Brauche Hilfe bei der firewall-router

[MacMaass]

hallöchen, hallöchen
nachdem ich hier einige beiträge über die sicherheit & internet gelesen habe, wollte ich meine firewall am router richtig einrichten. Aber was ist richtig ? Kurz und gut, ich brauche eure Hilfe, da ich auch die englische fachsprache nicht wirklich kapiere.
Ich hab fotos gemacht zu den einzelnen einstellungsmöglichkeiten meines netgears. Es wäre toll, wenn sich einer dazu äußern könnte. Sind diese Voreinstellungen ausreichend oder muß da noch was verbessert werden ??

 

[cla]

Original geschrieben von MacMaass
hallöchen, hallöchen
nachdem ich hier einige beiträge über die sicherheit & internet gelesen habe, wollte ich meine firewall am router richtig einrichten. Aber was ist richtig ? Kurz und gut, ich brauche eure Hilfe, da ich auch die englische fachsprache nicht wirklich kapiere.
Ich hab fotos gemacht zu den einzelnen einstellungsmöglichkeiten meines netgears. Es wäre toll, wenn sich einer dazu äußern könnte. Sind diese Voreinstellungen ausreichend oder muß da noch was verbessert werden ??

 

Alsooooo....

Das Bild zeigt mir nur die Einstellmöglichkeiten für die PROTOKOLLIERUNG von Ereignissen, die in Zusammenhang mit der Firewall eintreten können.

Einstellungsmöglichkeiten zur FW selbst sind da gar keine dabei...

Es wäre ausserdem vielleicht hilfreich, wenn du uns noch verraten könntest, um welches Netgear-Gerät es sich denn handelt...die bauen leider mehr als eines...

cu
Carsten

 

[MacMaass]

´tschuldigung auch. Ist ein netgear FWG114P. Da zeigt ja nur daß ich überhaupt keine ahnung von den dingen habe. ich habe versucht alle bilder in meinen ersten beitrag zu bringen, klappte aber nur mit dem ersten bild. vielleicht tut es ja da zweite ??

 

[beo]

Also Firewall-Einstellungen kannst Du auch in dem zweiten Menü nicht vornehmen. Da geht es nämlich um das content-filtering von Webseiten...
Gruss,
beo

 

[MacMaass]

das wird ja langsam peinlich, aber was ist mit bild 3 ??

 

[beo]

ja, da kannst Du "Firewall"-Regeln eingeben.
Aber Dir ist schon klar, dass Du die überhaupt nicht brauchst, solange Du keine Dienste auf Deinem Rechner/Deinen Rechnern anbietest?
Zu den "Diensten" zählt allerdings schon die Teilnahme an einem p2p-Netz. Das solltest Du aber schon in einem viel einfacher zu handhabenden Menü a la "Portforwarding/NATing" regeln können...
Gruss,
Beo

 

[cla]

.

 

[cla]

Gut. Also im Bereich "Block Sites" kannst du einen simplen Inhalte-Filter definieren. z.B. wenn du alle Seiten die das Wort "Windows" enthalten, sperren willst, dann kannst du das hier erreichen (Keyword-Blocking).
Im allgemeinen macht es aber wenig Sinn, sich hier groß zu verkopfen, ausser du hast Kinder, du du vor bestimmten Web-Inhalten schützen willst.

Wenn Windows-Rechner im Haus sind, würde ich vielleicht noch nen Haken bei "Turn ActiveX filtering on" reinmachen, um die unsinnigen fehlerbehafteten ActiveX-Sachen rauszufiltern. Wenn du nur Macs hast, brauchste das aber sowieso nicht.

Viel wichtiger ist das Kapitel 6-4 im Handbuch, also die Rubrik "Rules" im Einstellungsmenü. Dort kann man seine eigenen Regeln definieren, und Sachen erlauben und verbieten.

Das Problem dabei: das ganze setzt umfassendes Wissen über Netzwerke vorraus, und ich könnte hier jetzt Seitenweise schreiben, ohne auch nur annähernd ausreichend erklären zu können, was, wie und vor allem warum du jetzt so und so einstellen solltest...schon aus dem Grund, weil ich nicht nachvollziehen kann, wie die eingebaute FW in dem Netgear wirklich arbeitet...das weiß wahrscheinlich nur der, der sie programmiert hat...für alle anderen auf dieser Welt ist für dieses Gerät einfach zu wenig Dokumentation vorhanden.

