Mit Home Talk durch die Firewall

Hi,

Dann aktiviere doch logging entweder auf der Scheunentorregel oder auf einer deny all Regel (bevorzugt).
Dann mußt du nur noch die Logs prüfen und ggf. die Ports entsprechend erlauben.

CH

Hallo,

ok, zusammenfassend der Beitragsersteller hat mittels
ein WLAN-Netz gespannt. Damit meint er wohl Kaskade an Access Points.?! Diese besteht laut späterer Antwort aus 5 Access Points

scheint der Name des Netzwerkes (WLAN, LAN) zu sein.

Internetzugang erfolgt über eine Telekom Speedport, welches Modell auch immer.?!
Wie der Speedport konfiguriert ist, wissen wir nicht, der Beitragsersteller anscheinend auch nicht (so) genau.?!

Also alles in allem ziemlich viel gebastel.

Gruss Penny

Mmmh bedeutet dann das LAN und WLAN gebridged wären, was ja ein fataler Fehler wäre
Goldener Adler hört sich ja nach nem Gasthof an und dort sollte man ja tunlichst ein WLAN vom LAN trennen wenn es denn ein Gast WLAN ist....aber egal.

OK, zum eigentlichen Thema:
Warum willst du denn überhaupt am lokalen LAN Interface einen Filter installieren ?
Normal ist dort doch das, wie gesagt, "lokale LAN und dort darf man oder der Admin eben alles.
Oder ist das sowas wie ein Gäste Segment wo man eben nicht alles darf ??
Gut, wenns letzteres ist dann muss man natürlich einschränken, das ist richtig.

OK, sehen wir uns mal den obigen Fehlerversuch an was dort testweise mal freigegeben wurde:

• Die ersten beiden Einträge ISAKMP und NAT Traversal würden IPsec Clients aus dem lokalen LAN passieren lassen. Allerdings fehlt zur zum IPsec noch das ESP Protokoll damit es funktioniert. In so fern sind diese 2 Einträge also Blödsinn oder müssten mindestens noch um ESP ergänzt werden wenn man IPsec passieren lassen will.
• Nächster Port TCP 50965 ist irgendwas aber nichts fest von der IANA zugewiesenes. Also mehr oder minder ein sinnfreier Eintrag
• Nächster mit TCP 5353 ebenso sinnfrei
• Dann kommt eine TCP Scheunentor Regel die sämtliche TCP Ports passieren lässt...in dem Kontext dann total sinnfrei.
• Dann als letztes TCP 48447. Wie irgendwelcher Phantasieport den keiner kennt und identisch sinnfrei zu 5353 und 50965. Mal ganz davon abgesehen das diese Einträge niemals mehr abgearbeitet würden wenn DAVOR die TCP Scheunentorregel ist die so oder so alles TCP seitige passieren lässt ! First match wins Regel !!!

Mit andereren Worten, da war ein übler Frickler ohne Fachkenntniss am Werk und kein Klempner mit dem Metalldetektor.
Das getestete Regelwerk ist barer Unsinn und ohne Sinn und Verstand. Klar, das sowas in die Hose geht wenn die erlaubten Ports mehr oder minder nach Würfelglück eingetragen wurden...

Eine sinnvolle Regel sähe so aus:
Zuallererst einmal TCP/UDP 53 erlauben damit überhaupt DNS Anfragen durchkommen und Endgeräte generell Namen zu IP Adressen auflösen können !
Dann TCP 80 erlauben, denn viele Apps nutzen HTTP als Transport. Willst du das ausschliessen, dann geht auch kein Surfen.
Home Talk ist eine Voice App. Man muss also davon ausgehen das sie VoIP nutzt und damit SIP und RTP als Protokolle
SIP ist TCP/UDP 5060
RTP nutzt eine dynamische Port Range UDP 16384 bis 32767
Da sie auch mit jedem x-beliebigen VoIP Client wie Zoiper oder Phoner klappt nutzt sie die klassischen VoIP Ports. Siehe auch hier:
https://www.bessr.de/2013/05/09/android-integrierter-sip-client-fur-tele ...
Sieht so aus als ob die auch zusätzlich XMPP nutzen.
https://de.wikipedia.org/wiki/Extensible_Messaging_and_Presence_Protocol

Folglich müsste also eine minimale Firewall Regel an diesem LAN Port so aussehen:

PASS - Source:goldeneradlerbridge.net Port:any --> Destination: any, Port: TCP/UDP 53
PASS - Source:goldeneradlerbridge.net Port:any --> Destination: any, Port: TCP/UDP 5060
PASS - Source:goldeneradlerbridge.net Port:any --> Destination: any, Port: UDP Range: from16384 to 32767
PASS - Source:goldeneradlerbridge.net Port:any --> Destination: any, Port: TCP 5222
PASS - Source:goldeneradlerbridge.net Port:any --> Destination: any, Port: TCP 5223

Das wäre das Minimum um rein nur Home Talk bzw. VoIP durchzulassen.
Hilfe bietet hier das Firewall Log !! (NICHT die State Table wie unten schon richtig gesagt !!)
Log erst löschen, dann einen Home Talk Call machen und dann sehen was ggf. noch an der Firewall hängen bleibt ! Das Log loggt das ALLES mit ! Mit den o.a. Ports sollte VoIP seitig jetzt nix mehr hängen bleiben.
Sieht so aus als ob die auch XMPP nutzen.
Um dann z.B. Surfen oder andere Anwendungen noch dazu zu erlauben musst das Regelwerk noch ergänzt werden um:

PASS - Source:goldeneradlerbridge.net Port:any --> Destination: any, Port: TCP 80
PASS - Source:goldeneradlerbridge.net Port:any --> Destination: any, Port: TCP 443

Wenn man schon strikte Regelwerke definiert an der Firewall, was ja auch Sinn macht, dann sollte man auch wenigstens wissen welche TCP und UDP Ports die Applikationen nutzen die man dort erlauben möchte ! Wie sollte man es auch sonst zum Fliegen bekommen ? 65535 Ports erraten zu wollen ist ja nun mal Blödsinn...
Der Klempner kennt auch die Zollmaße aller seiner Rohre ! Inklusive des eigenen ! Frag mal Meister Röhrich oder Werner !

Hi,
das ist die States Table aber kein Log !
Trotzdem: drei Zielports / Protokolle können schon zugeordnet werden: TCP/5222 (XMPP),TCP/5223 (XMPPover SSL) und 3478 (STUN).
Du must jetzt die entsprechenden "Allow" Regeln vor die LOG Regel setzen und dann weiter suchen bis du alle Ports entdeckt hast und Regeln erstellen kannst; du solltest (kannst ggf.) auch die entsprechenden Destination IPs zuordnen und nur die richtigen erlauben.
kein zauberwerk, ist aber ggf nicht in 5 Minuten gemacht.

CH