Beschreibung:
Um einen Fernzugriff auf unsere Router zu realisieren empfiehlt LANCOM Systems eine VPN-Client-Einwahl zu verwenden, etwa über den LANCOM Advanced VPN Client. Sollte dies nicht möglich sein, muss ein Zugriff häufig über die WAN-Verbindung erfolgen.
In diesem Artikel wird beschrieben, wie der Fernzugriff auf LANCOM Router aus dem WAN abgesichert werden kann.


Voraussetzungen:
Abschnitt 1: Einschränken der Management-Protokolle für den WAN-Zugriff
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Screenshot einer technischen Benutzeroberfläche mit verschiedenen Einstellungsoptionen für Gerätemanagement, Software-Updates, Sicherheitseinstellungen und Kommunikationsoptionen.
2. Klicken Sie auf Zugriffs-Rechte und wählen die Option Von einer WAN-Schnittstelle aus.
Bildschirmansicht eines Konfigurationsmenüs zur Einstellung von Zugriffsrechten für verschiedene Netzwerke und Protokolle, mit Optionen zur Beschränkung des Zugangs zu bestimmten Stationen und Einstellungen für Webserver-Dienste.
3. In diesem Menü können Sie den Zugriff auf die Management-Protokolle aus dem WAN erlauben bzw. einschränken.
  • Soll der Zugriff für ein bestimmtes Protokoll aus dem WAN erfolgen, muss im Dropdown-Menü erlaubt ausgewählt werden.
  • Soll ein Zugriff aus dem WAN nicht erlaubt sein, muss nicht erlaubt ausgewählt werden. 
  • Soll ein Zugriff nur per VPN auf den Router erfolgen, muss nur über VPN ausgewählt werden.
  • In der Standard-Einstellung stehen alle Management-Protokolle aus dem WAN auf nicht erlaubt.

LANCOM Systems empfiehlt den Zugriff auf Management-Protokolle aus dem WAN generell zu verbieten (Einstellung nicht erlaubt) oder nur per VPN zu erlauben (Einstellung nur über VPN).

Sollte der Zugriff aus dem WAN doch erforderlich sein, stellen Sie unbedingt sicher, dass nur verschlüsselte Protokolle freigegeben werden (HTTPS, SSH, Telnet über SSL, SNMPv3). Das Passwort kann ansonsten im Klartext mitgelesen werden! Zusätzlich sollte in diesem Fall der Zugriff auf bestimmte IP-Adressen und/oder Netzwerke eingeschränkt werden (siehe Möglichkeit 2).

Technische Benutzeroberfläche mit Einstellungen für Zugriffsrechte auf eine WAN-Schnittstelle, darunter Protokolle wie SSH, sowie Einschränkungen für TELNET, TELNET über SSL, und TFTP, jeweils markiert als nicht erlaubt.


Abschnitt 2: Einschränken des Zugriffs auf den Router auf bestimmte IP-Adressen und/oder IP-Netzwerke
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Bild eines technischen Konfigurationsmenüs auf einem Gerät, das Optionen wie Rollout-Agent-Management, Software-Updates, Schnittstellenkonfigurationen und IP-Router-Management zeigt.
2. Wechseln Sie in das Menü Zugriffs-Stationen.
Screenshot eines Konfigurationsmenüs für Netzwerkzugriffe, in dem Benutzer Zugriffsrechte für bestimmte Netzwerke und Protokolle individuell einstellen und den Zugang zu Webserver-Diensten beschränken können.
3. Tragen Sie die IP-Adressen und/oder Netzwerke ein, die Zugriff auf den Router erhalten sollen. Bei einem Netzwerk muss die zugehörige Subnetzmaske angegeben werden. Bei einer einzelnen IP-Adresse muss als Subnetzmaske 255.255.255.255 angegeben werden.

Da es sich bei der Tabelle  Zugriffs-Stationen um eine Whitelist handelt, müssen darin alle IP-Netzwerke bzw. IP-Adressen hinterlegt werden, von denen der Zugriff auf den Router möglich sein soll. Hier müssen also zwingend auch die internen Netzwerke hinterlegt werden. Ansonsten ist der Zugriff auf den Router aus dem internen Netzwerk nicht mehr möglich!

Screenshot einer technischen Benutzeroberfläche mit Optionen für Zugriffsstationen, Adressierung, Netzwerkmaske und einem Kommentarbereich, inklusive Menüoptionen zum Bearbeiten, Kopieren und Entfernen von Einträgen.