Eigentlich kannst du die Voreinstellung erstmal so lassen, wie sie ist. Falls du sonst keine Dienste anbietest (Webserver, Filesharing usw...).
Die beiden "Default"-Regeln, die schon eingetragen sind, sind für die meisten Heimanwender erstmal völlig ausreichend.

Inbound = Eingehender Netzwerkverkehr
Outbound = Ausgehender Netzwerkverkehr

Wenn du jetzt intern noch nen Webserver oder Filesharing betreiben willst, dann musst du entsprechende "Inbound"-Regeln für die entsprechenden Ports einrichten, und diese auf die entsprechenden Rechner weiterleiten (Send to LAN Server).

Ich würd vielleicht noch im Bereich "Options" unter "Rules" folgendes setzten:
- Respond to Ping on internet -----Haken rein
- Drop fragmented IP-packets -----Haken rein.....bei Problemen...Haken raus.
- Block TCP-Flood -----Haken raus
- Block UDP-Flood -----Haken raus
- Block non-Standard packets ------Haken rein

Bei der WLan-Funktionalität des Routers würde ich auf jeden Fall die Verschlüsselung aktivieren (nach Möglichkeit WPA...im Ausnahmefall WEP).

so...das muss erstmal reichen
cu
Carsten

 

[maceis]

Ich würd vielleicht noch im Bereich "Options" unter "Rules" folgendes setzten:
- Respond to Ping on internet -----Haken rein
- Drop fragmented IP-packets -----Haken rein.....bei Problemen...Haken raus.
- Block TCP-Flood -----Haken raus
- Block UDP-Flood -----Haken raus
- Block non-Standard packets ------Haken rein

Da frag ich mich:

Warum auf pings aus dem Internet antworten ?
Damit Hacker wissen, dass ich online bin ?

Warum fragmentierte Pakete verbieten?
Damit ich bei Verbindungen über zu viele Hops Probleme bekomme?

Warum ein Flooding zulassen?
Um einer DoS Atacke die Tür aufhalten ?

 

[cla]

Original geschrieben von maceis
Da frag ich mich:

Warum auf pings aus dem Internet antworten ?
Damit Hacker wissen, dass ich online bin ?

 

ICMP ist essentiell für die Datenkommunikation im Internet. Wird es geblockt, weiß der Hacker trotzdem, das man online ist. Dann antwortet nämlich der nächste Router beim Provider NICHT. Ansonst würde der nämlich sagen: "Nein, da ist keiner mit dieser IP". Sagt er das NICHT, dann ist da DOCH jemand mit der IP...und der kann nochsoviel Pings blocken...das ändert nichts an der Tatsache, das er existiert.

Warum fragmentierte Pakete verbieten?
Damit ich bei Verbindungen über zu viele Hops Probleme bekomme?

 

Über diesen Punkt könnte man streiten...
Aber "normalerweise" sollten fragmentierte Pakete nicht auftreten...

Warum ein Flooding zulassen?
Um einer DoS Atacke die Tür aufhalten ?

 

Weil beide Flooding-Regeln in diesem Netgear so ausgelegt sind, das sie den entsprechenden Port und/oder IP dann einfach sperren. Dann braucht der Hacker nur ein paar gefälschte Flood-Packete lossschicken (gefälschte IP oder Port), und der Router sperrt dann diese IP...z.B. den DNS-Server...oder den nächstgelegenen Router... und schon ist die Datenkommunikation tot...

Werden diese Pakete zugelassen, ist im besten Fall die Verbindung nur solange ausgelastet, solange die Attacke dauert.

Aber wahrscheinlich macht der Netgear früher oder später auch schlapp...

Beide Varianten sind suboptimal...ich hab das kleinere Übel genannt.

cu
Carsten

 

[MacMaass]

mensch, das ist ja ne menge holz, das ich da lesen muß. Aber die voreinstellung scheinen ja für den hausgebrauch auszureichen.
besten dank also fürs erste und der zusatz, daß dieses forum wirklich mit abstand das netteste, beste, schnellste,...... im ganzen www ist.
gruß hendrik clap

 

[maceis]

hallo Carsten,

interessante Diskussion

ich weiss jetzt nicht was der Netgear unter Blocken von Pings versteht;
ich verstehe darunter das verwerfen von ICMP Paketen vom Typ 8 und nicht generell aller ICMP Nachrichten.
Auf der anderen Seite hast du recht.
Wenn der letzte Router nicht "Destination unreachable" sendet, ist das so, als wenn die Schwiegermutter bei Dir klopft und Du rufst durch die geschlossene Tür :"Ich bin nicht daheim"
Aber eine gewisse Selektion tritt m. E dennoch ein, denn einen ping absetzen kann jeder, das was dannach noch kommt eben nicht.
Und welchen Sinn hat es pings aus dem internet zu beantworten ?
IMHO gar keinen.

