Firewall

Firewall (35 Beiträge, 701 Mal gelesen)

Du bist nicht angemeldet. [ Login/Registrieren ]

Hallo,

ich würde gerne mein Heimnetzwerk durch eine Hardware-Firewall absichern. Mit welchen Firewalls habt ihr gute Erfahrungen bzw. könnt ihr für meine Zwecke empfehlen?

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

Jedes Internetmodem vom Internetanbieter hat heutzutage eine Hardware-Firewall (NAT) eingebaut. Ohne dass du selbst Ports öffnest kann von Außen keine Verbindung aufgebaut werden.

Eine extra Hardware Firewall brauchst du nur wenn spezielle Funktionen wie z.B. VPN Tunnel zwischen zwei Standorten gewünscht sind etc.

Hat meine A1-WLAN-Box auch eine Hardware-Firewall intergriert?

Ich möchte eine Synology DiskStation DS214+ als NAS in mein Netzwerk hängen und da würde ich gerne die Daten die da drauf dann gespeichert sind abgesichert wissen...

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

http://www.a1.net/internet/modemwechsel

Die Vorteile der A1 WLAN Box
..............................................................................................
Inkl. Firewall und erweiterten Sicherheitseinstellungen

Naja, die A1 Boxen sind grausam, sie vermitteln Sicherheit, sind aber mit erratbaren Standardpasswörtern ausgestattet und Firmwareupdates kannst du dir nur wünschen, bekommen wirst du sie nicht. Wie gut die Firewall ist, kann ich aber nicht beurteilen, mach immer einen Bogen um die Dinger, wenns um mehr geht als Omas Computer ins Internet zu bekommen.

Hardware-Firewall (NAT)

NAT ist keine Firewall, sondern nur ein Übersetzer von IP-Adressen. Die Mär, dass man da nicht durchkommt, soll bitte nicht verbreitet werden. Scriptkiddies kann man damit abschrecken, aber auch nur die jungen Welpen.
Die Meisten haben sowas wie eine Firewall, nur gute Router haben eine Richtige mit allem drum und dran. Ausserdem sind ja Firewalls mehr als nur Verbindungen zulassen oder nicht, die müssen mitschauen was da durchgeht, sonst könnt ja zB ein Hijack der Verbindung nicht erkannt werden. VPN Tunnel überwachen braucht richtig CPU-Leistung am Router.
Ich hab mit Openwrt Routern gute Erfahrungen gemacht, nur für die Heimanwendung natürlich. Eine eigene Hardwarefirewall ist für die Meisten daheim zu groß und zu teuer.

was würdest du zur Absicherung für mein Heimnetzwerk vorschlagen? Bei läuft das besagte A1 Modem in Kombination mit einem HP ProCurve 1410-16G Swicht und einem DIGITUS Patch Panel...

HP Pro Curve
http://www.amazon.de/gp/product/B003SBI1KY?psc=1&redirect=true&ref_=oh_aui_search_detailpage

Digitus Patch Panel
http://www.amazon.de/gp/product/B004OU4A76?psc=1&redirect=true&ref_=oh_aui_search_detailpage

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

Ja, der Klassiker, professionionelle Hardware im Heimnetz, und dann hängt das A1 Modem dran (muss da immer lachen, wenn ich das sehe^^)
Ich weiss es ehrlich gesagt nicht, wenn ich mir ansehe wie die Hersteller mit dem Heardbleed Problem umgegangen sind und mit den diversen anderen Sicherheitsproblemen, kommt eigendlich nur Openwrt in Frage bei Routern <200€, da bekommst mit Sicherheit auch nach der Garantie Firmwareupdates bzw wenn du es ernst meinst, machst du es dir selber (pun indended).

Tausche ich dann das A1-Modem gegen einen Openwrt-Router od. wo und wie hänge ich diesen ins Netzwerk?

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

Der Router wählt sich über das A1 Modem ein.

Das A1 Modem verwendest du dann also als Single-User.

http://www.a1community.net/t5/Festnetz-Hardware/A1-Modem-auf-SingleUser-umstellen/td-p/62593

Ja genau, zwischen Telefon und internen Netzwerk, dort wo jetzt der A1-Router hängen sollte.

21.01.2015, 14:14 Uhr - Editiert von Sysiphus1981, alte Version: hier

ich würde gerne mein Heimnetzwerk durch eine Hardware-Firewall absichern.

Aha, weil?

