Hardwarefirewall konfigurieren

[Michi2021]

Hallo, liebe ngb`ler!

So, ich bin ganz neu hier im Forum und habe eine Frage. Und zwar hatte ich bisher einen DD-WRT Router und auch andere Hardwarefirewalls. Ich habe mir aber neulich eine andere HFW besorgt, günstig eingekauft. Es handelt sich um die RS123 W von bintec. Ich habe mir das schon angeschaut, aber frage zur Sicherheit nach.

Ich möchte alles sperren bzw. nur den HTTP Port 80, den HTTPS Port 443 sowie die Ports für E-Mail zulassen. Und auch noch Port meines NAS.

Könntet ihr mir da bitte etwas helfen? Es ist zwar schon übersichtlich, das Menü, aber ich muss mich erst daran gewöhnen. Evtl. gibt es hier Spezialisten

Ich hoffe sehr, dass ihr mir etwas weiterhelfen könnt. Ich danke euch bereits im Voraus und verbleibe,

mit freundlichen Grüßen,

Euer Michi

 

[drfuture]

Genau das Szenario wird in der Offiziellen Doku beschrieben...

https://www.bintec-elmeg.com/portal/downloadcenter/dateien/workshops/current_de/ws_ip_html_de_HTML/ws_dropin-dmz_konfig_firewall.html

Die Frage ist wie dann dein Netzwerk aussieht und was du dir von der Firewall erhoffst.
Grundsätzlich sind Ports nicht einfach "offen" und müssen geschlossen werden; eher anders rum. Es existiert erst ein Port wenn ein Dienst daran lauscht und etwas möchte.
Zusätzlich, wenn du einen "normalen" privaten Internetzugang hast und NAT verwendest gibt es ohne Weiterleitung einzelner Ports auch erst einmal keinen direkten Zugriff auf einen Dienst.

Eine Firewall kann grundsätzlich schon Sinnvoll sein, vor allem wenn man mit einer DMZ arbeiten möchte oder kompliziertere Zugriffsmuster auf unterschiedliche Netzbereiche realisieren möchte.
Auch das Erkennen und reagieren auf Angriffe kann ein Grund sein. Nur das lässt sich alles nicht mit einer günstigen Lösung und 3 Regeln zur Freischaltung erreichen.
Daher die Frage - was ist dein Ziel?

 

[Michi2021]

Zuerst VIELEN DANK, drfuture!!!!

Also, ich habe die angesprochene Firewall. Dahinter habe ich den PC , Laptops (per W-LAN) und den NAS. Diese Geräte stecke ich also in die HWF. Die HWF ist in einem Telekom Modem.

Naja, ich habe einen Shop und möchte eben so gut wie möglich abgesichert sein.

Grundsätzlich sind Ports nicht einfach "offen" und müssen geschlossen werden; eher anders rum. Es existiert erst ein Port wenn ein Dienst daran lauscht und etwas möchte.

Ja, das stimmt natürlich. Ich möchte aber, dass als Beispiel FTP oder SFTP nicht geht, wenn es nicht explizit in der HWF erlaubt wird. So ähnlich wie bei Fail2Ban bei nem Raspberry oder so.


Klar, dass ein Rechenzentrum oder so eine andere Absicherung hat. Ich denke, schaden kann es nicht, wie du ja auch gesagt hast. Mit meinem DD-WRT Router (einmal auch OpenWRT) habe ich gesehen, dass es, was aber normal ist, regelmäßig Angriffe gibt. Ich habe den Router geflasht, weil eben offensichtlich einmal ein Angriff stattgefunden hat. Danach war Schluss. Kann Zufall sein, ich weiß, aber nun habe ich ihn und würde ihn sehr gerne nutzen.

Vielen Dank für die Verlinkung!!!

Kannst du evtl. etwas helfen?

Sagen wir, der PC hat die IP-Adresse 192.168.2.1/24 (evtl. durch die HFW eine andere) und eine Subnetz von 255.255.255.0. Es soll Port 80, 443, POP3 und SMTP erlaubt werden (für Mails, Ports sind ja abhängig ob Web.de o.ä.).

Zudem ein DynDNS Dienst und der Port des Servers, z.B. 50000 (natürlich ein Port, der keinen offiziellen Dienst anbietet, also im Standardfall, wie etwa Port 25.

Beim Laptop ist es dasselbe. Das W-LAN werde ich in der HWF freischalten.

