[Gelöst] Fritz!Box an Fritz!Box-Netzwerk

[koyaanisqatsi]

...und die Bedrohung kommt nicht immer/nur aus dem Internet.
Denkt an die Drohnen die via USB verseucht wurden.
USB ist echt die Seuche, passt bloss auf wo ihr die reinsteckt.

 

[grashalm400]

Okay, also was ist eure Empfehlung?
Soll ich einfach eine Fritz!Box, die sicher konfiguriert ist betreiben?
Ports für VoIP müssen ja offen sein, also bringt hier ja NAT auch nichts.
Und was habe ich bei der Bearbeitung der Portfreigaben via telnet falsch gemacht?

 

[informerex]

alles auf Standard-Werte zurück setzen, das ist ok.
bei der Konfig. über WebGUI solltest du von UPnP usw. deine Finger lassen.

auf angeschlossenen PC:
evtl. Virensoftware im bundle mit Firewall (oder Win7-Standard-Firewall - die ist eigentlich ok)
hierfür Zeit nehmen und sich einlesen, PC "ausgehend" schließen und nur auf Anforderung/Genehmigung des Users sollen geöffnet werden. (ausgehend verwende ich keine whitelist o.ä. der Firmen)
am Anfang hat man durch die jeweiligen Genehmigung ein bißchen mehr Arbeit, aber nach einigen Tagen sind die Regeln/Abfragen ja erledigt und die Kisten schnurren.

dann hast eingehend F!B und ausgehend Software für angeschlossene PCs

 

[grashalm400]

Da die 2 Router Lösung für mich nicht in Frage kommt, überlege ich mir eine Hardwarefirewall anzulegen.
Kann mir jemand was empfehlen?

Die Kriterien sind folgende:
1. Der Internet-Router soll an die Hardwarefirewall, dafür brauche ich dann wahrscheinlich mindestens 2 getrennte LAN-Anschlüsse an der Firewall (ausser HF-WAN an LAN von Fritz!Box funktioniert)
2. Ich bin bereit die Hardwarefirewall zu konfigurieren, es sollte aber nicht auf schwerem Profiniveau sein.
3. Der Preis sollte einigermaßen erschwinglich sein. Um die 100 € wäre optimal. Maximal 200 €
4. Keine Zusatzfunktionen wie Antivirus oder VPN. Brauche ich nicht.

Ich hoffe das Thema ist bald durch.

 

[koyaanisqatsi]

Das billigste was ich kenne ist IPCop mit SquidGuard.
Die Hardware ist dann ein ausgedienter PC mit ein paar Netzwerkkarten drin.
Das Ganze ist gut dokumentiert und gOoGlE führt dich schnell dahin.

 

[grashalm400]

@koyaanisqatsi

Ich habe gehofft, mir keine Firewall selber zu bauen.
Ausserdem wären die zusätzlichen Stromkosten nicht allzu gering (alter PC verbraucht zuviel für eine HF).

 

[informerex]

hehe, ob du nun eine 2te F!B nimmst oder deine Hardware-Firewall ist jetzt kein "so großer" Unterschied. (abgesehen davon dass letztere zusätzlich abgehend verwaltet)

warum willst du dir dein Leben so schwer machen? naja muss jeder selber wissen

 

[grashalm400]

@informerex

Da ich keine Fritzbox mit 4 LAN Ports besitze, habe ich diese Möglichkeit nicht mehr.

 

[informerex]

4 LAN Ports besitze

warum setzt du keinen switch ein, dann hast du die gewünschten Steckplätze

welche Fritz!Box hast?
bei welchem Anbieter bist du aktuell (evtl. inkl. Tarifangabe)

 

[grashalm400]

@informerex

Ein Switch bringt mir hier nichts.
Es geht mir nicht um genügend LAN-Steckplätze, sondern um die von koyaanisqatsi erwähnte Trennung durch Gastzugangs-LAN4.

 

[informerex]

welche Box (Modell + FW) hast du denn?

 

[grashalm400]

welche Box (Modell + FW) hast du denn?

Ich möchte nicht unhöflich klingen, aber das Modell will ich hier nicht preisgeben.
Ausserdem bin ich mir ganz sicher, dass die Gastzugangsfähigkeit nicht vorhanden ist.

 

[HabNeFritzbox]

Wenn FB und FW schon zuviel ist, erwarte auch nicht unbedingt großartig weitere Tipps.

Für Gast LAN/WLAN wäre es sinnvoller extra Subnet, und keine 3 Firewalls und alles im selben Subnet. Gibt auch günstige Kiosk System für WLAN und co.