Hast du einen Businessinternetanschluss mit einer statischen IP und betreibst einen Exchangeserver o.ä.? Wenn nein dann sag ich mal, eine Hardwarefirewall steht weit weit unten auf deiner Nice-to-have Liste. Das ist meine Empfehlung für deine Zwecke. Schalte einfach auf deinem Modemrouter UPnP, Samba/Filesharing etc. ab und du bist - als Privatanschluss - sicherheitstechnisch grasgrün. Und das hauptsächlich deshalb, weil niemand, aber wirklich niemand auf die Idee kommt, grad bei deinem Privathaushalt übers Internet einbrechen zu wollen.
--
Qu'est-ce que wos?

wie schalte ich bei meinem A1-Modem UPnP, Samba/Filesharing ab?

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

Ich verwende einen eigenen Modemrouter statt des Pirelli und kann dir das nicht mehr nachschauen, aber wenn du in die Konfiguration reingehst und suchst, es ist findbar.
--
Qu'est-ce que wos?

welche Features funktionieren durch abschalten von UPnP, Samba/Filesharing nicht mehr? Od. braucht das eh keiner?

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

UPnP

Anwendungen dürfen sich benötigte Ports selber öffnen, z.B. Onlinegames, VoIP ...
Klarerweise reiben sich schädliche Programme die Hände, dass sie dann genauso berechtigt sind, sich die zum Einbrechen benötigten Ports selber aufmachen zu dürfen.

Samba/Filesharing

Braucht man praktisch nur wenn man externe Festplatten an den Router anschließt und so eine Art NAS einrichtet. Sobald es ein richtiges NAS gibt, ist das schon überflüssig.
--
Qu'est-ce que wos?

alles klar. Dann werde ich diese Sachen mal deaktivieren und mir die Hardware-Firewall sparen...

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

Viel Spass, wenn zwei in deinem Heimnetz das Selbe machen wollen, ich kenn das von Battlefield BC2, dass funktioniert nicht mal mit UPnP richtig, keine Ahnung was der Rest der Programme so macht. Punkbusterspiele gehen sicher nicht mehr gleichzeitig.
Samba abschalten ist wie mit allem, wenn du es nicht brauchst, deaktivieren.

pfsense auf ALIX Hardware. Früher mal Sunscreen

cheers
h

ich würde gerne mein Heimnetzwerk durch eine Hardware-Firewall absichern

so wie ich das hier mitlese hast du teilweise probleme beim grundverständnis - daher wird dir eine 1000€ FW keine absicherung bieten wenn du sie nicht richtig konfigurieren kannst.

Sprich bei einem einfachen ~200€ Router mit alternativer Firmware kommt es auch auf die Konfiguration drauf an..wenn du wirklich wert auf sicherheit legst dann hol dir unterstützung bei der konfiguration...
____________________________________________________________________
„Der Horizont der meisten Menschen ist ein Kreis mit dem Radius 0. Und das nennen sie ihren Standpunkt.“

(Albert Einstein)

kann man meine bisheriges Netzwerk mit entsprechender Konfiguration gut absichern od. fehlt mir dazu zusätzlich noch konfigurierbare Hardware?

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

es kommt drauf an was du absichern willst...

Alles dicht von aussen - nur 80 und 443 frei dass du surfen kannst oder willst du auch dein NAS extern zugänglich machen?
____________________________________________________________________
„Der Horizont der meisten Menschen ist ein Kreis mit dem Radius 0. Und das nennen sie ihren Standpunkt.“

(Albert Einstein)

von außen sollte alles dicht sein. Nur normales Surfen bzw. Schauen am Smart TV (Youtube, Amazon Instant Video...) sollte funktioniert. NAS möchte ich nicht von extern zugänglich machen...

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

Port 80 und 443 musst nur frei schalten, wenn du selbst einen Webserver betreibst. Und das ist gerade im privaten Netz auf den Standard-Ports nie eine gute Idee.

Was anderes ist, wenn du deinem internen Netzwerk nicht traust, und den ausgehenden Trafiic blockieren willst.

Port 80 und 443 musst nur frei schalten, wenn du selbst einen Webserver
betreibst.

In Bezug auf sein NAS - kann ja sein dass er eine Art Dropbox bei sich betreiben will - dann braucht er 443 bzw. 80 - dahingehend meine aussage
____________________________________________________________________
„Der Horizont der meisten Menschen ist ein Kreis mit dem Radius 0. Und das nennen sie ihren Standpunkt.“

(Albert Einstein)

Was willst du verhindern? Dass jemand von aussen auf Ressourcen in deinem System zu greift? Das ist schon im A1-Modem so eingerichtet. Da musst du die Zugriffe erst extra frei schalten. UPnP ist AFAIK auch deaktiviert und muss erst aktiviert werden. Ich würde diese Einstellungen an deiner Stelle mal überprüfen.

