12
Lancom-Router: zeitlich befristetes Sperren von Ports
Hallo Admins 
,
ich habe bei einem Kunden einen Lancom-Router (Typ Lancom 883BH; Firmware-Version: 10.32.0156RU4, Loader-Version: 4.46.0001) im Einsatz, der als DHCP-Server dient und Gateway für sämtliche Geräte ist. Der Kunde möchte gern einzelne Ports bzw. Portbereiche über Nacht (d.h. zeitgesteuert) sperren. Wisst Ihr, wo man in der Konfiguration so etwas einstellen kann?
Falls es so eine Funktion nicht gibt: Ist Euch etwas bekannt, dass man die Konfiguration eines Lancom-Routers per Batch beeinflussen kann? Dann könnte ich die Ports mit einer Batch sperren und entsperren, die ich zeitgesteuert auf meinem Server beim Kunden ablaufen lasse.
(Die zeitgesteuerte Sperrung des kompletten Internetverkehrs wäre eine etwas ungeliebte Möglichkeit, da Ports für Teamviewer und E-Mail-Abholung möglichst auch nachts frei bleiben sollen. Solltet Ihr dennoch einen entsprechenden Lösungsansatz haben, würde ich mich auch darüber freuen.)
Viele Grüße,
Sinzal
,ich habe bei einem Kunden einen Lancom-Router (Typ Lancom 883BH; Firmware-Version: 10.32.0156RU4, Loader-Version: 4.46.0001) im Einsatz, der als DHCP-Server dient und Gateway für sämtliche Geräte ist. Der Kunde möchte gern einzelne Ports bzw. Portbereiche über Nacht (d.h. zeitgesteuert) sperren. Wisst Ihr, wo man in der Konfiguration so etwas einstellen kann?
Falls es so eine Funktion nicht gibt: Ist Euch etwas bekannt, dass man die Konfiguration eines Lancom-Routers per Batch beeinflussen kann? Dann könnte ich die Ports mit einer Batch sperren und entsperren, die ich zeitgesteuert auf meinem Server beim Kunden ablaufen lasse.
(Die zeitgesteuerte Sperrung des kompletten Internetverkehrs wäre eine etwas ungeliebte Möglichkeit, da Ports für Teamviewer und E-Mail-Abholung möglichst auch nachts frei bleiben sollen. Solltet Ihr dennoch einen entsprechenden Lösungsansatz haben, würde ich mich auch darüber freuen.)
Viele Grüße,
Sinzal
Auf Facebook teilen
Auf Twitter teilen
Auf Reddit teilen
Auf Linkedin teilenBitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 640110
Url: https://administrator.de/contentid/640110
Ausgedruckt am: 24.11.2024 um 18:11 Uhr
12 Kommentare
Neuester Kommentar
Firewallregel anlegen und die kann man dann über die Cron-Tabelle ein- und ausschalten.
Hallo tikayevent,
Die Cron-Tabelle ist schon mal ein guter Hinweis. Vielen Dank.
Ich weiß jedoch derzeit nicht, wo und wie ich das Aktivieren meiner Firewallregel dort einstelle.
Ich habe jetzt bei Firewall/QoS > IPv4-Regeln > Regeln eine Firewallregel mit dem Namen TEST und der Sperrung des Ports 4443 angelegt. Diese ist z.Z. aktiviert. Soweit ich das sehen kann, müsste ich jetzt einen Eintrag in der Cron-Tabelle unter Datum/Zeit > Allgemein > Cron-Tabelle > Hinzufügen neu anlegen. Hier scheine ich den genauen Zeitpunkt der Ausführung bei den Feldern Minuten bis Monate eintragen zu können (stimmt das?). Ich glaube, den Befehl zum Aktivieren bzw. Deaktivieren meiner Regel TEST muss ich irgendwie im Feld "Befehle" eingeben. Kannst du mir sagen, wie dieser Befehl lauten muss?
Viele Grüße,
Sinzal
Die Cron-Tabelle ist schon mal ein guter Hinweis. Vielen Dank.
Ich weiß jedoch derzeit nicht, wo und wie ich das Aktivieren meiner Firewallregel dort einstelle.
