Beschreibung:
Um einen Fernzugriff auf unsere Router zu realisieren empfiehlt LANCOM Systems eine VPN-Client-Einwahl zu verwenden, etwa über den LANCOM Advanced VPN Client. Sollte dies nicht möglich sein, muss ein Zugriff häufig über die WAN-Verbindung erfolgen.
In diesem Artikel wird beschrieben, wie der Fernzugriff auf LANCOM Router aus dem WAN abgesichert werden kann.
Voraussetzungen: Abschnitt 1: Einschränken der Management-Protokolle für den WAN-Zugriff
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Screenshot einer technischen Benutzeroberfläche mit verschiedenen Einstellungsoptionen für Gerätemanagement, Software-Updates, Sicherheitseinstellungen und Kommunikationsoptionen.2. Klicken Sie auf Zugriffs-Rechte und wählen die Option Von einer WAN-Schnittstelle aus.
Bildschirmansicht eines Konfigurationsmenüs zur Einstellung von Zugriffsrechten für verschiedene Netzwerke und Protokolle, mit Optionen zur Beschränkung des Zugangs zu bestimmten Stationen und Einstellungen für Webserver-Dienste.3. In diesem Menü können Sie den Zugriff auf die Management-Protokolle aus dem WAN erlauben bzw. einschränken.
- Soll der Zugriff für ein bestimmtes Protokoll aus dem WAN erfolgen, muss im Dropdown-Menü erlaubt ausgewählt werden.
- Soll ein Zugriff aus dem WAN nicht erlaubt sein, muss nicht erlaubt ausgewählt werden.
- Soll ein Zugriff nur per VPN auf den Router erfolgen, muss nur über VPN ausgewählt werden.
- In der Standard-Einstellung stehen alle Management-Protokolle aus dem WAN auf nicht erlaubt.
Technische Benutzeroberfläche mit Einstellungen für Zugriffsrechte auf eine WAN-Schnittstelle, darunter Protokolle wie SSH, sowie Einschränkungen für TELNET, TELNET über SSL, und TFTP, jeweils markiert als nicht erlaubt.
Abschnitt 2: Einschränken des Zugriffs auf den Router auf bestimmte IP-Adressen und/oder IP-Netzwerke
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Bild eines technischen Konfigurationsmenüs auf einem Gerät, das Optionen wie Rollout-Agent-Management, Software-Updates, Schnittstellenkonfigurationen und IP-Router-Management zeigt. 2. Wechseln Sie in das Menü Zugriffs-Stationen.
Screenshot eines Konfigurationsmenüs für Netzwerkzugriffe, in dem Benutzer Zugriffsrechte für bestimmte Netzwerke und Protokolle individuell einstellen und den Zugang zu Webserver-Diensten beschränken können.3. Tragen Sie die IP-Adressen und/oder Netzwerke ein, die Zugriff auf den Router erhalten sollen. Bei einem Netzwerk muss die zugehörige Subnetzmaske angegeben werden. Bei einer einzelnen IP-Adresse muss als Subnetzmaske 255.255.255.255 angegeben werden.
Screenshot einer technischen Benutzeroberfläche mit Optionen für Zugriffsstationen, Adressierung, Netzwerkmaske und einem Kommentarbereich, inklusive Menüoptionen zum Bearbeiten, Kopieren und Entfernen von Einträgen.
Abschnitt 3: Deaktivieren der Web-Server-Dienste auf der WAN-Schnittstelle
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Bildschirmfoto einer technischen Benutzeroberfläche mit verschiedenen Konfigurationseinstellungen einschließlich Management, Software-Updates, Gerätezugriff und IP-Router-Management. 2. Klicken Sie auf Zugriffs-Stationen und wählen die Option Von einer WAN-Schnittstelle aus.
Screenshot einer Benutzeroberfläche zur detaillierten Einstellung von Zugriffsrechten für Netzwerke und Webserver-Dienste, inklusive Optionen zum Beschränken des Zugriffs von bestimmten Stationen und Schnittstellen.3. Wählen Sie bei HTTP-Port die Option Deaktiviert aus. Dadurch wird der Web-Server für alle Dienste deaktiviert. Dies ist also nur in Szenarien sinnvoll, in denen aus dem WAN kein Zugriff auf den Router per HTTP/HTTPS erfolgen (auch nicht per VPN) und auch keine Dienste im WAN zur Verfügung stehen sollen, welche den Web-Server verwenden (z.B. der OCSP-Server/-Responder).
Abschnitt 4: Konfigurations-Login-Sperre
Werden Management-Protokolle aus dem WAN freigegeben, passiert es häufig, dass Brute-Force Attacken aus dem Internet durchgeführt werden um Zugriff auf den Router zu erlangen. Hierzu gibt es einen Brute-Force Schutz.
Diese Einstellung finden Sie unter Management → Admin → Konfigurations-Login-Sperre. In der Standard-Einstellung wird das verwendete Management-Protokoll nach 5 Fehl-Logins für 5 Minuten global gesperrt.
Bildschirmfoto einer technischen Benutzeroberfläche mit verschiedenen Konfigurationseinstellungen, darunter Budgetverwaltung, Software-Updates, System Monitoring und Geräteadministrationsrechte.Ob ein Management-Protokoll gesperrt ist, lässt sich über das Event-Log nachvollziehen. Sie können dieses über den Konsolen-Befehl ls Status/Config/Event-Log auslesen. In der folgenden Abbildung ist zu sehen, dass zuviele Login-Versuche per SSH stattgefunden haben. Daher ist dieses Protokoll gesperrt ( LoginBlocked ).
Bildschirmdarstellung einer technischen Benutzeroberfläche zur Überwachung von Sicherheitsereignissen, einschließlich mehrerer ErrLogin-Meldungen für den Benutzer 'root' über SSH und Details zu Systemzeit, IP- und MAC-Adresse.
Abschnitt 5: Ändern der Standard-Ports
Da bei Brute-Force Attacken in der Regel die Standard-Ports angegriffen werden, ist es empfehlenswert die Standard-Ports der Management-Protokolle, die aus dem WAN freigegeben werden, abzuändern.
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Einstellungen.
Screenshot einer technischen Benutzeroberfläche mit verschiedenen Konfigurationsoptionen wie Gerätepasswort, Authentifizierungseinstellungen, erweiterte Konfigurationslogs und Management-Protokolle.2. In diesem Menü können Sie die Standard-Ports anpassen (hier am Beispiel von HTTPS).
Screenshot einer technischen Konfigurationsoberfläche, die verschiedene Managementprotokolle wie HTTPS, SFTP, TELNET und weitere Optionen zur Systemeinstellung anzeigt.