Du kannst natürlich noch eine extra HW-FW einrichten. Ich denke aber nicht, dass du damit mehr Sicherheit bekommst. Private Netze werden in der Regel von innen heraus angegriffen, also über Viren oder Trojanern oder sonstige Malware, die auf einem internen Gerät läuft.

alles klar! Mir gings darum, dass auf Daten die auf den Rechnern bzw. auf der NAS liegen, nicht von außen von nicht *TRÖT*e Personen zugegriffen werden kann.

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

Ubiquiti Edgemax lite
hat vlan,nat,ipsec und ppoe offloading und kostet 84+ versand

meinst du dieses Gerät?
http://www.amazon.de/UbiQuiti-EdgeRouter-Lite-3-port-Router/dp/B00CSML06Q

Schaff ich es dieses Gerät als Normaluser zu konfigurieren bzw. zu betreiben?

Kämpfe mit Leidenschaft, Siege mit Stolz, Verliere mit Respekt, aber gib nie auf!

22.01.2015, 14:22 Uhr - Editiert von S p o r t f r e u n d, alte Version: hier

Ja geht einfach. Ubiq verwendet für mein Ansinnen schon zu viel Ressourcen um alles in der GUI zu configurieren. Super forum. Fast monatliche releases. Und den Vorteil, dass die komplette config in einem file ist -> super easy upgrade. Ich hab 2 stück seit fast einem Jahr in betrieb(UPC uplink) und war selten so happy mit einem gerät. Gibt ihn auch auf gzhls gelisted. https://geizhals.at/ubiquiti-edge-router-lite-a955492.html
Omg.de ist auf ubiquity und microtik spezialisiert. Meinen nächsten werd ich von dort beziehen.

22.01.2015, 17:55 Uhr - Editiert von lowtec, alte Version: hier

eingefallen ist mir noch:

um den vorzüge einer nas mit ihren services auf allen geräten von überall zu nutzen, muss sie immer eindeutig addressierbar sein, intern wie extern. wegen der dyn ip und zwangstrennung brauchst ja nen dyn dns provider. du kannst diesen syno dyndns service verwenden, oder dyndns, oder alternativ selbst mit eigener domain + dnshoster oder vserver in nem rechenzentrum.

wenn du mit portfwding die nas von aussen erreichbar machen willst, schafft ein reverse proxy mehr sicherheit, wobei die syno hat auch nen proxy davor, aber der nginx? ist nur zum redirect und hat glaub ich keine sec policies. noch besser baust mitm phone oder notebook eine vpn verbindung auf. das kann die syno wie der edgemax.

Intern musst du entweder die nas mit haipin-nat auf der öffentlichen ip des router erreichen, was der edgemax sicher noch am besten von allen routern wegsteckt, aber die ds214+ (hab ich auch

, schafft 120Mb/sec, da ist schon das gigabit voll.
Besser einen eigenen dns server betreiben, der dir dann mit zone override nas.dyndns.my auf 192.168.x.x auflöst. Mit der passenden search domain und cname auf nas.dyndns.my brauchst dann überhaupt nur mehr "nas" eingeben.

hast dur vor in naher zukunft LTE zu verwenden? die photos sind mittlerweile so groß, das selbst mein 15mbit uplink nicht ausreicht

der edgemax hat kein externen usb, aber intern nen 4G usb stick. man kann an den port anstatt des sticks nen aktiven usb hab anhängen, dann den stick an den hub und das lte modem da dran. ob das gut geht werde ich bald testen. ein bekannter hat nen tplink auf openwrt + usb huawei modem. das usb modem muss bei ihm die verbindung aufbauen, da der ältere router (2y?) mit ppoe nicht den max speed schafft (waren 10mbit oder so). prob ist dann doppel nat, gibt nen hack mit einfachem oder doppelten upnp.
Ein anderer bekannter hat nen nagelneuen dlink lte router, mit dem er 20 mbit zusammengebracht hat in wien.

wenn lte dann musst aufs dach. wenn dann der run auf den masten beginnt hast du dann wenigstens eine gutes signal.

Dieses Forum ist eine frei zugängliche Diskussionsplattform.
Der Betreiber übernimmt keine Verantwortung für den Inhalt der Beiträge und behält sich das Recht vor, Beiträge mit rechtswidrigem oder anstößigem Inhalt zu löschen.
Datenschutzerklärung