In verschiedenen Szenarien kann es bei LANCOM Routern vorkommen, dass eine Warnmeldung zum DNS-Server angezeigt wird. Diese suggeriert, dass der DNS-Server aus dem WAN erreichbar ist, obwohl dies in den meisten Konstellationen gar nicht der Fall ist.
In diesem Artikel wird beschrieben, in welchen Konstellationen die Warnmeldung zum DNS-Server angezeigt wird und welche Maßnahmen ergriffen werden können, damit diese nicht mehr angezeigt wird.
Warnmeldung in der LMC:
1. Warnmeldungen zu Geräten finden Sie in der LMC im Security-Dashboard rechts unter Geräte-Dienste. Klicken Sie auf ein Gerät, bei dem Kritische Meldungen angezeigt werden, um in die Geräte-Übersicht zu gelangen.
2. Scrollen Sie in der Geräte-Übersicht nach unten zum Abschnitt Dienste. Dort wird die genaue Meldung angezeigt (in diesem Fall die Meldung zum DNS-Server).
Warnmeldung auf einem Standalone-Router:
Auf einem Standalone-Router finden Sie die Meldung in WEBconfig in dem Menü Systeminformationen → Dienste.
Bei Verwendung einer Default-Route für eine IKEv2-Verbindung mit der Einstellung IP-Maskierung abgeschaltet (Standard-Einstellung bei VPN-Verbindungen) gibt es eine Sonderbehandlung, sodass dort keine Warnmeldung zum DNS-Server angezeigt wird. |
1. IPv4-Zugriff auf den DNS-Server aus dem WAN einschränken:
Ab LCOS 10.94 ist in dem Menü DNS → Allgemein die neue Funktion IPv4-Zugriff vom WAN vorhanden. Diese Funktion steuert, ob der Zugriff auf den DNS-Server / DNS-Forwarder des Routers aus dem LAN, per VPN (IKEv1, IKEv2 und WireGuard) sowie aus dem WAN (Internet-Verbindungen sowie PPPoE-, PPTP- und L2TP-Einwahlen) erlaubt ist.
In der Standard-Einstellung wird die Option nur über VPN verwendet. Dadurch ist der DNS-Server / DNS-Forwarder aus dem LAN sowie per VPN erreichbar. Diese Einstellung ist erforderlich, wenn die DNS-Auflösung über eine VPN-Einwahl möglich sein soll.
Werden keine VPN-Einwahlen verwendet oder ist für diese ein separater DNS-Server hinterlegt, kann auch die Option nicht erlaubt verwendet werden. Dann ist der Zugriff auf den DNS-Server / DNS-Forwarder nur noch aus dem LAN möglich.
Diese Einstellung beeinflusst auch die Anzeige der Warnmeldungen zum DNS-Server. Ist der IPv4-Zugriff auf den DNS-Server / DNS-Forwarder aus dem WAN deaktiviert (nur über VPN und nicht erlaubt), wird bei einer unmaskierten Internet-Verbindung bzw. RAS-Einwahl keine Warnmeldung angezeigt.
2. Warnmeldung für DNS durch Override unterdrücken:
Ab LCOS 10.94 gibt es die Möglichkeit den Override für bestimmte Protokolle zu aktivieren, damit für diese keine Warnmeldung mehr angezeigt wird. Dies kann z.B. erforderlich sein, wenn eine L2TP-RAS-Einwahl (zählt als WAN-Verbindung) mit einer unmaskierten Default-Route verwendet wird und dafür der IPv4-Zugriff aus dem WAN für DNS auf erlaubt gesetzt werden muss.
Die Overrides sollten mit Bedacht verwendet werden, da sie den eigentlichen Sicherheitsmechanismus aushebeln. |
2.1 Override für den DNS-Server / DNS-Forwarder per Konsole aktivieren:
Führen Sie auf der Konsole die folgenden beiden Befehle aus, um den Override aus dem WAN für den DNS-Server / DNS-Forwarder zu aktivieren.
set Setup/Config/Manual-Service-Status-Override/DNS-Server {Override-active} Yes {WAN} Yes
set Setup/Config/Manual-Service-Status-Override/DNS-Forwarder {Override-active} Yes {WAN} Yes
2.1 Override für den DNS-Server / DNS-Forwarder per LCOS-Menübaum in WEBconfig aktivieren:
2.1.1 Verbinden Sie sich per WEBconfig mit dem Router und wechseln das Menü Extras → LCOS-Menübaum → Setup → Manual-Service-Status-Override.
2.1.2. Bearbeiten Sie nacheinander die Dienste DNS-Forwarder und DNS-Server.
2.1.3 Wählen Sie bei beiden Diensten jeweils für Override aktiv und WAN die Option ja aus und klicken auf Setzen.
|