[Gelöst] Fritz!Box an Fritz!Box-Netzwerk

[grashalm400]

Hallo IPPF,
ich brauche Hilfe bei der Erstellung eines Netzwerkes.
Es geht darum, dass ich zwei Fritz!Box Fon WLAN Router so konfigurieren will, das eine als Schutz dasteht und die andere für VoIP und Internetzugang.
Also sieht das ganze so aus:

Fritz!Box (Provider Branding, DSL, VoIP etc., Portfreigaben für VoIP und TR an) ---> Fritz!Box (kein Branding, TR-069, TR-064 und Portfreigaben aus) ---> Lokales Netzwerk

Problem Nr. 1: Wenn der "Schutz-Router" durch LAN 1 mit dem DSL-Router verbunden ist und sich per LAN 2 mit dem lokalen Netzwerk verbindet,
sind diese zwei LAN-Anschlüsse getrennt oder ist das doch unsicher?

Problem Nr. 2: Ich habe mit allen mir bekannten Mitteln versucht den Schutz-Router sicher zu konfigurieren und zwar mit FBEditor (0.5.3 & 0.6.1),
mit einem Texteditor (sowohl mit NoChecks=yes als auch mit NoChecks=no) aber leider ohne Erfolg.
Die Editormethode funktioniert überhaupt nicht, während neue Einstellungen mit dem FBEditor manchmal funktionieren.
Also habe ich telnet aktiviert und versucht bestimmte Funktionen umzukonfigurieren mithilfe des vi-Editors.
Genauer gesagt geht es um folgende Zeilen in ar7.cfg:

voip_forwardrules = "udp 0.0.0.0:5060 0.0.0.0:5060", 
                           "tcp 0.0.0.0:5060 0.0.0.0:5060", 
                           "udp 0.0.0.0:7078+32 0.0.0.0:7078";
tr069_forwardrules = "tcp 0.0.0.0:8089 0.0.0.0:8089";

und

TR_064 {
        enabled = yes;
        username = "dslf-config";
        persistent_data = "";
}

Während das Deaktivieren von TR_064 mehr oder weniger zuverlässig ist, scheint es Probleme beim Entfernen der Portfreigaben zu geben.
Verwende ich # tr069_forwardrules = "tcp 0.0.0.0:8089 0.0.0.0:8089";, geht die Fritz!Box auf Werkseinstellungen.
// und /* */ Kommentare lassen sich eintragen, je nachdem was für ne Laune der Router hat, werden dann aber wieder automatisch gelöscht.
Also habe ich es mit dem dd-Modus des vi-Editors versucht und die Zeilen mit den Portfreigaben gelöscht.
Es schien zu funktionieren, habe ich jedoch im Webinterface etwas verändert, waren die Zeilen auch schon wieder da.

Problem Nr. 3: Was für Portfreigaben und Schnickschnack muss man noch deaktivieren, damit der Router sicher ist?

Ich hoffe der Text ist nicht allzu lang und bitte um eure Hilfe.

 

[grashalm400]

*Thread nach oben schieb*, falls erlaubt.

 

[Freetz!Box]

@grashalm400

Das was du versuchen möchtest bringt dir nicht mehr Sicherheit.

 

[grashalm400]

@grashalm400

Das was du versuchen möchtest bringt dir nicht mehr Sicherheit.

Und warum nicht?

 

[frank_m24]

Problem Nr. 1: Wenn der "Schutz-Router" durch LAN 1 mit dem DSL-Router verbunden ist und sich per LAN 2 mit dem lokalen Netzwerk verbindet,
sind diese zwei LAN-Anschlüsse getrennt oder ist das doch unsicher?

Kommt auf die Konfiguration des Gesamtnetzwerkes an. Aber da die 2. Box ja offensichtlich keine öffentliche IP hat, ist das Szenario zumindest keine Katastrophe. Nur die erforderlichen Portweiterleitungen für VoIP und TR-0xx machen die Sache ein wenig unsicherer, weil du je nach Konfiguration der 2. Box diese Portweiterleitungen plötzlich im LAN hast.