Abschnitt 3: Deaktivieren der Web-Server-Dienste auf der WAN-Schnittstelle
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Bildschirmfoto einer technischen Benutzeroberfläche mit verschiedenen Konfigurationseinstellungen einschließlich Management, Software-Updates, Gerätezugriff und IP-Router-Management.
2. Klicken Sie auf Zugriffs-Stationen und wählen die Option Von einer WAN-Schnittstelle aus.
Screenshot einer Benutzeroberfläche zur detaillierten Einstellung von Zugriffsrechten für Netzwerke und Webserver-Dienste, inklusive Optionen zum Beschränken des Zugriffs von bestimmten Stationen und Schnittstellen.
3. Wählen Sie bei HTTP-Port die Option Deaktiviert aus. Dadurch wird der Web-Server für alle Dienste deaktiviert. Dies ist also nur in Szenarien sinnvoll, in denen aus dem WAN kein Zugriff auf den Router per HTTP/HTTPS erfolgen (auch nicht per VPN) und auch keine Dienste im WAN zur Verfügung stehen sollen, welche den Web-Server verwenden (z.B. der OCSP-Server/-Responder).

Eine Ausnahme stellt IPSec-over-HTTPS dar. Ist die Option IPSec-over-HTTPS annehmen aktiviert, wird bei einem Zugriffs-Versuch auf den Router aus dem WAN per WEBconfig auch bei deaktiviertem Web-Server eine Web-Seite mit der Meldung "403 Access Forbidden" angezeigt.



Abschnitt 4: Konfigurations-Login-Sperre
Werden Management-Protokolle aus dem WAN freigegeben, passiert es häufig, dass Brute-Force Attacken aus dem Internet durchgeführt werden um Zugriff auf den Router zu erlangen. Hierzu gibt es einen Brute-Force Schutz.
Diese Einstellung finden Sie unter Management → Admin → Konfigurations-Login-Sperre. In der Standard-Einstellung wird das verwendete Management-Protokoll nach 5 Fehl-Logins für 5 Minuten global gesperrt.

Ist ein Management-Protokoll gesperrt, steht dieses für die Sperr-Dauer also auch aus dem internen Netzwerk nicht zur Verfügung.

Bildschirmfoto einer technischen Benutzeroberfläche mit verschiedenen Konfigurationseinstellungen, darunter Budgetverwaltung, Software-Updates, System Monitoring und Geräteadministrationsrechte.
Ob ein Management-Protokoll gesperrt ist, lässt sich über das Event-Log  nachvollziehen. Sie können dieses über den Konsolen-Befehl ls Status/Config/Event-Log auslesen. In der folgenden Abbildung ist zu sehen, dass zuviele Login-Versuche per SSH stattgefunden haben. Daher ist dieses Protokoll gesperrt ( LoginBlocked ).

Alternativ können Sie das Event-Log auch in WEBconfig unter (Extras →) LCOS-Menübaum → Status → Config → Event-Log auslesen.

Bildschirmdarstellung einer technischen Benutzeroberfläche zur Überwachung von Sicherheitsereignissen, einschließlich mehrerer ErrLogin-Meldungen für den Benutzer 'root' über SSH und Details zu Systemzeit, IP- und MAC-Adresse.


Abschnitt 5: Ändern der Standard-Ports
Da bei Brute-Force Attacken in der Regel die Standard-Ports angegriffen werden, ist es empfehlenswert die Standard-Ports der Management-Protokolle, die aus dem WAN freigegeben werden, abzuändern.
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Einstellungen.
Screenshot einer technischen Benutzeroberfläche mit verschiedenen Konfigurationsoptionen wie Gerätepasswort, Authentifizierungseinstellungen, erweiterte Konfigurationslogs und Management-Protokolle.
2. In diesem Menü können Sie die Standard-Ports anpassen (hier am Beispiel von HTTPS).

Die Port-Einstellungen gelten global. Die einzelnen Management-Protokolle sind also sowohl aus dem WAN als auch dem LAN nur noch über den geänderten Port ansprechbar.

Screenshot einer technischen Konfigurationsoberfläche, die verschiedene Managementprotokolle wie HTTPS, SFTP, TELNET und weitere Optionen zur Systemeinstellung anzeigt.

 
 

Alle LANCOM Produkte und Software-Versionen unterliegen dem LANCOM Software Lifecycle Management.
Informationen erhalten Sie auf unserer Webseite unter https://www.lancom-systems.de/produkte/firmware/software-lifecycle-management

© 2025 LANCOM Systems GmbH