Wie wichtig ist die Firewall wirklich??

[Madcat]

Mal etwas doof gefragt,

ich habe eine FritzBox 7170 über die ich mit WLAN ins Netz gehe. Dort habe ich mit "WPA" Verschlüsselung.

Dient diese Verschlüsselung auch schon als Firewall Sicherheit?

Gruß Albus_D

Nö, das ist keine Firewall sondern nur die Verschlüsselungsart der WLAN-Verbindung. Angriffe von der LAN/WAN Seite aus haben mit WPA nix am Hut.

 

[weber]

Mal etwas doof gefragt,

ich habe eine FritzBox 7170 über die ich mit WLAN ins Netz gehe. Dort habe ich mit "WPA" Verschlüsselung.

Dient diese Verschlüsselung auch schon als Firewall Sicherheit?

Gruß Albus_D

Hallo!
Nein, diese Verschlüsselung dient absolut nicht als Firewall. Eine WPA Verschlüsselung ist grob gesagt dafür da, dass nicht jeder über deinen Anschluss ins Netz gehen kann..

 

[Albus_D]

Dann mal schnell die Firewall aktivieren. Sicher ist sicher.

Vielen Dank.

Albus_D

 

[ruerueka]

Aber nur mal so eine dumme Frage am Rande: Ist denn das InternetSurfen nicht auch mit einem Dienst verknüpft? Oder die Sache mit iChat?

Normalerweise läßt ene Firewall alle Anfragen von dir nach draußen zu und die Antworten wieder rein.
Darum klappt surfen und mails holen und ftp im passivem modus und Spyware. Denn da ist dein Rechner der Client und stellt nix zur Verfügung. Böse Dinge können natürlich passieren, wenn jemand so einn Antwortpaket abfängt und fälscht - aber dasgeht hier zu weit. Also: Alles was nur raus gehr, geht durch. Darum gibts ja auch Little Snitch zur Kontrolle.
Wenn du willst, dass DEIN RECHNER Dienste zur Verfügung stellt, musst du die entsprechenden Ports in der Firewall öffnen. Also wenn du FileSharing anbietest oder nen WebServer hast. Ich nehme an, dass ichat für den Video Stream als Server fungiert => also auch hier den Port freigeben.
Bei heise.de gibts im Bereich Netzwerk jede Menge Infos zum Thema, einfach mal stöbern gehen...

 

[McTenner]

Ich nehme an, dass ichat für den Video Stream als Server fungiert => also auch hier den Port freigeben.

In der Software-Firewall von Mac OS brauchst du dazu nichts freigeben, nur UDP-Verbindungen dürfen nicht geblockt werden. Sitzt du hinter einem Router inkl. Firewall, musst du dort allerdings einige Ports freigeben, damit der Videochat richtig funktioniert.

 

[Madcat]

Normalerweise läßt ene Firewall alle Anfragen von dir nach draußen zu und die Antworten wieder rein.
Darum klappt surfen und mails holen und ftp im passivem modus und Spyware. Denn da ist dein Rechner der Client und stellt nix zur Verfügung. Böse Dinge können natürlich passieren, wenn jemand so einn Antwortpaket abfängt und fälscht - aber dasgeht hier zu weit. Also: Alles was nur raus gehr, geht durch. Darum gibts ja auch Little Snitch zur Kontrolle.
Wenn du willst, dass DEIN RECHNER Dienste zur Verfügung stellt, musst du die entsprechenden Ports in der Firewall öffnen. Also wenn du FileSharing anbietest oder nen WebServer hast. Ich nehme an, dass ichat für den Video Stream als Server fungiert => also auch hier den Port freigeben.
Bei heise.de gibts im Bereich Netzwerk jede Menge Infos zum Thema, einfach mal stöbern gehen...

THX für den kurzen Abriss

 

[maceis]

Ein Problem bei solchen Diskussionen ist, dass hier oft Begriffe (Firewall, Port öffnen, Dienste, Router etc.) entweder nicht eindeutig, unpräzise oder gar falsch verwendet werden.
Das liegt u.a. auch daran, dass die Begriffe teilweise nicht eindeutig definiert sind (was bedeutet z.B. "Port öffnen"?) oder selbst in der Fachpresse oder in Produktbeschreibungen falsch bzw. missverständlich verwendet werden und sich diese falsche Verwendung "einbürgert".

