Wie alle Port sperren???

[lolinger]

Hallo!
Ich habe ein kleines Problem. Ich lebe mit 2 anderen Leuten in einer WG. Da liegt es natürlich nahe, dass man sich 1 Internetanschluss teilt. Da ich mich am besten in diesem Gebiet auskenne, läuft der Anschluss auf mich. Ich möchte sicher gehen, dass die Anderen nichts illegales im Internet machen können, was dann letzten Endes auf mich zurückkommen könnte. Nun, es besteht generell noch die Möglichkeit übers Studentennetzwerk (LRZ) via VPN ins Internet zu kommen. Ich möchte daher in der fritzbox alles außer eben den einen oder die beiden Ports blocken, die zur Verbindung fürs VPN notwendig sind. Da die dann ja letztlich übers Uninetz ins Internet gehen, werden Sie falls es Probleme geben sollte über ihren vpn-benutzernamen identifiziert. Ich selbst möchte mich nicht blocken, läuft ja schließlich auf mich der Anschluss. Ich dachte daran, allen eine feste IP zu geben (zum MACfake schaffen dies nicht). Kann man da vielleicht mit IPtables oder so was machen? Danke für eure ratschläge

 

[mastertester]

Dieses Thema hatten wir hier schon öfter. Schau Dir mal folgende Beiträge an:

http://www.ip-phone-forum.de/showthread.php?t=94490
http://www.ip-phone-forum.de/showthread.php?t=69376

Wenn Du Freetz auf deiner Box hast, sollte das recht einfach per AVM Firewall machbar sein.

Gruß
mastertester

 

[lolinger]

Das kommt mir ehrlichgesagt etwas schwammig vor. Nimmt denn Port 80 nur http her? außerdem kann man auch über port 80 noch illegal herunterladen (wie über rapidshare z.B.)

 

[sf3978]

...
Kann man da vielleicht mit IPtables oder so was machen?

Ja, kann/könnte man. Was für eine Box hast Du? Je nach Box, könnte man iptables mit Freetz auf der Box installieren.

 

[flaaabes]

Über Port 80 kann man theoretisch alles machen.
Da hilft nur Package-Inspection. Das schaut nach ob auch wirklich HTTP drin ist wo HTTP drauf steht. Das geht zwar mit grundsätzlich mit iptables, aber ich bezweifele, dass die Features in der fritzbox nutzbar sind, zumal dabei einiges an CPU-Last zustande kommen könnte.

HTTP-Downloads von rapidshare und co. kannst Du am Ende des Tages nur durch blocken der URL unterbinden.

 

[sf3978]

Über Port 80 kann man theoretisch alles machen.
....

Ja, aber er will Port 80 ja auch blocken, für die zwei anderen User:

Ich möchte daher in der fritzbox alles außer eben den einen oder die beiden Ports blocken, die zur Verbindung fürs VPN notwendig sind. Da die dann ja letztlich übers Uninetz ins Internet gehen, werden Sie falls es Probleme geben sollte über ihren vpn-benutzernamen identifiziert. Ich selbst möchte mich nicht blocken, läuft ja schließlich auf mich der Anschluss.

 

[flaaabes]

Hoppla, das hab ich überlesen.
Naja... dann muss er eigentlich gar keine Ports sperren, sondern für die beiden Benutzer nur die Kommunikation mit dem VPN-Endpunkt der Uni zulassen.

 

[sf3978]

Er muss die IP-Adressen der zwei anderen User für die FORWARD chain (iptables) blocken, denn er will ja weiter vollen Zugang über die Box haben, d. h. über die FORWARD chain.

Ich selbst möchte mich nicht blocken

 

[lolinger]

Ja, kann/könnte man. Was für eine Box hast Du? Je nach Box, könnte man iptables mit Freetz auf der Box installieren.

Ich hab ne 7270, ne 7141 und nen gefritzten speedport


freetz?? da muss ich ja mit cross.compile anfangen brr

 

[µRaCoLi]

Oder arbeite doch mit 2 Boxen: Eine hängt am Internet und dahinter noch eine Box, wo du die ar7.cfg änderst, so dass nur der VPN erreichbar ist.

 

[mastertester]

"reject tcp host 192.168.178.20 any range 1 79", 
"reject tcp host 192.168.178.20 any range 81 442",
"reject tcp host 192.168.178.20 any range 444 65535",               
                                        
"reject udp host 192.168.178.20 any range 1 79", 
"reject upd host 192.168.178.20 any range 81 442",                                             
"reject upd host 192.168.178.20 any range 444 65535",

Wenn Du die Ports anpasst, ist das doch alles kein Problem!

Gruß
mastertester

 

[lolinger]

Port 80 und 443 hast du rausgenommen, darf ich fragen weshalb?

 

[mastertester]

Weil in meinem damaligen Fall alles außer das surfen im Web gesperrt sein sollte.

Damal wollte ich die benutzung von Kazaa, Emule und co verhinden.

Wenn Du das ganze anpasst, dann sollte es deine Zwecke erfüllen.

Gruß
mastertester

 

[sat24]

Hallo zusammen,

bin jetzt schon ne ganze Weile an den Firewallregeln. Ich wollte das neue Gastnetz etwas absichern, so das nur noch http und https geht. Mit den oben genannten Regeln klappt das aber einfach nicht. Ich hab die im Abschnitt dsldpconfig jeweils bei lowinput und highoutput eingetragen. Es klappt nicht.
Hat vielleicht jemand eine Erklährung wie diese Regeln genau funktionieren, Syntax und was das mit dem low und high auf sich hat.
Normalerweise hätte ich bei einem Firewall ein "permit ip 192.168.179.0 any range 80" und danach mit deny alle ports gesperrt. Aber so geht das in der ar7 wohl nicht.
Der Versuch mit "deny tcp 192.168.179.20 any range 1 65535" oder reject und das gleiche für udp, müßte doch eigentlich alles sperren, geht aber auch nicht.
Zum testen hab ich nach dem ändern der ar7.cfg den multid gekillt (killal -9 multid) und neu gestartet. Ich hoffe das reicht zum ausprobieren.