Wie kann man den Zugriff auf Portweiterleitungen begrenzen?

In dieser Anleitung geht es darum, wie man den externen Zugriff auf eine Portweiterleitung, einschränken kann.
Nicht zugelassene IP-Verbindungen werden blockiert. Dadurch kann beispielsweise ein interner Server nicht von Unbefugten angegriffen und die Sicherheit des Servers erhöht werden.

In diesem Beispiel befindet sich ein Web-Server (IP: 192.168.1.100, Port 80) hinter einem DrayTek-Router.
Nur einem Client mit der IP-Adresse 111.251.191.62 soll es erlaubt sein, auf diesen Server zugreifen zu dürfen.

an-example an-example an-example an-example

an-example

Variante 1 - Über NAT >> Port Redirection/Open Ports

Für beide Menüs ist ein IP-Objekt notwendig.

Für die Konfiguration des IP-Objektes gehen Sie zu Objects Setting >> IP Object und klicken dort auf einen freien Index.

Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup Firewall >> Filter-Setup

Firewall >> Filter-Setup

  1. Geben Sie dem IP Objekt einen Namen
  2. Ändern Sie den Address Type auf "Single Address"
  3. Bei Start IP Address tragen Sie die öffentliche IP 111.251.191.62 ein
Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Port Redirection

Nach der Erstellung des IP Objektes gehen Sie zu NAT >> Port Redirection und klicken dort auf einen freien Index.

  1. Aktivieren Sie den Index
  2. Benennen Sie die Portumleitung
  3. Geben Sie einen externen Port für die Anfrage an
  4. Bei Source IP wählen Sie das erstellte IP-Objekt aus
  5. Hinterlegen Sie die interne IP des Web-Servers
  6. Tragen Sie den internen Port ein unter dem der Web-Server zu erreichen ist
IP-Address-Edit IP-Address-Edit IP-Address-Edit IP-Address-Edit

IP-Address-Edit

Dank dieser Einstellung ist es ausschließlich der öffentlichen IP-Adresse 111.251.191.62 erlaubt die Portumleitung zu verwenden.

Der Aufruf unseres Web-Servers aus dem Internet wäre über http://[WAN-IP/HOSTNAME]:8080 möglich.

Open Ports

Gehen Sie zu NAT >> Open Ports und klicken Sie dort auf einen freien Index.

  1. Aktivieren Sie den Index
  2. Benennen Sie den Index
  3. Bei Source IP wählen Sie das erstellte IP-Objekt aus
  4. Hinterlegen Sie die interne IP des Web-Servers
  5. Wählen Sie das Protokoll aus
  6. Bei Start Port und End Port tragen Sie den internen Port des Web-Servers an
Service-Typ-Edit Service-Typ-Edit Service-Typ-Edit Service-Typ-Edit

Service-Typ-Edit

Achtung!

Achten Sie darauf, dass die Router-eigenen Ports (System Maintenance >> Management) nicht weitergeleitet werden können. Ändern Sie diese vorab ab oder nutzen Sie NAT >> Port Redirection und wählen einen abweichenden externen Port.

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Firewall >> Edit-Filter-Set >> Edit-Filter-Rule

Variante 2 - Über Firewallregeln

Gehen Sie zu Firewall >> Filter Setup und dort auf den Filtersatz 2.

Klicken Sie dort auf eine freie Regel an passen Sie diese wie folgt an:

  1. Aktivieren Sie die Regel
  2. Geben Sie der Regel einen Namen
  3. Ändern Sie die Direction auf "WAN -> LAN/DMZ/RT/VPN"
  4. Bei Source IP geben Sie die externe IP 111.251.191.62 ein
  5. Bei Destination IP tragen Sie die IP des Web-Servers ein
  6. Unter Service Type gehen Sie auf Edit, passen das Protokoll an und hinterlegen bei Destination Port den internen Port des Web-Servers
  7. Bei Action wählen Sie "Pass immediately" aus
Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set Firewall >> Filter-Setup >> Edit-Filter-Set

Firewall >> Filter-Setup >> Edit-Filter-Set

Abschließend wird noch eine Firewallregel benötigt die allen anderen öffentlichen IP-Adressen die Nutzung der Portumleitung untersagt.

Gehen Sie dafür auf die Filterregel 3 und gehen dort wie folgt vor:

  1. Aktivieren Sie den Index
  2. Benennen Sie den Index
  3. Ändern Sie die Direction auf "WAN -> LAN/DMZ/RT/VPN"
  4. Bei Destination IP tragen Sie die IP des Web-Servers ein
  5. Unter Service Type gehen Sie auf Edit, passen das Protokoll an und hinterlegen bei Destination Port den internen Port des Web-Servers
  6. Bei Action wählen Sie "Block immediately" aus
bild6.jpg bild6.jpg bild6.jpg bild6.jpg

Die Filtersätze bzw. Filterregeln werden von oben nach unten abgearbeitet. Somit ist nach der Konfiguration sichergestellt, dass ausschließlich die angegebene öffentliche IP auf den Web-Server zugreifen darf. Die Anfragen anderer IP-Adressen werden geblockt.