ICh bitte dich um Hilfe!! Kann dir auch gerne eine PaySafe Card oder so zukommen lassen, kein Problem. Möchte es nur, dass es mit dem angesprochenen Gerät, also der HWF so sicher wie möglich ist. Das es sicherer geht, ist mir klar.


Noch ne Frage, wie würde man es denn so machen, wie du angesprochen hast? also du meintest, mit 3 Regeln geht das nicht, klar. Aber welche Hardware nimmt man da? Will ich nicht, ist nur ne Frage, musst nicht lange erklären

 

[Michi2021]

@drfuture

Bitte antworte nochmals.

 

[Michi2021]

Hab ich einen Fehler gemacht oder wieso antwortet keiner mehr?

 

[propagandhi]

Vielleicht weil viele hier auch noch **** **** haben und evtl nicht ständig hier unterwegs sind/sein können.
Hab ein wenig Geduld, scheib drfuture evtl ne pm und dann warte ab was passiert.
Ich kann dir bei deinem Problem nicht helfen

 

[Abul]

Wieso hast du wieder einen neuen Account? Reichen dir deine alten drölfzehn nicht? Und dir wurde schon öfter erklärt das hier jeder privat in der Freizeit hilft. Ganz schön frech dann noch druck zu machen. Wenn du für dein Gewerbe hilfe benötigst hol dir einen professionellen Dienstleister ins Haus. Wäre nicht das erste mal das dir das nahe gelegt wird. Bist du lernresistent? Das dir das garnicht unangenehm ist.

 

[Michi2021]

Vielleicht weil viele hier auch noch **** **** haben und evtl nicht ständig hier unterwegs sind/sein können.
Hab ein wenig Geduld, scheib drfuture evtl ne pm und dann warte ab was passiert.
Ich kann dir bei deinem Problem nicht helfen

Hallo, ja, vielen Dank. Habe ich schon geschrieben, aber leider keine Antwort.

Wieso hast du wieder einen neuen Account? Reichen dir deine alten drölfzehn nicht?

Was habe ich? Warum einen neuen Account? Sollte das nicht klappen, muss ich wohl oder übel einen Dienstleister beauftragen, aber es muss ja nicht unbedingt sein.

Sicher gab es schon Leute, die evtl. ein ähnliches Problem hatten und gefragt haben,. egal ob NAS Server oder Firewall. Aber mir zu unterstellen, ich hätte unzählige Accounts finde ich ganz schön frech! Oder wo hast du dafür Belege?

Euer Michi

 

[drfuture]

Also, ich habe die angesprochene Firewall. Dahinter habe ich den PC , Laptops (per W-LAN) und den NAS. Diese Geräte stecke ich also in die HWF. Die HWF ist in einem Telekom Modem.

Dein Telekom "Modem" ist vermutlich ein Telekom Router? Speedport?

Ja, das stimmt natürlich. Ich möchte aber, dass als Beispiel FTP oder SFTP nicht geht, wenn es nicht explizit in der HWF erlaubt wird. So ähnlich wie bei Fail2Ban bei nem Raspberry oder so.

Wie oben bereits geschrieben. Ein Dienst der nicht aktiviert ist ist nicht vorhanden. Wenn du FTP nicht möchtest, und das möchtest du nicht! FTP überträgt die Login-Daten im Klartext, dann wird FTP nicht aktiviert. Es macht keinen Sinn etwas durch eine Firewall zu blockieren das allgemein nicht genutzt werden soll.
Zusätzlich, wenn meine Annahme mit dem Speedport-Router richtig ist:
Eine Anfrage aus dem Internet an deine IP landet immer am Speedport Router. Dieser muss dem Paket sagen an welches Gerät im Netzwerk die Anfrage weitergeleitet werden soll.
Wird hier nicht explizit eine Weiterleitung eingerichtet; Antwortet der Speedport mit "Kein Dienst / Port nicht verfügbar" und verweigert die Annahme des Pakets.
Eine Firewall in der nun z.B. einfach sftp zum NAS freigeschaltet wird macht die Konfiguration hier nur komplexer und damit erst einmal unsicherer statt sicherer da die Funktionalität auch ohne FW bereits gegeben ist.

Sicherer könnte man es nur machen indem man eine DMZ baut, dort das NAS rein stellt und dann passende Regeln in der Firewall definiert wer mit wem reden darf.
Hierfür müssen dann aber nicht nur Regeln für sFTP von Extern eingebaut werden sondern für jegliche Kommunikation all deiner Clients sowohl extern als auch intern.
Du musst wissen über welche Protokolle / Ports dein Laptop, PC, NAS reden und wer die Verbindung indiziert.
Dabei kann dir aber dann keiner helfen - da keiner im Internet dein Nutzungsverhalten kennt oder analysieren kann.