Ich habe jetzt bei Firewall/QoS > IPv4-Regeln > Regeln eine Firewallregel mit dem Namen TEST und der Sperrung des Ports 4443 angelegt. Diese ist z.Z. aktiviert. Soweit ich das sehen kann, müsste ich jetzt einen Eintrag in der Cron-Tabelle unter Datum/Zeit > Allgemein > Cron-Tabelle > Hinzufügen neu anlegen. Hier scheine ich den genauen Zeitpunkt der Ausführung bei den Feldern Minuten bis Monate eintragen zu können (stimmt das?). Ich glaube, den Befehl zum Aktivieren bzw. Deaktivieren meiner Regel TEST muss ich irgendwie im Feld "Befehle" eingeben. Kannst du mir sagen, wie dieser Befehl lauten muss?
Viele Grüße,
Sinzal
Moin,
als Befehl kannst Du da jeden Befehl so eingeben, wie Du ihn auch auf der Konsole benutzen kannst. Hier wäre also ein Blick in das Handbuch zielführend gewesen.
zum Einschalten
zum Ausschalten.
Entsprechend musst Du zwei Einträge in der Cron-Tabelle anlegen.
Grüße,
Torsten
als Befehl kannst Du da jeden Befehl so eingeben, wie Du ihn auch auf der Konsole benutzen kannst. Hier wäre also ein Blick in das Handbuch zielführend gewesen.
SET /Setup/IP-Router/Firewall/Rules/Name-der-Regel {fire} yesSET /Setup/IP-Router/Firewall/Rules/Name-der-Regel {fire} noEntsprechend musst Du zwei Einträge in der Cron-Tabelle anlegen.
Grüße,
Torsten
Hallo Torsten,
das ist spitze! Vielen Dank. Ich werde es gleich ausprobieren.
Eine Zusatzfrage dazu: kann man diese Befehle auch von einer Batch von einem Windows-Server aus starten (auf dem Lanconfig installiert ist)? D.h. kann man solche Befehle auch von "außerhalb" des Routers im Router aufrufen?
Viele Grüße,
Sinzal
das ist spitze! Vielen Dank. Ich werde es gleich ausprobieren.
Eine Zusatzfrage dazu: kann man diese Befehle auch von einer Batch von einem Windows-Server aus starten (auf dem Lanconfig installiert ist)? D.h. kann man solche Befehle auch von "außerhalb" des Routers im Router aufrufen?
Viele Grüße,
Sinzal
Lanconfig brauchst Du dafür nicht.
Wie gesagt macht der Cron-Befehl nichts anderes als wenn Du Dich über Telnet oder SSH auf die Konsole einloggst und den Befehl dann dort absetzt.
Entsprechend kannst Du auf dem Server ein Skript ausführen, welches die Telnet bzw. SSH Session aufbaut und dann die Befehle dort absetzt. Bei Telnet kannst Du die Befehle in einer TXT-Datei dem Telnet-Befehl mitgeben.
Alternativ über das Tool netcat.
Bedenke aber:
Die Login-Daten des Routers liegen dann unverschlüsselt in der Skript-Datei auf Deinem Server -> ggf. Sicherheitsrisiko
Den Telnet bzw. SSH-Zugang musst Du je nach aktueller Konfiguration im Lancom noch freigeben.
Edit: So ganz erschliesst sich mir aber Grund nicht, warum Du das nicht direkt über die Cron-Tabelle im Router machen willst. Lass mich nicht dumm sterben...
Wie gesagt macht der Cron-Befehl nichts anderes als wenn Du Dich über Telnet oder SSH auf die Konsole einloggst und den Befehl dann dort absetzt.
Entsprechend kannst Du auf dem Server ein Skript ausführen, welches die Telnet bzw. SSH Session aufbaut und dann die Befehle dort absetzt. Bei Telnet kannst Du die Befehle in einer TXT-Datei dem Telnet-Befehl mitgeben.
Alternativ über das Tool netcat.
Bedenke aber:
Die Login-Daten des Routers liegen dann unverschlüsselt in der Skript-Datei auf Deinem Server -> ggf. Sicherheitsrisiko
Den Telnet bzw. SSH-Zugang musst Du je nach aktueller Konfiguration im Lancom noch freigeben.
Edit: So ganz erschliesst sich mir aber Grund nicht, warum Du das nicht direkt über die Cron-Tabelle im Router machen willst. Lass mich nicht dumm sterben...
Irgendwo hat LANCOM das dokumentiert, wie man es per TFTP macht. Man lädt einfach ein Script per TFTP hoch, was genau das macht.
