FF-Router in einer Firewall DMZ - Versionsgeschichte

Rokufukka-iō am 1. Juni 2019 um 10:16 Uhr

2019-06-01T10:16:08Z

← Nächstältere Version		Version vom 1. Juni 2019, 12:16 Uhr
Zeile 1:		Zeile 1:
	Bei handelsüblichen DSL-Routern werden in den Standardeinstellungen normalerweise keine ausgehenden Verbindungen geblockt. Wer aber einen Freifunk-Router hinter einer professionellen Firmen-Firewall in einem bestimmten Netzwerksegment positionieren möchte, zum Beispiel in einer DMZ, kann hier Schwierigkeiten mit der Verbindung bekommen. Hier kann es vorkommen, dass nicht nur eingehenden Verbindungen geblockt werden, sondern auch die ausgehenden Verbindungen einem strengem Regelwerk unterliegen.		Bei handelsüblichen <abbr title="Digital Subscriber Line">DSL</abbr>-Routern werden in den Standardeinstellungen normalerweise keine ausgehenden Verbindungen geblockt. Wer aber einen Freifunk-Router hinter einer professionellen Firmen-Firewall in einem bestimmten Netzwerksegment positionieren möchte, zum Beispiel in einer <abbr title="Demilitarized Zone">DMZ</abbr>, kann hier Schwierigkeiten mit der Verbindung bekommen. Hier kann es vorkommen, dass nicht nur eingehenden Verbindungen geblockt werden, sondern auch die ausgehenden Verbindungen einem strengem Regelwerk unterliegen.

	Es ist sicher zu stellen, dass der FF-Router in dem jeweiligen Netzwerksegment eine IPv4 Adresse von einem DHCP-Server bekommt. Oft ist es der Fall, dass in einer DMZ-Zone kein DHCP-Service existiert. In diesem Fall müsste man auf der Firewall, für die jeweilige Zone und den jeweiligen IP-Adressbereich, erst einen DHCP-Server definieren. Dies kann, je nach Firewall-~~Model~~ und Hersteller, sehr unterschiedlich geschehen und sollte mit dem Betreiber der Firewall und dem Netzwerkverantwortlichen im Vorfeld geklärt werden.		Es ist sicher zu stellen, dass der <abbr title="Freifunk">FF</abbr>-Router in dem jeweiligen Netzwerksegment eine <abbr title="Internet Protocol Version 4">IPv4</abbr>-Adresse von einem <abbr title="Dynamic Host Configuration Protocol">DHCP</abbr>-Server bekommt. Oft ist es der Fall, dass in einer <abbr title="Demilitarized Zone">DMZ</abbr>-Zone kein <abbr title="Dynamic Host Configuration Protocol">DHCP</abbr>-Service existiert. In diesem Fall müsste man auf der Firewall, für die jeweilige Zone und den jeweiligen <abbr title="Internet Protocol">IP</abbr>-Adressbereich, erst einen <abbr title="Dynamic Host Configuration Protocol">DHCP</abbr>-Server definieren. Dies kann, je nach Firewall-Modell und Hersteller, sehr unterschiedlich geschehen und sollte mit dem Betreiber der Firewall und dem Netzwerkverantwortlichen im Vorfeld geklärt werden.

	Wenn der FF-Router nun seine intern vergebene und auch reservierte IPv4 bekommt, müssen noch einige Services für den ausgehenden Netzwerkverkehr definiert werden. Ich mache in diesem Fall immer gleich eine Servicegruppe und weise diese dann dem entsprechenden Host in der neuen Firewall Regel zu. Vielleicht empfiehlt es sich auch gleich eine Hostgruppe anzulegen falls mehrere FF-Router in dem Firmennetz positioniert werden.		Wenn der <abbr title="Freifunk">FF</abbr>-Router nun seine intern vergebene und auch reservierte <abbr title="Internet Protocol Version 4">IPv4</abbr> bekommt, müssen noch einige Services für den ausgehenden Netzwerkverkehr definiert werden. Ich mache in diesem Fall immer gleich eine Servicegruppe und weise diese dann dem entsprechenden Host in der neuen Firewall Regel zu. Vielleicht empfiehlt es sich auch gleich eine Hostgruppe anzulegen falls mehrere <abbr title="Freifunk">FF</abbr>-Router in dem Firmennetz positioniert werden.

