Problem Router / Firewall

[andyarbeit 10]

das ist die einzige möglichkeit, ports einzutragen :(

Was bringt mir diese verd***te firewall dann, wenn eh alle ports offen sind? das bringt doch kein sinn, wenn ich genau die filtern kann, die ich verwenden will! das ist doch unsinn, oder?

hast du ne email-addresse? dann schick ich dir mal die router-anleitung (pdf/3mb)! keine angs, viel zu lesen gibts net, denn es gibt auch net viel zum einstellen :(

[Microby 10]

Würd ich Dir ja gerne schicken, aber in nem Board immer nur über PN und dat hast Du aus, will schließlich nicht zugemüllt werden, also, mach PN in Deinem Profil frei.

[andyarbeit 10]

hab pn eingestellt!

[Microby 10]

Alles klar Dat Ding ist von vornherein dicht. Aber relativ wenig konfigurierbar, sorry aber was für Leute die nicht soviel Ahnung von der Materie haben. Also, optimal...

 

Bei Port-Filtering Haken raus, nix eintragen, es sei denn Du willst selber Deinen Rechner ausbremsen, ist vielleicht nur sinnvoll wenn man schon ein trojaner hat, dann kann er nicht mehr zu Hause anrufen...

Das gleiche gilt für IP-und MAC-Filtering.

Wenn Du Filesharing betreibst, oder nen FTP-, Web- oder E-Mail-Server dann musst Du, sollte es Probleme geben die entsprechenden Ports unter Port-Forwarding freigeben.

 

Das wären dann wie ich schon sagte die:

20 tcp für FTP-Server

21 tcp für FTP-Server

25 tcp (smtp verschicken) bei Mailserver

110 tcp (pop3 empfangen) bei Mailserver

143 tcp (imap empfangen, wenn nötig?) bei Mailserver

56 tcp (DNS, wenn nötig bei Mail?)

80 tcp (Html, event. noch den 8080 tcp beim Proxy) für Webserver

4661 tcp für Filesharing

4662 tcp für Filesharing

4665 udp für Filesharing

4672 udp für Filesharing

 

Aber die setz erst rein nachdem Du getestet hast obs funzt. Da Du erst damit Ports freigibst.

Um zu Testen ob Deine Firewall auch dicht ist kannst Du bei http://www.hackerwatch.org/probe ganz ungeniert testen was das Zeug hält. Ist alles Grün schön für Dich...

Meld Dich mal was bei rausgekommen ist. Ich hoffe ich konnte Dir helfen.

Nun hoffe ich nur noch das ich mein Problem hier auch noch gelöst bekomme.

[andyarbeit 10]

hi!

 

heißt das, ich setze nirgenswo einen haken in der router-firewall und die firewall ist trotzdem aktiv? das kannn doch nicht sein, oder?????

wie kommt es dann, dass ich ins internet kann, mails abrufen über putlook, wenn ich überhaupt nichts an der router firewall aktiviert habe? ist es nicht so, dass dann alles offen ist, wenn ich nichts an der router firewall aktiviert habe, das heißt, die router-firewall dann auch nicht aktiviert ist???

 

gruß andy arbeit

[Microby 10]

DOCH!!!

 

Zitat:

Alles klar Dat Ding ist von vornherein dicht.

 

Geh und teste...

 

Ne Firewall ist dafür da Dein System zu schützen, aber nicht dafür das Du eine Möglichkeit hast, kein Internet mehr zu haben.

 

Wenn Du Dir mal Deine Anleitung durchliest, würdest Du feststellen das die Portfreigaben unter Port-Forwarding erst vergeben werden müssen. Was macht es für nen Sinn Freigaben zu vergeben wenn schon alles frei ist? Hm???? Irgendwie doch schwachsinnig.

Und wenn Du im IP-Filtering Ports von innen her sperrst kannst Du nix mehr machen, das hast Du ja nun schon selbst erlebt. Aber Du willst ja Internet, oder? Also kein IP-Filtering...

[PIC 11]

Hallo andyarbeit,

 

durch die Lernkurve mit der Portfilterung musst Du durch, dafür ist Dein System nachher auch recht gut geschützt.

 

PS: Sag mal, welchen Router hast Du eigentlich? Hast Du das Manual dazu?