Fragementierte Pakete treten AFAIK dann auf, wenn Router oder Server sich nicht an die übliche MTU von 1500 Byte - 8 Byte für den Header (bei PPPoE) halten oder wenn zuviele Hops passiert werden müssen.
Dann "platzt" das Paket und wird auf zwei Pakete aufgeteilt und entsprechend "nummeriert".
Ärgerlich ist das zB bei Downloads, wenn plötzlich Routen (z. B. wegen Überlastung oder Routerabsturz) ausfallen und dann andere Verbindungs-Strecken verwendet werden müssen, die entsprechende Router verwenden.
Da ist es dann aber u. U. auch besonders ärgerlich (z. B. am Ende eines langen Downloads).
Bekannte Kandidaten für zu große Pakete sind die Server von gmx und microsoft, da die die Fragmentierung verweigern.
Da kann es dann passieren, dass Bilder im Browser einfach nicht angezeigt werden, oder bei großen Mails der pop Server einfach "hängt" - auch nicht so doll

Beim Flooding, das ist halt so ein Abwägen:
Was ist wahrscheinlicher?
Dass ein Kiddie den neuesten DoS-Exploit ausprobiert?
Oder gefälschte FloodPaket mit gespoofter IP von einem DNS Server.
Also meine Vermutung ist da, dass zum IP-Spoofing erheblich mehr Fachwissen erforderlich ist als im ersten Fall und dies deswegen unwahrscheinlicher ist.
Da lass ich mich aber gerne eines besseren belehren.

 

[ana]

Entschuldigt, daß ich mich hier kurz einmische.
Mir ist von einem Bekannten empfohlen worden bei folgender Adresse einen Test machen zu lassen: security-check.ch
Würde gerne von den Fachleuten hier gerne wissen, ob es Sinn hat so etwas machen zu lassen, wenn ja, dann ob bei denen usw.
Habe den üblichen Wahn, weil ich eine DOSE und einen Mac am Router hängen hab.
Vielen Dank vorab für die Mühe, habe auf jeden Fall schon von euren Antworten an MacMaass was verstanden, was in den einschlägigen Foren so nicht zu verstehen war.
a

 

[Tatcher a Hainu]

Passt zwar nicht unmittelbar zum Thema, poste es aber trotzdem da oben "firewall rules" angesprochen wurden. Hier ein Link zu einer äusserst praktischen Seite wo die div. Ports beschrieben werden.

http://www.networksorcery.com/enp/protocol/ip/ports00000.htm

(Ich habe ziemlich lang nach so einer Liste gesucht. Ich hoffe sie ist auch für euch von nutzen).

mfg

Christian

 

[maceis]

Original geschrieben von Tatcher a Hainu
Passt zwar nicht unmittelbar zum Thema, poste es aber trotzdem da oben "firewall rules" angesprochen wurden. Hier ein Link zu einer äusserst praktischen Seite wo die div. Ports beschrieben werden.

http://www.networksorcery.com/enp/protocol/ip/ports00000.htm

(Ich habe ziemlich lang nach so einer Liste gesucht. Ich hoffe sie ist auch für euch von nutzen).

mfg

Christian

 

gib mal im Terminal folgendes ein:
cat /etc/services

oder zum Blättern (mit Leertaste):
cat /etc/services | less

----
@ana

... ob es Sinn hat so etwas machen zu lassen, wenn ja, dann ob bei denen usw.

Mach doch mal. Und lies was dabei rauskommt.
Da du hinter ne Router sitzt, wird beim Portscan vermutlich nichts durchkommen. Ansonsten erfährst du ein bisschen was über deine Interneteinstellungen, über Java Script etc.

 

[Tatcher a Hainu]

Original geschrieben von maceis
gib mal im Terminal folgendes ein:
cat /etc/services

oder zum Blättern (mit Leertaste):
cat /etc/services | less

Ups, das wusste ich nicht . Danke für den Tip!

Heute wieder was neues gelernt. Der Tag fängt ja schon gut an!

 

[cla]

Original geschrieben von maceis
ich weiss jetzt nicht was der Netgear unter Blocken von Pings versteht;

 

Ich bin auch nicht im Besitz eines solchen, sonst könnte man mal kurz Reverse Engineering betreiben...

ich verstehe darunter das verwerfen von ICMP Paketen vom Typ 8 und nicht generell aller ICMP Nachrichten.

