Heimnetzwerk sicher machen mit DMZ, VLAN und Firewall

[Mettigel]

Ich kann es im Router einstellen. Habe mal zum Testen Deutschland geblockt, dann konnte ich mich nicht mehr via VPN verbinden.
Ausgehend lasse ich alle Länder zu, da ich nicht weiß, was das für Auswirkungen hat.

 

[blurrrr]

Naja, Deutschland sollte man vllt nicht grade blocken ... ? Ausgehend "alle" Länder... naja, kann man auch machen... man weiss ja auch nicht, welche Software sich grade zu welchem Server verbinden will... Grade bei AV-Produkten sehe ich es häufiger, dass von Clients im deutschen Raum auch gern mal Server in z.B. Italien, Frankreich, etc. angesprochen werden zwecks Signatur-Update.

Ausgehend ist halt einfach das Ding, dass man da nicht wirklich unter Kontrolle hat, wo die Ressourcen liegen, auf welche zugegriffen werden soll/muss. Sicherlich kann man schon Ausnahmen definieren (Russland, China, etc.), aber auch da kann es dann mitunter vorkommen, dass ggf. etwas "garnicht" mehr funktioniert (z.B. das Firmware-Update der 30€-IP-Cam, oder des smarten Toasters... ?)

 

[Mettigel]

Naja, Deutschland sollte man vllt nicht grade blocken ... ?

Wollte doch nur kontrollieren, dass das auch funktioniert und nicht nur die nette Weltkarte farblich angepasst wird

Wenn China ausgehend geblockt wird, hieße das dann auch, dass ich nicht mehr auf chinesische Websites käme... also alles mit .cn?

 

[blurrrr]

Wollte doch nur kontrollieren, dass das auch funktioniert

Vertrauen ist gut, Kontrolle ist besser, genau richtig so! ??

Geoblocking orientiert sich eigentlich nicht am DNS, sondern an IP-Adressen (guck mal hier). Der FQDN ist rein DNS-basiert und hat mit einer IP jetzt erstmal nichts zu tun (abgesehen von den zuständigen DNS-Servern, welche hinterlegt sein "müssen"). Heisst: Du könntest Dir in China auch eine igrendwas.cn-Domain sichern und diese auf Deine Syno Zuhause zeigen lassen. Damit wäre die TLD chinesischer Kennung (.cn), die dahinterstehende IP aber Deine eigene in Deutschland. Im Grunde kann man da ganze sowieso schon von anderen TLDs wie .com, .org, .net ableiten (und auch den ganzen "neuen" wie .shop und Co.), da diese auch keinerlei Info zum Standort "vermuten" lassen (das es so ist, ist ja nicht gesagt, daher "vermuten"). Hier hat das eine also nichts mit dem anderen zu tun

Allerdings.... gibt es da noch ein ganz anderes Problem bei der Geschichte... "Wie" wird denn jetzt die Zugehörigkeit bestimmt? IP-Adressen kann man "kaufen" oder "mieten". Nehmen wir als einfaches Beispiel mal einen Anbieter für statische IP-Adressen: Du willst Zuhause eine statische IP-Adresse haben und buchst jetzt bei einem Anbieter eine IP. Realisiert wird das ganze durch eine Tunnellösung, welche IP Du bekommst, darauf hast Du erstmal keinen Einfluss (wird vom Anbieter vorgegeben). Holst Dir jetzt via Tunnel die IP nach Hause und freust Dir 3 Schnitzel. Dein Bekannter hat nun Geoblocking aktiv und alles ausser Deutschland ist gesperrt (ausgehend, über Sinn und Unsinn sprachen wir ja bereits). Nun ist es aber so, dass dieser Anbieter a) entweder im Ausland sitzt, oder b) selbst nur von woanders die Adressen bezieht. Somit ist es dann eine IP aus z.B. England (Thema "Ltd." und so). Heisst Dein Bekannter würde nun auf eine (vermeintlich) IP zugreifen, welche offiziell z.B. in England registriert ist. Solche Konstrukte kann man auch in Deutschland in Rechenzentren finden, wenn man ein paar IPs bucht, welche dann aber nicht offiziell Deutschland zugewiesen sind, sondern der gesamte Pool halt einer Firma im Ausland gehört (die dann halt teilweise hier rübergeroutet werden).