Wenn der Lancom SNMP kann ist das auch mit einer SNMP Lösung eine Lachnummer für einen Netzwerker. Den snmpset -v 1 -c private GERÄTE-IP 1.3.6.1.2.1.2.2.1.7.49 i 2 packst du dann in die Aufgabensteuerung mit einem Zeitplan und fertig ist der Lack.
Dieser Thread beschreibt wie es sehr einfach damit zu lösen ist:
Cisco Switch SG 300er Serie Port per Script ausschalten
Dieser Thread beschreibt wie es sehr einfach damit zu lösen ist:
Cisco Switch SG 300er Serie Port per Script ausschalten
Zitat von @aqui:
Den snmpset -v 1 -c private GERÄTE-IP 1.3.6.1.2.1.2.2.1.7.49 i 2 packst du dann in die Aufgabensteuerung mit einem Zeitplan und fertig ist der Lack.
Und wie genau hilft es jetzt dem TO? Die OID ist für den IfAdminStatus der Schnittstellennummer 49 eines Cisco Switches und wird mit dem Befehl auf Wert 2 (Shutdown) gesetzt. Hilft hier nicht wirklich. Aber ja, der Lancom kann natürlich SNMP.Den snmpset -v 1 -c private GERÄTE-IP 1.3.6.1.2.1.2.2.1.7.49 i 2 packst du dann in die Aufgabensteuerung mit einem Zeitplan und fertig ist der Lack.
Und wie genau hilft es jetzt dem TO?
Na ja die Kardinalsfrage ist natürlich was der TO genau mit der recht schwammigen Aussage "Ports bzw. Portbereiche " genau meint.Sollten es TCP und UDP Ports oder Portbereiche sein wird ihm die SNMP Lösung in der Tat wenig bis gar nichts nützen...keine Frage.
Meint er hingegen physische Ethernet Ports des Lancom wo Endgeräte angeschlossen sind wäre die SNMP Lösung ideal.
Hallo Leute,
erstmal herzlichen Dank für Eure Hilfe. Die Lösung von PappaBaer2002 hilft super für die Zeitsteuerung. Vielen Dank dafür.
@aqui: Ich meine TCP- und UDP-Ports, d.h. ich will bestimmte Portnummern sperren. Die Ethernet Ports sollen weiterhin aktiv bleiben (und z.B. Teamviewer-Verbindungen durchlassen), aber eben bestimmte TCP- und UDP-Ports nicht mehr unterstützen.
Viele Grüße,
Sinzal
erstmal herzlichen Dank für Eure Hilfe. Die Lösung von PappaBaer2002 hilft super für die Zeitsteuerung. Vielen Dank dafür.
@aqui: Ich meine TCP- und UDP-Ports, d.h. ich will bestimmte Portnummern sperren. Die Ethernet Ports sollen weiterhin aktiv bleiben (und z.B. Teamviewer-Verbindungen durchlassen), aber eben bestimmte TCP- und UDP-Ports nicht mehr unterstützen.
Viele Grüße,
Sinzal
Achso, die Steuerung mittels Batch-Datei soll für den Chef eine Möglichkeit sein, sich "schnell mal" die Funktionen freizuschalten, wenn er nachts auf die Idee kommt, die Verbindungen dringend zu brauchen. Da er von der Konfiguration des Lancom Routers überfordert ist, soll es eine 1-Klick-Methode sein. Er kennt das Passwort, weshalb für ihn die Klartext-Variante kein Problem ist (mal das Problem von Hackern außer Acht lassend). Andere Mitarbeiter können jedoch nicht an die Batch gelangen.
So ist zumindest die Vorstellung davon.
Viele Grüße,
Sinzal
So ist zumindest die Vorstellung davon.
Viele Grüße,
Sinzal
Ich meine TCP- und UDP-Ports, d.h. ich will bestimmte Portnummern sperren.
OK, dann vergiss die SNMP Lösung...das hilft dann nicht wirklich.Wenn der Lancom ein CLI hat wie z.B. Cisco über den das möglich ist kannst du das einfach mit entsprechenden Scripts machen (Shell, TCL, Expect usw.) wie du selber oben schon angedacht hast, das funktioniert immer.
Teamviewer-Verbindungen durchlassen
Uhhh wie gruselig...die will man ja eigentlich nie intern haben wegen der Schnüffelei. In Firmennetzen ein NoGo !TeamViewer mal wieder gehackt !
