@pato schrieb:
Du musst also schauen, dass du von Aussen udp/68 durch die Firewall zulässt.
Nein, wird es (sehr wahrscheinlich) nicht. Da der Hersteller AVM für seine Home-Routern namens Fritz!Box einen Linux-Kernel einsetzt:
https://www.heise.de/news/Keine-Ueberraschung-nach-Frauenhofer-Test-Viele-Home-Router-unsicher-4798342.html
wird sehr wahrscheinlich Netfilter/iptables als Firewall eingesetzt.
https://de.wikipedia.org/wiki/Iptables
\=> AVM wird sich die Kosten einer Firewall-Entwicklung eingespart haben und setzt sehr wahrscheinlich eine bewährte “Open Source”-Linux-Firewall ein, also Netfilter/iptables.
Beim Betrachten der Abbildung auf der oben verlinkten Wikipediaseite wird man erkennen, dass die Firewall Netfilter/iptables im wesentlichen aus drei Filtern besteht:
- filter input (für den direkt in den Home-Router eingehenden Netzwerkverkehr)
- filter output (für den direkt aus dem Home-Router ausgehenden Netzwerkverkehr)
- filter forward (für den über NAT laufenden Netzwerkverkehr zwischen Internet<->Heimnetzwerk)
Wurde die Firewall Netfilter/iptables vom Hersteller AVM korrekt als “Statefull-Firewall” (SPI) konfiguriert:
https://community.sunrise.ch/t5/Connect-Box/Giga-Connect-Box/m-p/151394#M3238
https://forums.suse.com/discussion/comment/59565
so erlaubt eine Firewallregel in “filter output” in der abgebildeten Form die Kommunikation vom Home-Router internen DHCP-Client mit dem DHCP-Server des ISP:
-A OUTPUT -o eth0 -p udp -m udp –dport 67 -m conntrack –ctstate NEW -j ACCEPT
Nur wenn die Zieladresse der vorgängig ausgehenden DHCP-Datenpakete eine Broadcastadresse (IPv4: *.*.*.255 ODER MAC-Adresse: FF:FF:FF:FF:FF:FF mit IPv4: 0.0.0.0) ist, akzeptiert die Firewall Netfilter/iptables mit dieser Firewallregel aus dem Internet ankommende DHCP-Datenpakete von einer x-beliebigen IP-Adresse.
https://de.wikipedia.org/wiki/Broadcast
https://de.wikipedia.org/wiki/0.0.0.0
Wenn die Zieladresse der ausgehenden DHCP-Datenpakete eine Unicast-Adresse ist, werden ankommend nur DHCP-Datenpakete von der Firewall akzeptiert, deren:
- Quell-IP-Adresse (source address)
- Quell-UDP-Port (source port)
- Ziel-IP-Adresse (destination address)
- Ziel-UDP-Port (destination port)
den Werten in den vorgängig ausgehenden DHCP-Datenpakete entspricht. Diese Werte werden von der SPI-Firewall in der Zustandstabelle nachgeführt. Dieses Verhalten der Firewall Netfilter/iptables lässt sich unter Linux sehr gut mit dem Befehl “conntrack” beobachten.
\=> Dieses Verhalten ist typisch für jede korrekt und sicher funktionierende “Statefull-Firewall” (SPI)!
Firewallregeln in “filter input” für eingehende DHCP-Datenpakete und neue Verbindungen (–ctstate NEW) sind aus Sicherheitsgründen unerwünscht. Bei Programmierfehlern im DHCP-Client eröffnen sich mit solchen Firewallregeln neue Angriffsvektoren: Ein Hacker kann von einem x-beliebigen am Internet angeschlossenen Rechner jederzeit ein speziell präpariertes DHCP-Datenpaket an den DHCP-Client des Home-Routers senden und damit diesen DHCP-Client angreifen, indem er den Programmierfehler geschickt ausnutzt.
Eine korrekt konfigurierte SPI-Firewall lässt vom Internetanschluss eingehende Datenpakete nur durch, wenn zu vorgängig ausgehenden Datenpakete ein entsprechender Eintrag in der Zustandstabelle der SPI-Firewall erstellt wurde. Einträge zu “toten” Verbindungen werden automatisch aus der Zustandstabelle der SPI-Firewall entfernt.
