Eine ganze Hand voll Fragen:

Bugbuster · Beitrag von **Bugbuster** » 10 Mär 2005, 18:25

Hallo,
ich habe ein paar Fragen hauptsächlich zum Thema Firewall:

Ich habe einen LANCOM 1521 Wireless

1. Ich habe hier einen Server im Betrieb auf den verschiedene Dienste laufen (Teamspeak-, FTP- und Webserver). Er wird über dyndns angesprochen und hat keine feste IP. Kann ich die lokale IP jetzt bei DMZ eintragen damit die Filterregelen für diesen Rechner nicht beachtet werden? Oder wie muss ich mir das vorstellen bzw einstellen damit der Server quasi auf alle Anfragen von außen reagiert?

2. Ich nutze auf meinem Notebook und meinem normalen Rechner die gleichen Dienste bzw. alle Rechner nutzen HTTP Dienst. Ich kann per Maskierung bzw in der Service Tabelle ja nur auf eine IP weiterleiten. Wie und wo stelle ich Dienste bzw Ports für alle Rechner ein?

3. Ich habe von QoS gehört. Kann ich damit maximale Bandbreiten für IP Adressen angeben um somit zB den ständigen Internetsurfern hier im Haus die Bandbreite für Port 80 einzuschränken?

Ich möchte gerne die Firewall so konfigurieren, dass alles geblockt wird außer die Dienste/Ports die ich öfters brauche:
teamspeak2, http, ftp, icq, irc, half life ports, pop und smtp und evtl ein paar andere.

Sorry, ich weiss das ich ein blutiger Anfänger in Sachen Netzwerksicherheit bin Ich hoffe ihr könnt es mir diese Thematik verständlich machen oder mir zumindest ein wenig weiter helfen. Ich habe mir schon das Manual reingezogen aber viel verraten hat es mir nicht. Naja zum Thema WLAN Sicherheit sag ich jetzt erstmal nix. Hab das erstma deaktiviert bis ich so wenigstens einigermaßen sicher bin.

mfg
stefan scharold

COMCARGRU · Beitrag von **COMCARGRU** » 10 Mär 2005, 21:07

Kann ich die lokale IP jetzt bei DMZ eintragen damit die Filterregelen für diesen Rechner nicht beachtet werden? Oder wie muss ich mir das vorstellen bzw einstellen damit der Server quasi auf alle Anfragen von außen reagiert?

Da verdrehst du was! Dein Router ändert seine öffentliche IP, welche du per DynDNS auflösen lässt. Dein Server hinter dem Router hat eine LAN oder DMZ IP. Diese ist immer die gleiche, weshalb du im Router unter MAskierung die nötigen Ports auf diese IP weiterleitest. Die Firewall bekommt entsprechende Regeln.

2. Ich nutze auf meinem Notebook und meinem normalen Rechner die gleichen Dienste bzw. alle Rechner nutzen HTTP Dienst. Ich kann per Maskierung bzw in der Service Tabelle ja nur auf eine IP weiterleiten. Wie und wo stelle ich Dienste bzw Ports für alle Rechner ein?

Das geht nicht! Ein Port eine IP! Woher soll den der Router wissen, welcher Rechner im LAN gemeint ist. Er sieht ja nur den Port... - Lösung, ändere auf den anderen Rechnern die Ports. Und benutze diese...

3. Ich habe von QoS gehört. Kann ich damit maximale Bandbreiten für IP Adressen angeben um somit zB den ständigen Internetsurfern hier im Haus die Bandbreite für Port 80 einzuschränken?

Ja das geht.

Ich möchte gerne die Firewall so konfigurieren, dass alles geblockt wird außer die Dienste/Ports die ich öfters brauche:
teamspeak2, http, ftp, icq, irc, half life ports, pop und smtp und evtl ein paar andere.

Das steht sehr detailiert im Handbuch!

