Firewall funktioniert nicht richtig - Blockt Ports trotz Freigabe

[ellard]

Hallo!
Folgender Sachverhalt:
Ich leite über meinen Router folgende Ports weiter: 443 (HTTPS), 993 (IMAP), 1723 (VPN), 6690 (Cloud Station). Diese Dienste benutze ich folglich. Da ich die Sicherheit meiner DS maximal erhöhen möchte, habe ich die Firewall zusätzlich aktiviert. Hier möchte ich vor allen Dingen alle Anfragen außerhalb von Deutschland abwehren.

Bei der Firewall habe ich folgende Regeln eingetragen (global):
1) Alle Ports, IPs 192.168.1.1-192.168.1.254, zulassen
2) 443, 993, 1723 & 6690, nur IPs aus Deutschland, zulassen

Bei LAN habe ich sonst eingetragen, dass der Zugriff verweigert werden soll, wenn keine der o.g. Regeln zutrifft (Standard-Aktion).

Die Einstellungen funktionieren soweit gut (z.B. scheint der Cloud Station Zugriff von außen wie vor der Firewall-Aktivierung zu funktionieren). Allerdings kriege ich regelmäßig nach einiger Zeit eine Benachrichtigung von meiner Firewall, dass die Firewall bestimmte Netzwerk-Ports blockiert. Mir wird dann vorgeschlagen, die entsprechenden Anwendungen zuzulassen.

Die Firewall fügt dann automatisch eine neue Regel (global) hinzu:
5000, 5001, 80, 443, 6690, ALLE Quell-IPs, zulassen


Ich verstehe nicht, warum diese Regel von der Firewall für "notwendig" befunden wird bzw. warum überhaupt Anfragen blockiert wurden. Auf das DS-Interface (5000/5001) greife ich nur aus dem internen LAN zu, da müsste meine voreingestellte Regel also vollkommen ausreichen. Port 80 soll nicht geöffnet sein und ist auf dem Router ja auch gar nicht geöffnet, daher können eigentlich auch keine Anfragen von außen kommen. Die Ports 443 und 6690 waren nach meiner alten Regel - zumindest für Deutschland - auch offen. Ich verstehe also folglich nicht, ob ich die Firewall-Benachrichtigung beherzigen oder einfach ignorieren soll.

Funktioniert das GEO-Blocking folglich nicht? Was mache ich falsch?
Ich wäre für jeden Hinweis dankbar!

Beste Grüße
ellard

 

[Fusion]

Empfehlungen sind erst mal nur Empfehlungen. Die Interpretation obliegt dem Admin, da die Software nicht auto-magisch erkennen kann was gewollt ist oder nicht.

Ohne weitere Infos wird jetzt schwer genau zu definieren, was die Meldung auslöst.
Das könnten Dinge sein wie Quickconnect oder Lets Encrypt (80/443), dynDNS oder andere.
Alles Indizien, dass man von außen zugreifen will.

Wenn du alle Dienste die du brauchst erreichen kannst und auch sonst alles funktioniert wie du dir das vorstellst und anderes geblockt wird, dann sei Admin und schmeiß die Empfehlung in den Wind.

 

[ellard]

Hallo Fusion. Vielen Dank für die schnelle Antwort! Und ja: Ich bin der Admin und muss entscheiden, was ich tue. Da ich aber kein "Syno-Gott" bin, war ich irritiert. Deine Antwort ist daher sehr hilfreich!

Tatsächlich benutze ich Lets Encrypt, aber da wird der 80er Port ja eigentlich nur dann benutzt, wenn das Zertifikat erneuert wird. Ich benutze auch DynDNS, aber da kommt die Anfrage ja eigentlich von der Disk Station selbst (kein externer Zugriff)!?

 

[Fusion]

Syno-Gott ist nur ein Forums-Titel der automatisch anhand der Anzahl erstellter Postings vergeben wird. Dies spiegelt weder meine Persönlichkeit noch Fehlerfreiheit wieder, ich bin nur ein Mensch.

Die Empfehlung wird auch vermutlich nur Anhand deiner getroffenen Einstellungen erscheinen, und auch nicht ständig geprüft werden, sondern vermutlich nur in regelmäßigen Abständen, oder wenn der Sicherheitsberater läuft oder ähnlich.
Es sind also vermutlich keine externen Anfragen die blockiert werden und diese Meldung auslösen, sondern einfach die Konfiguration der DS, mehr nicht.

 

[blurrrr]

Da hat Fusion völlig recht (und nicht nur "vermutlich", an dieser Stelle: der Begriff "auto-magisch" rockt! ) - würde etwas wirklich "blockiert" werden, würde auch entsprechenden was "nicht" funktionieren. Die Ports die da genannt werden (http, dsm, etc....) sind nur Empfehlungen zur Freigabe für das "ultimative" Nutzererlebnis (=alles von aussen erreichbar, was man natürlich "nicht" will), von daher kann man sowas schon getrost ignorieren... erst wenn wirklich "Probleme" mit Zugriffen auftreten, sollte man mal etwas genauer hinschauen