Das ganze per Remote-Sitzung zu machen ist definitiv nicht zu empfehlen da der "helfende" Benutzer dir so oder so auch eine Hintertür einbauen kann und danach mehr Rechte auf deine Computer hat als dir lieb ist.

 

[Michi2021]

Hallo, drfuture! Zunächst VIELEN DANK!!!!

Dein Telekom "Modem" ist vermutlich ein Telekom Router? Speedport?

Ja, das müsste ein etwas älterer Speedport sein.

Wenn du FTP nicht möchtest, und das möchtest du nicht! FTP überträgt die Login-Daten im Klartext

Weiß ich, daher ja auch SFTP mitenannt.

Es macht keinen Sinn etwas durch eine Firewall zu blockieren das allgemein nicht genutzt werden soll.

Logisch! Das funktioniert also nicht, wenn ich den Dienst nicht explizit als Dienst aktiviere (unabhängig davon, für elches Gerät) - korrekt?

Wird hier nicht explizit eine Weiterleitung eingerichtet; Antwortet der Speedport mit "Kein Dienst / Port nicht verfügbar" und verweigert die Annahme des Pakets.

Ja, soweit ich weiß, ist das so. ICh muss also dann an das Gerät, also Alias Name oder an 192.168.2.x weiterleiten? Korrekt?

unsicherer statt sicherer da die Funktionalität auch ohne FW bereits gegeben ist.

Da ist was dran. Aber da du dir auch Mühe gegeben hast, teste ich es einmal.

DMZ baut, dort das NAS rein stellt und dann passende Regeln in der Firewall definiert wer mit wem reden darf.

Also welche Geräte miteinander kommunizieren dürfen?

Du musst wissen über welche Protokolle / Ports dein Laptop, PC, NAS reden und wer die Verbindung indiziert.

Aslo du meinst z.B. IMAP und welcher Port genutzt wird? O.K, das lässt sich feststellen. Was meinst du mit, "...wer die Verb. indiziert"

Das ganze per Remote-Sitzung zu machen ist definitiv nicht zu empfehlen da der "helfende" Benutzer dir so oder so auch eine Hintertür einbauen kann und danach mehr Rechte auf deine Computer hat als dir lieb ist.

Das ist klar. Ich meine, DMZ muss ich nict gleich machen. Ich bitte dich um Rückmeldung.

euer Michi

 

[drfuture]

Also welche Geräte miteinander kommunizieren dürfen?

Nicht nur welche Geräte sondern welches Gerät über welchen Port.
PC1 mit NAS nutzt Dateifreigeben im Explorer, möchte das NAS unter "Netzwerkgeräte" automatisch aufgelistet bekommen, ruft die Einstellungsseite über den Browser auf, Synchronisiert Daten über eine Backupsoftware.
Alles was ein Gerät im Netzwerk mit einem anderen Gerät machen können soll, muss definiert werden.
Hier gibt es dann kein "Ich kaufe ein neues Gerät, stecke es an und gehe wie in der Anleitung beschrieben auf die IP des Gerätes und werde auf das Webinterface weitergleitet". Hierzu muss einem bekannt sein über welche Protokolle und die dazugehörigen Ports das Webinterface angesprochen wird Bzw. wohin die Weiterleitung im Zweifel passiert. Synology läuft z.B. im Standard über Port 5000/5001 trotz http(s).

Aslo du meinst z.B. IMAP und welcher Port genutzt wird? O.K, das lässt sich feststellen. Was meinst du mit, "...wer die Verb. indiziert"

Ich habe mich mit indiziert verschrieben - das sollte initiiert heißen. Darf PC1 Daten an das NAS schicken und das NAS antwortet mit "Ist angekommen" oder darf das NAS von sich aus ebenfalls Daten an den PC1 schicken ohne das der PC1 zuvor angefragt hat. Eine Rückantwort wird im Normalfall immer erlaubt.

Ich bitte dich um Rückmeldung.

Zu was?

 

[Michi2021]

Vielen Dank!!!

Nicht nur welche Geräte sondern welches Gerät über welchen Por

Ja, das habe ich verstanden.

Alles was ein Gerät im Netzwerk mit einem anderen Gerät machen können soll, muss definiert werden.

