Sicherheitsgründen nicht am Bildschirm seht.
- Bestimmt ein weiteres Passwort für den Benutzer „admin“. Mit diesem Benutzer greift ihr später auf die Weboberfläche des Pis zu, um die Firewall IPFire im Browser zu konfigurieren.
- Jetzt seht ihr das Netzwerkkonfigurationsmenü:
- Typ der Netzwerkkonfiguration: Wählt hier aus, wie viele Netzwerktypen ihr einrichten wollt (Grün, Rot, Blau, Orange). Standardmäßig werden nur Grün und Rot eingerichtet.
- Netzwerkkartenzuordnungen: Ordnet hier jedem gewählten Netzwerktypen eine eigene Netzwerkkarte zu.
- Adresseinstellungen: Gebt hier die nötigen IP-Adressen und die logischen Adressbereiche für die von euch ausgewählten Netzwerktypen an.
- Abschließend bestätigt ihr im Netzwerkkonfigurationsmenü mit „Fertig“.
- Der Raspberry Pi startet nun seinen Firewall-Betrieb. Ihr könnt Monitor und Tastatur vom Pi trennen. Die restliche Konfiguration erledigt ihr über die Weboberfläche.
IPFire-Weboberfläche im Browser öffnen
Ihr könnt IPFire von jedem Rechner des grünen Netzwerktyps konfigurieren. Habt ihr die Standardeinstellung für Hostnamen und Domain übernommen, öffnet ihr die Weboberfläche von IPFire in eurem PC-Browser unter der Adresse https://ipfire:444 oder https://ipfire.localdomain:444.
Habt ihr während der IPFire-Installation einen anderen Hostnamen oder Domain eingegeben, müsst ihr die Adresse entsprechend anpassen. Alternativ nutzt ihr die gewählte IP-Adresse (Beispiel: https://192.168.60.1:444).
Unter Umständen zeigt euch euer Browser dann an, dass die Verbindung unsicher sei. Wählt die Option, um die Webseite trotzdem anzuzeigen und ihr seht dann die Weboberfläche:
Über die Menüs am oberen Rand kommt ihr an die nötigen Einstellungen:
- System zeigt die Basiseinstellungen des Systems. Hier könnt ihr beispielsweise auch den SSH-Zugriff aktivieren oder eine Datensicherung durchführen.
- Status zeigt Diagramme und Berichte über den aktuellen Zustand der Firewall (Netzwerke, Laufwerke, Dienste, Speicher, Verbindungen).
- Unter Netzwerk findet ihr die typischen Netzwerkeinstellungen und Dienste wie „Zonen einrichten“, DHCP-Server, DNS-Weiterleitung, Web-Proxy und URL-Filter.
- Unter Dienste könnt ihr IPsec, OpenVPN, DynDNS oder „Quality of Service“ einrichten.
- Unter Firewall bestimmt ihr Firewall Regeln, IP-Adress-Blocklisten und „iptables“.
- Unter IPFire seht ihr Pakete und Add-ons, die ihr installiert habt.
- Protokolle zeigt System-Logs an.
Alle weiteren wichtigen Schritte sind im IPFire-Wiki aufgeschrieben, allerdings in Englisch. Ihr könnt die Webseite aber auch ins Deutsche übersetzen lassen.
