benötigte Firewall-Freigaben der IP TV Box zum WAN

Hicksi

Meine Geräte im lokalen lan dürfen nur die von ihnen benötigten Ziele kommunizieren. Welche Ziele der IP TV Box (IPs oder Domains und welche Ports müssen von LAN to WAN freigegeben werden damit die TV Box ordentlich funktioniert? (im log erscheinen die Ports 80 & 443 als einzige und ganz viele IP adressen - ich vermute hier domains die freigeschaltet werden können)

maxell182

Hicksi

Normalerweise ist von LAN in Richtung WAN alles offen, in umgekehrter Richtung ist alles zu, da können dann Ausnahmen gesetzt werden.
Ich glaube gesehen zu haben, dass in ein paar Fällen der Port 2022 von WAN nach LAN weitergeleitet wurde, damit die TV Box funktionert hat.

Gruss maxell182

Hicksi

maxell182 Das ist korrekt. Jede Standardeinstellung von Router bzw. Firewalls sind von innen nach aussen bzw. LAN nach WAN alles offen. Da dies Trojaner natürlich ausnützen sollte sich mal einer auf ein Gerät im internen Netz verirren (und wir wissen ja selber das wir nicht auf alle Geräte volle Kontrolle haben) gebe ich meinen Geräten nur expllzit Zugriff auf die benötigten Dienste. So sollte sich mal jeamand meine Box auf irgendeine Art zugang erhalten kann diese nicht für andere Tätikeiten Bots oder Spams missbraucht werden.

pato

Hicksi Sunrise nutzt diverse Cloud Services und unzählige dynamische URLs für die TV Box. Meine Empfehlung ist deshalb von der TV Box Richtung Internet alles auf Port 80 und 443 zuzulassen.
Oder alternativ, häng die TV Box direkt an den Sunrise Router, dies würde auch im Bridge Modus funktionieren und die TV Box hätte dann keinen Zugriff auf dein internes Netz.

maxell182

Hicksi

Wenn du eigene HW im Einsatz hast, dann würde ich mit VLANs arbeiten und die Netzwerke trennen.

Das über Ports zu machen ist in meinen Augen ein nahezu unmögliches Szenario, wirst du angegriffen, dann wird meistens zuerst ein Portscann gemacht und die Software automatisch an die offenen Ports angepasst. 😉

Sprich es wir der Einfall-Port ermittelt und dann z.B via Port 80 kommuniziert.

gruss maxell182

Hicksi

pato wäre gute Idee wenn Sunrise Router und TV Box im Wohnzimmer laufen würden. Bei mir ist Sunrisebox jedoch im Keller ;-( da müsste ich zusätliche LAN-Verkabelung verbauen…

Hicksi

maxell182 VLAN-trennung ist bereits aktiv, doch möchte ich auch verhindern das meine Geräte als Bot oder Spam missbraucht werden können und so wäre eine kommunikation nur zum Betreiber Sunrise wieder ein Schrittchen mehr zur Sicherheit. Und ich wundere mich das ein Betreiber wie Sunrise eine solche Information nicht bekannt geben kann, da es ja auch für Sunrise einen Schritt zu mehr Sicherheit bedeutet wenn die User ihre ‘gemieteten’ TV-Boxen auch so noch absichern.

pato

Hicksi Weil Sunrise dies gar nicht will, da dies die Komplexität erhöht für etwas, was aus ihrer Sicht gar nicht nötig ist.

Hicksi

pato Wenn der User eine zusätzliche Sicherung möchte wäre dies für Sunrise doch kein Mehraufwand bzw. würde die Komplexität für Sunrise ja nicht erhöhen. Es wurde reichen wenn sie die benötigten Zieldomains und Ports offen Dokumentieren könnten.