Wie funktioniert eigentlich diese Firewall in der Fritzbox?

[pellerini]

Hallo!

Kann mir jemand bei der Beantwortung der Frage im Betreff weiter helfen?


Ich habe alle möglichen Artikel im Internet gelesen, aber so richtig schlau gemacht haben die mich nicht. Z.B. wird geschrieben, das die Firewall standardmäßig alle Verbindungen von aussen blockiert.

1. Wenn das so ist, warum gibt es dann jede Menge Regeln mit reject bzw deny?
Wenn ich bei iptables z.B. die Policy für eine Chain auf DROP setze, dann sind alle Ports zu. Ich muß jeden Port/Weg durch die Fireall extra öffnen.
Wie verhällt sich das?

1b. Ich habe z.B. die Fernwartung eingeschaltet, kann aber keine Regel finden, die den Port dafür freischaltet.
Wie geht das wenn alle Ports gesperrt sind?

1c. Ich habe transmission installiert. Jemand im Internet hat geschireben, das ich dafür auf der Box Port 9091 öffnen muß. Hab ich nicht getan und es läuft trotzdem, ich kann nirgends eine entsprechende Regel finden.
Warum ist das so?

2. Iptables schein es nicht zu sein, da in Freetz ein separates Paket für iptables geliefert wird. Aber was ist es dann?

3. Wenn ich iptables auf der FB einsetzen will, sollte eigentlich die fritzeigene FW abgeschaltet werden, damit es nicht zu unangenehmen Effekten kommt.
Geht das überhaupt?
Wenn ja, komplett?

Ich habe schon firewalls mit iptables gebaut, aber das hier ist mir irgend wie unheimlich, ich blick da nicht durch.

Vielleicht könnt ihr mich ja erleuchten, schön wäre es.

Danke schon mal,

Gruß Peter

 

[frank_m24]

Hallo,

1. Wenn das so ist, warum gibt es dann jede Menge Regeln mit reject bzw deny?

Für ausgehende Verbindungen. Alles, was dort drin steht, darf auch nicht raus kommunizieren, z.B. SNMP (UDP 161, 162) oder Multicast Adressen.

Ich muß jeden Port/Weg durch die Fireall extra öffnen. Wie verhällt sich das?

Von außen nach innen ist das meiste zu, von innen nach außen das meiste auf.

1b. Ich habe z.B. die Fernwartung eingeschaltet, kann aber keine Regel finden, die den Port dafür freischaltet.

Die sind aber da:

                        forwardrules =
                                       "tcp 0.0.0.0:21 0.0.0.0:21 0 # FTP Server",
                                       "tcp 0.0.0.0:443 0.0.0.0:443 0 # HTTPS",

1c. Ich habe transmission installiert. Jemand im Internet hat geschireben, das ich dafür auf der Box Port 9091 öffnen muß. Hab ich nicht getan und es läuft trotzdem, ich kann nirgends eine entsprechende Regel finden.
Warum ist das so?

Weil Portweiterleitungen für P2P Clients optional sind. Sie beschleunigen ggf. den Download, sind aber für die grundsätzliche Funktionalität nicht erforderlich.

2. Iptables schein es nicht zu sein, da in Freetz ein separates Paket für iptables geliefert wird. Aber was ist es dann?

Die AVM Firewall? Ist von AVM.

3. Wenn ich iptables auf der FB einsetzen will, sollte eigentlich die fritzeigene FW abgeschaltet werden, damit es nicht zu unangenehmen Effekten kommt.
Geht das überhaupt?
Wenn ja, komplett?

Nein, das geht nicht. Man muss auch lediglich darauf achten, dass sich die Regeln nicht in die Quere kommen.

Es gibt im Modifikationsbereich sehr tolle Artikel über die Arbeitsweise der AVM Firewall. Der Regelsyntax ist an Cisco ausgerichtet. Und es gibt in Freetz ein tolles grafisches Frontend für die Konfiguration der AVM Firewall.

 

[pellerini]

Erst mal danke für deine Mail,

das hat mir wieder ein Stückchen weiter geholfen, allerdings hat es auch neue Fragen aufgeworfen...

Zitat von pellerini
1b. Ich habe z.B. die Fernwartung eingeschaltet, kann aber keine Regel finden, die den Port dafür freischaltet.

Die sind aber da:
Code:
forwardrules =
"tcp 0.0.0.0:21 0.0.0.0:21 0 # FTP Server",
"tcp 0.0.0.0:443 0.0.0.0:443 0 # HTTPS"

Ich habe noch mal gesucht und die Regeln auch gefunden, allerdings an anderer Stelle als ich erwartet hätte.

Da ich das Teil leider nur als Router nutzen kann (Anschluß bei ALICE:-( ) ist der DSL-Teil ausser betrieb.
Im Internet hab ich gelesen, das die Firewall nur mit DSL bzw dem dsldp läuft.

Die Regeln stehen aber unter
dslifaces / dsldpconfig

Hätte ich jetzt nicht erwartet.
Aber ok, zumindest komme ich langsam mit den Regeln hin, wenn mir zum vollständigen Verständnis der Funktion noch einiges fehlt.

Viel Grüße
Peter

 

[frank_m24]

Hallo,

welcher der proprietären Daemons bei AVM für die Firewall verantwortlich ist, weiß ich auch nicht genau. Möglicherweise ist es der dsld. Ist aber auch egal: Solange das Gerät als NAT Router arbeitet (egal ob über DSL oder über LAN 1), sind die Daemons auch aktiv. D.h., die Firewall arbeitet identisch in beiden Fällen.