C&C Generale Ports

[Fabi]

Zum ersten:

Lan-Wan Protokoll 17 (UDP)

2527-6690
* -6669
* -6518
* -6611
* -6703
* -6749
* -50727
* -64324
* -62893


und noch viele mehr .....



zu 2.
Der Router hat alle Ports nach außen offen, nach innen aber gesperrt.
-das wollte ich hören

[filou]

Zum ersten:

Lan-Wan Protokoll 17 (UDP)

2527-6690
* -6669
* -6518
* -6611
* -6703
* -6749
* -50727
* -64324
* -62893


und noch viele mehr .....

Ziel oder Quellports?

[Fabi]

Von lan ins Wan

[filou]

Also Quellports der lokalen Station?

Ist der Zielport (externe IP) gleich?

[Fabi]

Quellport ist jedes mal 2527, und die IP auch immer die Lokale stelle mit der ich das spiel starten will
Externe IP ist jedesmal anders....

[filou]

Dann mach dir eine Regel, die den Quellport 2527 erlaubt.
Zielport lässt du unberührt bzw. ohne Eintragung.

Verbindung-Quelle: die IP deines C&C-Rechners
Verbindungs-Ziel: Alle Stationen.

[Fabi]

Sag mal will der PC mich verarschen?!

Hab das mit dem Port gemacht und ist auch gut, blos jetz kommt der gleiche scheis mit einem anderen port "1439". Hab ich auch mal in die regel mit rein gepackt......dann kommt wieder ein anderer -_- "1464"



Ediere:

Wenn ich eine alles offen regel erstelle und dann spiele, kann das spiel zwar online gestartet werden aber ich fliege nach kurzer zeit trotzdem aus dem C&C mit der meldung das die Verbindung unterbrochen sei.

[filou]

Wird das Spiel über einen Server gespielt, oder werden je nach Anzahl der Mitspieler, p2p-Verbindungen aufgebaut?

Dann kommt es wahrscheinlich zu diesem Effekt, da zu jedem Mitspieler ein eigener Port geöffnet wird.

In dem Fall ist es wirklich mühsam, eine Firewall zugestalten, die nach einer Deny-All-Strategie funktioniert und man sollte dann "nur NAT" vorziehen.

[ittk]

Vielleicht wäre anstatt einer Deny-All für die Default-Route das Verfahren Allow-All-out / Deny-All-in ratsam i.V. mit der Statefull Firewall werden die eingehenden Ports dann automatisch geöffnet.

[filou]

Verfahren Allow-All-out / Deny-All-in ratsam

Nichts anderes macht NAT!
http://de.wikipedia.org/wiki/Network_Ad ... ranslation

Die eingehenden Ports müssen sowieso forwarded werden, also kann man sich das auch ersparen

[ittk]

Nein nicht wirklich, da die Komponente der Firewall bei dem Konzept gänzlich fehlt.Du kannst Sie ja im LANCOm dekativieren, dann macht der Router nur NAT/PAT Port-Fowarding etc.

Mit aktivierter Firewall berücksichtigt dieser auch nicht erwünschte Pakete z.B. gespoofte IP-Pakete die mit reiner NAT/PAT ins LAN gelangen könnten.

Außerdem ermöglicht uns die Statefull-Firewall das Erkennen von Verbindungsversuchen von intern nach extern, sodass temporär die betreffneden Ports nur für diese explizite Verbindung geöffnet werden.

[filou]

gespoofte IP-Pakete die mit reiner NAT/PAT ins LAN gelangen könnten.

Das sollte eigentlich vom IDS verhindert werden.

Außerdem ermöglicht uns die Statefull-Firewall das Erkennen von Verbindungsversuchen von intern nach extern, sodass temporär die betreffneden Ports nur für diese explizite Verbindung geöffnet werden.

Das sehe ich genauso.
Ist aber trügerisch, denn was machst du, wenn ein "Bösewicht" Port 80 verwendet.
Da hift eigentlich nur eine Personal-Firewall oder ähnliche Hilfsoftware auf jedem Rechner und selbst das ist nicht sicher, wenn sich z.B. ein Trojaner die Eigenschaften von erlaubter Software und dessen Verbindungen zu Eigen macht.

[backslash]

Hi filou

Das sollte eigentlich vom IDS verhindert werden.

aber nur solange die Firewall auch aktiv ist - schaltet man sie ab, ist auch das IDS deaktiviert...

selbst das ist nicht sicher, wenn sich z.B. ein Trojaner die Eigenschaften von erlaubter Software und dessen Verbindungen zu Eigen macht.

oder wenn er die Desktop-Firewall kurzerhand einfach abschaltet...

Gruß
Backslash

[ittk]

ah endlich kam die langersehnte unterstützung zur bekräftigung meiner aussage

[filou]

Hallo,
Ich schrieb nicht, dass er das ganze Firewall/DOS/IDS-Modul abschalten soll, sondern keine Regeln gestalten braucht, die nach einer Deny_All-Strategie folgen
....

In dem Fall ist es wirklich mühsam, eine Firewall zugestalten, die nach einer Deny-All-Strategie funktioniert und man sollte dann "nur NAT" vorziehen.