Firewalls: Wie die Netzwerkhüter Angriffe aus dem Web abwehren

Wirkungsvoller ist die Beschränkung des Zugangs auf Port-Ebene. Ports sind Kennzeichnungen innerhalb eines IP-Pakets. Sie legen fest, welche Anwendung und welches Protokoll dieses Paket nutzt. Eine einfache Analogie ist ein Mehrfamilienhaus. Straße und Hausnummer sind für alle Bewohner gleich, erst die Briefkästen unterscheiden zwischen den Familien. Gleichermaßen gibt ein Port für eine IP-Adresse an, was genau mit dem Paket geschehen soll. So können von ein und derselben IP-Adresse mehrere Verbindungen unabhängig voneinander ausgehen und ankommen.

Die Kommunikation zwischen Web-Browser und Webserver läuft über Port 80, FTP nutzt die Ports 20 und 21, die Fernsteuersoftware VNC kommuniziert über Port 5900. Festgelegt sind die Ports in einem RFC (Request for Comments) der IETF (Internet Engineering Task Force). Die Vergabe erfolgte mehr oder weniger willkürlich, viele Ports waren historisch bedingt von den Entwicklern eines Dienstes oder eines Programms vergeben worden, die IETF legalisierte praktisch die vollendeten Tatsachen.

Eine Übersicht gängiger Portnummern und ihrer Belegungen finden Sie etwas weiter im Artikel; eine vollständige Aufzählung bietet die Liste der IANA (Internet Assigned Numbers Authority).

Wenn ein Port geblockt wird, funktioniert die Kommunikation der Anwendung nicht mehr, die den Port nutzt, auch wenn die IP-Adresse freigegeben ist. Eine optimal konfigurierte Firewall gibt nur so viele Ports frei wie unbedingt nötig und blockt kategorisch alle anderen Verbindungen. Die Richtung, woher der Verbindungsversuch kommt, spielt auch eine Rolle. Will man weder Web- noch FTP-Server, Netzwerkspiele oder ähnliches betreiben, kann die Firewall alle eingehenden Verbindungsanfragen komplett verwerfen. Für den umgekehrten Weg von Innen nach Außen muss zumindest Port 80 für Websurfen geöffnet sein, ebenso Port 53 für DNS anfragen, wenn das nicht der eigene Router erledigt. Verschlüsseltes Surfen über HTTPS (externer Link) erfordert eine Freigabe für Port 443, E-Mails laufen über Port 25 (SMTP) und 110 (POP3). Alles Weitere hängt von den Anwendungen ab, die man einsetzen will.