 

[grashalm400]

Es handelt sich um eine Fritz!Box Fon WLAN 7141 mit Firmware 40.04.76.
Aber das ist unwichtig, weil es mir um die Kaufempfehlung einer Hardwarefirewall geht.
Siehe: http://www.ip-phone-forum.de/showthread.php?t=260635&page=2&p=1929633&viewfull=1#post1929633

 

[grashalm400]

Habe ich gegen die Forenregeln verstoßen oder Fehlverhalten an den Tag gelegt?
Nur weil ich nicht sofort das Fritzbox-Modell preisgeben wollte, sind alle sauer?
Ich wollte die Fritz!Box Fon WLAN 7141 ans Internet per WAN und an eine Fritz!Box Fon WLAN 7050 per LAN anschliessen (beide als NAT).
Der Switch von der 7050 besitzt aber keine Trennung und deswegen interessiert mich jetzt eine andere Lösung.
Und zum Thema Dankbarkeit:

Ich weiss ja, dass die freiwillige Hilfe Zeit und Nerven kostet.
Das achte ich ja auch.
Nur wollte ich den hilfreichen Usern an dem Zeitpunkt danken, wo das Problem gelöst ist.
Aber von mir aus kann ich das auch jetzt machen:

Danke an frank_m24 für die Konfigurationsvorschläge und Warnung vor Doppel-NAT
Danke an Freetz!Box für die Darstellung eines möglichen Angriffsszenarios
Danke an HabNeFritzbox für diverse Konfigurationsmöglichkeiten und Hinweise im Bezug auf Sicherheit
Danke an informerex für den Hinweis auf die Gefahr, die vom Benutzer selbst ausgehen kann und danke für die Konfigurationsmethoden
Danke an koyaanisqatsi wegen dem Vorschlag mit dem Gastzugangs-LAN4 und IPCop

 

[HabNeFritzbox]

Ich kann dir halt keine "Hardware Firewall" empfehlen, ich würde einfach beide FB weggeben, und eine 7270v3 oder 7390 nehmen, dann Gastzugang an LAN 4 ggf. mit Switch dahinter und ggf. noch Gast WLAN und schon ist es getrennt, ohne doppeltes NAT oder ähnlichem.

 

[KunterBunter]

Der Switch von der 7050 besitzt aber keine Trennung

Wenn das wirklich so wäre, dürfte man die Fritzbox 7050 auf keinen Fall an einem Kabelanschluss einsetzen.
Dem ist aber nicht so: Übersicht der FRITZ!Box-Modelle für den Einsatz am Kabelanschluss

 

[HabNeFritzbox]

Er meint wohl, dass man von der 2. FB auch ins Netz der 1. FB kommt, da das Netz der ersten FB nicht getrennt ist.

Vom 1. ins 2. Netz kommt man aber nicht, weil dort die Ports dich sind im Routerbetrieb.

Daher möchte er wohl nun noch einen 3. Router ähm Firewall der das dann sauber trennt.

 

[grashalm400]

@HabNeFritzbox

Das mit der 7270 hört sich gut an. Danke für den Vorschlag!

Daher möchte er wohl nun noch einen 3. Router ähm Firewall der das dann sauber trennt.

Und so sicherheitsbesessen bin ich nun auch nicht.

@KunterBunter

Die Logik dahinter passt, jedoch konnte ich keine Hinweise auf die Trennung dieses Switches finden.
Wird das dann physikalisch oder anders getrennt?

 

[HabNeFritzbox]

Bei einer FB die Gastzugang anbietet, kann man per FW halt den LAN 4 als Switch oder getrenntes Netzwerk ansteuern, genau wie man aus LAN 1 auch WAN machen kann.

Egal ob z.B. DHCP, MAC Filter, Kindersicherung aktiv ist oder nicht, interessiert den dann mit Gastzugang bei LAN 4 und Gast WLAN nicht, läuft im extra Subnet, und damit vom Heimnetz getrennt, auch die Gerät dürfen nicht untereinander kommunizieren. Kannst also LAN und WLAN gleichzeitig betreiben in einem Gerät und hast es trotzdem getrennt zwischen Heimnetz und Gästen.

Könntest dir auch ggf. einen anderen Router mit einem Kiosk System drauf zulegen, und per Knopfdruck einen Zugangscode zum WLAN ausdrucken lassen, oder eine Seite wo man AGB abnicken muss ect betreiben.

Je nachdem wie es halt haben magst.