Hierzu muss einem bekannt sein über welche Protokolle und die dazugehörigen Ports das Webinterface angesprochen wird Bzw. wohin die Weiterleitung im Zweifel passiert. Synology läuft z.B. im Standard über Port 5000/5001 trotz http(s).

Ja, das ist mir klar, jedes Programm oder Gerät braucht ja neben den angesprochenen Protokolle den Port. Insofern muss am PC1 (wenn dort die Betriebssoftware installiert ist) auch der Port 5938 freigegeben sein, wenn er Hilfe per Teamviewer benötigt - korrekt?

Darf PC1 Daten an das NAS schicken und das NAS antwortet mit "Ist angekommen" oder darf das NAS von sich aus ebenfalls Daten an den PC1 schicken ohne das der PC1 zuvor angefragt hat. Eine Rückantwort wird im Normalfall immer erlaubt.

Nun ja, der NAS solle von alleine keine Daten an den PC senden, wenn nicht angefordert, oder? Könntest du mir sagen, wie da in der HWF dargestellt wird? Also die Bezeichnung im Handbuch?

Was ich aber gerne machen würde, ist, dass wenn ein Ping Befehl aus dem Netz kommt, keine Rückmeldung kommt sondern einfach verworfen wird. Kommz eine Antwort, egal ob Bestätigung oder Ablehnung, ist klar, dass tatsächlich etwas vorhanden ist.

Zu was?

Ja, eben zu dem, was du geschrieben hast! VIELEN DANK, drfuture!!!!!


Edit:

Hierzu muss einem bekannt sein über welche Protokolle und die dazugehörigen Ports das Webinterface angesprochen

Das kann man ja im Netz recherchieren (siehe Teamviewer) oder könnte man auch mit Wireshark mitsniffen, oder? Also natürlich an dem PC installieren, auf dem man etwas machen will. Der Port und das Protokoll (HTTP, TCP, SMTP etc.) wird dort ja normal angezeigt.

 

[Michi2021]

Eine Anfrage aus dem Internet an deine IP landet immer am Speedport Router. Dieser muss dem Paket sagen an welches Gerät im Netzwerk die Anfrage weitergeleitet werden soll.

Ich habe noch Fragen bzw. Anmerkungen mit der Bitte um Rückmedungen.

Zunächst ist es sicher sinnvoll, wenn ich den Geräten, die im Netzwerk sind und auf die man von außen zugreifen können soll (NAS) feste IP-Adressen vergebe, damit kein Problem mit Weiterleitung gibt. Alternativ könnte man evtl. in der HWF auch die MAC Adresse des jeweiligen Gerätes angeben.

Zu den (internen) IP-Adressen der Geräte im Netzwerk (nur Beispiele):

PC1: 192.168.2.100
PC2: 192.168.2.101
NAS: 192.168.2.150


An PC1 und PC2 müssen die Ports 80, 443, SMTP, POP und 5938 (TeamViewer) freigegeben werden. An dem NAS, wie von dir angesprochen, Port 5000/5001.

Nun müss ja im Speedport die Ports angegeben werden. Hierzu habe ich Fragen. Reicht es, wenn ich im Speedport an der IP-Adresse, die die HFW, also der Router, vom Speedport zugewiesen bekommt, alle oben angegebenen Ports freigebe? Und dann in der HWF am jeweiligen Gerät den Port, das Protokoll und die Aufgabe, die gemacht werden soll / darf?


Oder im Speedport Freigaben für die oben genannten IP-Adressen und die dazugehörigen Ports? Und dann, wie oben beschrieben, in der HWF der Rest?

Was, wenn die Geräte hinter der HWF in einer anderen Netzklasse sind? Also klar, Klasse C, aber statt "192.168.2.x" dann eben z.B."192.168.1.x"? Die HWF Konfig ändern, damit es die gleiche Klasse ist? Wie mache ich das am Besten?

Ich bitte um Rückmeldung.

 

[dexter]

Ich bitte um Rückmeldung.

Lass das bitte zukünftig, nervt. Du bekommst eine Antwort oder keine. Das hier ist kein Supportforum für irgendwas.

 

[Michi2021]

Sorry, das war nicht aufdringlich gemeint. Redewendungen wie "Ich bitte um Rückmeldung", "Besten Dank im Voraus" oder so nutze ich standardmäßig, aber ohne Hintergedanken.

 

[drfuture]

Die Frage ist welche Lösung du nun überhaupt umsetzen möchtest?