Ein weiteres "Problem" besteht darin, dass für das gründliche Verständnis der entsprechenden Konzepte und Vorgänge gute Fachkenntnisse im Bereich TCP/IP erforderlich sind, die man natürlich nicht bei jedem Benutzer voraussetzen oder gar verlangen kann. Das hat zur Folge, dass viele Erklärungen notgedrungen oberflächlich und damit genau genommen falsch bleiben müssen.

Nichtsdestotrotz hier mal einige Grundinformationen.

1. Die Aussage "Firewall braucht man nur, wenn man Dienste einschaltet" ist unter Mac OS X in der Standardeinstellung schlichtweg falsch. Das liegt daran, dass unter Mac OS X die Firewall Ports von den im Dienste Menü aktivierten Dienste automatisch für eingehenden Datenverkehr öffnet. Die Firewall beschränkt also den Zugang zu den Diensten erstmal nicht.
2. "Dienste" werden unter Mac OS X nicht ausschließlich über das Dienste Menü in den Systemeinstellungen gestartet.
3. Ein NAT Router stellt insofern schon mal einen guten Schutz für die Rechner im lokalen Netz dar, als er verhindert, dass die Rechner aus dem Internet direkt erreichbar sind. Daraus resultiert eine weitgehende Filterung von unerwünschten und allzu einfachen Zugriffsversuchen und smoit eine rudimetäre Firewallfunktion auch ohne zzusätzliche Filtersoftware auf dem Router.
4. Wer direkt mit dem Internet verbunden ist (z.B. über eine Modemverbindung) sollte IMO die Mac OS X Firewall in jedem Fall einschalten. Ihm sollte klar sein, dass Diesnte, die er z.B. im Dienste Menü der Systemeinstellungen aktiviert, auch aus dem Internet erreichbar (und angreifbar) sind. Gleiches gilt, wenn auf dem Router eine Portweiterleitung eingerichtet wird (dafür ist sie ja schließlich da).

HTH

 

[peppermint]

In der Software-Firewall von Mac OS brauchst du dazu nichts freigeben, nur UDP-Verbindungen dürfen nicht geblockt werden. Sitzt du hinter einem Router inkl. Firewall, musst du dort allerdings einige Ports freigeben, damit der Videochat richtig funktioniert.

welche ports muss ich forwarden im router und in der osx FW,
um videochat zu machen? es klappte neulich, aber nur ne stunde, dann gings nicht mehr.

was bedeuted das "UDP verkehr blockieren" in der FW von osx?
was kann ich damit verhindern oder welchen nutzen hätte ich davon?

danke

 

[Bruddler]

1. Wer direkt mit dem Internet verbunden ist (z.B. über eine Modemverbindung) sollte IMO die Mac OS X Firewall in jedem Fall einschalten. Ihm sollte klar sein, dass Diesnte, die er z.B. im Dienste Menü der Systemeinstellungen aktiviert, auch aus dem Internet erreichbar (und angreifbar) sind. Gleiches gilt, wenn auf dem Router eine Portweiterleitung eingerichtet wird (dafür ist sie ja schließlich da).

HTH

Das heisst aber doch auch, daß wenn keine Dienste aktiviert wurden in den Systemeinstellungen, daß man auch keine Firewall einzuschalten braucht?!

 

[maceis]

Das heisst aber doch auch, daß wenn keine Dienste aktiviert wurden in den Systemeinstellungen, daß man auch keine Firewall einzuschalten braucht?!

Nein, das heisst es nicht.
Das ist schon kausallogisch falsch abgeleitet und auch sicherheitstechnisch schlichtweg falsch.
Bitte gesamten Beitrag lesen.

 

[i_lp]

FW an und die dementsprechenden Ports freigeben

 

[Graundsiro]

Wenn die Firewall z.B für Port 5400 offen ist, bedeuted das, dass alle Anfragen auf diesem Port durchkommen. Aber fragen wir mal kurz: Wann macht es Sinn und wofür, die Firewall zu aktivieren? Etwa nur, wenn sich das Gerät nicht in einem Subnetz befindet?

