Frage zur Firewall

[Lextor]

Hallo,

Ich habe die FW aktiviert...aber wenn ich so darüber nachdenke...stellt sich mir eine Frage.
Ich habe eine Regel in der Firewall.
Zulassen:
Quell IP>Deutschland und Mail Plusserver und Web Dav.

Folglich sollten alle anderen Quell IP und Anwendungen / Ports doch gesperrt sein, oder?

 

[Tommes]

Jein. Die DS Firewall ist nach dem aktivieren so eingestellt, das - wenn keine Regel zutrifft - der Zugriff erlaubt ist. Eine Firewall arbeitet aber sinnvollerweise genau nach dem anderen Prinzip, nämlich das - wenn keine Regel zutrifft - der Zugriff blockiert wird. Und genau diesen Schalter kannst du unter den Regeln der jeweiligen Schnittstelle aktivieren bzw. deaktivieren.


Man sollte nur ein wenig aufpassen, das man sich nicht selber aussperrt. Aber ich meine das Synology eine Anti-Blockierregel implementiert hat... bin mir aber grad nicht sicher, da ich die DS Firewall aktuell nicht verwende.

 

[Lextor]

Hmmmm...Ja, die Antiblockierreegel ist da...zum Glück

Aber irgendwie bin ich jetzt etwas verwirrt.
Ich hab die DS920+, mit 2 Schnittstellen
Ich möchte nur IPs aus Deutschland zulassen(im Urlaub nur dran denken Zielland zuzulassen )
Und ich möchte den MailPlus Server und WebDAV zulassen.
Aber irgendwie würde ich mich immer selber aussperren...
Ich erstelle eine Regel die lautet "Alles sperren"
Und eine Regel, das IPs aus Deutschland und MailPlus Server, WebDAV und Verwaltungsoberfläche zulassen.
Dann kommt die Meldung die FW wird zurück gesetzt weil ich mich selber sperren würde...

 

[Benares]

Denk auch an deine lokalen IPs und nicht nur an externe. Dafür muss es auch eine Regel geben.

 

[Tommes]

Ich hab auf die Schnelle mal ein Screenshot gefunden, welcher aber schon etwas älter ist. In der ersten Zeile siehst du, das das lokale Netzwerk komplett freigegeben wurde. Dieses könntest du genauso einstellen, oder aber den IP Bereich begrenzen, bis runter auf die lokale IP des Rechners, mit dem du auf die DS zugreifst. Aber Vorsicht... ändert sich die Rechner IP ist der Zugang erstmal gesperrt. Aber das ist im lokalen Netz ja eher eine nehmbare Hürde

 

[Lextor]

Ok, ich glaube ich habs jetzt...
3 Regeln habe ich jetzt..
1.
Meine gewünschte Dienste und IP aus Deutschland zulassen (alle Schnittstellen)
2.
Meine gewünschten Dienste und mein lokaler IP Range zulassen (alle Schnittstellen)
3.
Alles ausgewählt und verweigern (alle Schnittstellen)

Jetzt kommt auch keine Meldung ich würde mich selber aussperren...

 

[Benares]

Die Regel mit den lokalen IPs würde ich ganz oben ansiedeln - sicherheitshalber

 

[Tommes]

Da deine Firewall die Regeln von oben nach unten abarbeitetet, werden nach einer erfolgreichen Regelanwendung alle nachfolgenden verworfen. Daher würde ich die Punkte 1 und 2 miteinander tauschen, damit als erste Regel immer dein lokales Netzwerk steht. Erst danach würde ich die GeoIP Regeln setzen

Nachtrag: @Benares war da wohl ein ticken schneller.

 

[Lextor]

Danke Euch vielmals....

 

[Tommes]

Kein Ding. Und falls du deinem eigenen, lokalen Netzwerk nicht traust, kannst du neben den Einschränkungen der IP-Range das Ganze auch noch auf die nötigen Ports beschränken, die du für die Administration sowie für die laufenden Anwendungen benötigst. Aber immer dabei beachten, das man selbst handlungsfähig bleiben muss.

 

[Lextor]

Die Handlungsfähigkeit behalten...da hat Synology ja zum Glück mitgedacht

Schönes Wochenende euch allen...