Firewall: nur Verbindungen aus Deutschland erlauben

Hi,

testweise habe ich mal bei einem Dienst im Nginx Proxy Manger die "Access Listen" deaktiviert, um alle Verbindungen von außen zu erlauben.
Ich komme also u.a. per o2 Mobilfunk und per VPN (deutscher 1&1 Server) auf den Dienst drauf, so weit alles normal.

Nun habe ich in UGOS die Firewall aktiviert.

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Wenn ich diese Regel aktiviere, komme ich mit o2 und VPN nicht mehr drauf.
Die beiden IPs von o2 und dem VPN sind laut allen möglichen "Wie ist meine IP"-Seiten auch in Deutschland verortet.

Habe ich hier einen Denkfehler, was die Firewall-Einstellung angeht?

Es scheint mir, dass für UGOS die IPs nicht aus Deutschland kommen, die Regel also nicht matcht, denn wenn ich unten "If none of the above rules are met" auf "Access allowed" stelle, komme ich wieder drauf.

Funktionieren länderspezifische Regeln überhaupt bei irgendwem von euch?

Eigentlich bin ich nicht mehr im lokalen Netz, sondern am Smartphone mit der Mobilfunk-Verbindung (o2 5G), WLAN ist dabei deaktiviert.

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Die IP hab ich z.B. jetzt am Smartphone von o2 bekommen. Ohne die Firewall erreiche ich den Dienst auf dem NAS. Mit aktivierter Firewall sollte sie mich eigentlich auch drauf lassen, die Regel sagt ja quasi:

"Erlaube alle Netzwerkverbindungen, auf allen Ports und allen Prokollen, die aus Deutschland sind".

Mit Sicherheit hab ich irgendwo einen Denkfehler gerade... komme nur nicht drauf, muss an der Erkältung liegen, mein Kopf ist Matsch

Der Grundgedanke war, dass ich am Ende generell alle Verbindungen blockieren möchte, die nicht aus Deutschland sind, also Permission auf DENY.

Um zu testen, ob das mit den Geo-Regeln der UGOS Firewall funktioniert, wollte ich deutsche Verbindungen erst mal auf ALLOW setzen aber die Regel greift gar nicht.

Das VPN war jetzt bloss, um mal eine andere deutsche IP zu simulieren (NordVPN), nicht um damit auf das NAS zu kommen.

Benares meinst du so?

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Ich verstehe noch nicht, was die lokale Regel da machen soll

Ich komme mit dem Smartphone nicht auf den Service drauf (Jellyfin per mobilem Chrome). Aber komischerweise, selbst wenn ich 176.3.40.0/22 erlaube, komme ich nicht durch.

This image is exclusive to our members!
Please log in or register for free to view graphics and attachments.

Vertragen sich UGOS Firewall und NPM evtl. nicht zusammen? Aber NPM sollte der UGOS Firewall ja egal sein.

Bei der UGOS Firewall kommt eh ein Warn-Popup, wenn ich eine Regel setze wo ich mich aussperren könnte. Das finde ich ganz gut.

Danke dir trotzdem, ich spiele noch ein bisschen herum, ansonsten muss ich die UGOS Firewall erst mal deaktivieren und die NGINX Access Listen nutzen.

Alles "Deutschland" bei den IPs auf dem Smartphone mit o2 Mobile, und bei den deutschen VPN Servern (NordVPN, Keepsolid VPN, Cyberghost VPN etc) ebenso.

Rein von der Logik her, wie würdet ihr denn sonst die UGOS Firewall konfigurieren, dass nur Verbindungen aus Deutschland auf das NAS erlaubt werden und alles andere geblockt wird?

1. Interessant ist, dass folgendes soweit geht, wie in jeder anderen Firewall auch:

• Blockiere Belarus, China, Russland und erlaube den Rest -> ich komme mit dem Smartphone und o2 Mobilfunk von unterwegs wie gewünscht auf den Server, und wenn ich in den diversen VPN Apps auf China oder Russland stelle, komme ich nicht mehr auf den Server -> diese Regel funktioniert also wie gedacht
  This image is exclusive to our members!
  Please log in or register for free to view graphics and attachments.

2. Aber folgendes geht NICHT und auch mit etwas frischerem Kopf glaube ich, dass ich die Regel hier wohl irgendwie falsch aufsetze:

• Erlaube Deutschland und blockiere den Rest -> ich komme mit dem Smartphone und o2 nicht mehr auf den Server, auch nicht mit anderen Ländern via VPN -> funktioniert NICHT
  This image is exclusive to our members!
  Please log in or register for free to view graphics and attachments.
  

Ich würde die 2. Variante bevorzugen und ein (1!) Land (Deutschland) erlauben und alle anderen blockieren, anstatt alle Länder von vornherein zu erlauben und nur bestimmte zu blockieren. Vom Sicherheitsgedanken her macht man das bei Ports ja in der Regel auch so, dass alle Ports erst mal dicht sind und man nur die öffnet, die man braucht.

Ich bin mir jetzt nur nicht sicher, ob ich hier einen Denkfehler bei der obigen 2. Variante habe, oder ob das ein Bug ist, den ich an den Support melden sollte.

Wie auch immer, vorerst muss dann erst mal die 1. Variante herhalten, das setzt man ja eh nur einmal und lässt es so. Es ist bloss anstrengend jetzt 100+ Häkchen zu setzen

nereus85 ich hab leider keine Hardware-Firewall davor hängen. Das einzige ist die Fritzbox, da sind eh alle Schotten dicht und nur 2 Ports geöffnet, die auf das NAS zeigen und selbiges sollte dann eben mit seiner Software-Firewall ein bisschen bösen Traffic blocken.

Ich habe alles außer Germany angehakt

runterscrollen?