Firewall und DoS Einstellung

Quote from deltapapa

Ich nutze keine Portfreigaben oder Ähnliches, halt nur die UG.Link Freigabe.

Das ist das gleiche Prinzip wie QuickConnect bei Synology. Hier werden die Portfreigaben von innen heraus über einen Relay-Server an der Firewall vorbei „freigebombt” – dieser Vorgang wird auch „Hole Punching” genannt. In diesem Fall bräuchtest du auch keine weiteren Ports in der Firewall angeben, soweit ich informiert bin. Von daher könntest du diese meines Erachtens auch aus lassen.

Möchtest du dein NAS jedoch über diesen Weg erreichen, würde ich empfehlen, den DoS-Schutz, zumindest für TCP zu aktivieren. UDP kann man sicherlich auch machen, ICMP natürlich auch, wäre in meinen Augen aber schon ziemlich paranoid.

Quote from deltapapa

Ansonsten greife ich via Wireguard auf die NAS zu.

Diese Verbindungsart würde ich priorisieren. Dann wäre der DoS-Schutz auch nicht zwingend notwendig außer du vertraust deinem eigenen LAN nicht.

Quote from deltapapa

Jetzt die Frage, habt ihr die Firewall eingeschaltet und die DoS Einstellung ebenfalls eingeschaltet?

Nein, die ist nur intern erreichbar bzw über VPN. Wozu also?

Quote from alter Mann

Nein, die ist nur intern erreichbar bzw über VPN. Wozu also?

Bitte de­fi­nie­re. Ist nicht jeder ein Profi, Admin!

Danke

Quote from schlamperl

Bitte de­fi­nie­re. Ist nicht jeder ein Profi, Admin!

Danke

Das heißt, das NAS wird nur von intern angesprochen (im eigenen Netzwerk =netzintern)

VPN, / Wireguard = Sichere Tunnelverbindung in der Regel vom Router zum NAS, Netzwerkverbindungen laufen ab dem Roter dadurch als wenn Du Netzintern unterwegs bist.

Verbindung is. zb. über IP möglich.

Wenn sich dein NAS ausschließlich im lokalen Netzwerk bewegt, kannst du die Firewall als auch DoS getrost deaktiviert lassen, außer du traust deinem eigenen LAN nicht. Gleiches gilt, wenn du dich ausschließlich über VPN mit deinem LAN verbindest.

Sobald du "klassische" Portfreigaben an dein NAS weiterleitest, sollte man sich Gedanken darüber machen, ob man die Firewall und/oder DoS einschaltet oder nicht. Besser wäre in jedem Fall, man tut es. Bei einem Relay-Dienst wie QuickConnect oder halt ug.link bringt dir die Firewall und DoS auf jeden Fall auch was, nur werden hier die Verbindungen halt von innen heraus, an der Firewall vorbei initiiert. Trotzdem sollte man, sobald man sein NAS in irgendeiner Form von extern erreichbar macht (ausßer i.d.R. bei VPN) sich bis zu den Zähnen bewaffnen, also auch die Firewallfunktionen und die DoS nutzen.

Quote from deltapapa

Habe ich dich deine Empfehlungen richtig verstanden:

NAS nur Lokal im Netz, maximal über wireguard oder ug.link -> Firewall und DoS aus lassen

Wenn ich mit Portfreigaben arbeiten würde: Firewall an und DoS auf TCP?

Bleibt noch die Frage, warum über den ug.link keine 2FA Abfrage kam, da gehe mal an den Support ran.

Mal kurz:

Wenn Du dein Nas von ausserhalb erreichen willst, über Vpn, muss man nicht viel zur Absicherung tun, wie z.b. bei ner Fritte. Willst Du aber das Teil erreichbar für Jedermann machen wirds schon schwerer.

Bei mir im Netz darf die 2800 intern alle Ports nutzen. Selbstständige-Portfreigabe. Ausserhalb nope.

Dazu muss ich aber auch anmerken dass ich ne Hardwarefirewall nutze. Ist natürlich aufwändiger als die reine Fritte aber sicherer.

Icmp und UDP blocke ich immer nach aussen. Tcp lasse ich immer zu, je nach Anwendung. Email, Netz, usw.

Hier mal Lesestoff TCP

Welche Ports, welche Anwendung braucht, intern wie extern. lässt sich immer der Manual, Beschreibung entnehmen.

Quote from deltapapa

Moin Moin,

ich habe mich heute via Web von der Arbeit aus in meine DXP4800+ eingeloggt, mit der ug.link Adresse. Da kam keine 2 Faktor Abfrage, warum auch immer, obwohl das bei dem Nutzer eingestellt ist. Nun gut, jetzt habe ich mal unter Sicherheit geschaut, was da so los ist, und mir ist aufgefallen das die DoS Einstellung ausgeschaltet war und die Firewall ebefalls.

Wenn die Firewall damit zu tun hätte wäre es schon komisch!

Mal ne Anfrage bei Ugreen machen.

Quote from schlamperl

Bitte de­fi­nie­re.

Was?

Quote from schlamperl

dass ich ne Hardwarefirewall nutze

Jetzt habe ich Kopfkino. *Räder rattern, Hebel klicken*

Da ich sowas nicht nutze., mal hier ein Ziel wenn das bei Dir über ngx lüppt.

Evt. hilft es ja weiter. Paperless-ngx

Quote from alter Mann

Jetzt habe ich Kopfkino. *Räder rattern, Hebel klicken

Ne echt jetzt?

Hardwarefirewall

Quote from schlamperl

Ne echt jetzt?

Ja. Ich kenne diese "Definition" und halte nicht viel davon. Warum? Weil ein PC mit FW-Software eine Hardware-FW darstellen würde und selbiger PC mit Virtualisierer und gleicher Software eine Software-FW. Das ist unsinnig.

Wesentlich wichtiger ist, ob die Netzwerk-Ports physisch oder logisch getrennt sind. Ersteres ist auch nicht bei jeder Appliance der Fall.

Wäre meine Hardwarefirewall auch nur dann eine echte Hardwarefirewall, solange ich nicht über einen meiner drei physischen Ports mehrerer logische VLANs leite?

Quote from alter Mann

Ja. Ich kenne diese "Definition" und halte nicht viel davon. Warum? Weil ein PC mit FW-Software eine Hardware-FW darstellen würde und selbiger PC mit Virtualisierer und gleicher Software eine Software-FW. Das ist unsinnig.

Wesentlich wichtiger ist, ob die Netzwerk-Ports physisch oder logisch getrennt sind. Ersteres ist auch nicht bei jeder Appliance der Fall.

Da haste mich aber geschockt

Nu Vorteil ist mehr oder weniger: Weniger Verbrauch, und feiner einstellbar.

Wie auch Leute nen Pihole nutzen mit nem Pi usw.

Recht hasse schon! Aber was nu mal da ist, wird auch genutzt!