Das Szenario bietet dir keinerlei zusätzliche Sicherheit, weil du für die erforderlichen Serverdienste eh Portweiterleitungen an die 2. Fritzbox einrichten musst. Da kannst du sie auch direkt ans Internet hängen. Statt dessen fängst du dir in dem Szenario alle Probleme einer Doppel-NAT Konfiguration ein.

Was erwartest du dir von der 2. Box? Wie hast du die 2. Box denn eingerichtet? Als NAT-Router über IP oder als IP-Client?

Insgesamt erachte ich das Szenario als kontraproduktiv. Nutzen bringt es keinen, aber potentielle Probleme gleich haufenweise.

 

[koyaanisqatsi]

Hallöle

Beschreibe bitte einmal präzise welchen "Schutz" du erreichen möchtest.
Eventuell bringt das dann mehr Feedback.
Solange rätsel ich mal weiter.
Der "Switch" der Fritzbox lässt sich mit Bordmitteln trennen.
LAN1 (IP-Klientmodus) und LAN4 (Gastzugang, trennt sauber vom LAN ab) sind für sowas vorgesehn.

 

[grashalm400]

@frank_m24

Ich erwarte mir von der 2. Box eine komplett abgesicherte Hardware-Firewall, also habe ich mir die Konfiguration so vorgestellt:
DSL (WAN) - Internet-Router (NAT-Router) - (LAN 1) - Schutz-Router (NAT-Router) - (via LAN 2) - Lokales Netzwerk
Aber da hier schon mehrere Leute erwähnt haben, dass dieser Ansatz eher Probleme verursacht, muss wohl eine Alternative her.

@koyaanisqatsi

Ehrlich gesagt habe ich mir den Schutz einer Hardwarefirewall erhofft, die das LAN vernünftig abschottet.
LAN4 Gastzugang habe ich nicht zur Verfügung, also kann man diese Netzwerkkonfiguration wohl nicht ohne Zusatzkosten realisieren.

 

[informerex]

muss wohl eine Alternative her.

ja brain ;-)
denn der Basis-Schutz ist ausreichend

 

[grashalm400]

@informerex

Die brain.exe setze ich auch so gut es geht ein.
Ich achte auf mein Surfverhalten, klicke nicht alles an, führe keine dubiosen Programme aus etc.
In diesem Thread soll es aber um reine Netzwerkkonfiguratioin gehen und nicht um einen Internet-Sicherheitsleitfaden
Und was genau meinst du mit Basis-Schutz?

 

[HabNeFritzbox]

Es ist halt ein Basis Schutz, alles darf raus, und nur Antworten rein. Anfragen nur mit Portweiterleitung rein. Mehr macht die Firewall eigentlich nicht. Da wird nicht noch unterschieden zwischen welche Anwendung ins Netz will oder wohin ect. Daher kann man hier nicht von ausführlicheren Schutz reden, eher von einfachen Grundschutz. Hier sollte auf den Geräte auch eine Firewall laufen, wo der Zugriff der Anwendungen beschränkt wird.

100% Sicherheit gibt es eh nie.

 

[grashalm400]

@HabNeFritzbox

Wäre die Zwischenschaltung einer Hardwarefirewall ohne irgendeine Portweiterleitung nicht die Lösung des hier aufgeführten Problems?

 

[HabNeFritzbox]

Auf der "Hardware Firewall" läuft auch nur eine Software Firewall ähnlich wie auf dem Router.

Die FB blockt schon alle eingehenden Ports, wenn keine Freigaben definiert werden, somit hat die extra Firewall schon eher nichts mehr zutun. Seiden du möchtest noch ggf. definieren welche MAC Adresse auf welche IP und Ports zugreifen darf und auf was nicht. Sonst macht es eher keinen Sinn, noch extra Firewalls zu betreiben, da reicht dann wenn auf den Endgeräten selbst eine noch zusätzlich.

 

[koyaanisqatsi]

Und was "echte" Sicherheit angeht:

Das fängt beim verschlüsseln der EMails an,
geht über veschlüsseltes telefonieren (wer macht dass schon?),
bis hin zu "Tastaturlosen" (USB-Keys) biometrischen (Fingerabdruck z.B.) Account/Login Lösungen.