Gruß
COMCARGRU

Bugbuster · Beitrag von **Bugbuster** » 10 Mär 2005, 21:22

thx schonmal.
Acho also ist die DMZ so gehsehen eine öffentliche IP die ich irgendwoher bekomme. ( ma so ne frage wo bekomm ich einfach noch ne IP gibts die auch irgendwo einzeln zum mieten?)

ja so hat ich mir das auch gedacht nur wieso geht zB icq und so auf allen Rechnern .. oder http leuchtet mir noch nicht ganz ein sorry

wunderba.

sorry hab ich dann wohl nich so ganz mitgeschnitten oder heut morgen überlesen ich werd nochma schaun und bei fragen dazu mich nochma melden thx

Beitrag von **LoUiS** » 10 Mär 2005, 21:36

Hallo Stefan,

1. Ich habe hier einen Server im Betrieb auf den verschiedene Dienste laufen (Teamspeak-, FTP- und Webserver). Er wird über dyndns angesprochen und hat keine feste IP. Kann ich die lokale IP jetzt bei DMZ eintragen damit die Filterregelen für diesen Rechner nicht beachtet werden? Oder wie muss ich mir das vorstellen bzw einstellen damit der Server quasi auf alle Anfragen von außen reagiert?

ich glaube das was Du meinst ist ein "exposed Host", ein Rechner der komplett offen im WAN haengt, ohne vom NAT oder der Firewall geschuetzt zu sein. Das verkaufen andere Hersteller oft als DMZ, obwohl das nicht richtig dargestellt ist. Das ist ein Sicherheitsrisiko, da ein Angreifer, damit schon mit einem Bein in Deinem LAN steht.
Die LANCOM Router bieten sowas aus sicherheitstechnischen Gruenden nicht an. Schau mal im Handbuch unter DMZ, da ist das IMHO recht gut dargestellt.

Bei ICQ, http ... sendet der Client im LAN eine Anfrage ueber den Router in das Internet. Der Router merkt sich aber nun von wem die Anfrage kam und nimmt die Antowrt auf die Anfrage und sendet sie wieder an den anfragenden Rechner im LAN zurueck. Da der Router das alles nachhaelt koennen auch mehrere Rechner im LAN gleichzeitig mit icq, http .. arbeiten.
Bei den Diensten die Du freigeben willst, kommen aber ungefragt Pakete aus dem Internet am LANCOM an, die der Router dann anhand Ihres Ports an den, in der Service-Tabelle eingetragenen, Rechner weiterleitet. Diese Anfragen wurden also nicht von einem Client im LAN initiert, sonder ohne Aufforderung von aussen zum LANCOM gesendet. Wenn so ein Paket am LANCOM ankommt kann der Router ja nicht wissen zu welchem Rechner er es im LAN schicken soll, wenn mehr als ein Rechner fuer den gleichen Port eingetragen ist. Ich hoffe das war einigermassen verstaendlich ausgedrueckt.

Ciao
LoUiS

Bugbuster · Beitrag von **Bugbuster** » 10 Mär 2005, 22:21

ah cool doch das war sehr schön ausgedrückt für mich danköö

... also einfach alle serverdienste in die service tabelle eintragen. tjoa ich mach mich jetzt nochma genau wegen der firewall schlau und stell dann wieder newbie fragen ... und das als fachinformatiker .. naja man kann ja nicht alles wissen aus der komplexen IT welt

das einzige was ich noch hätte ... kann ich auf jeder Lan Schnittstelle ein VLAN erstellen? um die prio id´s zu nutzen .. naja wenn nich würd ich das halt per QoS irgendwie regeln

COMCARGRU · Beitrag von **COMCARGRU** » 10 Mär 2005, 23:23

das einzige was ich noch hätte ... kann ich auf jeder Lan Schnittstelle ein VLAN erstellen? um die prio id´s zu nutzen .. naja wenn nich würd ich das halt per QoS irgendwie regeln

Ähm - welchen Zusammenhang haben bitte VLANs und QoS???

VLANs dienen zur virtuellen Segmentierung von Netzwerken.
QoS dient dem Bandbreitenmanagment verschiedener Services.

Wo ist da der Zusammenhang?

Gruß
COMCARGRU

Bugbuster · Beitrag von **Bugbuster** » 11 Mär 2005, 08:23

ich habe das im manual so verstanden, dass ich auch bei VLAN´s Prios vergeben kann .. daher mein Gedanke ... das ich so auch einzelne PC´s mit hörer Prio austatten könnte. aber geht das denn oder nicht?! nur ob ich jeden einzelnen port zum VLAn machen kann

mfg
stefan