Will damit sagen: Es "kann" (nicht "muss"!) durchaus Probleme bei sowas geben in Bezug auf Geoblocking. Ebenso könnte eine Website mit .cn-TLD auf einem deutschen Server liegen. Was z.B. Botnet-Geschichten angeht, so "könnte" sowas helfen, aber "blöde" sind die Jungs ja auch nicht, somit wird es da auch mehrere Wege zum Ziel geben

 

[whitbread]

Geoblocking macht imo nur für Incoming Traffic Sinn. Wer also von aussen auf eigene Dienste zugreifen will, sollte es aktivieren - möglichst auf dem Router bzw. der Firewall, notfalls aber auch auf der NAS. Je nach Reiseaktivität reicht dann meist schon DE; spart einem meist viel Ärger. (Ich misstraue prinzipiell der Firewall auf der NAS, da ich dann ja schon recht weit ins Netz komme.)

 

[Mettigel]

Ich brauche nochmal euren Rat. Bei mir ist IPS aktiviert und ich habe unten abgebildete Warnung erhalten. Es handelt sich um einen Drucker. Dieser ist eigentlich in der Firewall bei WAN_IN und WAN_OUT geblockt (alle Quell-IP, alle Ports), also sollte keinerlei Internetzugriff möglich sein. Ich habe keinerlei Portweiterleitung aktiv.

Wieso erhalte ich diese Meldung? Wie kann jemand auf Port 62319 auf den Drucker Port 161 zugreifen? Oder wie ist diese Warnung zu verstehen?

 

[the other]

Moinsen,
Kenne mich jetzt nicht mit deinem System aus, aber hast du dort das smnp Protokoll auch wirklich geblockt oder nur tcp ports? Hier zb kann ich das / muss ich das bei der Regel Erstellung extra mit angeben...
Vermutlich ne typische nach hause telefonieren Aktion... Kundendienst plus Daten sammeln vermutlich...
Edit... Hast du denn auch für das Interface des Drucker Vlans eine Block Regel für eben diesen? Wenn der gar nicht nie ins Internetsoll, dann gehört die block rule doch eigentlich zwingend da hin, da doch der EIN gehende Verkehr geprüft wird...

 

[Mettigel]

Ich habe nur WAN_IN und WAN_OUT geblockt. Habe vorhin mal meinem PC diese IP zugewiesen. Ich konnte weder eine Webseite aufrufen, noch irgendwelche externen IPs pingen. Sollte also passen.

Bei Ports habe ich "any" angegeben. Ich gehe davon aus, dass das jeden, bzw. alle bedeutet.
So schaut das bei mir aus:

 

[blurrrr]

Wie kommt man denn bei Zeroconf (lokale Adresse, Client) auf die USA? ??

 

[NSFH]

Man muss nicht mehrere NAS kaufen, wenn man einen Server mit verschiedenen VLANs betreibt. Konfiguriert man den Switch Port des NAS auf mehrere VLANs und hängt daran das NAS funktioniert das auch. Das NAS stellt einem Eindringling dadurch ja nicht leich alle VLANs zur Verfügung, vorausgesetzt dort sind keine Routen angelegt. Zur Nutzung im internen LAN Verkehr kann man das machen, wenn es aber um gleichzeitigen Zugriff aus dem Web geht keine gute Idee. Dafür sollte man einen zweiten LAN Port im NAS nutzen, per VLAN oder IP getrennt vom LAN, direkt verbunden mit dem Router.

 

[Ulfhednir]

Kurzer Hinweis zu Geoblocking: Dienste wie LetsEncrypt kommen auch aus dem Ausland. Wer das sperrt, sperrt gleichermaßen die Möglichkeit das Zertfikat zu erneuern. Hier müsste dann im Bedarfsfall die Firewallregel deaktiviert werden. Oder die USA auf die Whitelist nehmen.

 

[blurrrr]

Ist ja quasi auch die Erkenntnis des Tages... (nix gegen Dich @Ulfhednir - nur sollte das eigentlich sowieso jedem halbwegs klar sein - was es natürlich nicht ist, deswegen ist Dein Beitrag ja auch (traurigerweise) wirklich sinnvoll) ? Ist ein wenig wie "Ich will ein Auto haben, aber die Einzelteile dürfen ausschliesslich aus Deutschland kommen!"...da wird man wohl auch irgendwie nie ein komplettes Auto bekommen ?

 

[Ulfhednir]

Sicher sollte einem das klar sein; aber man denkt bei der Konfiguration nicht an alle Anwendungsfälle. Ist mir mit obigen Szenario übrigens selbst schon mal passiert. Allerdings war mir dann auch schon nach 2 Minuten klar, dass es nur am Geoblocking liegen konnte.

