Firewall mit MAC-Filter

[StefanKapunkt]

Hejhej,

ich habe seit 1-2 Monaten meine DS212+ und bin hoch zufrieden. Das Wiki hat mich super darüber informiert wie ich innerhalb meiner DS nochmal Backups machen kann, und ich bin froh dass es hier so eine lebendige Community gibt. Daumen hoch!

Ich arbeite bei einem Lehrstuhl als IT-Hilfskraft und bin da für alles Mögliche zuständig. Wir haben dort einen Linux-PC stehen der als Fileserver dient - mehr als SSH und Samba macht der nicht. Damit man per Samba nicht von überall auf den Server kommt, läuft auf dem PC die Firewall Shorewall. Dort sind Filterregeln eingetragen, die Verbindungen über die SMB-Ports nur zulassen, wenn sie von den MAC-Adressen der Mitarbeiter-PCs kommen.

Weil der Server in letzter Zeit öfter mal Mucken macht und vermutlich so oder so Neuanschaffungen an dieser Front anstehen, überlege ich ob ich meinem Chef eine DiskStation schmackhaft machen soll. Schön leise, Festplatten sind super einfach zu tauschen, einfach zu administrieren, und bietet im Endeffekt alles was wir momentan an Diensten verwenden.
Allerdings scheint die Firewall die man im DSM konfigurieren kann keine Möglichkeit zu bieten, Filterregeln die auf MAC-Adressen basieren zu erzeugen. Das ist eben schon ein sehr wichtiges Feature, da sich die IP-Adressen der MitarbeiterPCs ab und zu ändern können. Da dann immer die Regeln anzupassen wäre also ziemlich nervig.

Jetzt läuft auf der DSM ja einfach ein Linux. Kann mir jemand sagen, was ich tun müsste um eine andere Firewall zu installieren? Muss ich die DS-Firewall erst loswerden, oder würde das dann Probleme im DSM machen?

Vielen Dank und Grüße,

Stefan

 

[Ap0phis]

Was habt ihr denn für ein Netz?
Die DS kann auch in eine Domäne eingebunden werden und der Zugriff auf Basis der Domänen-Rechte vergeben werden.

 

[StefanKapunkt]

Danke für die schnelle Antwort, Domäneneinbindung verwenden wir allerdings nicht.

 

[Ap0phis]

Ok, war ein Versuch.
Zur MAC-Filterung habe ich jetzt leider keine Infos, aber ich bin ja nicht der Einzige, der hier mitliest und antwortet. ;-)

 

[raymond]

Wo ist das Problem Benutzer und Passwörter einzurichten und damit zu leben? Permanent die geänderte MAC-Adresse nachzutragen würde mich wahnsinnig machen.

Du kannst aber auch Synology anschreiben: http://www.synology.com/company/contact_us.php?lang=deu

 

[StefanKapunkt]

Wer sagt dass das nicht so ist?

Wie gesagt, im Post steht dass sich die IP-Adressen von Zeit zu Zeit ändern. Deswegen beziehen sich die Firewallregeln auf MAC-Adressen. Benutzerkonten mit Passwörtern gibt es natürlich auch, aber das ist eben nicht sicher genug. Besser ist es, Traffic auf bestimmten Protokollen (also SMB) von vornherein nur mit den Rechnern zu erlauben, die man selbst kontrolliert.

Edit: Trotzdem danke Ap0phis

 

[jahlives]

Firewall-Regeln nur auf MAC Basis bringt imho aber auch nicht wirklich was. Habt ihr keine Möglichkeit die IP sich nicht ändern zu lassen? Ne MAC Adresse ist schneller geändert als eine IP via dhcp bezogen ;-) Sicherheitstechnisch bringt das keinen Gewinn wenn du das nur an MACs festmachst. Da wäre eine strenge Password-Policy für SMB-Passworte viel wirksamer

 

[StefanKapunkt]

Ja, ausschließlich per MAC zu filtern ist ganz ungesund Aber wenn man schon eine entsprechende Password-Policy einsetzt, wieso soll man die zusätzliche Hürde nicht auch einsetzen?

Können wir uns bitte mit der eigentlichen Fragestellung befassen und nicht mit der Sicherheitsarchitektur an sich? Danke
Die IPs sich nicht ändern zu lassen geht leider nicht. Die werden vom Rechenzentrum verteilt, und die Leute da lassen es sich alle 1-2 Jahre einfallen mal die Netze zu restukturieren..

 

[raymond]

Die Antwort haben wir dir gegeben: Synology anschreiben oder deinen Chef von dieser veralteten Sicherheitsbestimmung der MAC-Filterung abbringen.

Das ist genau das gleiche, als wenn hier jemand zwingend WEP nutzen möchte und deswegen nachfragt: ich denke fast jeder würde hier eher raten die Hardware zu tauschen die das nicht kann, als WEP zu nutzen.

Ich würde das dann eher über VLANs am Switch lösen. Am switch ist teilweilse auch MAC-Filterung möglich.

 

[StefanKapunkt]

Oh, entschuldige. Das mit Synology anschreiben hab ich nicht mehr gesehen, weil ich mich angegriffen fühlte und direkt antworten wollte

Einen Sinn sehe ich in der MAC-Filterung aber noch: So verhindert man, dass sich Mitarbeiter von zu Hause per unverschlüsseltem SMB verbinden. Jetzt kann man natürlich vorher ein verschlüsseltes VPN herstellen. Aber das müsste man dann auch wieder jedem erklären oder ne Anleitung schreiben. Hm

Zum Edit: Ja, auch ne Idee. Ich frag morgen mal das Rechenzentrum. Wenn ich den SMB-Zugriff nur auf unser Lehrstuhlsubnetz beschränken lassen kann, müsste ich auch nicht bei Anschaffung neuer PCs die neuen MAC-Adressen im Server eintragen

 

[raymond]

Der Zugriff von außerhalb des Unternehmens-Netzwerkes sollte natürlich geregelt sein, ganz klar. Aber das geht über den Router...oder wie du schon schreibst: VPN nutzen.