Home-Server per WOL aus dem Internet starten.

[thorstense]

Hallo!

Zur Zeit melde ich mich per ssh am Lancom an und mit dem Befehl "wakeup <MAC Adresse>" starte ich den Home-Server.
Leider ist der ssh Client auf dem Smartphone schlecht zu bedienen und ich möchte das WOL direkt mit meiner Smartphone App ausführen.

Ich habe schon mal eine Anleitung gefunden, nur leider verstehe ich das Thema nicht richtig.
Folgendes habe ich in der Lanconfig eingestellt:

-die Portfreigabe:

- IP-Router
-Maskierung
-Port-Forwarding-Tabelle
-Hinzufügen eine Weiterleitung für Port: 9
- Anfangs Port: 9
- End Port: z.b. 9
- Gegenstelle: ArcorDSL
- Intranet-Adresse: 192.168.2.255
- Map Port: 0
- Protokoll: UDP
- Wan-Adresse: 0.0.0.0
- Eintrag: Aktiv
- Beschreibung: WOL

dann die Firewall konfigurieren:

-folgendes Stations-Objekt erstellen:
- Name: z.b. Broadcast
- Station hinzufügen: Localnet

- Jetzt die Regel erstellen :
-Firewall/QoS
-Regeln
-Hinzufügen:
- Name: z.b. WOL-Broadcast
- Aktionen: Accept
- QoS: bleibt leer
- Stationen:
- Verbindungs-Quelle: Von allen Stationen
- Verbindungen an folgende Stationen:
zuvor erstelltes "Objekt Broadcast " aus.
-Dienste:
-Quell-Dienste: Alle Protokolle/Dienste
-Ziel-Dienste: benutzerdefiniertes Protokoll
- Protokolle bearbeiten:
- UDP: häckchen machen
- Ports : 9

Dabei kommt noch kurz eine Warnmeldung das sich die Regel mit der WINS Regel überschneidet.
Also in der Tabelle die neue Regel WOL-Broadcast auf Position 1.
Alles so erstellt nur es funktioniert nicht.

Könnt ihr mir bei der Erstellung der Regeln behilflich sein?


Viele Grüße, Thorsten

[backslash]

Hi thorstense

hier ist dein Fehler

- Station hinzufügen: Localnet

du mußt dort explizit die Broadcastadresse hinterlegen, da die Firewall den Broadcast sonst filtert

Gruß
Backslash

[thorstense]

Hallo!

Hi thorstense

hier ist dein Fehler

- Station hinzufügen: Localnet

du mußt dort explizit die Broadcastadresse hinterlegen, da die Firewall den Broadcast sonst filtert

Gruß
Backslash

Habe folgendes Stations-Objekt erstellt:
- Name: z.b. Broadcast
- Station hinzufügen: ganzes IP-Netzwerk
192.168.2.255 / 255.255.255.255

Funktioniert super, Danke!


Gibt es noch die Möglichkeit die Anzahl der Broadcasts zu begrenzen?
Nicht das jemand das Netzwerk vom außen mit WOL-Anfragen bombadiert?
Und wenn ja wie wird diese Regel erstellt?


Viele Grüße, Thorsten

[backslash]

Hi thorstense

Gibt es noch die Möglichkeit die Anzahl der Broadcasts zu begrenzen?

setz an die Regel einfach eine Maximale Bandbreite von 1 kBit/s... dann kommt da nicht mehr allzuviel durch...

Das sicherste ist allerdings das WOL gar nicht erst über das Internet zuzulassen, sondern nur über einen VPN-Tunnel...

Gruß
Backslash

[thorstense]

Hallo!

Hi thorstense
setz an die Regel einfach eine Maximale Bandbreite von 1 kBit/s... dann kommt da nicht mehr allzuviel durch...
...
Gruß
Backslash

Wo und wie wird das genau eingegeben?
In der Firewall Regel einen Trigger/Aktionen-Set setzen?
Bedingung:
für empfangene Pakete, Physikalische
Trigger:
1 ; kbit ; pro Sekunde
Paket-Aktion:
Verwerfen
Sonstige Maßnahmen:
SNMP


Bei der Trigger Auswahl: 1 ; Paket ; pro Minute, entspricht das nicht nur 1 Broadcast pro Minute und wäre sicherer?

Hi thorstense
...
Das sicherste ist allerdings das WOL gar nicht erst über das Internet zuzulassen, sondern nur über einen VPN-Tunnel...

Gruß
Backslash

VPN mit dem 821+?
Unterstützt denn der Lancom 821+ VPN?


Viele Grüße, Thorsten

[backslash]

Hi thorstense

VPN mit dem 821+?

bisher stand ja nirgendwo, daß du einen 821+ hast...

Unterstützt denn der Lancom 821+ VPN?

nein...

Gruß
Backslash

[thorstense]

Hallo backslash!

Hi thorstense

bisher stand ja nirgendwo, daß du einen 821+ hast...

In meiner Signatur...


Jetzt hat sich was überschnitten, habe meinen vorherigen Beitrag überarbeitet, Sorry!



Viele Grüße, Thorsten

[thorstense]

Hallo backslash!

setz an die Regel einfach eine Maximale Bandbreite von 1 kBit/s... dann kommt da nicht mehr allzuviel durch...

Wo und wie wird das genau eingegeben?
In der Firewall Regel einen Trigger/Aktionen-Set setzen?
Bedingung:
für empfangene Pakete, Physikalische
Trigger:
1 ; kbit ; pro Sekunde
Paket-Aktion:
Verwerfen
Sonstige Maßnahmen:
SNMP


Bei der Trigger Auswahl: 1 ; Paket ; pro Minute, entspricht das nicht nur 1 Broadcast pro Minute und wäre sicherer?