	Der Freifunk-Router benötigt folgende ausgehenden Services:		Der Freifunk-Router benötigt folgende ausgehenden Services:
	DNS, HTTP, ICMP, und Port 10000 UDP für den VPN-Tunnel.		<abbr title="Domain Name System">DNS</abbr>, <abbr title="Hypertext Transfer Protocol">HTTP</abbr>, <abbr title="Internet Control Message Protocol">ICMP</abbr>, und Port 10000 <abbr title="User Datagram Protocol">UDP</abbr> für den <abbr title="Virtual Private Network">VPN</abbr>-Tunnel.
	Bei mehreren FF-Routen braucht man mehrere UDP-Ports. Ich habe in diesem Fall einfach die Ports 10000-11000 eingestellt. Falls dies nicht reichen sollte muss man in den Firewall-Logs nachsehen was noch blockiert wird und entsprechend nachbessern.		Bei mehreren <abbr title="Freifunk">FF</abbr>-Routen braucht man mehrere <abbr title="User Datagram Protocol">UDP</abbr>-Ports. Ich habe in diesem Fall einfach die Ports 10000-11000 eingestellt. Falls dies nicht reichen sollte, muss man in den Firewall-Logs nachsehen was noch blockiert wird und entsprechend nachbessern.

	Hier ganz genau die einzelnen Service-Regeln:		Hier ganz genau die einzelnen Service-Regeln:

	~~'''~~Name~~                 ~~Protocol~~        Details'''~~		{\| class="wikitable"
			! Name\|\| Protokoll \|\| Details
			\|-
			\| <abbr title="Domain Name System">DNS</abbr> \|\| <abbr title="Transmission Control Protocol">TCP</abbr>/<abbr title="User Datagram Protocol">UDP</abbr> \|\| TCP(1:65535)/(53), TCP(1:65535)/(53)
			\|-
			\| <abbr title="Hypertext Transfer Protocol">HTTP</abbr> \|\| TCP/UDP \|\| TCP(1:65535)/(80)
			\|-
			\| <abbr title="Internet Control Message Protocol">ICMP</abbr> \|\| <abbr title="Internet Control Message Protocol">ICMP</abbr> \|\| ICMP any/any
			\|-
			\| <abbr title="Freifunk">FF</abbr>-<abbr title="Virtual Private Network">VPN</abbr>-Tunnel \|\| TCP/UDP \|\| UDP(1:65535)/(10000-10100)
			\|-
			\| FF-<abbr title="Layer 2 Tunneling Protocol">L2TP</abbr>-Tunnel \|\| TCP/UDP \|\| UDP(1:65535)/(20000-20100)
			\|}

	DNS                     TCP/UDP       TCP(1:65535)/(53),TCP(1:65535)/(53)<br />		== Für L2TP sind folgende Ports nötig ==
	~~HTTP                   TCP/UDP       TCP(1:65535)/(80) <br />~~
	ICMP                    ICMP              ICMP any/any<br />
	~~FF-VPN-Tunnel   TCP/UDP        UDP(1:65535)/(10000-10100)<br />~~
	~~FF-~~L2TP~~-Tunnel TCP/UDP        UDP(1:65535)/(20000-20100)<br />~~

	=~~= Für l2tp sind folgende Ports nötig ==~~		Port 80 zu allen <abbr title="Internet Protocol">IP</abbr>s (bzw. zumindest die Server in der Hood müssten per Port 80 erreichbar sein)

	Port ~~80 zu allen IPs (bzw. zumindest die Server in der Hood müssten per Port 80 erreichbar sein)~~		Port 20000 bis 20100 für den <abbr title="Layer 2 Tunneling Protocol">L2TP</abbr>-Tunnel

	~~Port 20000 bis 20100 für den l2tp~~ Tunnel		Mit diesen Einstellungen konnte, in meinem Fall, der <abbr title="Freifunk">FF</abbr>-Router seinen Tunnel aufbauen und war im Netmon online und der <abbr title="Internet Protocol Version 6">IPv6</abbr>-Ping war ok.

			Eine Anleitung für Freifunk Router am FRITZ!Box-Gastzugang findet Ihr [[FF-Router am Gastzugang einer Fritzbox\|hier]].
	~~Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.~~

	Eine Anleitung für Freifunk Router am ~~Fritzbox~~ Gastzugang findet Ihr [[FF-Router am Gastzugang einer Fritzbox\|hier]].

	[[Kategorie:Technik]]		[[Kategorie:Technik]]

Mgadmin: Ports angepasst

2017-01-14T18:21:52Z

Ports angepasst

← Nächstältere Version		Version vom 14. Januar 2017, 20:21 Uhr
Zeile 13:		Zeile 13:
	'''Name                 Protocol        Details'''		'''Name                 Protocol        Details'''

	DNS                    TCP/UDP       TCP(1:65535)/(53),TCP(1:65535)/(53)<br />		DNS                     TCP/UDP       TCP(1:65535)/(53),TCP(1:65535)/(53)<br />
	HTTP                  TCP/UDP       TCP(1:65535)/(80) <br />		HTTP                   TCP/UDP       TCP(1:65535)/(80) <br />
	ICMP                   ICMP              ICMP any/any<br />		ICMP                    ICMP              ICMP any/any<br />
	FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-~~11000~~)<br />		FF-VPN-Tunnel   TCP/UDP        UDP(1:65535)/(10000-10100)<br />
			FF-L2TP-Tunnel TCP/UDP        UDP(1:65535)/(20000-20100)<br />

