[Frage] Ports sperren

[mikelmon]

Wenn du was empfangen willst,muss dementsprechend auch was geöffnet sein.
Leider funktioniert der WIKI Link nicht richtig.
Dort kann man einsehen welche Ports für was gebraucht werden.

 

[effmue]

Guude,
also bei mir geht --> http://de.wikipedia.org/wiki/Port_(Protokoll)

 

[sf3978]

Wenn du was empfangen willst,muss dementsprechend auch was geöffnet sein.

Wie meinst das? Er hat keine Server auf seiner Box, die ins Internet lauschen sollen. Hast Du so etwas auf deiner Box?

 

[Diablo82]

Wenn du was empfangen willst,muss dementsprechend auch was geöffnet sein.
Leider funktioniert der WIKI Link nicht richtig.
Dort kann man einsehen welche Ports für was gebraucht werden.

Wenn du von intern eine http Verbindung über 80 aufmachst, wozu brauchst du dann einen offenen Port 80 VOM Internet auf deinen Rechner ??

 

[Novize]

Wenn du was empfangen willst,muss dementsprechend auch was geöffnet sein.

Wenn ich per Browser eine Anfrage ins Internet raus schicke, also eine Seite laden möchte, wie z.B. "http://www.ip-phone-forum.de", dann bekomme ich auf der von innen geöffneten Verbindung eine Antwort. Irgendwelche Ports brauche ich dafür nicht öffnen. Vun drinne noh drusse geht normalerweise immer, wenn Deine pers. Firewall da nicht hinein grätscht.
Nur Serverdienste, die auf Anfragen von "draußen" warten (ftp-Server, http-Server usw. auf Deinem heimischen PC) benötigen diese Ports, damit die Anfrage und damit der Datenkanal vun drusse noh drinne etabliert werden kann.

 

[mikelmon]

Über was soll die Antwort dich dann erreichen?

Er hat keine Server auf seiner Box, die ins Internet lauschen sollen

Was meinst du damit?

 

[sf3978]

Über was soll die Antwort dich dann erreichen?

Die Antwort hat die Fähigkeit, durch geschlossene Ports zu kriechen.

 

[Novize]

Über was soll die Antwort dich dann erreichen?

Habe ich doch geschrieben: Über die Antwortfunktion des vun drinne noh drusse geöffneten Kanals - der nebenbei in der Regel immer auf einem komplett anderen Port läuft, als der besagte Default-Port 80 für's http
Der Port 80 ist nur als Zielport relevant, der Empfängerport auf Deinem PC (der die Anfrage losgetreten hat) hat damit nichts zu tun. Die Porteinstellung auf dem Router dementsprechend auch nicht, denn diese sind nur für eigenständige eingehende Verbindungen da.

 

[sven@mainz]

Also, ich hab gerade mal bei Heise scannen lassen, es ist nur 443 offen (Fernwartung).

http://www.heise.de/security/dienste/portscan

 

[Novize]

Sven, das ist auch fragwürdig bis unsinnig, was da raus kommt:
Wenn die Box einen Portscan erkennt, macht sie (kurzfristig) alle Luken dicht.

 

[effmue]

Guude,

@sven:..und der ist auch nur offen, wenn du es in der Box entsprechend konfiguriert hast...und dabei den "Vorgabe-Port" belässt.

..aber m.W. scannt Heise auch nur oberflächlich und keinesfalls agressiv

@schwebender:...schön zu wissen, aber fatal, wenn eine Anwendung hinten dran ist...und achja...das wusste ich garnet :doof:

 

[Novize]

Sven, ich war mal so frei und habe auf Deiner aktuellen IP mal den Port 5060 "befragt". :mrgreen:
Das Ergebnis:

SIP/2.0 400 Illegal request line
From: <sip:missing>
To: <sip:missing>;tag=badrequest
User-Agent: AVM FRITZ!Box Fon WLAN 7390 84.05.05 (Jul 14 2011)
Content-Length: 0

Da ich im Browser eine solch "ausführliche" Antwort bekomme ist zu sehen, dass auch der Port 5060 offen ist. Klar, es soll ja darüber auch das eine oder andere Gespräch von draußen nach drinnen kommen.
Daran siehst du, dass man die Portscans so pauschal nicht verwerten kann.