Die Lösung mit der DMZ ist deutlich komplizierter als von dir hier beschrieben. Die DMZ gehört in ein eigenes Netz.
Du hast dann 3 Netze (z.B. Public Internet> (89.xxx.xxx.xx als Beispiel); DMZ: 10.1.1.x; LAN: 192.168.178.x)
Im Speedport erlaubst du alle notwendige Kommunikation von Außen auf die Firewall; Die Firewall selbst ist im Grunde in einem 4. Netz zusammen mit dem Router.
Im Anschluss muss in der Firewall der jeweilige Weg zwischen Lan <-> DMZ und DMZ<-> Internet und Internet<->LAN geregelt werden.

z.B. Teamviewer kommuniziert Inizial vom Client aus ins Internet wenn es um Zugriffe vom Internet aus geht per 443 und bekommt als Antwort auf einem Random-High-Port eine Verbindung aufgebaut.
Die Freigabe des Ports 5398 ist hier nicht nötig, dieser wird maximal zur Steuerung innerhalb des LAN verwendet.
HTTP,,HTTPS,POP(s?) und smtp(s?) sind ebenfalls von einem normalen PC ausgehende Verbindungen und keine eingehenden und haben mit Portweiterleitung ebenfalls nichts zu tun.

..... das geht hier noch eine ganze Ecke weiter; z.B. fehlt die gesamte Kommunikation die du mit deinem NAS außerhalb der Adminoberfläche so machst?

>>
Für den Weg mit der Portweiterleitung ohne DMZ sollte die Hardware-FW schlicht abgesteckt und verkauft werden.
Ob deine FW für ein Szenario wie oben beschrieben geeignet ist weiß ich nebenbei gesagt nicht - da ich das Produkt im speziellen nicht kenne.

 

[Michi2021]

Vielen Dank!!!

Die Frage ist welche Lösung du nun überhaupt umsetzen möchtest?

Ich denke, nicht die mit der DMZ. Abertrotzdem danke, das werde ich ebenfalls noch testen. Nun aber erst einmal die andere Weg. Evtl. kannst du noch was sagen, also zu den Fragen obn.

Die Freigabe des Ports 5398 ist hier nicht nötig, dieser wird maximal zur Steuerung innerhalb des LAN verwendet.
HTTP,,HTTPS,POP(s?) und smtp(s?) sind ebenfalls von einem normalen PC ausgehende Verbindungen und keine eingehenden und haben mit Portweiterleitung ebenfalls nichts zu tun.

Gilt das wegen der DMZ oder allgemein? Weil das hatte ich oben schon erwähnt, du hast aber nichzs dazu gesgat, also das das nicht nötig ist.

 

[Metal_Warrior]

Ich hab immer noch nicht kapiert, was du eigentlich machst. Hast du überhaupt ne Portweiterleitung im Speedport für SFTP, oder IMAP, oder SSH?

Dein Problem hier ist, dass dir drfuture zwar mühevoll versucht zu helfen, aber du immer noch nicht rausrückst, was eigentlich dein Ziel ist und was du genau erreichen willst. Irgendwas blocken, das du vorher im NAT als Weiterleitung eingerichtet hast, ist völlig unsinnig, und wenn du keine Netztrennung betreibst, ist die Firewall auch Banane. Du kommst mir vor wie jemand, der seinen Golf durch einen Humvee ersetzt, um auf der Autobahn fahren zu können.

 

[drfuture]

Gilt das wegen der DMZ oder allgemein? Weil das hatte ich oben schon erwähnt, du hast aber nichzs dazu gesgat, also das das nicht nötig ist.

Allgemein

 

[Michi2021]

Danke!

Allgemein

Ja, sorry, ich hatte einen Denkfehler, klar muss keine Portweiterleitung eingerichtet werden, aber die Regel in der HWF.

Hast du überhaupt ne Portweiterleitung im Speedport für SFTP, oder IMAP, oder SSH?

Momentan habe ich noch gar nichts gemacht.

was eigentlich dein Ziel ist und was du genau erreichen willst

Das habe ich schon schon erläutert. Für was ist eine Firewall da? Um sich von Angriffen von außen zu schützen. Eine DFW ist ja nicht gerade sinnvoll.

Aber ein andere Frage, wenn du sagst, dass das nichts bringt, für was gibt es dann HWF? Wieso nutzen Unternehmen, auch kleinere, eine HWF -w enn sie gut organisiert sind? Auch da kann es sein, dass man von außen auf Dienste zugreifen muss. Und um von außen darauf zuzugreifen, MUSS ja eine Freigabe dabei sein.