Firewall und ssh

[chris.vo]

Hallo miteinander

Ich habe mir eine Firewall auf meinem GW1 gemacht, bei welcher alle Ports geschlossen werden, ausser Port 22. Nun habe ich diesen Server direkt am Internet und angle mich immer in mein Intranet auf meinen Fileserver durch.

Daher habe ich nunPort 26-29 aufgemacht. Über Port 26 mache ich eine Weiterleitung direkt auf meinen Fileserver (FS1) auf Port 22, welcher im Intranet steht und auf dem keine Firewall läuft. Dort läuft der ssh Damon wo ich mich dann von aussen direkt anmelden kann.

Gehe ich hier richtig davon aus, dass man auf dem FS1 nichts "hacken" kann, auch wenn keine Firewall auf dem Server (FS1) läuft, da die Ports auf dem GW1(Firewall) bereits geschlossen wurden und man ausschliesslich durch den port 26 an den Port 22 auf dem FS1 weitergeleitet wird?

Bei Port 27-29 läuft kein Dienst dahinter, wie sieht das hier aus, ist das gefährlich wenn ich das so laufen lasse? Können über diese Ports wo keine Dienste am laufen sind auf andere Ports übergegriffen werden?


extern Server
22 -> GW1
26 -> GW1 -> 22 -> FS1
27 -> GW1 -> kein Dienst am laufen
28 -> GW1 -> kein Dienst am laufen
29 -> GW1 -> kein Dienst am laufen


Sollte ich die Ports 27-29 schliessen? Kann man auf andere Ports übergreifen, wenn kein Dienst am laufen ist?

Besten Dank für Eure Antworten...

Gruss Chris

[DynaBlaster]

Gehe ich hier richtig davon aus, dass man auf dem FS1 nichts "hacken" kann, auch wenn keine Firewall auf dem Server (FS1) läuft, da die Ports auf dem GW1(Firewall) bereits geschlossen wurden und man ausschliesslich durch den port 26 an den Port 22 auf dem FS1 weitergeleitet wird?

Korrekt

Bei Port 27-29 läuft kein Dienst dahinter, wie sieht das hier aus, ist das gefährlich wenn ich das so laufen lasse? Können über diese Ports wo keine Dienste am laufen sind auf andere Ports übergegriffen werden?

Nein, wo kein Dienst läuft, kann auch kein Dienst angegriffen werden.

Sollte ich die Ports 27-29 schliessen? Kann man auf andere Ports übergreifen, wenn kein Dienst am laufen ist?

Wenn auf 27-29 kein Dienst läuft, kann da auch nichts anegegriffen, bei einem "Scan" von aussen ist nicht mal zu erkennen, ob die Ports nun von einer Firewall/Paketfilter verworfen werden oder ob da schlicht kein Dienst läuft. In der Regel legen die Leute ihre Port-Weiterleitungen aber auf Ports über 1023. Die Ports 0-1023 sind die sogenannten priviligierten Ports und werden im Gegensatz zu den höheren Ports von den meisten Script-Kiddies standardmässig gescannt - eine Verwendung der höheren Ports hält also die Logfiles bei Portscans klein. Gleiches gilt übrigens auch für Port 22 auf GW1 - wenn das Gateway direkt aus dem Internet erreichbar ist, dauert es nicht lange und die Datei /var/log/auth zeugt von zig (hoffentlich" fehlgeschlagenen Login-Versuchen, meist werden schlicht Wörterbuch-Attacken gegen den root-Account versucht - aber auch andere login-namen kommen häufig vor - ebenfalls ein Grund, den Port 22 azf GW1 auch in den Bereich über 1023 zu legen.

Hier noch ein Online-Portscanner zum Testen deines Setups:
http://www.heise.de/security/dienste/po ... scan.shtml

[chris.vo]

Hallo DynaBlaster

Besten Dank für Deine ausfühlichen Informationen. Ich werde meine Ports nun höher verlegen.

Besten Grüsse

Christoph