Ports auf dem Router freigeben bzw. weiterleiten

Hi,
alles was Du im Internet anforderst, kommt auch über die Firewall des DD-WRT Routers wieder auf Deinen PC.
Zusätzlich kannst Du Anfragen, die aus dem Internet kommen, explizit freischalten, indem Du einen Port dafür frei gibst. Z.B.um einen Server zu erreichen, der sich in Deinem LAN befindet.
Gruß orcape

Du solltest mal Grundlegendes über die NAT Funktion lesen dann wüsstest du warum:
http://de.wikipedia.org/wiki/Network_Address_Translation
Einfache Router haben keine zusätzlich dedizierte Firewall, denn da ist das NAT selber die Firewall wenn man so will...

Bessere Router hingegen haben eine dynamische SPI Firewall die bei Outbound Sessions dann den Port für die korresponierende Antwort inbound öffnen sofern einen gültige Session gesteht. Die Öffnung besteht dann nur für die Zeit der aktiven Session.
Hier muss man aber zwischen reiner NAT Funktion und des damit verbunden quasi Firewall Verhaltens unterscheiden und aus einer kombinerten NAT und Firewall Funktion die aber nur bessere Router haben.

Hallo,

Ein oder Ausgehend? Ausserdem gibt es noch weitere Ports je nach Protokoll für E-Mail. Mir fallen da 465, 587, 995 und 994 ein.

Weil ein Client kein Portforwarding braucht um ins Internet zu gelangen. Und wenn du ausgehend alles erlaubt hast kann er eben das. Und auch Mails Senden / Empfangen hat bei einem Client nichts mit Portforwarding zu tun. Da reicht es das der Client ausgehend alles darf und wenn DNS noch funktioniert.....

Gruß,
Peter

Das muss er ja zwingend wenn du nicht sowas wie CBAC machst:
http://www.cisco.com/en/US/products/sw/secursw/ps1018/products_tech_not ...
Das machen aber nur sehr wenige Router. Ein dummer Speedport z.B. nicht, der kann nur NAT.

NAT lässt alles das durch zu dem es einen bestehenden Session Eintrag in der NAT Tabelle gibt.
Bei einem nackten einfachen NAT Router z.B. und einer am WAN eingehenden POP3S oder SMTP Session wie oben von dir beschrieben, sieht der Router in seine NAT Session Tabelle. Gibt es keine bestehende Inbound Session weist der Router diese Verbindung ab bzw. dropt sie.
Das ist ja dann ein quasi Firewall Verhalten. Trotzdem kann aber die SMTP oder POP3S session die WAN IP erreichen und wird abgearbeitet.
Bei einer Firewall davor kommt es gar nicht erst soweit, wenn die eingehende Firewall diese Ports blockt. Dazu muss aber auch eine dedizierte Firewall Funktion vorhanden sein und diese Ports entsprechend geöffnet sein logischerweise.

Würde man das aber auf DSL Routern für Lieschen Müller machen wäre sie mit der Konfig überfordert. Deshalb geht es da bei Billigroutern ohne Firewall ab oder mit dynamischen Firewalls mit all deren Nachteieln.
Deshalb setzen Profis solche Billigsysteme auch nicht ein...nichtmal zuhause !

Nee, die kosten wahrlich nicht viel Geld, einen Mikrotik 750 der das kann bekommst du für 35 Euro ein DD-WRT liegt nicht viel drüber. Richtig mit SPI dann ne pfSense usw.
Fragt sich immer was einem die eigene Sicherheit wert ist und das muss jeder für sich selber entscheiden ?!
Klar kann man den auch in einer Router Kaskade oder Router Firewall Kaskade betreiben. Sinniger ist es immer den als reines NUR Modem zu betreiben sofern die Konfig dieses zulässt.
Sicherheitstechnisch ist das absolut OK so, denn die letzte Hürde ist ja dann die Firewall.
IP technisch nicht immer ganz so elegant denn du machst 2 mal NAT in der Kaskade was Performnce technisch nicht so dolle ist und auch erhebliche Probleme bereiten kann mit Port Forwarding sofern man das machen will oder muss, denn das erfordert diese Prozedur immer 2mal. Machbar ist es aber....

Was die erste Frage anbetrifft:
ist das so korrekt. Allerdings kommst du ja nicht umhin ein NAT Port Forwarding einzurichten wenn du Sessions von außen aufbauen willst die nach innen sollen.
Wie gesagt das gilt nur für Dummrouter die nur NAT machen und keine explizite Firewall an Bord haben.
Viele Systeme die es aber an Bord haben erzwingen dann bei einem entsprechenden port Forwarding keinen extra Eintrag in der FW weil mit dem Port Forwarding automatisch dann auch der FW Eintrag gesetzt wird. Die pfSense macht sowas auch fragt aber brav den Administrator vorher wie es üblich ist bei solchen Systemen damit man kontrollieren kann wenn einer Löcher in die Firewall bohrt und welche !

Meist nicht, denn es ist vom Hersteller nicht gewollt das ein User sich Zugang zum System verschafft. Pfiffige schaffen es dennoch denn zu 99,9% rennt Linux auf solchen Systemen und irgendwo ist ein JTAG Pin für ein Terminal...
So wird der Normaluser halt immer durch das GUI gegängelt. OK, man darf nicht vergessen das das für 99% aller nicht IT affinen Normalbürger auch reicht bzw. mehr oder weniger zwingend notwendig ist.
In der Regel lässt das nur Open Source Firmware wie OpenWRT, DD-WRT, Freetz, pfSense und Co. zu oder Hersteller die solche Möglichkeiten des Debugging zulassen wie Cisco, Lancom und Co.

Genauso wie in deinem Diagramm. Der Destination Port wird NICHT verändert bei SNAT nur der Source Port.
Ansonsten läuft alles exakt so ab wie in deinem zitierten Diagramm.

Warum nimmst du dir nicht einen Wireshark oder tcpdump und snifferst das mal mit, dann hast du es schwarz auf weiß