Viele Grüße, Thorsten

[backslash]

Hi thorstense

In meiner Signatur...

da hab ich ehrlich gesagt nicht hingeschaut...

Wo und wie wird das genau eingegeben?
In der Firewall Regel einen Trigger/Aktionen-Set setzen?
Bedingung:
für empfangene Pakete, Physikalische
Trigger:
1 ; kbit ; pro Sekunde
Paket-Aktion:
Verwerfen
Sonstige Maßnahmen:
SNMP

z.B.... Du solltest den Trigger zusätzlich noch als "globalen" Trigger setzen, damit alle Sessions, die auf diese Regel matchen einen gemeinsamen Begrenzer haben. Sonnst könnte der Begrenzer einfach durch wechselnde Quellports "umgangen" werden.

Bei der Trigger Auswahl: 1 ; Paket ; pro Minute, entspricht das nicht nur 1 Broadcast pro Minute und wäre sicherer?

theoretisch ja, aber dafür müßte die Session auch mindestens eine Minute erhalten bleiben. Da der Timeout für UDP im Default aber bei 20 Sekunden liegt, verschwindet die Session nach 20 Sekunden und damit auch der Begrenzer...

Ach ja: Es ist keine gute Idee den UDP-Timeout hochzusetzten, denn das würde über kurz oder lang die Maskierungstabelle überlaufen lassen, da jede DNS-Anfrage dort einen Eintrag hinterläßt...

Gruß
Backslash

[thorstense]

Hallo backslash!

z.B.... Du solltest den Trigger zusätzlich noch als "globalen" Trigger setzen, damit alle Sessions, die auf diese Regel matchen einen gemeinsamen Begrenzer haben. Sonnst könnte der Begrenzer einfach durch wechselnde Quellports "umgangen" werden.
...
Gruß
Backslash

Globaler Trigger...
Wie funktioniert das genau, ist das ein Firewall-Objekt?

Firewall-Objekte:
Aktionsobjekte
Hinzufügen
Allgemein WOL-BROADCAST_TRIGGER
Aktionen
Bedingung:
für empfangene Pakete, Physikalische
Trigger:
1 ; kbit ; pro Sekunde
Paket-Aktion:
Verwerfen
Sonstige Maßnahmen:
SNMP

Ist das so richtig?
Und wo muss der dann stehen, Prio 1?

Zusätzlich noch den gleichen Trigger in die Firewall-Regel,
oder habe ich das falsch verstanden?



Viele Grüße, Thorsten

[backslash]

Hi thorstense

Globaler Trigger... Question
Wie funktioniert das genau, ist das ein Firewall-Objekt?

schau dir den Dialog, in dem du den Trigger erstellst, mal genau an. Da hast du unter dem nebeneinader drei Radio-Buttons: Pro Session, Pro Station und Global...

Firewall-Objekte:
Aktionsobjekte
Hinzufügen
Allgemein WOL-BROADCAST_TRIGGER
Aktionen
Bedingung:
für empfangene Pakete, Physikalische
Trigger:
1 ; kbit ; pro Sekunde
Paket-Aktion:
Verwerfen
Sonstige Maßnahmen:
SNMP

Ist das so richtig?

ja, halt bis auf den globalen Trigger, also

Trigger:
1 ; kbit ; pro Sekunde ; Global

Und wo muss der dann stehen, Prio 1?

An welcher Stelle die Aktionobjekte in der Liste stehen, ist völlig egal, denn sie werden ja über die Firewallregeln referenziert, d.h. du fügst den Trigger einfach als weitere Aktion der Firewallregel hinzu, also


- Name: WOL-Broadcast
- Aktionen: ACCEPT, WOL-BROADCAST_TRIGGER
- QoS: bleibt leer
- Stationen:
- Verbindungs-Quelle: Von allen Stationen
- Verbindungen an folgende Stationen: Objekt BROADCAST
-Dienste:
-Quell-Dienste: Alle Protokolle/Dienste
-Ziel-Dienste: benutzerdefiniertes Protokoll
- Protokolle bearbeiten:
- UDP: häckchen machen
- Ports : 9

Gruß
Backslash

[thorstense]

Hallo!

Bisher funktioniert alles super!

Nur würde ich das gern noch etwas einschränken.
Aktions-Objekte
WOL_BROADCAST_TRIGGER
Trigger/Aktionen-Set / Sonstige Maßnahmen:
Zielport schließen. 60 Minuten

So würde bei dem Überschreiten der Datenmenge von 1kbit/sec der UDP Port 9 für 60 Minuten gesperrt?

VPN wäre auch schön...
Welchen Lancom könnt ihr mir empfehlen?
Zur Zeit mit DSL6000 unterwegs in Zukunft Kabel 32000 geplant.
Wie wäre der Lancom 1781A?



Viele Grüße, Thorsten

[backslash]

Hi thorstense

Nur würde ich das gern noch etwas einschränken.
Aktions-Objekte
WOL_BROADCAST_TRIGGER
Trigger/Aktionen-Set / Sonstige Maßnahmen:
Zielport schließen. 60 Minuten

So würde bei dem Überschreiten der Datenmenge von 1kbit/sec der UDP Port 9 für 60 Minuten gesperrt?

ja, aber von solchen Portsperren solltest du die Finger lassen, denn sie sorgen letztendlich dazu, daß ein DoS-Angriff erst erfolgreich wird. Stell dir dazu einfach nur vor, jemand schickt dir alle 59 Minuten ein 128 Byte großes Paket an den Port 9 - du wirst deinen PC von aussen niemals einschalten können...

Gruß
Backslash