Netzwerksicherheit · Interaktive Darstellung
Wie entscheiden zwei Firewalls über dasselbe Datenpaket?
Klicke die Situationen der Reihe nach an. Die Firewalls werden gleichzeitig geprüft.
Prüft Regeln und den Zustand einer Verbindung.
Noch kein Paket gesendet
Starte mit „HTTPS-Verbindung öffnen“, um einen Verbindungseintrag anzulegen.
Prüft jedes Paket einzeln gegen das Regelwerk.
Noch kein Paket gesendet
Jedes Paket wird unabhängig vom vorherigen Datenverkehr geprüft.
Zuerst wird eine ausgehende HTTPS-Verbindung erlaubt. Danach wird sichtbar, warum die Rückantwort ohne Zustandsinformation eine zusätzliche Regel benötigt.
| Merkmal | Stateful | Stateless |
|---|---|---|
| Funktionsweise | Regeln + Verbindungszustand | Nur Paketinformationen + Regeln |
| OSI-Schichten | Typischerweise 3 und 4 | Typischerweise 3 und 4 |
| Rückantworten | Passende Antwort wird anhand der State Table erkannt | Separate eingehende Freigaberegel erforderlich |
| Sicherheitswirkung | Erleichtert die sichere Behandlung von Rückverkehr | Stark von präzisen Einzelregeln abhängig |
| Komplexität | Mittel – Zustandsverwaltung nötig | Gering bis mittel – kein Connection Tracking |
| Typischer Einsatz | Internet-Gateway, Unternehmensfirewall, Segmentübergänge | Router-ACLs, einfache Paketfilter, Filter an Netzgrenzen |
| Grenzen | Schützt nicht automatisch vor Angriffsinhalten oder Malware | Erkennt keine Zugehörigkeit zu einer bestehenden Sitzung |
„Beide Firewalls kontrollieren IP-Adressen, Ports und Protokolle. Eine Stateless Firewall betrachtet jedes Paket unabhängig. Für die Antwort auf eine erlaubte HTTPS-Anfrage braucht sie daher eine passende eingehende Regel. Die Stateful Firewall merkt sich hingegen, dass der Client diese Verbindung gestartet hat. So kann sie die passende Antwort zulassen und unerwartete Pakete blockieren. Wichtig: Auch bei Stateful hängt die Sicherheit von den Firewall-Regeln ab.“