 

Das wäre noch vertretbar. Der normale Heimanwender muss nicht unbedingt anpingbar sein. Wobei ich bei einem Server im Internet, der eine Dienstleistung anbietet, das schon erwarten würde.

Aber eine gewisse Selektion tritt m. E dennoch ein, denn einen ping absetzen kann jeder, das was dannach noch kommt eben nicht.
Und welchen Sinn hat es pings aus dem internet zu beantworten ? IMHO gar keinen.

 

Was ist an Pings böse? IMHO nix...und die Zeiten von "Death of ping" sind auch schon vorbei...und betrafen sowieso nur bestimmte "Betriebssysteme"

Fragementierte Pakete treten AFAIK dann auf, wenn Router oder Server sich nicht an die übliche MTU von 1500 Byte - 8 Byte für den Header (bei PPPoE) halten oder wenn zuviele Hops passiert werden müssen.
Dann "platzt" das Paket und wird auf zwei Pakete aufgeteilt und entsprechend "nummeriert".

 

Ok...hier lag ich nicht ganz richtig. Hab grad nochmal genauer nachrecherchiert...: Es kann durchaus sein, das Pakete fragmentiert werden, und deshalb auch so weiterverschickt werden. Das ist sogar normal...(unter bestimmten Bedingungen). Hier hatte ich was verwechselt. Also muss es richtig heißen: Beim Netgear fragmentierte Packete ERLAUBEN.

Beim Flooding, das ist halt so ein Abwägen:
Was ist wahrscheinlicher?
Dass ein Kiddie den neuesten DoS-Exploit ausprobiert?
Oder gefälschte FloodPaket mit gespoofter IP von einem DNS Server.

 

Es spielt eigentlich keine Rolle, was wahrscheinlicher ist. In beiden Fällen wandern Datenpakete über die dünne Leitung vom Provider zum Heimanwender (der wahrscheinlich ISDN oder DSL hat). Diese dünne Leitung lässt sich relativ schnell "sättigen". Egal, ob die Pakete dann vom Router geblockt, gedropt oder beantwortet werden. In jedem Fall muss er das Paket erstmal annehmen, reinkucken, und erst dann kann er darauf reagieren. Die Leitung ist in jedem Fall dicht.
In der von mir vorgeschlagenen Variante ist die Leitung wieder nutzbar, sobald die DoS beendet wurde. Im anderen Fall kann es sein, das der Router noch weit darüber hinaus blockiert ist. Ausserdem widerstrebt mir der Gedanke, das der Router eigenmächtig IP-Adressen sperrt, auf deren Wahl ich keine Einflussmöglichkeit habe.
Besser finde ich da die Lösung, wie sie von FreeBSD gehandhabt wird. Dort wird die max. Anzahl von Paketen auf 200/sek. (lässt sich variieren) begrenzt. So verrichtet der Server weiterhin seine Arbeit, und sobald die DoS vorbei ist, können auch wieder normale Anfragen beantwortet werden.
Ich muss glatt mal probieren, wie sich OS X da verhält...

cu
Carsten

 

[maceis]

und hallo,

Das wäre noch vertretbar. Der normale Heimanwender muss nicht unbedingt anpingbar sein. Wobei ich bei einem Server im Internet, der eine Dienstleistung anbietet, das schon erwarten würde

Dann mach mal
ping www.microsoft.com
oder
ping www.gmx.de
oder
ping pop.gmx.de


hast aber recht; die spinnen halt ein bisschen mehr als andere;
Blocken alle ICMP Typen und verhindern somit auch, dass fragmentiert werden kann.
Wenn dann auf der Strecke ein Router falsch eingestellt ist, kann man zB von gmx keine Mails runterladen, die größer als rd. 1500 Byte sind und Bilder etc. die größer als 1500 Byte sind werden vom Browser nicht angezeigt, denn auch die müssen mW fragmentiert werden.
Bullshit!
Zudem habe ich gelesen, dass gmx ohnehin eine zu hohe MTU verwendet, was das ganze noch verschärft.

In der von mir vorgeschlagenen Variante ist die Leitung wieder nutzbar, sobald die DoS beendet wurde. Im anderen Fall kann es sein, das der Router noch weit darüber hinaus blockiert ist. Ausserdem widerstrebt mir der Gedanke, das der Router eigenmächtig IP-Adressen sperrt, auf deren Wahl ich keine Einflussmöglichkeit habe.

So gesehen auch wieder richtig;
Von guten Argumenten lasse ich mich gern überzeugen.
Da macht auch das diskutieren Spass

 

[maceis]

--- mist falsch gedrückt ---