<div dir="ltr">Hallo Peter,<div>danke für die Erläuterungen, das hilft mir. Und wie es der Zufall will - den Abend, als ich meine Frage gepostet hatte, kam jemand vorbei der da richtig Ahnung von hat und hat mir auch schon mal einiges gleich live am Objekt zeigen können. Das, deine Posting und ein weiteren Posting off-list hilft mir sehr.</div><div><br></div><div>Danke!</div><div><br></div><div>Gruß,</div><div>Ekki</div><div><br></div></div><br><div class="gmail_quote"><div dir="ltr">Hakon Benner <<a href="mailto:hakon@halbrot.de">hakon@halbrot.de</a>> schrieb am Sa., 17. Feb. 2018 um 17:03 Uhr:<br></div><blockquote class="gmail_quote" style="margin:0 0 0 .8ex;border-left:1px #ccc solid;padding-left:1ex"><div>Hi, ich muss gleich mal was klarstellen: Es gibt zwei Varianten, wie ich als Firewall auf etwas laut Policy unerlaubtes reagieren kann: Drop (verwerfen) oder reject (ablehnen; RST-ACK). Dabei ist drop das gleiche wie "nicht beantworten" und reject das, was du mit bewusst beschreibst, aber es ist kein bewusstes verwerfen, sondern ein bewusstes ablehnen.<br>
<br>
Für einen Scaner von außen auf einen bestimmten Service sieht drop genau so aus, wie wenn es den Service gar nicht gäbe und der Scanner läuft auf einen Timeout raus. Bei einem reject teilt man dem Scanner instantan mit, dass er den gescannten Service nicht erreichen darf.<br>
<br>
Das was ich oben geschrieben hab bezieht sich allerdings auf TCP. Bei UDP sieht es wieder etwas anders aus.<br>
<br>
In der Tabelle im folgenden Link ist das gut erklärt:<br>
<a href="https://www.secuvera.de/blog/nmap-ergebnisse-open-closed-openfiltered-eine-uebersicht/" target="_blank">https://www.secuvera.de/blog/nmap-ergebnisse-open-closed-openfiltered-eine-uebersicht/</a><br>
<br>
Gruß Hakon <br><br><div class="gmail_quote"></div></div><div><div class="gmail_quote">Am 17. Februar 2018 15:37:59 MEZ schrieb Peter Craciun <<a href="mailto:peter@fam-craciun.de" target="_blank">peter@fam-craciun.de</a>>:</div></div><div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0pt 0pt 0pt 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><pre class="m_-3923513233815519062k9mail">Hallo Ekki,<br><br>ich beantworte mal einen Teil deiner Frage(n), dann kann jmd anderes den <br>Rest machen. ;-)<br><br>filtered ist nicht schlimm. Bzw. das heißt, dass die die Pakete an einer <br>Stelle (in dem Fall eure FW) gedroppt (verworfen) werden. Vorher wurden <br>diese einfach nicht beantwortet. Jetzt werden sie bewusst verworfen.<br><br>Bei den offene Ports ist immer die Frage ob man die braucht oder nicht. <br>Zu deinem Beispiel DNS: Muss nur offen sein, wenn man über den DNS auch <br>von außen etwas auflösen können soll. Grundsätzlich sind offene Ports <br>auch nicht böse, solange diese einen Zweck erfüllen und der Dienst der <br>hintendran steht ausreichend geschützt und gepatched ist.<br><br>Zu dem scheinbar einzigen benötigten Port: 6000, der als X11 <br>identifiziert wird.<br>Falls das wirklich X11 ist, habe im Hinterkopf, dass das nicht unbedingt <br>empfehlenswert ist (war), aber das ist schon sehr alt, ggf. hat sich da <br>auch einiges geändert in den letzten Jahren. Damals als ich mich mit dem <br>Thema auseinandergesetzt habe war es en vogue das über ssh zu machen, <br>dazu gib (gab es damals) auch fertige Lösungen mit Kompression und <br>anderen Dingen, die X11 (damals zumindest) nicht von Haus aus <br>mitgebracht hat.<br><br><br>Grüße<br><br>Peter<br><br>Am 14.02.2018 um 18:08 schrieb Ekki Plicht (DF4OR):<br></pre></blockquote></div></div><div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0pt 0pt 0pt 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><pre class="m_-3923513233815519062k9mail"><blockquote class="gmail_quote" style="margin:0pt 0pt 1ex 0.8ex;border-left:1px solid #729fcf;padding-left:1ex"> Tag.<br> <br> Wie ihr wisst bin ich einer der gefährlichsten Menschen im Internet: <br> jemand mit gesundem Halbwissen :) Vor allem was Router betrifft.<br> <br> Nun habe ich den zentralen Router unserer Firma in meiner Verantwortung. <br> Nachdem ich bei einem bestimmten Problem nicht weiterkam, hat sich heute <br> mal ein Supporter unseres lokalen Providers meine Konfiguration <br> angeguckt. Er hat erst gelacht, dann die Firewallregeln geändert, so das <br> es jetzt sicher sei, also kein unerlaubter Zugriff von Aussen möglich sei.<br> <br> Ok, ich lerne ja gerne dazu.