 

PPS: Tipp von mir:http://www.router-forum.de/ Die sind recht kompetent und haben Foren zu vielen verschiedenen Router-Fabrikaten ;)

 

PPPS: Aus der Diskussion sehe ich, dass Du mit Filesharing hantierst. Dann wissen wir wenigstens, wo Du Deine Viren, Würmer und Trojaner herbekommst :D :D

 

@ Microby: "...die im Kopf des Admins gedeiht..." Einfach zauberhaft! :cool: :D

 

Gruss Jan

[andyarbeit 10]

... nur dass ich bisher noch nie würmer, trojaner oder ähnliches hatte :)

 

also:

ich hab den acer wlan 11b broadband router - das größte drecksding! naja, da ich unerfahren bin und den preis von 79euro inklusive wlan pcmcia-karte sah, hab ich mir gedacht, ich kauf dat ding! die manual (pdf) ist spährlich, genauso die einstellungen im router! der support von acer ist unter aller sau... entweder man zahlt 1,80 € die minute bei deren service oder man schickt ne email. ja, die habe ich vor ner woche geschickt und immer noch keine antwort! ein manual zu meinem router gibts glaub ich net zum download! die seite von acer glänzt auch durch tote links.

 

nunja, wie gesagt, da ich alle möglichen einstellungen durchprobiert habe, und es partout mit fester ip der clients nicht ging, hab ich den router als dhcp definiert und die clients suchen sich die ip´s selbst bzw bekommen sie vom router zugewiesen! damit hatte ich zumindest mal das 1. problem gelöst und ich konnte ins internet!

 

vor dem zweiten problem stehe ich jetzt: thema sicherheit! zuerst wollte ich wieder meine gute alte norton internet security 2003 draufmachen, mit der ich zuvor, als ich noch mit "normaler" netzwerkkarte meinen t-dsl-anschluss nutze, nie probleme hatte ... (außer dass sie halt ressourcen ohne ende frisst, ws man bei einem amd-k62 300mhz - notebook mit 64mb ram schnell merkt ;)).

Die habe ich auch draufgehabt... start des 2. poblems! die wollte einfach nicht! immer wenn ich sie aktiviert hatte, konnte ich nicht mehr ins ww und mails abrufen konnte ich auch nicht mehr. Habe auch hier alle einstellungen im reiter "heimnetzwerk einrichten" ausprobiert ... mit regeln manuell erstellen usw kenn ich mich net aus, also hab ichs gelassen.. zuvor hats ja immerhin auch ohne probleme gefunzt! warum jetzt nicht mehr, wo der router dranhängt, ist mir nach wie vor schleierhaft! im hinblick auf die verschonten ressourcen hab ich mich imme mehr mit dem gedanken befasst, mich mit der integrierten router-firewall anzufreunden von der ich bisher die finger ließ, weil ich keine ahnung davon hab!

Jetzt muss ich feststellen, dass der router scheinbar anders als die üblichen router im bezug auf die firewall funzt:

 

angefangen hats mit port-filtering. mit der schlichten beschreibung

 

"Entries in this table are used to restrict certain types of data packets from your local network to Internet through the Gateway. Use of such filters can be helpful in securing or restricting your local network. "

 

muss ich feststellen, dass SCHEINBAR, also so wie ichs verstehe, ich nur die ports in die liste eintragen kann, die ich sperren will, das heißt, durch die ich keine kommunikation von meinem rechner aus nach DRAUßeN erlauben will! (Also so habs ich verstanden)

Das heißt also, ich muss theoretisch alle ports die es gibt manuell in die liste eintragen ud nur die aussparen, die ich benötige! oder hab ich da was falsch verstanden??? das ist doch ein haufen arbeit! und außerdem kann ich ja damit nur unterbinden, dass was von DRINNEN nach DRAUßEN durch diesen port kommunizieren kann. na super damit ist es aber schon reingekommen! Das heißt dann dass die türen nach drinnen alle offen sind und jeder hereinspazieren kann, nur wenn er nac draußen will, stehen türsteher dran, die das überwachen! WO IST DA DIE LOGIK??? Sollte es nicht so sein, dss alles was rein UND raus will kontrolliert wird??? (vor allem alles was rein will)

VERSTEH ICH DA WAS FALSCH?????????

Ich hab jetzt kein pan, ob ich jetzt geschütz bin oder nicht, wenn ich nichts in der router-firewall aktiviere oder einstelle!

Könnt ihr mir das vielleicht sagen???????