 

[Mettigel]

Wie kommt man denn bei Zeroconf (lokale Adresse, Client) auf die USA? ??

ja, da bin ich mittlerweile auch drauf gekommen. Ich weiß aber nicht, wer da keine IP im Netz bekommt und drucken will

 

[Matthieu]

3. Netzwerksegmentierung: Ja - mit zunehmender Anzahl und Funktionalität im Heimnetz wird die Trennung problematisch; da hilft nur eine weitere NAS bzw. Virtualisierung. Also eine NAS, die von aussen erreichbar sein soll, muss in die DMZ. Geräte die darauf bspw. per DLNA Zugriff benötigen, landen dann im gleichen Netz. Und zack braucht es eine weitere NAS mit den privaten Daten im LAN. Ggf. muss man das Konzept etwas aufweichen und den Zugriff auf einzelne Dienste aus einzelnen VLANs einschränken. Nach den aktuellen Erfahrungen sollte man halt sicherstellen, dass ein administrativer Zugriff auf die NAS (SSH, DSM in jedem Falle) nur aus trusted VLANs möglich ist.

Hallo,
ich bin leider erst jetzt über diesen sehr interessanten Thread gestolpert und hoffe ich habe dabei nichts übersehen
Da ich mit dem Thema, vorsichtig formuliert, etwas stärker zu tun habe, wollte ich gern noch einen Denkanstoß mitgeben. In großen Netzen geht man mittlerweile davon weg, Netze als vertrauenswürdig zu definieren. Speziell die Ransomware-Angriffe haben gezeigt, dass man auch Endgeräten mit vermeintlich bekannten (weil authentifizierten) Usern davor nicht vertrauen kann. Deshalb sollte in jede Richtung nach need-to-know gehandelt werden. Dabei können auch Protokolle unterbunden werden, die zwar aktuell nicht als schädlich angesehen, aber auch nicht benötigt werden.
Auf die Spitze kann man sowas mit den teureren Serien von Cisco treiben. Da kann man mit Port Isolation sogar Clients davon abhalten, andere Clients im selben VLAN am selben Switch zu sehen und das ganz ohne ACL-Regeln. Ist aber zugegebenermaßen nicht ganz ohne, macht speziell das Troubleshooting komplizierter und man kann sich damit viel lahmlegen. Aber es bringt interessante Möglichkeiten mit wenig Aufwand.

Die Fehlmeldung vom unifi IDS/IPS hat mich im übrigen amüsiert. Ich habe es wieder abgeschalten nachdem mich zahlreiche Fehlmeldungen genervt haben ...

MfG Matthieu

 

[NSFH]

Diese Switch Einstellungen können auch billigere Geräte als CISCO, nur nennt sich das überall anders. Bei Draytek zB heisst das IP Source Guard.
Hier muss man nur ganz genau alles dokumentieren. Mal eben ein Kabel am Switch umstecken funktioniert dann nicht mehr.

Ansonsten stimmt: Bei den Firmen fängt gerade das Umdenken an was Sicherheit im Netz angeht, vor allem durch die zunehmende Anzahl an Homeoffices.
Mit diesem Klientel habe ich schon lange zu tun und stand auch vor dem Problem die Verwaltung der Firmen mit ihren PCs in den Büros, die mobilen Nutzer mit Firmen Notebooks und die mobilen Nutzer mit eigener Hardware (das grösste Problem) sicherheitstechnisch zu trennen aber gleichzeitig den Zugriff auf zentrale Dienste zuzulassen.
VPN alleine ist keine Lösung, denn VPN Nutzer mit eigerner Hardware könnten sich mit ihrem verseuchten Notebook in das LAN einloggen und haben dann netzwerktechnischen Zugriff auf Serverdaten. Emotet würde sich freuen, ist zwar nicht im Zielsystem aber verschlüsselt dort was es findet.

Von daher schüttel ich immer wieder den Kopf, wenn hier einige "Admins" schreiben, man muss im LAN die Server nicht absichern, kommt ja keiner rein....

 

[blurrrr]

Portisolation ist das eine, Portsecurity wieder was ganz anderes. Grade letzteres wird auch öfters praktiziert - damals im Konzern z.B. - wurde mal was "fremdes" angesteckt, standen direkt Admin und Abteilungsleiter in der Tür und es hat auch direkt eine Abmahnung gegeben (wurde nämlich zu Vertragsbeginn das dicke Buch mit den Regeln unterschrieben) ?

