Meer informatie

Beschrijving van de Firewall voor Internet-verbindingen

De Firewall voor Internet-verbindingen is software waarmee u beperkingen kunt instellen voor de gegevens die worden uitgewisseld tussen uw thuisnetwerk of klein bedrijfsnetwerk en internet.

Als in het netwerk de functie Internet-verbinding delen wordt gebruikt om meerdere computers toegang tot internet te geven, is het een goed idee de Firewall voor Internet-verbindingen in te schakelen op de gedeelde internetverbinding. Het is echter ook mogelijk ICS en de firewall los van elkaar in te schakelen. Het is een goed idee de firewall in te schakelen op de internetverbinding van Microsoft Windows XP-computers die rechtstreeks met internet zijn verbonden.

De Firewall voor Internet-verbindingen kunt u ook gebruiken om een bepaalde computer te beschermen die met internet is verbonden. Als een afzonderlijke computer via een kabel-, DSL- of inbelmodem met internet is verbonden, wordt de internetverbinding beveiligd met de Firewall voor Internet-verbindingen. Schakel de firewall niet in voor VPN-verbindingen (Virtueel Particulier Netwerk). De firewall vormt namelijk een belemmering voor het delen van bestanden en andere VPN-functies.


Terug naar begin

De werking van de Firewall voor Internet-verbindingen

De Firewall voor Internet-verbindingen is een zogenaamde 'stateful' firewall. Dit is een firewall die alle aspecten controleert van de communicatie die plaatsvindt via de firewall en die het bron- en doeladres inspecteert van alle berichten die bij de firewall aankomen. De firewall voorkomt dat ongewenst verkeer via internet het interne netwerk bereikt door een tabel bij te houden van alle communicatie die is gestart door de computer waarop de firewall actief is. In het geval van één specifieke computer houdt de firewall het verkeer bij dat afkomstig is van de computer. Als u de Firewall voor Internet-verbindingen gebruikt in combinatie met Internet-verbinding delen (ICS), houdt de firewall al het verkeer bij dat afkomstig is van de computer met de firewall en ICS. Daarnaast wordt al het verkeer bijgehouden dat afkomstig is van computers in het particuliere netwerk. De firewall vergelijkt al het verkeer dat binnenkomt via het Internet met de vermeldingen in de tabel. Binnenkomend internetverkeer wordt alleen bezorgd op de computers in het netwerk als de tabel een vermelding bevat die aangeeft dat de communicatie is gestart op uw computer of in het particuliere netwerk.

Communicatie die is gestart op een andere locatie dan de computer met de firewall, zoals op internet, wordt niet toegelaten door de firewall, tenzij u een vermelding toevoegt aan het tabblad Services om de gegevens door te laten. In plaats van meldingen te verzenden over activiteiten, wordt ongewenste communicatie automatisch afgebroken door de Firewall voor Internet-verbindingen. Hierdoor hebben veelgebruikte hacking-methoden zoals het scannen van poorten, geen zin. Bovendien zou de frequentie van dergelijke meldingen zo hoog kunnen worden dat dit alleen maar voor verwarring kan zorgen. Daarom maakt de firewall in plaats daarvan een beveiligingslogboek, met daarin een overzicht van de activiteiten die worden bijgehouden door de firewall.

U kunt services zodanig configureren dat ongewenst verkeer van internet van de computer met de firewall wordt doorgestuurd naar het particuliere netwerk. Als u bijvoorbeeld host bent van een HTTP-webserver, en de service HTTP is ingeschakeld op uw computer, wordt ongewenst HTTP-verkeer doorgestuurd van de computer met de firewall naar de HTTP-webserver. De Firewall voor Internet-verbindingen heeft operationele gegevens nodig (waarmee een servicedefinitie wordt gevormd) om het ongewenste internetverkeer te kunnen doorsturen naar de webserver in het particuliere netwerk.


Terug naar begin

Aandachtspunten voor de Firewall voor Internet-verbindingen

Het is geen goed idee de firewall in te schakelen op een verbinding die niet rechtstreeks toegang tot internet biedt. Als u de Firewall voor Internet-verbindingen inschakelt voor de netwerkadapter van een clientcomputer waarop Internet-verbinding delen wordt uitgevoerd, vormt de firewall een belemmering voor bepaalde communicatie tussen die computer en alle andere computers in het netwerk. Om een vergelijkbare reden kunt u de wizard Netwerk instellen niet gebruiken om de firewall in te schakelen op de particuliere hostverbinding met ICS. Dit is de verbinding tussen de ICS-hostcomputer en de ICS-clientcomputers. Het activeren van een firewall op deze locatie zou tot gevolg hebben dat er geen netwerkcommunicatie meer mogelijk is.

U hoeft de Firewall voor Internet-verbindingen niet te gebruiken als het netwerk al is uitgerust met een firewall of proxyserver.