Und was zum henker ist NAT - ja, network adress translation, aber as ist das genau und was hat das mit der sicherheit zu tun??? ich habe an meinem router schlichtweg folgende einstellungen: port-filtering (was ja überflüssig ist - siehe oben!), mac-filtering (funktioniert einstellungstechnisch genauso wie port-filtering - ich kann mac-adressen eintragen, denen ich NICHT erlauben will ...), ip-filtering (brauch ich nicht),port-forwarding und dmz (brauch ich auch nicht). MEHR EINSTELLUNGEN GIBT ES NICHT!!!

Also nochmal... was ist den NAT und hab ich das? Ein kollege meinte, dass ich die routerfirewall nicht einstellen muss, weil ich durch NAT automatisch geschützt bin.. was meint er damit???

 

WAS SOLL ICH JETZT TUN?

Soll ich jetzt was einstellen bei der router-firewall? oder bin ich jetzt schon geschützt? soll ich´s mal mit zonealarm probieren? (frisst die genausoviel ressourcen wie NIS?)

 

So, seit 2 wochen sitz ich direkt nach dem geschäft bis spät in die nacht da und hol mir meinungen ein und lese tausend beiträge, aber ich will, dass endlich alles problemlos und SICHER läuft *schnief*

 

Jetzt wisst ihr alles über meine leidensgeschichte und ich hoffe, ihr helft mir

 

Dankeschön, Andy Arbeit

[andyarbeit 10]

@ Microby:

 

Original geschrieben von Microby

Was macht es für nen Sinn Freigaben zu vergeben wenn schon alles frei ist?...

 

-> ja genau das mein ich doch... ich versteh das nicht! ALLES frei heißt doch ALLE PORTS OFFEN, oder nicht?! Und wenn alle ports offen sind, kann jedes programm über jeden port kommunizieren!? Was für eine funktion hat diese firewall dann, wenn eh alle ports offen sind? Das ist doch die gleiche wirkung, als ob ich gar keine hätte, oder???

 

sorry, aber ich verstehs jetzt echt nicht...

 

Ach ja und danke nochmal für deine schnele hilfe :)

du wolltest doch wissen, was bei hackerwarch rauskam:

also bei simple probe kam raus system secure (aber da steht ja auch, dass man sowas erwarten muss, wenn man hinter proxy/router oder nat steht). beim port-can alle ports orange (closed but unsecure), außer beim tcp 80 (open and unsecure). beim aderen portscan kam raus, dass tcp 80 und 53 offen und sicherheitslücken sind!

WARUM DAS??? also warum sind die als einzige offen? soll das so ein oder was kann ich tun???

 

 

lieber gruß, andy arbeit

[andyarbeit 10]

Ich denke durch diesen Artikel:

 

http://www.router-forum.de/modules.php?op=modload&name=Sections&file=index&req=viewarticle&artid=19&page=1

 

sind alle meine fragen überflüssig geworden :)

 

Also ich bin im moment durch die nat-technologie geschützt, da meine clients keine statischen ip´s haben und port-forwarding deaktiviert ist, richtig???

also blockt mein router alles was von drauen kommt, es sei denn, es ist von innen angefordert worden (jetzt macht auch die port-filtering option für mich einen sinn *g*)

also brauch ich demnach keine software-firewall! macht es dennoch sinn, die bekannten trojaner-ports im port-filtering einzutragen, falls trotz allem doch mal ein trojaner durch die firewall kommt und von innen nach außen funken will??? oder ist port-filtering nur eine "bremse"???

 

Kann es sein, dass das mit meinen statischen ip´s nicht geklappt hat, weil ich kein port-forwarding eingestellt hatte? denn wenn ich das richtig verstanden habe, wird (wenn ich dhcp am router disabled habe und die ip´s der clients statisch sind) alles vom router geblockt (also auch tcp 80 - eine erklärung warum ich alles intern anpingen konnte aber nicht ins www gekommen bin) es sei denn, ich "erlaube" es, indem ich bei port-forwarding den port freischalte! RICHTIG??? Warum hat dann der ping nach draußen an eine domain nicht geklappt? benutztder ping an eine dns-adresse auch einen eigenen port???

 

Habe ich endlich das prinzip verstanden??? ;)

 

Gruß, euer problemkind andy arbeit

[Microby 10]

Mist, hab keine Lust mehr, hab Dir eben son ellenlangen Text nochmals geschrieben... und dann ist der Cookie abgelaufen.