<br> <br> Heute abend habe ich mal von zuhause aus einen Portscan auf unsere <br> public IP Adresse gemacht, und siehe da, etliche Ports im State <br> "filtered", drei sind "open", u.a. DNS (Port 53). WTF?<br> <br> Oder verstehe ich da was falsch?<br> <br></blockquote></pre></blockquote></div></div><div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0pt 0pt 0pt 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><pre class="m_-3923513233815519062k9mail"><blockquote class="gmail_quote" style="margin:0pt 0pt 1ex 0.8ex;border-left:1px solid #729fcf;padding-left:1ex"><br> Hier das erste Resultat von nmap, mit den Filterregeln des Supporters.<br> <br> root@grappa ~ # nmap wimo*********<br> <br> Starting Nmap 7.60 ( <a href="https://nmap.org" target="_blank">https://nmap.org</a> ) at 2018-02-14 17:45 CET<br> Nmap scan report for wimo****** (x.x.x.x)<br> Host is up (0.034s latency).<br> Not shown: 983 closed ports<br> PORT STATE SERVICE<br> 22/tcp filtered ssh<br> 23/tcp filtered telnet<br> 53/tcp open domain<br> 135/tcp filtered msrpc<br> 139/tcp filtered netbios-ssn<br> 161/tcp filtered snmp<br> 179/tcp filtered bgp<br> 445/tcp filtered microsoft-ds<br> 1900/tcp filtered upnp<br> 2000/tcp open cisco-sccp<br> 2222/tcp filtered EtherNetIP-1<br> 2323/tcp filtered 3d-nfsd<br> 5998/tcp filtered ncd-diag<br> 6001/tcp filtered X11:1<br> 6002/tcp open X11:2<br> 7777/tcp filtered cbt<br> 8291/tcp open unknown<br> <br> Nmap done: 1 IP address (1 host up) scanned in 13.41 seconds<br> <br></blockquote></pre></blockquote></div></div><div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0pt 0pt 0pt 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><pre class="m_-3923513233815519062k9mail"><blockquote class="gmail_quote" style="margin:0pt 0pt 1ex 0.8ex;border-left:1px solid #729fcf;padding-left:1ex"><br> Und hier das nmap-Resultat 'meiner' Filterregeln, die ich auch nur aus <br> dem Supportforum des Routerherstellers abgeschrieben habe.<br> <br> root@grappa ~ # nmap wimo****<br> <br> Starting Nmap 7.60 ( <a href="https://nmap.org" target="_blank">https://nmap.org</a> ) at 2018-02-14 17:55 CET<br> Nmap scan report for wimo**** (x.x.x.x)<br> Host is up (0.031s latency).<br> Not shown: 999 filtered ports<br> PORT STATE SERVICE<br> 6002/tcp open X11:2<br> <br> Nmap done: 1 IP address (1 host up) scanned in 28.61 seconds<br></blockquote></pre></blockquote></div></div><div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0pt 0pt 0pt 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><pre class="m_-3923513233815519062k9mail"><blockquote class="gmail_quote" style="margin:0pt 0pt 1ex 0.8ex;border-left:1px solid #729fcf;padding-left:1ex"><br> <br> Der Unterschied zwische den beiden Scans war nur, das ich 'seine' Regeln <br> disabled habe und 'meine' wieder enabled.<br> <br> Sehe ich das richtig, das 'meine' Konfiguration besser greift? Oder <br> interpretiere ich da was falsch?<br> <br> Was der offene Port 6002 da macht finde ich auch noch raus.<br> <br> Ich wäre dankbar wenn sich mal jemand meldet der sich meine Filterregeln <br> anguckt, gerne vor Ort, gerne per Teamviewer, es darf auch Geld kosten.<br> <br> <br> Danke.<br> Ekki<br> <br> <br> <br> <br> <br> <br> <br> <br> <br><hr><br> lug-ld mailing list<br> <a href="mailto:lug-ld@lists.lug-ld.de" target="_blank">lug-ld@lists.lug-ld.de</a><br> <a href="http://lists.lug-ld.de/mailman/listinfo/lug-ld" target="_blank">http://lists.lug-ld.de/mailman/listinfo/lug-ld</a><br> <br></blockquote></pre></blockquote></div></div><div><div class="gmail_quote"><blockquote class="gmail_quote" style="margin:0pt 0pt 0pt 0.8ex;border-left:1px solid rgb(204,204,204);padding-left:1ex"><pre class="m_-3923513233815519062k9mail"><hr><br>lug-ld mailing list<br><a href="mailto:lug-ld@lists.lug-ld.de" target="_blank">lug-ld@lists.lug-ld.de</a><br><a href="http://lists.lug-ld.de/mailman/listinfo/lug-ld" target="_blank">http://lists.lug-ld.de/mailman/listinfo/lug-ld</a><br></pre></blockquote></div></div><div><br>
-- <br>
Diese Nachricht wurde von meinem Android-Gerät mit K-9 Mail gesendet.</div>_______________________________________________<br>
lug-ld mailing list<br>
<a href="mailto:lug-ld@lists.lug-ld.de" target="_blank">lug-ld@lists.lug-ld.de</a><br>
<a href="http://lists.lug-ld.de/mailman/listinfo/lug-ld" rel="noreferrer" target="_blank">http://lists.lug-ld.de/mailman/listinfo/lug-ld</a><br>
</blockquote></div>