 

[sf3978]

..., dass auch der Port 5060 offen ist.

Ein zusätzlicher und erneuter Beweis, dass man die Portscans von Heise & Co., in der Pfeife rauchen kann.

 

[Novize]

Diese Folgerung ist völlig überzogen und komplett falsch, denn oben habe ich schon erläutert, warum die Scans nicht sehr aussagekräftig sind. Mit heise hat das nichts zu tun sondern mit dem Schwall an Scans und der Gegenwehr der Fritz an sich. Ein wenig mehr zurückhaltende Sachlichkeit und weniger dumpfe Beschuldigungen täten auch diesem Thema gut! :?

 

[Diablo82]

Über was soll die Antwort dich dann erreichen?

mikelmon, es geht bei der Kommunikation über Ports immer darum, welche Seite den Port öffnet, darüber kann der Empfänger dann auch zurück kommunizieren.
Stell dir das wie ne Tür vor, die außen nen Knauf hat ....du kommst nicht rein aber wenn der drinnen was von dir will und die Tür öffnet, dann kannst du rein, solang er die Tür öffen lässt und dich nicht rauswirft

@sf3978
Habs gestern kurz mit nmap probiert ....will nicht so recht bei mir laufen, werds am We nochmal probieren, wenn ich Zeit hab.

 

[sf3978]

Diese Folgerung ist völlig überzogen und komplett falsch, denn oben habe ich schon erläutert, warum die Scans nicht sehr aussagekräftig sind.

Deine Erläuterung ist falsch. Warum kann ich dann mit nmap den offenen Port 5060 feststellen?

Mit heise hat das nichts ...

Ich habe absichtlich "Heise & Co." geschrieben und nicht heise.

Ein wenig mehr zurückhaltende Sachlichkeit und weniger dumpfe Beschuldigungen täten auch diesem Thema gut! :?

Das sehe ich anders bzw. ich habe niemand beschuldigt.

 

[sven@mainz]

Ja, bei heise werden auch nur ein paar "Standardports" gescannt, der 5060 war nicht dabei. Es ging mir auch nur um die Sache mit dem Port 80, der normalerweise ja nicht weitergeleitet werden sollte. Außerdem ist es ja immer noch so, daß der Server (in diesem Fall die Box) ja nichts sagen kann, oder eine Antwort im Sinne: "Hier ist nichts" geben kann. Letzteres werden die Scantools vermutlich auch als "offen" interpretieren.

 

[sf3978]

Außerdem ist es ja immer noch so, daß der Server (in diesem Fall die Box) ja nichts sagen kann, oder eine Antwort im Sinne: "Hier ist nichts" geben kann. Letzteres werden die Scantools vermutlich auch als "offen" interpretieren.

Das wird von Scantool zu Scantool unterschiedlich sein. Wenn ich (meine) Boxen mit nmap über das Internet scanne, dann kann ich aus der Antwort von nmap, schon schlussfolgern was los ist.
z. B.:
1. ein Port der über das Internet nicht erreichbar ist (weil keine Portweiterleitung in der Box):

80/tcp [COLOR=red][B]filtered[/B][/COLOR] http

2. ein Port der über das Internet erreichbar (Portweiterleitung ja) und offen ist (d. h. der Server lauscht):

29751/tcp [COLOR=red][B]open[/B][/COLOR]  unknown

3. ein Port der über das Internet erreichbar (Portweiterleitung ja) und nicht offen ist (d. h. der Server ist down und lauscht z. Zt. nicht):

29751/tcp [COLOR=red][B]closed[/B][/COLOR] unknown

 

[sven@mainz]

Dann fehlt noch das Reject...

 

[sf3978]

... das Reject...

Welche Konfiguration (Zustand) soll reject, erkennen lassen?

EDIT:

Iptables gibt es ja nicht auf allen Boxen. Soweit ich weiss, wirkt iptables hinter der AVM-Firewall, d. h. zwischen AVM-Firewall und lauschendem Server. Wenn ich in der AVM-Firewall den Port weiterleite, den Server up und lauschen lasse, aber mit iptables ein reject für den Zugang aus dem Internet zum lauschenden Port mache, dann bekomme ich:

29751/tcp [COLOR=red][B]filtered[/B][/COLOR] unknown

D. h., so als ob ich keine Portweiterleitung gemacht hätte.