DSL-i10+ in Kombi mit NAS QNAP

[gruessi]

Hallo Leute, ich habe neuerdings meinen ollen 2000 Server abgeschafft und eine QNAP NAS erstanden. Soweit so gut. Jetzt stehe ich total auf dem Schlauch. Ich habe ein MailServer auf dem NAS laufen, der mich zur Verzweiflung bringt. Im Nas Forum sagen alle, mein Problem wäre das PortForwarting am Router. Glaub ich aber nicht, dennoch hier meine Verständnisfrage an Euch, ich hoffe Ihr könnt mir Hilfestellung geben:

Ich soll den Port 25 auf den Port 50025 des NAS umleiten.
Eintrag Anfangs- und Endport: 25 (Router)
Gegenstelle: KabelBW
Intra: 192.168.1.99 (NAS)
MAP Port: 50025 (NAS)
Protkoll: TCP

Das stimmt doch so, oder? Nun habe ich mal noch 'ne ganz dumme Frage.
Wenn ich einen Port Scan mache, sagt er mir das Port 25 und auch 110 am Router zu wären. Kann das sein, sollten die nicht offen sein. Aber bislang habe ich über meine Server und den AVM Ken Mailserver problemlos mailen können? Also kann das eigentlich kein Fehler sein.

Wie gesagt ich stehe af den Schlauch. *heul*

[backslash]

Hi gruessi

Ich soll den Port 25 auf den Port 50025 des NAS umleiten.
Eintrag Anfangs- und Endport: 25 (Router)
Gegenstelle: KabelBW
Intra: 192.168.1.99 (NAS)
MAP Port: 50025 (NAS)
Protkoll: TCP

Das stimmt doch so, oder?

ja, das ist so richtig.

Wenn ich einen Port Scan mache, sagt er mir das Port 25 und auch 110 am Router zu wären. Kann das sein, sollten die nicht offen sein.

Banutzt du in der Firewall eine Deny-All-Strategie? Wenn ja, dann mußt du den Zugriff natürlich auch erlauben:

Code: Alles auswählen

Aktion:   übertragen
Quelle:   alle Stationen
Ziel:     IP des NAS (192.168.1.99 )
Dienste:  TCP, Zielport 50025

Der Port 110 ist in jedem Fall zu, den hast du ja nicht weitergeleitet...

Gruß
Backslash

[gruessi]

Ja danke schon mal. Jetzt bin ich beruhigt, dass ich nicht ganz dämlich bin. Der Port 110 habe ich genauso weitergeleitet auf 50110. Der Empfang von Mails gehet über den NAS Server problemlos. Nur der Versand via SMTP scheitert wohl an der Auth.

Wo überprüfe ich in meinem Router die Deny-All-Strategie? Ich kann da keine Regel für finden. Ich bitte nochmals genauer um Aufklärung, denn ich möchte jeden möglichen Fehler an den Routereinstellungen ausschliessen können. Danke.

Bzw. habe ich mal ein Skript von der Lancom Seite die so hieß auf meinen Router geladen, aber jetzt wo Du es erwähnst finde ich dennoch gar keinen Eintrag dar+ber unter Firewall Regeln , das sind nur 4 Einträge von mir drin über Min Bandwith 8 und das isses nicht) War das Skript die ganze Zeit womöglich gar nicht da?

[backslash]

Hi gruessi

Nur der Versand via SMTP scheitert wohl an der Auth.

das ist dann aber kein Problem des LANCOMs... Hier sind dann die Authentifizierungsparameter (Username/Paßwort) im NAS falsch.

Wo überprüfe ich in meinem Router die Deny-All-Strategie? Ich kann da keine Regel für finden.

Die Firewall das LANCOMs ist im Auslieferungszustand völlig offen (bis auf die WINS-Regel) und fährt damit eine Allow-All-Strategie. Für eine Deny-All-Strategie mußt du eine Regel hinzufügen, die alles verbietet:

Code: Alles auswählen

Aktion:  zurückweisen
Quelle:  alle Stationen
Ziel:    alle Stationen
Dienste: alle Dienste

Bzw. habe ich mal ein Skript von der Lancom Seite die so hieß auf meinen Router geladen, aber jetzt wo Du es erwähnst finde ich dennoch gar keinen Eintrag dar+ber unter Firewall Regeln , das sind nur 4 Einträge von mir drin über Min Bandwith 8 und das isses nicht) War das Skript die ganze Zeit womöglich gar nicht da?

also, wenn du das Skript reingeladen hast, dann sollte auch eine Deny-All-Regel vorhanden sein.

