En firewall er ikke en magisk mur, der automatisk gør din virksomhed sikker — den er et stykke kontroludstyr, der kun er så godt som den politik og opsætning, du giver den.
I denne artikel får du en praktisk gennemgang af, hvad en firewall reelt skal kunne i en lille eller mellemstor virksomhed: segmentering (VLAN), adgangskontrol, logging, remote access og opdateringer. Du får også en enkel kravliste til valg af løsning samt de typiske fejl, der skaber “falsk tryghed” — og hvordan du undgår dem.
Hvad er en firewall, og hvorfor betyder det noget for SMV’er?
En firewall er et sikkerhedssystem (hardware eller software), der kontrollerer netværkstrafik mellem forskellige zoner (fx internet og dit interne netværk) baseret på regler. Formålet er at tillade det nødvendige og blokere resten — og samtidig give indsigt via logs, så du kan opdage misbrug og fejl.
Hvorfor er det vigtigt? Fordi en stor del af angreb mod små og mellemstore virksomheder ikke er “Hollywood-hacking”, men automatiseret scanning efter åbne porte, svage adgangskoder og kendte sårbarheder. Hvis din firewall blot står med standardopsætning, kan du i praksis være lige så sårbar som uden.
Mini-konklusion: Firewalls handler ikke kun om at blokere — men om at styre, segmentere og dokumentere trafik på en måde, der passer til din forretning.
Segmentering: VLAN og sikkerheds-zoner, der begrænser skaden
Den mest undervurderede firewall-funktion i SMV’er er segmentering. Når alt ligger i samme netværk, kan et kompromitteret device (en inficeret pc, en usikker printer eller en gæste-telefon) ofte bevæge sig frit til filservere, økonomisystemer eller administrationspaneler. Segmentering reducerer “blast radius”.
Praktisk zonemodel, der virker i virkeligheden
En enkel model kan se sådan ud: Kontor/brugere, Servere, VoIP/telefoni, IoT/printere, Gæstenet og Management. Hver zone kan være et VLAN, og firewall-reglerne bestemmer, hvad der må krydse mellem zonerne.
- Brugere må typisk til internet, print og udvalgte servere (fx filserver/ERP).
- IoT/printere må sjældent initiere trafik ind i “Brugere” eller “Servere”.
- Gæstenet må kun til internet — intet internt.
- Management (admin) bør kun være tilgængelig fra få enheder/IP’er.
Eksempel: Printeren som springbræt
Jeg ser ofte printere og “smarte” mødebokse stå i samme net som pc’erne. Hvis en printer har en gammel web-administration eller standard-login, kan den blive et springbræt. Med VLAN kan printeren stadig modtage printjob, men den kan ikke begynde at scanne netværket efter servere.
Mini-konklusion: VLAN/zoner er ikke “enterprise-luksus” — det er den billigste måde at gøre et kompromis mindre alvorligt.
Adgangskontrol: Regler, der afspejler forretningens behov
Adgangskontrol er kernen i firewall-politikken: Hvem må hvad, hvorhen, hvornår og hvordan. Mange ender med “allow any” i praksis, fordi man vil undgå at bryde noget. Det føles nemt — men skaber falsk tryghed.
Least privilege i praksis (uden at dræbe driften)
Start med at definere standarden som “deny” mellem zoner, og åbn derefter det nødvendige. Det lyder hårdt, men du kan gøre det trinvis:
- Indfør zoner (VLAN) og få basale flows til at virke.
- Åbn specifikke tjenester: DNS, NTP, print, RDP/SSH kun fra admin-zone, osv.
- Begræns udgående trafik for servere, så de ikke kan “ringe hjem” vilkårligt.
- Dokumentér, hvorfor hver regel findes.
Applikationskontrol og webfiltrering: nyttigt, men sekundært
Applikationskontrol (fx blokering af visse app-typer) og webfiltrering kan være fine lag, men det er ikke her, grundsikkerheden skabes. Hvis dine zoner og basisregler er svage, kan du stadig blive ramt via legitime tjenester.
Mini-konklusion: En god firewall-politik er en kontrolleret liste over nødvendige forbindelser — ikke en lang række undtagelser, der voksede af sig selv.
