Beschreibung:
Um einen Fernzugriff auf unsere Router zu realisieren empfiehlt LANCOM Systems eine VPN-Client-Einwahl zu verwenden, etwa über den LANCOM Advanced VPN Client. Sollte dies nicht möglich sein, muss ein Zugriff häufig über die WAN-Verbindung erfolgen.
In diesem Artikel wird beschrieben, wie der Fernzugriff auf LANCOM Router aus dem WAN abgesichert werden kann.
Voraussetzungen: Abschnitt 1: Einschränken der Management-Protokolle für den WAN-Zugriff
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Darstellung einer technischen Benutzeroberfläche mit verschiedenen Konfigurationsoptionen wie Geräteverwaltung, Software-Updates, IP-Router Management und Benutzerberechtigungen, einschließlich Details zu Kommunikationswegen und Monitoring.2. Klicken Sie auf Zugriffs-Rechte und wählen die Option Von einer WAN-Schnittstelle aus.
Bildschirmaufnahme einer technischen Benutzeroberfläche für Netzwerkkonfigurationseinstellungen, die Optionen zum individuellen Einstellen von Zugriffsrechten auf Netzwerkgeräte und auf spezifische Dienste wie einen Webserver zeigt.3. In diesem Menü können Sie den Zugriff auf die Management-Protokolle aus dem WAN erlauben bzw. einschränken.
- Soll der Zugriff für ein bestimmtes Protokoll aus dem WAN erfolgen, muss im Dropdown-Menü erlaubt ausgewählt werden.
- Soll ein Zugriff aus dem WAN nicht erlaubt sein, muss nicht erlaubt ausgewählt werden.
- Soll ein Zugriff nur per VPN auf den Router erfolgen, muss nur über VPN ausgewählt werden.
- In der Standard-Einstellung stehen alle Management-Protokolle aus dem WAN auf nicht erlaubt.
Sicherheitseinstellungen einer WAN-Schnittstelle mit Protokollen wie SSH angezeigt, während TELNET, TELNET über SSL, TFTP und SNMP Zugriffe nicht erlaubt sind.
Abschnitt 2: Einschränken des Zugriffs auf den Router auf bestimmte IP-Adressen und/oder IP-Netzwerke
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Bildschirmansicht einer technischen Benutzeroberfläche mit verschiedenen Konfigurations- und Managementoptionen, einschließlich Gerätepasswort-Management, Software-Updates und IP-Router Management. 2. Wechseln Sie in das Menü Zugriffs-Stationen.
Bildschirmansicht eines Konfigurationsmenüs zur Einstellung von Zugriffsrechten auf Netzwerke und bestimmte Dienste, einschließlich Optionen zur Beschränkung des Zugriffs auf Webserver-Dienste und HTTP-Zugang.3. Tragen Sie die IP-Adressen und/oder Netzwerke ein, die Zugriff auf den Router erhalten sollen. Bei einem Netzwerk muss die zugehörige Subnetzmaske angegeben werden. Bei einer einzelnen IP-Adresse muss als Subnetzmaske 255.255.255.255 angegeben werden.
Screenshot einer technischen Benutzeroberfläche mit Optionen zur Bearbeitung der Netzwerkkonfiguration, einschließlich Zugriffsstationen, Netzwerkadressen und Kommentaren.
Abschnitt 3: Deaktivieren der Web-Server-Dienste auf der WAN-Schnittstelle
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Zugriffseinstellungen.
Bild einer technischen Benutzeroberfläche mit verschiedenen Konfigurationsoptionen wie Management, Rollout, Schnittstellen, Datum und Zeit sowie IP-Router Management, einschließlich Bereiche für Updates und Benutzerverwaltung. 2. Klicken Sie auf Zugriffs-Stationen und wählen die Option Von einer WAN-Schnittstelle aus.
Bildschirmansicht eines technischen Konfigurationsmenüs, welches Optionen zur Einstellung von Zugriffsrechten für verschiedene Netzwerke und unterstützte Protokolle sowie Möglichkeiten zur Einschränkung des Zugriffs auf Webserver-Dienste zeigt.3. Wählen Sie bei HTTP-Port die Option Deaktiviert aus. Dadurch wird der Web-Server für alle Dienste deaktiviert. Dies ist also nur in Szenarien sinnvoll, in denen aus dem WAN kein Zugriff auf den Router per HTTP/HTTPS erfolgen (auch nicht per VPN) und auch keine Dienste im WAN zur Verfügung stehen sollen, welche den Web-Server verwenden (z.B. der OCSP-Server/-Responder).
Bildschirmansicht einer technischen Benutzeroberfläche, die die HTTP-Zugangsoptionen von einer WAN-Schnittstelle zeigt, wobei HTTP Pon deaktiviert ist.
Abschnitt 4: Konfigurations-Login-Sperre
Werden Management-Protokolle aus dem WAN freigegeben, passiert es häufig, dass Brute-Force Attacken aus dem Internet durchgeführt werden um Zugriff auf den Router zu erlangen. Hierzu gibt es einen Brute-Force Schutz.
Diese Einstellung finden Sie unter Management → Admin → Konfigurations-Login-Sperre. In der Standard-Einstellung wird das verwendete Management-Protokoll nach 5 Fehl-Logins für 5 Minuten global gesperrt.
Abbildung einer komplexen technischen Benutzeroberfläche mit diversen Konfigurationsoptionen und Einstellungsbereichen, inklusive Sicherheitsrichtlinien, Budgetverwaltung, Softwareupdates und Geräteadministration.Ob ein Management-Protokoll gesperrt ist, lässt sich über das Event-Log nachvollziehen. Sie können dieses über den Konsolen-Befehl ls Status/Config/Event-Log auslesen. In der folgenden Abbildung ist zu sehen, dass zuviele Login-Versuche per SSH stattgefunden haben. Daher ist dieses Protokoll gesperrt ( LoginBlocked ).
Screenshot einer technischen Benutzeroberfläche, die mehrere gescheiterte Login-Versuche für den Benutzer 'root' via SSH zeigt, einschließlich Timestamps, IP- und MAC-Adressen.
Abschnitt 5: Ändern der Standard-Ports
Da bei Brute-Force Attacken in der Regel die Standard-Ports angegriffen werden, ist es empfehlenswert die Standard-Ports der Management-Protokolle, die aus dem WAN freigegeben werden, abzuändern.
1. Öffnen Sie die Konfiguration des Routers in LANconfig und wechseln in das Menü Management → Admin → Einstellungen.
Ein Bildschirmfoto einer technischen Benutzeroberfläche, die verschiedene Konfigurationsoptionen wie Gerätepasswörter, Rollouts, Authentifizierungseinstellungen, Protokollmanagement und erweiterte Netzwerkeinstellungen für Administratoren zeigt.2. In diesem Menü können Sie die Standard-Ports anpassen (hier am Beispiel von HTTPS).
Screenshot einer technischen Benutzeroberfläche zur Einstellung und Verwaltung verschiedener Netzwerkprotokolle wie HTTPS, SFTP, TELNET und TELNET SSL.