...aber machen wir es "Lausch & Schnüffel" nicht zu schwer, ist doch nur ihr Job.

 

[HabNeFritzbox]

Das Netzwerk kannst von außen besonders sichern mit einem Kondom über den TAE bzw. RJ45 Stecker. :mrgreen:

Nur offline bist sicher vor Fernzugriff.

Der Grundschutz + Firewall am Endgerät reicht normal völlig aus. Da solltest dir eher Gedanken machen und Plugins wie Flash, JAVA und co im Browser oder Updates der Betriebssysteme ect.

 

[grashalm400]

Aber wenn die Portfreigaben des DSL-Routers aktiv sind,
dieser wiederum ist an eine super sichere Hardwarefirewall angeschlossen und die Firewall ist an das Netzwerk angeschlossen,
dann muss doch alles gesichert sein oder wo täusche ich mich hier?

 

[HabNeFritzbox]

Wenn UPnP Freigaben nicht aktiviert werden, und auch Änderung durch Provider deaktiviert sind, sollten in der FB keine Ports plötzlich offen sein.

Du kannst die zweite FB ja als Router einrichten, und deaktivierst einfach auf der ersten WLAN, DHCP, änderst die IP auf Klasse B Bereich (z.B. 172.20.20.1) und verwendest Subnetmaske 255.255.255.254, damit sind nur 2 IP Adresse möglich, einmal für die erste FB und eine für die zweite FB. In der zweiten richtest halt manuell die IP ein zur ersten FB.

Damit solltest deinen Schutz auch schon erhöht haben.

 

[frank_m24]

Aber was soll die Hardwarefirewall denn noch sichern, was die Fritzbox nicht schon wegfiltert?

Die Fritzbox lässt nichts durch, was du nicht durch Portweiterleitungen ins Netz lässt. An einer weiteren Firewall kommt also nichts an, was sie noch filtern könnte. Und die eigenen Serverdienste der Fritzbox, die ggf. ein Einfallstor bieten, sind mit einer dahinter betriebenen Firewall genau so aktiv und anfällig, wie ohne diese Firewall. Wenn es jemandem gelingt, sich in deine Fritzbox zu hacken, um deine Daten mitzuschnüffeln, dann geht das auch mit Firewall dahinter. Denn die Daten müssen trotzdem noch durch die Fritzbox.

Auch eine "supersichere" HW Firewall kann letztlich nichts anderes tun, als den einkommenden Datenverkehr zu blocken, der nicht durch einen Request von innen angefordert wurde. Das macht aber auch eine Fritzbox schon.

 

[Freetz!Box]

@grashalm

Wenn jemand deinen DSL-Router geknackt bekommt, dann kann er auch als man-in-the-middle deinen Netzwerkverkehr sehen und Anfragen aus deinem Netzwerk hinter der nächsten Firewall beantworten.

 

[informerex]

@grashalm400 - und denkst zu "einseitig"

die Fritz!Box bietet, wie man auch an allen bisherigen posts sieht, entsprechende Sicherheit (eingehender Datenverkehr) durch die vorhandene Firewall.

wenn eine Gefahr lauert, dann von "innen"/sprich dem User, denn wenn dieser die Ports öffnet, Programme/Tools installiert bzw. evtl. Abfragen genehmigt (bewußt/unbewußt), hilft jede Sicherheitsvorkehrung nicht.

 

[HabNeFritzbox]

Beispiel wäre z.B. der PC baut zu einem anderen eine VPN Verbindung als Client auf, schon läuft der Traffic an allen deinen Routern und Firewalls vorbei. Und der PC kann andere PC innerhalb des Netzwerkes angreifen, ect.

Daher reicht der Router + Firewall am Endgerät i.d.R. aus, weil noch 20 Router/Firewalls dazwischen nicht wirklich helfen.

Firewall alleine schützt nicht unbedingt vor Trojaner oder Viren. Besonders wenn ausgehend alles erlaubt ist.