Logging og overvågning: Hvis du ikke kan se det, kan du ikke styre det
En firewall uden meningsfuld logging er som et alarmsystem uden historik. Du opdager måske aldrig, at nogen scanner dig, at en server pludselig sender store datamængder ud, eller at en medarbejders pc laver tusindvis af DNS-forespørgsler i minuttet.
Hvad du konkret bør logge
- Blokeret indgående trafik (med rate-limiting, så logs ikke drukner).
- Administrative loginforsøg og ændringer i konfiguration.
- VPN-login (hvem, hvorfra, hvornår) og mislykkede forsøg.
- Trafik mellem zoner, især når nye regler tages i brug.
- DNS- og web-kategorihændelser, hvis du bruger filtrering.
Retention og ansvar: Hvor længe og hvem kigger?
Som tommelfingerregel giver 30 dage ofte for lidt, hvis du først opdager noget sent; 90 dage er et mere praktisk udgangspunkt i mange SMV’er. Men retention er ligegyldig, hvis ingen kigger. Aftal et fast “log-tjek” (fx ugentligt) og en procedure for alarmer. Hvis du har mange events, kan en simpel SIEM- eller log-platform være relevant, men start med at få firewallens egne rapporter i brug.
Mini-konklusion: Logging er ikke kun til efterforskning — det er din tidlige indikator på fejlkonfiguration og angreb.
Remote access: VPN, MFA og sikker administration
Remote access er ofte der, hvor SMV’er enten gør det rigtig godt — eller rigtig risikabelt. En åben RDP-port til en server “for nemheds skyld” er en klassiker, og det er også en af de hurtigste veje til ransomware.
VPN frem for åbne porte
Den bedste praksis er at lukke unødvendige services udefra og bruge VPN til adgang. Vælg en VPN-type, der passer til behovet: SSL-VPN til brugere, site-to-site VPN mellem lokationer, og en særskilt admin-adgang for drift/IT.
MFA og adskilte roller
MFA bør være standard for VPN og især for firewallens admin. Derudover bør administration kun være mulig fra en management-zone eller bestemte IP-adresser. Det er også værd at adskille roller: En konto til daglig drift og en særskilt, stærkt beskyttet “break glass”-konto til nødsituationer.
Mini-konklusion: Hvis fjernadgang ikke er stramt styret, ender firewallen med at blive en dørmand, der står og sover ved indgangen.
Opdateringer og livscyklus: Sikkerhed er en proces, ikke en engangs-installation
En firewall er software. Den får sikkerhedsopdateringer, fejlrettelser og nye signaturer. Hvis du ikke opdaterer, er det kun et spørgsmål om tid, før en kendt sårbarhed bliver udnyttet. Det gælder især edge-udstyr, der står direkte mod internettet.
Planlæg en patch-rutine: fx månedlige opdateringsvinduer, og en hurtig-proces til kritiske sårbarheder. Kig også på livscyklus: hvornår udløber support, og hvad sker der med sikkerhedsopdateringer efter end-of-life? En billig firewall uden løbende opdateringer kan blive dyr i drift — eller i hændelser.
Hvis du er i gang med at vurdere muligheder, kan det være relevant at orientere sig i udvalget af firewall til virksomhed og samtidig holde fokus på krav og drift frem for kun hastighed og pris.
Mini-konklusion: Den bedste firewall bliver langsomt dårlig, hvis den ikke vedligeholdes — og det sker ofte uden at nogen bemærker det.
Sådan undgår du “falsk tryghed”: Konfigurationen betyder mere end boksen
Falsk tryghed opstår, når man tror, man er beskyttet, fordi man “har en firewall”, men den reelt ikke er sat op til at håndhæve politik eller opdage afvigelser. Jeg ser især disse mønstre i praksis:
- Alt er i samme netværk, så der er ingen intern kontrol.
- Regler er “midlertidige” og bliver aldrig ryddet op.
- Indgående porte åbnes direkte til servere for at løse et akut behov.
- Admin-adgang ligger på standardport, uden IP-begrænsning og uden MFA.
- Logs er slået fra eller overskrives efter få dage.
Modtrækket er at arbejde med baseline og ændringskontrol: Dokumentér, hvad der er “normalt”, og hver gang noget åbnes, skal der være en ejer, en begrundelse og helst en udløbsdato, hvis det er midlertidigt.