	== Für l2tp sind folgende Ports nötig ==		== Für l2tp sind folgende Ports nötig ==

ChristianD am 26. September 2016 um 09:11 Uhr

2016-09-26T09:11:50Z

← Nächstältere Version		Version vom 26. September 2016, 11:11 Uhr
Zeile 18:		Zeile 18:
	FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-11000)<br />		FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-11000)<br />

	Für l2tp sind folgende Ports nötig:		== Für l2tp sind folgende Ports nötig ==

	Port 80 zu allen IPs (bzw. zumindest die Server in der Hood müssten per Port 80 erreichbar sein)		Port 80 zu allen IPs (bzw. zumindest die Server in der Hood müssten per Port 80 erreichbar sein)

	Port 20000 bis 20100 für den l2tp Tunnel		Port 20000 bis 20100 für den l2tp Tunnel


	Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.		Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.

ChristianD am 26. September 2016 um 09:11 Uhr

2016-09-26T09:11:25Z

← Nächstältere Version		Version vom 26. September 2016, 11:11 Uhr
Zeile 17:		Zeile 17:
	ICMP                   ICMP              ICMP any/any<br />		ICMP                   ICMP              ICMP any/any<br />
	FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-11000)<br />		FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-11000)<br />

			Für l2tp sind folgende Ports nötig:
			Port 80 zu allen IPs (bzw. zumindest die Server in der Hood müssten per Port 80 erreichbar sein)
			Port 20000 bis 20100 für den l2tp Tunnel

	Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.		Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.

Mgadmin am 15. Juli 2016 um 07:32 Uhr

2016-07-15T07:32:25Z

← Nächstältere Version		Version vom 15. Juli 2016, 09:32 Uhr
Zeile 7:		Zeile 7:
	Der Freifunk-Router benötigt folgende ausgehenden Services:		Der Freifunk-Router benötigt folgende ausgehenden Services:
	DNS, HTTP, ICMP, und Port 10000 UDP für den VPN-Tunnel.		DNS, HTTP, ICMP, und Port 10000 UDP für den VPN-Tunnel.
	Bei mehreren FF-Routen braucht man mehrere UDP-Ports. Ich habe in diesem Fall einfach die Ports 10000-~~10010~~ eingestellt. Falls dies nicht reichen sollte muss man in den Firewall-Logs nachsehen was noch blockiert wird und entsprechend nachbessern.		Bei mehreren FF-Routen braucht man mehrere UDP-Ports. Ich habe in diesem Fall einfach die Ports 10000-11000 eingestellt. Falls dies nicht reichen sollte muss man in den Firewall-Logs nachsehen was noch blockiert wird und entsprechend nachbessern.

	Hier ganz genau die einzelnen Service-Regeln:		Hier ganz genau die einzelnen Service-Regeln:

ChristianD am 11. Juli 2016 um 09:55 Uhr

2016-07-11T09:55:10Z

← Nächstältere Version		Version vom 11. Juli 2016, 11:55 Uhr
Zeile 16:		Zeile 16:
	HTTP                  TCP/UDP       TCP(1:65535)/(80) <br />		HTTP                  TCP/UDP       TCP(1:65535)/(80) <br />
	ICMP                   ICMP              ICMP any/any<br />		ICMP                   ICMP              ICMP any/any<br />
	FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-~~10010~~)<br />		FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-11000)<br />

	Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.		Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.

Mgadmin am 6. April 2015 um 09:56 Uhr

2015-04-06T09:56:26Z

← Nächstältere Version		Version vom 6. April 2015, 11:56 Uhr
Zeile 7:		Zeile 7:
	Der Freifunk-Router benötigt folgende ausgehenden Services:		Der Freifunk-Router benötigt folgende ausgehenden Services:
	DNS, HTTP, ICMP, und Port 10000 UDP für den VPN-Tunnel.		DNS, HTTP, ICMP, und Port 10000 UDP für den VPN-Tunnel.
	Bei mehreren FF-Routen braucht man mehrere UDP-Ports. Ich habe in diesem Fall einfach die Ports 10000-~~11000~~ eingestellt. Falls dies nicht reichen sollte muss man in den Firewall-Logs nachsehen was noch blockiert wird und entsprechend nachbessern.		Bei mehreren FF-Routen braucht man mehrere UDP-Ports. Ich habe in diesem Fall einfach die Ports 10000-10010 eingestellt. Falls dies nicht reichen sollte muss man in den Firewall-Logs nachsehen was noch blockiert wird und entsprechend nachbessern.