Gruß
Backslash

[gruessi]

Ich mach mir da aber meine Gedanken, weil keine weitere regel wie die WIns und meine Min-Bandwith zu finden sind??? Kann es sein, dass die Skripts nicht geladen worden sind. Wie trage ich solche einen Skript richtig ein. Weil alles unterbinden ist ja lieb und recht, aber es müüsen ja manche Dinge auch frei geschaltet sein, wie "Allow HTTPS, SMTP DNS...etc. Diese Skripts wurden auch von mir mal reingespielt sind aber auch nicht zu finden

Meine 2te Frage ist noch offen. Warum sagt mein Portscanner dass alle Ports bis auf 21, 22 und 23 offen sind??Muß das so sein?
Entschuldigung wenn ich nerve!

[backslash]

Hi gruessi

Kann es sein, dass die Skripts nicht geladen worden sind.

Wenn du ein Script in das Gerät lädst, dann steht das hinterher auch in der Konfig... Kann es nicht eher sein, daß du irgendwann mal die Firewall neu konfiguriert hast?

Wie trage ich solche einen Skript richtig ein

In dem du es einfach mit LANconfig in das Gerät lädst: Rechtsklick auf das Gerät und dann Konfigurationsverwaltung -> Aus Script-Datei wiederherstellen anklicken und dann das Script auswählen.

Meine 2te Frage ist noch offen. Warum sagt mein Portscanner dass alle Ports bis auf 21, 22 und 23 offen sind??Muß das so sein?

Also normalerweise sind im LANCOM alle Ports zu und nur die Weitergeleiteten offen (zumindest wenn auf dem Weiterleitungsziel jemand auf den Port lauscht). Wenn alle Ports "offen" sind dann hast du vermutlich in der Firewall den "Stealth-Modus" aktiviert - nur sind die Ports dann nicht offen, sondern werden vom Portscanner i.A. als "stealth" angezeigt.

Zum "Stealth-Modus" kann ich allerdings immer wieder nur sagen: Anders, als von Computer-Bild & Co behauptet, bedeutet keine Antwort mitnichten, daß dort niemand ist, sondern nur daß dort jemand ist, der ein deutlich sichtbares Schild hochhält, auf dem steht: "Ihr könnt mich nicht sehen"...
Gäbe es tatsächlich niemanden, dann würde der davor stehende Router schon sagen "Host unreachable"...

Stealth-Mode und Ping-Blocking bringen keinerlei zusätzliche Sicherheit - dafür behindern sie die Fehlersuche ungemein...

Gruß
Backslash

[gruessi]

Was den Stealth Modus und den Ping Block angeht, bin ich voll und ganz deiner Meinung. Den habe ich längst ausgeschaltet.

Aber erklär mir doch warum der FTP Port 21 als offen angezeigt wird und ich in der Konfig nichts finden kann? Seltsam?

Das mit dem Skript neu laden habe ich schon versucht, aber das Skript wird als erfolgreich hochgeladen angegeben aber ist nachher dennoch nicht zu finden??? Wie trage ich das ein manuell? Wenn das für Dich zuviel Streß macht, dann muss das nicht sein. Ich konnte bislang nur keine ausführlichere Anleitung finden. Wenn man die Firewall da nicht richtig einstellt kann man das auch gleich bleiben lassen.

Gruß und vielen vielen Dank für Deine Hilfe bislang!!

[backslash]

Hi gruessi

Aber erklär mir doch warum der FTP Port 21 als offen angezeigt wird und ich in der Konfig nichts finden kann? Seltsam?

das kann ich dir nicht sagen... Daß die Ports 22, 23, 80, 443 992 und 8080 offen sein können, das mag daran liegen, daß du WAN-seitige die Konfiguration über SSH, Telnet, HTTP, HTTPS oder TelnetS zugelassen hast. Einen FTP-Server gibt es nunmal im LANCOM nicht und somit auch niemanden, der auf den Port 21 lauscht.

Entweder hast du ein Portforwarding für den Port eingerichtet, oder den Port eines der Konfigurations-Dienste auf 21 umgestellt (zu finden im Telnet unter /setup/config oder /setup/http)

bist du dir sicher, daß du acuh das LANCOM scannst?

Das mit dem Skript neu laden habe ich schon versucht, aber das Skript wird als erfolgreich hochgeladen angegeben aber ist nachher dennoch nicht zu finden???

Jetzt könnte man böse sagen: "erfolgreich hochgeladen" ist etwas anderes als "erfolgreich ausgeführt"...

Geh mal nach dem Hochladen des Scrptes per Telnet auf das Gerät und gib show script ein. Dieser Befehl gibt dir ein Ablaufprotokoll des letzten Scriptes an.

Wie trage ich das ein manuell?

du kannst im Telnet genau das eintippen, was im Script steht oder die Regeln mit LANconfig bearbeiten.

Ich konnte bislang nur keine ausführlichere Anleitung finden.

Das ist im Referenzhandbuch genauestens beschrieben...

Gruß
Backslash