[Problem] FBox, UPnP, und die liebe Firewall

[4nt4r3s]

Servus allseits

Folgendes Problem: Ich entwickle derzeit ein Management Tool für Fritzboxen. Nun möchte ich aus Sicherheitsgründen eine Dynamische Änderung an den Firewallregeln ermöglichen.

Dazu fallen mir in erster Linie 3 wege ein:

1. via Webif
2. via ar7 / multid
3. via UPnP

zu 1.

Weiss hier jemand wie das Webinterface der Box die Portfreigaben managed? Es wäre zwar theoretisch möglich, einen client zu schreiben, der auf der Box läuft und per Webinterface freigaben erstellen und löschen kann, aber wie funktioniert das vom Webif aus?(also was macht das webif unter der haube, um die forwards bereitzustellen?)

zu 2.

Laut dem Wiki auf wehavemorefun lässt sich durch Neustart des multid die ar7.cfg neu einlesen, was insbesondere firewalleinstellungen aktualisieren soll. Bei einem Test meinerseits funktionierte ein ändern der ar7 und anschliessendes neustarten des multid NICHT. einen Reboot der Box um die einstellungen zu übernehmen kann ich nicht machen, da teilweise der Zielrechner der Freigabe via WLAN eingebunden ist, und bei verbindungsverlust die Verbindung nicht selbstständig wieder aufnehmen kann.
Abgesehen davon möchte ich den Flashspeicher durch regelmässiges neuschreiben der ar7.cfg nicht unnötig überbeanspruchen

zu 3.

UPnP wäre eine möglichkeit, die ich auch schon vorübergehend implementiert habe. Problematisch dabei: igdd(also der UPNP Daemon) muss dazu auf der box laufen und im Webif aktiviert sein. Das kann ich nicht für alle boxen gewährleisten/manche meiner Tester möchten Upnp aus Sicherheitsgründen nicht aktiviert haben

Welche Möglichkeiten, die sich auf der Box in C/mit einem Script implementieren lassen, gäbe es, bei bedarf ports in der Firewall freizugeben/wieder zu schliessen?

 

[MaxMuster]

Ein Restart des multid reicht bei Änderungen in der ar7.cfg nicht (immer).
Um Portweiterleitungen zu aktivieren reicht es, ein HUP Signal an den dsld zu schicken. Um die Firewall-Regeln zu aktivieren muss dsld neu gestartet werden.
Für geänderte Portweiterleitungen muss zudem der ctlmgr neu gestartet werden (sonst sind die in der ar7.cfg gemachten Änderungen für die AVM Dienste nicht erkennbar. Jede Änderung in der AVM GUI wird sie dann wieder "überschreiben"..)

Per GUI/Shell geht das im Prinzip auch, das war aber "früher" einfacher, weil die Session-ID jetzt die "Simulation" von Web-Aufrufen etwas schwieriger macht. Hier findet sich was zu der "alten" Methode. Es gab hier irgendwo aber noch mehr Infos und andere Ansätze, die ich auf die Schnelle nicht finde.

Jörg

 

[4nt4r3s]

hmm, das ist gut zu wissen - ich hatte meine infos zu multid bisher von ( http://www.wehavemorefun.de/fritzbox/index.php/Analyse_der_Firewall#Einstellungen_neu_laden ) bezogen.

Wenn du noch was zum thema port-forwarding findest, würde mich das natürlich sehr freuen. Btw, habe es grade getestet und per Management-interface einen reconnect der Box erzwungen. system("dsld -s && dsld") hilft leider bei der Freigabe nicht weiter. Interessanterweise führt der Versuch ctlmgr neu zu starten auf meiner Testbox zu einem sofortigen reset(Neustart) der Box.

 

[MaxMuster]

Vieles dazu findest du im Umfeld der "AVM-Firewall-GUI" von Freetz, z.B. hier...