Beschreibung: Um einen Fernzugriff auf unsere Router zu realisieren empfiehlt LANCOM Systems eine VPN-Client-Einwahl zu verwenden, etwa über den LANCOM Advanced VPN Client. Sollte dies nicht möglich sein, muss ein Zugriff häufig über die WAN-Verbindung erfolgen. In diesem Artikel wird beschrieben, wie der Fernzugriff auf LANCOM Router aus dem WAN abgesichert werden kann. Voraussetzungen:Abschnitt 1: Einschränken der Management-Protokolle für den WAN-Zugriff 1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen. 2. Klicken Sie auf Zugriffs-Rechte und wählen die Option Von einer WAN-Schnittstelle aus. 3. In diesem Menü können Sie den Zugriff auf die Management-Protokolle aus dem WAN erlauben bzw. einschränken. - Soll der Zugriff für ein bestimmtes Protokoll aus dem WAN erfolgen, muss im Dropdown-Menü erlaubt ausgewählt werden.
- Soll ein Zugriff aus dem WAN nicht erlaubt sein, muss nicht erlaubt ausgewählt werden.
- Soll ein Zugriff nur per VPN auf den Router erfolgen, muss nur über VPN ausgewählt werden.
- In der Standard-Einstellung stehen alle Management-Protokolle aus dem WAN auf nicht erlaubt.
Abschnitt 2: Einschränken des Zugriffs auf den Router auf bestimmte IP-Adressen und/oder IP-Netzwerke
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen. 2. Wechseln Sie in das Menü Zugriffs-Stationen. 3. Tragen Sie die IP-Adressen und/oder Netzwerke ein, die Zugriff auf den Router erhalten sollen. Bei einem Netzwerk muss die zugehörige Subnetzmaske angegeben werden. Bei einer einzelnen IP-Adresse muss als Subnetzmaske 255.255.255.255 angegeben werden.
Abschnitt 3: Deaktivieren der Web-Server-Dienste auf der WAN-Schnittstelle 1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen. 2. Klicken Sie auf Zugriffs-Stationen und wählen die Option Von einer WAN-Schnittstelle aus. 3. Wählen Sie bei HTTP-Port die Option Deaktiviert aus. Dadurch wird der Web-Server für alle Dienste deaktiviert. Dies ist also nur in Szenarien sinnvoll, in denen aus dem WAN kein Zugriff auf den Router per HTTP/HTTPS erfolgen (auch nicht per VPN) und auch keine Dienste im WAN zur Verfügung stehen sollen, welche den Web-Server verwenden (z.B. der OCSP-Server/-Responder).
Abschnitt 4: Konfigurations-Login-Sperre Werden Management-Protokolle aus dem WAN freigegeben, passiert es häufig, dass Brute-Force Attacken aus dem Internet durchgeführt werden um Zugriff auf den Router zu erlangen. Hierzu gibt es einen Brute-Force Schutz. Diese Einstellung finden Sie unter Management → Admin → Konfigurations-Login-Sperre. In der Standard-Einstellung wird das verwendete Management-Protokoll nach 5 Fehl-Logins für 5 Minuten global gesperrt. Ob ein Management-Protokoll gesperrt ist, lässt sich über das Event-Log nachvollziehen. Sie können dieses über den Konsolen-Befehl ls Status/Config/Event-Log auslesen. In der folgenden Abbildung ist zu sehen, dass zuviele Login-Versuche per SSH stattgefunden haben. Daher ist dieses Protokoll gesperrt (LoginBlocked).
Abschnitt 5: Ändern der Standard-Ports Da bei Brute-Force Attacken in der Regel die Standard-Ports angegriffen werden, ist es empfehlenswert die Standard-Ports der Management-Protokolle, die aus dem WAN freigegeben werden, abzuändern. 1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Einstellungen. 2. In diesem Menü können Sie die Standard-Ports anpassen (hier am Beispiel von HTTPS). | 
