Ports öffnen CMD werden mit Test via Nmap immer noch als "zu" angezeigt

[tdizzle 2]

Hallo zusammen, ich wollte auf einem Windows Server Core einige Ports öffnen, habe das mit 

netsh advfirewall firewall add rule name="Open Port 5510" dir=in action=allow protocol=TCP localport=5510 

als auch mit 

new-netfirewallrule -name SynologyNASData1 -displayname SynologyNAS -localport  5510 -remoteport any -profile any -action allow -protocol tcp

probiert. Beide FW Regeln werden mir als aktiv angezeigt, allerdings ist der Port immer noch "zu"

Habt ihr eine Idee was da das Problem ist oder bin ich einfach nur zu b***d?

 

Danke & Grüße

[winmadness 79]

Wie ist Deine Netzwerkkonfiguration? Also von welchem Client über welche Netzwerkstrecke testet Du die Firewall? Deaktiviere mal alle Firewalls (Public, Private, Domain?) auf dem Server und teste dann. Sicherheitshinweis: deaktiveren der Firewalls natürlich nur dann, wenn der Server nicht direkt am Internet hängt.

 

bearbeitet 14. April 2021 von winmadness

[Dukel 457]

Lauscht auch ein Dienst auf dem Port? Firewall heisst nur, dass nichts oder etwas geblockt wird, wenn es möglich wäre.

[tdizzle 2]

Direkt horcht auf dem System kein Port, der soll laut synology Admin Guide offen sein für Backups des Hyper-V-Hosts

Nichts destotrotz müsste doch via nmap oder test-net-connection als offen gezeigt werden oder?

[NorbertFe 2.089]

vor 2 Minuten schrieb tdizzle:

Nichts destotrotz müsste doch via nmap oder test-net-connection als offen gezeigt werden oder?

Wie denn, wenn da nix is?

[Dukel 457]

Muss evtl. auf dem Hyper-V Host ein Backup Agent installiert werden?

[daabm 1.366]

Ich formulier's mal anders: Ohne aktiven Listener kannst Du in der FW Ports aufmachen, solange Du willst, da wird nmap nie was finden... Und die FW macht die Ports auch nur dann auf, wenn es eben diesen aktiven Listener auch gibt.

[testperson 1.728]

Hi,

 

ob das was zum Aufmachen lauscht, lässt sich auf dem Server selbst mit "netstat" checken:

netstat -ano | findstr :5510

 

Gruß

Jan

[Dukel 457]

vor 10 Stunden schrieb daabm:

Ich formulier's mal anders: Ohne aktiven Listener kannst Du in der FW Ports aufmachen, solange Du willst, da wird nmap nie was finden... Und die FW macht die Ports auch nur dann auf, wenn es eben diesen aktiven Listener auch gibt.

 

Genauer: Die Firewall macht auch keine Ports auf, sondern blokiert diese oder blokiert diese nicht. Ein Port wird immer nur von einem Listener "Aufgemacht".

[tdizzle 2]

Danke euch für die Erklärungen :) Ihr habt einem junior Admin noch mal gut was beigebracht, dass der Port nur offen ist mit Listener war mir so nicht bewusst

 

Im Admin Guide zu der NAS stand nur folgendes:

deswegen hatte ich so dumm gefragt, aber dann machts auch sinn warum 445 mir als offen angezeigt wird, weil da ja was drauf lauscht und der Rest nicht

 

vor 19 Stunden schrieb Dukel:

Muss evtl. auf dem Hyper-V Host ein Backup Agent installiert werden?

Laut Admin-Guide nicht, das scheint über SMB und WINRM zu gehen, man muss nur eine Administrative Freigabe für C$ und den Speicherort der VMs einrichten, hab das Testweise mit dem Admin Account probiert, der müsste die Rechte ja eigentlich haben

[Dukel 457]

vor 12 Minuten schrieb tdizzle:

Danke euch für die Erklärungen :) Ihr habt einem junior Admin noch mal gut was beigebracht, dass der Port nur offen ist mit Listener war mir so nicht bewusst

Dann solltest du dir einmal die Netzwerkgrundlagen anschauen.

[tdizzle 2]

vor 53 Minuten schrieb Dukel:

Dann solltest du dir einmal die Netzwerkgrundlagen anschauen.

will do

[Nobbyaushb 1.484]

vor 13 Stunden schrieb tdizzle:

Administrative Freigabe für C$ und den Speicherort der VMs einrichten...

Das macht man eigentlich heute nicht mehr und ist bei den meisten Windows leider immer noch per default an.

Gemäß BSI Empfehlung soll man die Administrativen shares disablen...

Um VMs zu sichern braucht man das eigentlich nicht 

[NorbertFe 2.089]

Gerade eben schrieb Nobbyaushb:

 

Gemäß BSI Empfehlung soll man die Administrativen shares disablen...

Jemand der auf c$ connected kann, kann die deaktivierte c$ Freigabe afaik auch ganz einfach wieder aktivieren. Irgendwas mit ipc$ war da mal. Da hülfe es mehr, die Dateifreigabe einfach per Firewall an den PCs zu blocken.