 

Hast es noch nicht richtig verstanden, aber alles ist prima. Deine Test sehen gut aus, muss alles so bleiben. Lass den DHCP laufen ist besser, wegen Fehlern. NAT ist was anderes, sowas wie ne Maske. Im Port-Filtering würd ich nix eintragen, wenn Du willst machs, aber dann nur bekannte Trojaner Ports. Der Ping wird bei Dir wohl herstellerseitig geblockt sein.

[andyarbeit 10]

Zitat: "Der Ping wird bei Dir wohl herstellerseitig geblockt sein."

 

... wie meinst du das? Wenn ich dhcp eingestellt habe funzt der ping doch auch!?

 

Ich habe ein problem mit emule wenn ich dhcp weiterlaufen lasse... würd deswegen lieber statische ip´s verwenden!

 

Also ich lass mich jetzt "nur" durch nat schützen... wäre es trotzdem noch zu empfehlen, ne software-firewall auf die clients zu klatschen oder langt das?

[Microby 10]

Hm, mit dem Ping..., keine Ahnung, vielleicht funzt er nur wenn DHCP an (herstellerseitig). Hat mit DHCP nix zu tun.

 

Jo, und genau hier haben wir Dein Problem. Für den Rechner wo der Esel läuft brauchst Du ne feste IP da er ja sowas wie ein Server darstellt. Du müsstest nähmlich wie ich schon sagte, bei Problemen mit dem Muli die Ports für ihn freigeben (in Port Forwarding). Dafür musst Du aber die IP des Rechners angeben auf dem der Esel läuft. Und das kannst Du logischerweise nicht da Du nicht weißt welche er vom DHCP erhält. Dafür ist es notwendig im Router dem "Server" ne feste IP zu vergeben. Und genau diese Option fehlt Dir.

 

Jetzt weiß ich endlich was der Herstellerslogan: "Filesharinggeeignet" bedeutet.

 

Warum denn aber Du mit DHCP keinen Connect bekommst...? Ist vielleicht wirklich so das die Firewall nur DHCP-Clients durchlässt (kann ich mir zwar nicht vorstellen...).

 

Tjo, Fazit, entweder neuen Router, oder den Esel, Esel sein lassen.

 

Versuch mal auf dem Esel-Rechner ne feste IP anzugeben, den Rest DHCP, und dann mit dieser IP in Port Forwarding die Ports:

 

tcp 4661

tcp 4662

udp 4665

udp 4672

 

freigeben.

Weiß aber nicht ob das funzt.

[xardas 10]

Hey...

 

wenn auch etwas spät wahrscheinlich (auf die uhr guck)

aber habe grad mal die ganze diskussion verfolgt,

hatte nämlich in den letzten tagen auf dem rechner von nem freund auch nur probleme mit der firewall bzw überhaupt mit diesem router.

 

mische mich ungern ein in das thema ...denn eigentlich wurd schon alles gesagt und viel meh kann ich gar nicht mehr dazu sagen da das auch mehr oder weniger neulnd für mich ist ... jedenfalls hab ich emule mit diesen einstellungen frei bekommen,

hatte letztedlich nur noch probleme mit nem anderen port vom web-beamer ... man muss wirklich nur einmal dahinter steigen dann ist das schon ne feine sache!

 

kennt sich denn noch jemand mit dem router aus? habe noch probleme mit remote-desktop ... wie bekomme ich zugriff über remote-administrator? reichts da auch schon einfach nur den port feizugeben? ( Port 4899 )

[Microby 10]

Gefährliches Spiel was Du da treiben willst.

Ehrlich gesagt, theoretisch kannst Du dann auch Deine Firewall komplett ausschalten. Gerade der Remotebereich ist der der am häufigsten angegriffen wird.

 

Wenn es schon unbedingt sein muss solltest Du aber auch wenigstens ein Proggi nutzen was Verschlüsselung zulässt. Bei meinem letzten großen Arbeitgeber (Konzerngröße, wo Sicherheit groß geschrieben wird...) wurden für solche Zwecke, wenn denn überhaupt, PC-Anywhere genutzt. Da hat man nähmlich die Möglichkeit verschiedener Verschlüsselungstiefen.

 

Aber wie gesagt, ich würds lassen.

Aus Fehlern lernt man...