Ein paar Fragen zu Hardware und iptables

Ich würde, da Du die Telefonie nicht benötigst, zu einer 7360 raten. Diese hat das, wie ich finde, bessere DSL-Modem und besitzt eine FW mit neuerem Kernel. Mit diesem (2.6.32.*) läuft iptables wieder innerhalb gewisser Grenzen.
Für Dein(e) Vorhaben benötigst Du nf_nat nicht und nf_conntrack eigentlich auch nicht, Letzteres ist aber handsamer bei der Verwendung von stateful-Regeln (RELATED, ESTABLISHED). Hierfür benötigst Du xt_state, was wiederum nf_conntrack benötigt.

Noch ein paar Details hierzu:
Das Problem mit iptables ist nicht ein zu alter Kernel. Im Gegenteil, mit dem uralten Kernel einer 7170 läuft iptables.
Das Problem ist vielmehr, dass AVM von einigen Modulen schon immer keine Quelltexte ausliefert. Wenn man die Kernel-Konfiguration so ändert, dass diese nicht mehr kompatibel zu den AVM Modulen ist, läuft die Box nicht mehr. Bei den neueren Modellen verwendet AVM einen sogenannten Packet Accelerator (PA), der nicht kompatibel zu conntrack ist, und conntrack ist wiederum Voraussetzung für NAT. Damit fallen die meisten interessanten Anwendungen weg.

Zu den Fragen:
- Eine Portweiterleitung kann man direkt in der AVM Oberfläche einrichten.
- Ein VPN zwischen zwei Fritzboxen kann man auch mit normaler AVM Firmware erreichen.
- Die Einschränkung für den Zugriff auf das NAS kann man entweder im NAS vornehmen, wenn dieses iptables unterstützt, oder auch auf der Box ohne Verwendung von conntrack. Du solltest dann aber prüfen, ob die Einschränkungen auch wirklich wirksam sind, es könnte sein, dass AVM Pakete an iptables vorbei transportiert und diese deswegen nicht entsprechend den Regeln gefiltert werden, obwohl die Regeln selbst korrekt sind.

Was soll die "professionelle" Firewall besser tun als die von AVM?

Moin

Genau das...

Zum Beispiel den Zugriff von außen auf bestimmte IP beschränken.

Zum Vergrößern anklicken....

...geht mit der Fritz!Box Kindersicherung.

1. Den Rechner ein KiSi Profil zuweisen mit Whitelist Blacklist
2. Die "Äußere IP" von diesem Rechner aufrufen
3. Diese IP in der Liste der erlaubten IP Adressen anhaken (fritz.box/internet/kids_blockedip_list.lua)

Für DNS Adressen die Whitelist benutzen, die scheint aber keine IP Nummern zu erfassen.
Das macht nur die Blacklist Einstellung.

Bedenke: IPv4 erlauben/sperren bedeutet nicht das auch IPv6 erlaubt/gesperrt werden.
Das geht besser mit der Whitelist, also über den DNS-Namen.

The Brad schrieb:

Zum Beispiel den Zugriff von außen auf bestimmte IP beschränken. Verstehe ich Dich richtig, dass Du der AVM-Firewall vollständig vertraust und ich keine zusätzliche Sicherheit benötige?

Zum Vergrößern anklicken....

Vollständig vertrauen kann man weder der Firewall von AVM noch irgend einer anderen. Ich gehe aber davon aus, dass es nicht so einfach versehentlich passiert, dass ein Paket auf einen nicht freigegebenen Port irgendwo im internen Netzwerk landet.
Die Oberfläche von AVM erlaubt keine Einschränkung der IP-Adresse von außen, die AVM Firewall möglicherweise doch, man müsste hierzu mit den Einstellungen in der Datei ar7.cfg experimentieren bzw. nachsehen, was andere bereits herausgefunden haben. Es gab einmal ein Freetz Paket, um die AVM Regeln zu bearbeiten, aber soweit ich mitbekommen habe, hat sich da bei AVM inzwischen einiges geändert.
Die Einschränkung der IP-Adresse kann man auch mit iptables ohne conntrack oder auf dem Zielgerät vornehmen.
Das soll nicht heißen, dass man mit der AVM Firewall alles tun kann, was man mit einer speziellen Firewall tun kann, es kommt darauf an, was man vorhat.

@koyaanisqatsi
Hast Du das ausprobiert? Ich gehe nicht davon aus, dass es in diesem Zusammenhang irgend etwas bringt, DNS-Namen einzutragen, es sei denn, dass diese an dieser Stelle als Alternative zu IP-Adressen eingegeben werden können.

Hast Du das ausprobiert?

Zum Vergrößern anklicken....

Ja.
In Wirklichkeit darf das interne Gerät keine Verbindung zu gesperrten IPs oder DNS (IP-Sperre, Blacklist) aufbauen.
Das hat eben zur Folge, dass auch das Externe keine Verbindung aufbauen kann.
Bei der Whitelist ist es dementsprechend so, dass nur diese Geräte (Hostnamen) auch eine Verbindung herstellen können.
...weil es bei dem Gerät (Profil) halt in der Whitelist steht.

Da muss man halt "etwas andersrum" denken.

Die Denkweise ist mir schon klar, und die Funktion auch. Wenn das interne Gerät nicht antworten kann, kommt keine Verbindung zustande (reine UDP Pakete evtl. ausgenommen).
Da das interne Gerät aber keine Veranlassung hat, den Hostnamen aufzulösen und diesen möglicherweise gar nicht kennt, muss der Hostname an dieser Stelle für die IP-Adresse stehen, zu der er aufgelöst wird.

Hm, das Auflösen übernimmt doch die Fitz!Box, weil die ja letzendlich entscheidet.
Apropos, ganz vergessen: In der Whitelist dürfen auch reine IP Adressen (Nummern) stehen.
Ich hab da allerdings noch keine IPv6 ausprobiert.
Deswegen neige ich dazu: Hostnamen/Domainname für IPv6 & 4 und eine IPv4 für diejenigen wo es keinen Hostnamen und IPv6 für gibt.