WAN-Blocklisten (Datencenter / GeoIP) – sinnvoll wenn nichts nach außen offen is

[juergen2025]

Hallo zusammen,
 
ich nutze OPNsense als Firewall und habe mehrere Blocklisten als Aliase vom Typ "URL-Tabelle (IPs)" eingerichtet (u.a. eine Datencenter-IP-Blockliste und eine GeoIP-/Länder-Blockliste). Dazu habe ich am WAN-Interface jeweils eine Block-Regel angelegt:
 
- Aktion: Block
- Interface: WAN
- Richtung: eingehend (in)
- Quick: aktiviert
- Quelle: der jeweilige Blocklisten-Alias
- Ziel: ursprünglich "Diese Firewall" (self), inzwischen auf "beliebig" (any) geändert
 
Zu meiner Situation:
- Ich verwende KEIN VPN.
- Ich muss NICHT von außen auf die OPNsense oder Dienste dahinter zugreifen.
- Ich habe (soweit ich sehe) keine Portforwards / eingehenden Dienste offen.
 
Meine Fragen:
 
1. Bringen diese WAN-Block-Regeln in meinem Fall überhaupt einen messbaren Mehrwert? Soweit ich verstanden habe, blockt OPNsense eingehenden WAN-Verkehr ohnehin per Default, wenn man nichts ausdrücklich freigibt. Ist die Blockliste dann eher Kosmetik, oder fängt sie trotzdem relevante Dinge ab?
 
2. War die Umstellung des Ziels von "Diese Firewall" auf "beliebig" richtig, oder reicht in meinem Szenario "Diese Firewall"?

Möchte einfach verstehen, ob mein Aufbau sinnvoll ist oder ob ich mir mit den vielen Listen nur unnötige Komplexität einhandle, ohne echten Gewinn.
 
Danke vorab!
 

[viragomann]

Hallo

2. War die Umstellung des Ziels von "Diese Firewall" auf "beliebig" richtig,

Nein. Wenn der Block-Regel keine Pass-Regel folgt, ist sie überflüssig.

Einen Sinn macht das, wenn du eine allgemeine Allow-Regel verwendest für den Zugriff auf die Firewall oder einen Host dahinter. Die davor geschaltete Blockregel filtert dann gewisse Quell-IPs (Länder, ...) raus und hält sie davon ab, auf deine Hosts zuzugreifen.

1. Bringen diese WAN-Block-Regeln in meinem Fall überhaupt einen messbaren Mehrwert?

Ja.
Wenn du Traffic auf Hosts weiterleitest, macht das Sinn. In deinem Fall aber nicht.
Aber generell ist das möglichst weite Ausdehnen von Blockregeln sinnvoll, solange es keine erwünschten Zugriffe einschließt.