 

[kana]

### sinnloses fullquoting entfernt von maceis - der zitierte Beitrag steht doch unmittelbar darüber ###
### Bitte hier unter Punkt 6 nachlesen! ###


Um alle anderen Ports zu sperren.

Andere Frage zum Thema:
Wenn ich meine ADSL-Verbindung über eine WLAN-Router ins LAN bringe, bräucht ich auf Windows-PC auch keine Firewall. Vorraussetzung ist natürlich ein NAT-Router kein Screening-Router.
Denn für außen muss ich sowie so Port-Forwarding für aktivieren, und da kommen doc nur die Geforwardeten Port zu den bestimmten Rechnern??

Und daraus kann man schließen das ich von innen alle Ports aufmachen kann.
Das einzige was den verlorengeht ist die Kontrolle welches Programm ins Inet kann??
Liege ich damit richtig??

 

[ruerueka]

Das einzige was den verlorengeht ist die Kontrolle welches Programm ins Inet kann??
Liege ich damit richtig??

Nein, s.o.
Die Kontrolle welches Programm gerade von deinem Rechner aus ins Internet geht, hat mit der Firewall nix zu tun. Nimm LittleSnitch dafür.
Drehen wir uns im Kreis?

 

[kana]

Ja ist klar, dass ich das auf der Firewall nicht sehe, aber ich muss auf der FW wenn ich sie einschalte die gewissen Port freischalten wenn ich damit in Inet will.

 

[MrMeth]

Ich hab auch noch eine Frage....und zwar möchte ich kontrollieren können welche Programme von meinem Rechner aus, sich mit dem Internet verbinden möchten! Quasi eine Firewall für ausgehende Zugriffe.

 

[maceis]

Wenn die Firewall z.B für Port 5400 offen ist, bedeuted das, dass alle Anfragen auf diesem Port durchkommen.
...

Im einfachsten Fall ist das so.
Eigentlich ist das Ganze aber etwas komplexer.

Die Firewall kann auf eine große Zahl von "Kriterien" eines Datenpakets reagieren.
Im Deinem Beispiel wird lediglich der Zielport für eingehende Datenpakete als Kriterium herangezogen.

Dies impliziert, dass ausgehende Verbindungen grundsätzlich erlaubt sind, dass eingehende Verbindungen auf allen anderen Ports nicht zulässig sind, dass keine (oder nur implizierte) Unterscheiduneng hinsichtlich des Layer 3 Protokolls vorgenommen werden, dass der Verbindunsgsstatus nur hinsichtlich des Flags "established" eine Rolle spielt etc. etc.

Die Mac OS X Firewall kann aber nach all diesen und noch viel mehr Kriterien filtern. Damit aber auch nicht-Experten mit der Bedienung klarkommen, hat Apple sinnvollerweise in der grafischen Oberfläche auf die meisten Kriterien verzichtet.

@ MrMeth
Du fragst nach zwei weiteren Kriterien:
1. Kontrolle ausgehender Verbindungen. Das geht mit der Mac OS X firewall - kann allerdings standardmäßig nur im Terminal konfiguriert werden. Umfangreiche Einzelheiten erfährt man durch Eingabe von "man ipfw" im Terminal,
2. Kontrolle, welches Programm die Verbindung herstellen möchte. Das geht mit der Mac OS X Firewall nicht.

 

[MrMeth]

Ich mein die zweite Variante.
Ich möchte wissen welches Programm sich mit dem Internet verbinden will und es dann ggf blocken oder zulassen. Kennt den jemand ein Programm das diese Funktion enthält? Ich bin beruflich auf Mac umgestiegen und kenne daher bisher nur die Firewalls von Windows!

 

[MacMännchen]

Ich möchte wissen welches Programm sich mit dem Internet verbinden will und es dann ggf blocken oder zulassen. Kennt den jemand ein Programm das diese Funktion enthält?

Little Snitch

 

[maceis]

MrMeth: Das wurde doch zwei Posts über Deiner ersten Frage schon genannt .
MacMännchen hat's freundlicherweise noch einmal wiederholt.