Als het netwerk slechts één gedeelde internetverbinding bevat, is het raadzaam het netwerk te beveiligen met de Firewall voor Internet-verbindingen. Afzonderlijke clientcomputers kunnen ook over adapters beschikken, zoals een inbel- of DSL-modem, die afzonderlijke verbindingen met internet tot stand brengen en die kwetsbaar zijn zonder firewallbeveiliging. De Firewall voor Internet-verbindingen kan alleen de communicatie controleren die langs de internetverbinding komt waarop de firewall is ingeschakeld. Aangezien de firewall per verbinding werkt, moet u de functie inschakelen op alle computers met verbindingen met internet om het netwerk volledig te beschermen. Als u de firewall hebt ingeschakeld op de internetverbinding van de ICS-host, maar niet op een clientcomputer met een directe internetverbinding, is het netwerk kwetsbaar via die onbeveiligde verbinding.

De servicedefinities op basis waarvan services aan beide zijden van de firewall kunnen werken, gelden ook voor afzonderlijke verbindingen. Als het netwerk verschillende firewallverbindingen heeft, moet u dus servicedefinities configureren voor elke firewallverbinding waarlangs de service moet functioneren.


Terug naar begin

De Firewall voor Internet-verbindingen en meldingsteksten

Aangezien de Firewall voor Internet-verbindingen alle binnenkomende communicatie inspecteert, kunnen sommige programma's, met name e-mailprogramma's, anders gaan werken wanneer u de firewall inschakelt. Sommige e-mailprogramma's nemen periodiek contact op met de e-mailserver om te controleren of er nieuwe e-mailberichten zijn. Andere e-mailprogramma's wachten op een melding van de e-mailserver.

Microsoft Outlook Express gebruikt bijvoorbeeld een timer om te controleren of er nieuwe e-mailberichten zijn. Als er nieuwe e-mailberichten zijn, wordt dat door Outlook Express gemeld. De Firewall voor Internet-verbindingen heeft geen invloed op de werking van Outlook Express omdat de aanvraag voor melding van nieuwe e-mailberichten afkomstig is vanuit het interne netwerk. De firewall voegt voor de uitgaande communicatie een vermelding toe aan de tabel. Wanneer de e-mailserver de nieuwe e-mail bevestigt, zoekt de firewall een bijbehorende vermelding in de tabel en wordt de communicatie toegestaan. U ontvangt vervolgens een melding dat er een nieuw e-mailbericht is binnengekomen.

Microsoft Outlook 2000 is verbonden met een Microsoft Exchange-server die een RPC (Remote Procedure Call) gebruikt om meldingen van nieuwe e-mailberichten te verzenden naar clients. Outlook 2000 controleert niet automatisch of er nieuwe e-mailberichten zijn wanneer er verbinding is met een Exchange-server. De Exchange-server waarschuwt Outlook 2000 wanneer er nieuwe e-mailberichten zijn. Aangezien de RPC-melding afkomstig is van een Exchange-server aan de andere kant van de firewall (en niet van Outlook 2000 zelf), kan de firewall geen bijbehorende vermelding vinden in de tabel. RPC-berichten afkomstig van internet worden dan ook niet toegelaten tot het thuisnetwerk. De RPC-melding wordt verwijderd. U kunt e-mailberichten verzenden en ontvangen, maar u moet zelf kijken of er nieuwe e-mail is.


Terug naar begin

Geavanceerde instellingen voor de Firewall voor Internet-verbindingen

U kunt de functies voor het bijhouden van een beveiligingslogboek gebruiken voor een overzicht van alle firewallactiviteiten. U kunt aangeven dat zowel toegestaan verkeer als geweigerd verkeer wordt vastgelegd in het logboek. Binnenkomende echoaanvragen van internet worden bijvoorbeeld standaard geweigerd door de Firewall voor Internet-verbindingen. Als de ICMP-instelling (Internet Control Message Protocol) Binnenkomende echoaanvraag toestaan is uitgeschakeld, kan niet worden voldaan aan de binnenkomende aanvraag en wordt aan het logboek een vermelding toegevoegd om dit aan te geven.

U kunt de werking van de firewall aanpassen door verschillende ICMP-opties in te schakelen, zoals Binnenkomende echoaanvraag toestaan, Binnenkomende tijdstempelaanvraag toestaan, Binnenkomende routeringsaanvraag toestaan en Omleiden toestaan. Op het tabblad ICMP vindt u korte beschrijvingen van deze opties.

U kunt de maximale grootte van het beveiligingslogboek instellen om te voorkomen dat het logboek te groot wordt als gevolg van denial-of-service-aanvallen. Activiteiten worden vastgelegd met de uitgebreide indeling voor logboekbestanden zoals bepaald door het World Wide Web Consortium (W3C).


Terug naar begin