Mini-konklusion: En firewall er ikke et produkt, du køber — det er en disciplin, du driver.
Simpel kravliste til valg af firewall i en lille/mellem virksomhed
Her er en praktisk kravliste, der kan bruges som tjek før køb eller ved udskiftning. Den er bevidst jordnær: den handler om de funktioner, der gør en reel forskel i hverdagen.
- VLAN/zone-support med tydelig policy-styring mellem zoner.
- VPN til brugere og evt. site-to-site, med MFA-integration.
- Granulær adgangskontrol (IP, port, protokol, tidsplaner) og gerne objekt-baserede regler.
- Logging og rapportering der er let at bruge, samt mulighed for eksport til log-platform.
- Automatiske sikkerhedsopdateringer eller i det mindste enkel opdateringsproces og klar release-notes.
- Rollebaseret admin og mulighed for at begrænse admin-adgang til bestemte net/IP’er.
- Ydelse med realisme: throughput med de features, du faktisk vil bruge (VPN/inspektion), ikke kun “raw” routing.
- Support og levetid: kendt EOL-dato, tilgængelig support og aktiv udvikling.
Hvad koster det? For en typisk SMV er det ofte ikke hardwaren, der er den store post, men drift: opsætning, løbende ændringer, opdateringer og fejlfinding. Regn derfor i totalomkostning over 3–5 år, ikke kun i indkøbspris.
Mini-konklusion: Vælg ud fra drift og sikkerhedsfunktioner — ikke kun ud fra “gigabit-tal” på æsken.
Typiske fejl (og hvordan du retter dem) i firewall-opsætning
Her er de fejl, der oftest går igen, når jeg gennemgår netværk i mindre og mellemstore virksomheder — og hvad du konkret kan gøre ved dem.
Åbne porte og “hurtige” løsninger
Fejlen: RDP/SSH/administrationsport åbnes mod internettet for at løse et akut behov. Konsekvensen er, at du bliver et mål for automatiserede brute force-angreb og udnyttelse af sårbarheder.
Løsningen: Luk porten, brug VPN med MFA, og begræns admin-adgang til management-zone og kendte IP’er. Hvis noget skal være offentligt, så placer det i en DMZ-zone og hård-gennemgå reglerne.
Standard adgang og for mange admin-konti
Fejlen: Standardbrugere, delte admin-konti eller svage adgangskoder. Det gør audit og ansvar umuligt.
Løsningen: Unikke konti, mindst mulige rettigheder, MFA, og logning af konfigurationsændringer. Fjern konti, der ikke bruges.
Ingen opdateringer og udløbet support
Fejlen: “Det virker jo”, så man opdaterer ikke. Eller enheden er end-of-life, men står stadig som perimeter.
Løsningen: Fast patch-rytme, overvåg producentens advisories, og planlæg udskiftning før EOL. Lav en simpel driftskalender med kvartalsvis gennemgang af firmware, VPN-brugere og regler.
Flade netværk uden VLAN
Fejlen: Alt på samme subnet, ofte fordi det “altid har været sådan”.
Løsningen: Start med 2–3 zoner (Brugere, Servere, Gæst/IoT), og udvid efter behov. Selv grov segmentering er markant bedre end ingen.
Mini-konklusion: De fleste firewall-problemer skyldes ikke avancerede angreb — men simple fejl, der bliver stående i årevis.
Handlingsplan: 5 trin du kan starte med i denne uge
Hvis du vil omsætte det til handling uden at starte et kæmpe projekt, så gør dette i rækkefølge:
- Gennemgå eksponerede porte udefra, og luk alt, der ikke er strengt nødvendigt.
- Aktivér MFA på VPN og firewall-admin, og begræns admin-adgang til bestemte net/IP’er.
- Indfør mindst tre zoner/VLAN: Brugere, Servere, Gæst/IoT, og stram reglerne mellem dem.
- Slå logging til for blokeringer, admin-hændelser og VPN, og beslut hvem der følger op hvornår.
- Lav en opdateringsplan og tjek supportstatus (EOL) på firewallen.
Mini-konklusion: En god firewall-strategi i en SMV er enkel: segmentér, begræns adgang, log det vigtige, og hold udstyret opdateret.