Bei "Firmen" fängt das umdenken meist erst dann an, wenn das Kind schon mindestens 3x in den Brunnen gefallen ist. Ist bei 90% aller Firmen nach wie vor unverändert. IT ist nutzlos, bringt kein Geld und kostet eben nur. Mal vernünftige Soft-/Hardware kostet ja alles zuviel, aber der gummelige Firmenwagen der im Leasing mal eben 1000€/Monat kostet, der geht immer ?

@Matthieu jo, beim Thema IDS/IPS muss man schon arg aufpassen - "alles an" ist i.d.R. eh keine brauchbare Lösung mehr. Dazwischen die false-positive-Dinger... Da kann man sich das Leben auch unnötig schwer mit machen.

@NSFH Vorsichtig sein! Nicht so abfällig über die "Admins" reden, sonst beschweren die sich am Ende wieder und dann kommst Du auch in den unschöne-Post-Verteiler von den Forenoberhäuptern ? .... aber ansonsten... ?

 

[NSFH]

Ich hab doch gar nichts abfälliges gesagt, oder?
Doch nur, dass wer Admin Rechte hat noch lange kein Admin ist.

Ich finde auf jeden Fall das Thema Security im LAN total spannend. Die Einstellung vieler "Admins" hinter dem Router wäre alles egal stimmt schon lange nicht mehr. Selbst bei billigen Routern ist die Firewall (wenn sie denn vernünftig konfiguriert ist) Hindernis genug.
Der Feind in mmeinem Bett, äh in meinem LAN kommt von Innen!
Deswegen sind für mich die Soho Router wie die Fritz inzwischen gar kein Thema mehr, weil die Dinger noch immer kein VLAN als Minimaloption können und das ist erst mal die Voraussetzung dafür den Traffic vom Internet und im LAN gezielt zu verarbeiten.
Noch ein Grund mehr immer nur Synos zu verwenden, die mindestens 2 LAN Schnittstellen haben, besser 4 plus 10GbE! Da kann man schön mit verschiedenen VLANs und Firewalleinstellungen sowohl im Router als auch in der Syno separieren.

 

[Matthieu]

Den Einwurf über viele Netzwerkanschlüsse verstehe ich nicht ganz. Wenn ich einen Tagged Port für VLAN nutze, brauche ich doch nur eine Schnittstelle für alle VLANs. Oder verstehe ich deine Intention falsch?
Ansonsten kann ich nur @blurrrr zustimmen, dass port isolation und port security unterschiedliche Dinge sind und das scheint einer kurzen Recherche nach auch bei anderen Herstellern so zu sein. Die Begrenzung auf die etwas teureren Gerätelinien ist hingegen typisch Cisco. Bleibt sicher nicht ewig so, aber als ich das letzte mal an der Beschaffung beteiligt war, war es noch so.

Das mit der Fritte ist so eine Sache (oder Routern dieser Klasse im Allgemeinen). Für den durchschnittlichen Homeuser sollte es reichen, denn da gibt es wenig im Netz für das sich emotet und co interessieren. Sofern die Geräte halbwegs mit Updates versorgt sind, findet er dort kein lohnendes Einfallstor und belässt es bei dem ursprünglichen PC. Auch für eine manuelle Intervention der Hintermänner, wie es bei großen Netzen häufig vorkommt, wird dort nicht lohnen. Dass im Heimnetz NAS und co schlummern, ist zahlenmäßig immer noch die Minderheit. Ansonsten wäre der Aufschrei schon viel größer, ergo passiert nach wie vor wenig, trotz aller Unkenrufe. Und ich für meinen Teil nutze die Fritte für Telefonie und als DSL-Modem. Dahinter hängt dann Unifi-Equipment und das funktioniert trotz der häufigen Diskussionen von wegen Doppel-NAT gut.

MfG Matthieu

 

[blurrrr]

Den Einwurf über viele Netzwerkanschlüsse verstehe ich nicht ganz.

Najo, pro phys. Port gibt es halt entsprechend Bandbreite - das wird - wie bei mir hier privat z.B. - mit 2 Ports schon etwas "eng", wenn man auf beiden Interfaces div. VLANs laufen hat ?? Aber ist ja nur privat und wen juckt et schon, ob der WLAN-Client dem TV grade ein wenig maximale Bandbreite wegknabbert ? Geschäftlich seh ich das allerdings auch ganz anders und würde auch keinem Kunden so eine "Spar"-Version hinstellen (dafür kost' halt wesentlich mehr Geld).