OpenWRT Firewallkonfiguration

Veröffentlich am 29. Juli 2026 von chris

Eine solide Grundabsicherung einrichten

Die Firewall ist das Herzstück der Netzwerksicherheit jedes Routers. Dabei wird bestimmt, welche Quell- mit welchen Zielsystemen kommunizieren dürfen. OpenWRT nutzt dafür standardmäßig das Firewall-Framework firewall4 (basierend auf nftables, in älteren Versionen firewall3 mit iptables) und bringt bereits eine vernünftige Grundkonfiguration mit. Wer jedoch versteht, wie die einzelnen Bausteine zusammenspielen, kann daraus eine deutlich robustere und zugleich alltagstaugliche Absicherung bauen. Dieser Beitrag erklärt die Grundlagen und liefert eine ausgewogene, praxisnahe Regel-Liste als Ausgangspunkt.

Die Grundlogik der OpenWRT-Firewall verstehen

Bevor es an einzelne Regeln geht, hilft ein Blick auf das Grundkonzept:

• Zonen: Netzwerke werden logischen Zonen zugeordnet, typischerweise wan, lan und optional guest oder iot.
• Zonen-Policies: Für jede Zone wird festgelegt, was mit eingehendem (input), ausgehendem (output) und weitergeleitetem (forward) Verkehr standardmäßig passiert – erlaubt (accept), verworfen (drop) oder abgewiesen (reject).
• Weiterleitungen zwischen Zonen: Zusätzlich wird definiert, welche Zone mit welcher anderen kommunizieren darf.
• Traffic Rules: Konkrete Einzelregeln, die die generellen Zonen-Policies für bestimmte Ports, Protokolle oder Adressen überschreiben.

Die goldene Grundregel dabei: Standardmäßig alles verbieten, was nicht explizit erlaubt ist – vor allem in Richtung WAN. Diese Denkweise (Whitelist statt Blacklist) ist der Kern einer soliden Firewall-Strategie.

Die Standard-Policy als Ausgangspunkt

Eine bewährte Grundkonfiguration der Zonen-Policies sieht so aus:

Zone	Input	Output	Forward
lan	Accept	Accept	Accept
wan	Reject/Drop	Accept	Reject/Drop
guest	Reject	Accept	Reject

Die Idee dahinter: Aus dem eigenen LAN heraus darf grundsätzlich alles, da man den eigenen Geräten vertraut wird. Aus dem WAN heraus darf standardmäßig nichts eingehen oder weitergeleitet werden – Ausnahmen werden gezielt über einzelne Regeln geöffnet. Ein Gastnetzwerk darf ins Internet, aber nicht in andere Zonen.

Eine ausgewogene Firewall-Regel-Liste

Im Folgenden eine praxisnahe Zusammenstellung von Regeln, die eine solide Basis für die meisten Heimnetzwerke bilden. Man legt diese unter Netzwerk → Firewall → Traffic Rules an oder direkt in /etc/config/firewall.

1. Grundschutz gegen WAN

• Eingehenden Verkehr aus dem WAN grundsätzlich blockieren (Standard-Policy input: reject).
• Ping (ICMP Echo-Request) aus dem WAN blockieren oder nur begrenzt erlauben – reduziert die Sichtbarkeit des Routers gegenüber automatisierten Scans, ist aber kein vollständiger Schutz.
• Portweiterleitungen strikt limitieren: Nur Ports öffnen, die wirklich benötigt werden, und wenn möglich auf bestimmte Quell-IPs beschränken.
• Verwaltungszugriff (LuCI, SSH) aus dem WAN explizit sperren, sofern kein Fernzugriff benötigt wird.

2. Schutz vor gängigen Angriffsmustern

• SYN-Flood-Schutz aktivieren (in OpenWRT standardmäßig über die Option syn_flood in der Firewall-Konfiguration bereits vorgesehen).
• Ungültige Pakete verwerfen (drop_invalid), um fehlerhaft aufgebaute oder manipulierte Pakete frühzeitig auszusortieren.

3. Segmentierung der Netzwerkzonen

• LAN → WAN: erlaubt (normaler Internetzugriff).
• WAN → LAN: standardmäßig verboten, nur gezielte Ausnahmen per Portweiterleitung.
• Guest → LAN: explizit verboten, damit Gäste nicht auf interne Geräte zugreifen können.
• Guest → WAN: erlaubt, damit Gäste ins Internet kommen.
• IoT/Smart-Home-VLAN → LAN: verboten oder stark eingeschränkt, nur notwendige Ports (z. B. für Smart-Home-Hubs) gezielt freigeben.
• IoT-VLAN → WAN: idealerweise nur zu bekannten, notwendigen Zielen erlauben, statt uneingeschränkten Internetzugriff zu gewähren.

