Neuling benötigt Hilfe bei Firewall Regeln

[mlabenda]

Hallo Zusammen,

ich benötige Hilfe bei den Firewall Regeln.

Ich habe ein entferntes System, an das ich nicht so einfach ran komme.
Die Verwaltung passiert über Teamviewer.

Es dürfen nur bestimmte Dienst von bestimmten Rechnern ausgehen.

1. Teamviewer      any to any (muss quasi ein Antilockout Regel sein)
2. DNS                 spezifische IP to Any
3. NTP                  spezifische IP to Any
4. SMTP / SMTPS   spezifische IP to Any
5. POP / POPS       spezifische IP to Any
6. IMAP / IMAPS    spezifische IP to Any
7. HTTPS              spezifische IP to spezifische IP

Kann mir da jemand helfen ?

Danke

Mirko

[superwinni2]

Hallo Mirko...
Hast du dich jemals mit dem Thema Firewall/Netzwerk/Datenverkehr beschäftigt?
Falls nicht, bitte zu aller erst die Dokumentation von Opnsense durchlesen.
Das was du vorhast, ist absolute Basic.

Daher bitte erst die Doku durchlesen und danach wirst du es sicherlich auch selbst können
Sonst wirst du in Zukunft sicher nur noch mehr Probleme haben wie du denkst...

Wenn du dann immer noch nicht weiter weißt, helfe ich (und auch sicher andere) dir gerne.

Grüße

Gesendet von meinem LG-H815 mit Tapatalk

[mlabenda]

Hi Superwinni,

danke für deine Antwort.

Ja ich habe mich schon mit dem Thema Firewalls beschäftigt.
Es ghet mich primär um den Punkt, das ich mir hier keinen Fehler erlauben kann 

Ich habe eine Screenshot von den Regeln angehängt.
Wenn ich nun die Default LAN to ANY deaktiviere, sollte die andern ja aktiv werden oder ?

[superwinni2]

Also keine Fehler erlauben ist schonmals ein Ding was sehr schwer wird...
Ich gehe mal davon aus, dass die FW irgendwo weiter weg ist, und es (auf gut Deutsch) scheiße ist, wenn man nicht mehr auf den entfernten Teamviewer kommt...
Bin ich da richtig?


Würde erstmal aus oben genannten Gründen eine Portweiterleitung für das RDP Protokoll auf einen der Server freischalten... Dann brauchst in der Hinsicht keine Angst mehr haben und solltest immer auf den entsprechenden Rechner kommen. Wenn es ein Linux Rechner ist, dann entsprechend VNC oder ähnliches.


Was ich z.B. noch überlegen würde, wäre DNS für mehrere Adressen freizuschalten... Ich weiß z.B. nicht ob Teamviewer auch noch den Server findet, wenn er die Adresse nicht auflösen kann. (Dann würde zwar der Client Teamviewer erreichen können, aber weiß gar nicht wie die IP heißt (da er die Adresse nicht auflösen kann...))

Das mit dem Regeln "wenn ich die any zu any Regel deaktiviere, dann geht nur noch das, was ich eingestellt habe" ist richtig.

[superwinni2]

Ich weiß ja nicht wie die Externe Seite bei dir aussieht...
Andere Lösung mit TeamViewer und ohne PortWeiterleitung
Ich würde nen Windows aufsetzen und in der Firewall das Windows komplett freischalten. Sicherheitshalber die Regel nach ganz oben verschieben. Das ist dann sozusagen dein "Verwaltungscomputer".



Dann entsprechend das konfigurieren was du möchtest und fertig.
Wenn was nicht klappt, kommst du so immer wieder auf deinen Verwaltungscomputer

[mlabenda]

Das mit dem Verwaltungs Computer ist genau die Idee, die fehlte !
Danke

Aufklärung:
Es ist ein Schiff mit Satelliten Verbindung.
Das Satelliten Modem ist nicht einfach zu konfigurieren, daher ist das mit dem Forwarder nicht einfach

Es war vorher eine Netgear FVS318 an Board, diese hatte die Regeln so wie in dem Screenshot, den ich angehängt hatte.

Ich mache das jetzt mit der Admin VM die ich schon habe.

DANKE !

[superwinni2]

Oh ein Schiff.. Sehr interessantes Thema 


Ich vermute mal, das es privater Natur ist und daher, kann es auch gut und gerne sein, dass dein Internetprovider hier div. sachen sperrt (wegen Portweiterleitung und so)


Aber ja.. als oberste Regel eine Regel anlegen mit
Quelle: AdminVM
Ziel: Any
Protokoll: Any


Somit sollte diese VM immer eine Internetverbindung haben und somit ins Netz kommen.
Weiterer kleiner Tipp: Vergiss die Anti Lockout nicht. Dass mindestens alle lokalen Computer (oder zumindest eine spezifische IP welche am besten aus dem lokalen Netzwerk kommt) immer auf die FW kommen.

[mlabenda]

Hat geklappt....
Die Anti Lockout Regel war schon da.

Ja der Internetprovider läßt nicht alles zu.

Danke für die Hilfe

[superwinni2]

Ente gut alles gut

Bei weiteren Problemen ist sicherlich immer jemand da der hilft