	Hier ganz genau die einzelnen Service-Regeln:		Hier ganz genau die einzelnen Service-Regeln:
Zeile 16:		Zeile 16:
	HTTP                  TCP/UDP       TCP(1:65535)/(80) <br />		HTTP                  TCP/UDP       TCP(1:65535)/(80) <br />
	ICMP                   ICMP              ICMP any/any<br />		ICMP                   ICMP              ICMP any/any<br />
	FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-~~11000~~)<br />		FF-VPN-Tunnel  TCP/UDP        UDP(1:65535)/(10000-10010)<br />

	Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.		Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.

Mgadmin am 29. November 2014 um 00:19 Uhr

2014-11-29T00:19:48Z

← Nächstältere Version		Version vom 29. November 2014, 02:19 Uhr
Zeile 20:		Zeile 20:
	Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.		Mit diesen Einstellungen konnte, in meinem Fall, der FF-Router seinen Tunnel aufbauen und war im Netmon online und der IPv6 Ping war ok.

	Eine Anleitung für Freifunk Router an Fritzbox Gastzugang findet Ihr [[FF-Router am Gastzugang einer Fritzbox\|hier]].		Eine Anleitung für Freifunk Router am Fritzbox Gastzugang findet Ihr [[FF-Router am Gastzugang einer Fritzbox\|hier]].

	[[Kategorie:Technik]]		[[Kategorie:Technik]]

Mgadmin am 28. November 2014 um 23:45 Uhr

2014-11-28T23:45:51Z

← Nächstältere Version		Version vom 29. November 2014, 01:45 Uhr
Zeile 22:		Zeile 22:
	Eine Anleitung für Freifunk Router an Fritzbox Gastzugang findet Ihr [[FF-Router am Gastzugang einer Fritzbox\|hier]].		Eine Anleitung für Freifunk Router an Fritzbox Gastzugang findet Ihr [[FF-Router am Gastzugang einer Fritzbox\|hier]].

	--[[~~Benutzer~~:~~Mgadmin\|Scheese~~]] ~~([[Benutzer Diskussion:Mgadmin\|Diskussion]]) 11:54, 28. Nov. 2014 (CET)~~		[[Kategorie:Technik]]

Mgadmin am 28. November 2014 um 22:54 Uhr

2014-11-28T22:54:26Z

← Nächstältere Version		Version vom 29. November 2014, 00:54 Uhr
Zeile 1:		Zeile 1:
	Bei handelsüblichen DSL-Routern werden in den Standardeinstellungen normalerweise keine ausgehenden Verbindungen geblockt. Wer aber einen Freifunk-Router hinter einer professionellen Firmen-Firewall in einem bestimmten Netzwerksegment positionieren möchte, zum Beispiel in einer DMZ, kann hier Schwierigkeiten mit der Verbindung bekommen. Hier kann es vorkommen, dass nicht nur eingehenden Verbindungen geblockt werden sondern auch die ausgehenden Verbindungen einem strengem Regelwerk unterliegen.		Bei handelsüblichen DSL-Routern werden in den Standardeinstellungen normalerweise keine ausgehenden Verbindungen geblockt. Wer aber einen Freifunk-Router hinter einer professionellen Firmen-Firewall in einem bestimmten Netzwerksegment positionieren möchte, zum Beispiel in einer DMZ, kann hier Schwierigkeiten mit der Verbindung bekommen. Hier kann es vorkommen, dass nicht nur eingehenden Verbindungen geblockt werden, sondern auch die ausgehenden Verbindungen einem strengem Regelwerk unterliegen.

	Es ist sicher zu stellen, dass der FF-Router in dem jeweiligen Netzwerksegment eine IPv4 Adresse von einem DHCP-Server bekommt. Oft ist es der Fall, dass in einer DMZ-Zone kein DHCP-Service existiert. In diesem Fall müsste man auf der Firewall, für die jeweilige Zone und den jeweiligen IP-Adressbereich, erst einen DHCP-Server definieren. Dies kann, je nach Firewall-Model und Hersteller, sehr unterschiedlich geschehen und sollte mit dem Betreiber der Firewall und dem Netzwerkverantwortlichen im Vorfeld geklärt werden.		Es ist sicher zu stellen, dass der FF-Router in dem jeweiligen Netzwerksegment eine IPv4 Adresse von einem DHCP-Server bekommt. Oft ist es der Fall, dass in einer DMZ-Zone kein DHCP-Service existiert. In diesem Fall müsste man auf der Firewall, für die jeweilige Zone und den jeweiligen IP-Adressbereich, erst einen DHCP-Server definieren. Dies kann, je nach Firewall-Model und Hersteller, sehr unterschiedlich geschehen und sollte mit dem Betreiber der Firewall und dem Netzwerkverantwortlichen im Vorfeld geklärt werden.