Auch ist eine Netzisolation in den jeweiligen WLAN-Netzen unter Netzwerk → Wireless → jeweilies WLAN -> (Edit) -> Advanced Settings -> Isolate Clients möglich. Damit können Geräte innerhalb des selben Netzwerks ebenfalls isoliert bzw. getrennt werden.

4. Gezielte Portweiterleitungen (nur bei Bedarf)

Nur einrichten, wenn tatsächlich ein Dienst von außen erreichbar sein muss, z. B.:

• VPN-Server (WireGuard/OpenVPN): Der einzige Dienst, der aus Sicherheitssicht regelmäßig eine offene WAN-Portweiterleitung rechtfertigt, da darüber der gesamte weitere Zugriff getunnelt erfolgt.
• Sonstige Dienste (z. B. eigener Webserver, Druckserver, etc.): Nur mit Bedacht öffnen, nach Möglichkeit über einen Reverse Proxy mit zusätzlicher Absicherung und wenn möglich auf bestimmte Quell-IP-Bereiche beschränkt.

5. Ausgehenden Verkehr kontrollieren (optional, für höhere Sicherheitsanforderungen)

Standardmäßig ist ausgehender Verkehr aus dem LAN meist komplett erlaubt. Für ein höheres Schutzniveau, etwa bei IoT-Geräten, oder erhöhtem Schutzbedarf kann es sinnvoll sein:

• Ausgehenden Verkehr für bestimmte Geräte/Zonen einzuschränken, etwa nur auf bestimmte Ports (80/443) oder Zielserver.
• DNS-Anfragen zu erzwingen, dass sie ausschließlich über den eigenen DNS-Resolver laufen, um DNS-Exfiltration oder die Umgehung von Blocklisten zu verhindern.

6. Logging für sicherheitsrelevante Regeln

• Aktiviere Logging für abgelehnte Verbindungsversuche aus dem WAN, um verdächtige Muster erkennen zu können.
• Nutze das Logging mit Bedacht – zu viele geloggte Ereignisse erschweren die Auswertung und können bei Routern mit wenig Speicherplatz zu vollen Log-Partitionen führen.

Beispiel-Konfiguration in /etc/config/firewall

Zur Veranschaulichung ein vereinfachter Auszug, wie eine Zonen-Definition inklusive restriktiver WAN-Policy aussehen kann:

config zone
    option name 'wan'
    option input 'REJECT'
    option output 'ACCEPT'
    option forward 'REJECT'
    option masq '1'
    option mtu_fix '1'
    list network 'wan'

config zone
    option name 'lan'
    option input 'ACCEPT'
    option output 'ACCEPT'
    option forward 'ACCEPT'
    list network 'lan'

config forwarding
    option src 'lan'
    option dest 'wan'

Eine Portweiterleitung, beispielsweise für einen WireGuard-VPN-Server, ergänzt sich so:

config rule
    option name 'Allow-WireGuard'
    option src 'wan'
    option dest_port '51820'
    option proto 'udp'
    option target 'ACCEPT'

Regelmäßige Überprüfung nicht vergessen

Eine Firewall-Konfiguration ist kein „einmal einrichten und vergessen“-Thema:

• Überprüfe in regelmäßigen Abständen, ob alle bestehenden Portweiterleitungen noch benötigt werden.
• Entferne Regeln für Dienste, die nicht mehr genutzt werden.
• Kontrolliere nach jedem Firmware-Update, ob die Firewall-Konfiguration weiterhin wie erwartet greift.

Fazit

Eine sinnvolle Firewall-Konfiguration unter OpenWRT folgt einem einfachen, aber wirkungsvollen Grundprinzip: so wenig wie möglich von außen erlauben, Netzwerkzonen sauber voneinander trennen und jede Ausnahme bewusst und gezielt setzen. Die vorgestellte Regel-Liste bietet dafür eine allgemeine Grundlage, die sich jedoch an die eigenen Bedürfnisse anpassen lässt. Wichtig ist dabei vor allem eines: lieber eine Regel zu viel hinterfragen, als eine zu wenig – denn jede unnötig offene Verbindung ist ein potenzielles Einfallstor in das Heim-Netzwerk.