Grundlegendes Sicherheitskonzept, einige Fragen

    Hallo,


    Nachdem vorgestern meine TS-119 angekommen ist, hab ich sie natürlich direkt in Betrieb genommen und erstmal versucht, ein bisschen einzustellen. Sieht soweit auch alles top aus, hab zu allererst die neueste Firmware aufgespielt (Version 3.0.0 build 0428T), was es etwas schwieriger macht, da das Manual von der CD sich noch auf eine ältere Version bezieht, die grafisch anders aussieht.
    Insgesamt aber schön übersichtlich, die meisten Sachen erklären sich gut von selbst.


    Jetzt habe ich aber ein paar grundlegende Sicherheitsfragen. Vorab: ich habe zwar das Forum durchsucht und natürlich auch einiges gefunden, hilft mir aber im Moment noch nicht so weiter, dazu bin ich einfach zu wenig mit der Materie vertraut (Geisteswissenschaftler...). Ich versuche mal, es ein bisschen zu gliedern, was ja schon bei der Kaufberatung gut aufgenommen wurde :)


    1. Was will ich?


    Die TS arbeitet bei mir hauptsächlich in dem ihr zugedachten Bereich des Netzwerkspeichers. Drauf liegen Musik, Filme, Fotos, private Dokumente. Letztere aus dem Grund, da hier im Haushalt mehrere PC's stehen, die alle auf Arbeitsdateien zugreifen können sollen, ohne diese jedes Mal bei Bedarf aufs NAS zu spielen.
    Zugreifen tun im Prinzip nur meine Freundin und ich, ich will aber auch die Möglichkeit haben, z.B. für Verwandte einen Account zu erstellen mit dem sie dann auf ein bestimmtes Verzeichnis (letzte Urlaubsfotos oder so) zugreifen können.
    In Zukunft soll eventuell ein TV-Gerät folgen, dass auch auf die Medien (hauptsächlich Filme) zugreifen können soll.
    Ich will wenn möglich eine Lagerung der Daten in Verzeichnisstruktur mit Zugriffserlaubnis auf Verzeichnisebene. Beispiel: Freigabeordner "Medien" wird als Netzlaufwerk verbunden und enthält die Ordner "Fotos", "Filme" und "Musik". Ich will bestimmten Benutzern den Zugriff z.B. nur auf den Ordner "Fotos" oder sogar nur auf Unterordner darin erlauben.
    Außerdem möchte ich von außen auf die Freigabeeinstellungen Einfluss haben über den Admin-Bereich. Ich will also, wenn ich z.B. bei einem Kumpel bin, mich von ihm aus einloggen und einen Ordner für ihn freigeben können.


    Das sind im Prinzip erst mal meine Bedürfnisse und das Ganze soll also so sicher wie möglich laufen.


    2. Infrastruktur


    Hatte ich in meinem Kaufberatungs-Thread schon beschrieben, hier eine kurze Wiederholung:
    DSL kommt von 1und1 über eine Fritzbox rein, die als Router fungiert und (im Moment noch) über DHCP Adressen vergibt. Ein WLAN-Gerät ist erkannt und zugelassen (mein Notebook), weitere Geräte werden nicht zugelassen. An der Fritzbox hängt ein erster Gigabit-Switch. An diesem hängen der "Spiele"-PC und in Zukunft dann TV/Anlage im Wohnzimmer. Des weiteren geht von dem Switch ein Kabel ins Obergeschoss zu einem zweiten Switch. An diesem hängen Arbeits-PC und Docking-Station fürs Notebook sowie das NAS. Am NAS wiederum hängen per USB zwei Drucker sowie eine externe Festplatte (Freecom irgendwas, leider eine Version ohne eSATA), auf die gebackupped (tolles Wort) werden soll.


    3. Konkrete Fragen


    I. Verzeichnisrechte
    Ist die geplante Zugriffsstruktur möglich, d.h. wenige Freigabeordner mit Ordnern innerhalb, bei denen ich für jeden Benutzer einstellen kann, ob er Zugriff hat? Wenn es nicht anders geht muss ich halt für jedes Verzeichnis einen Freigabeordner erstellen mit auf die Benutzer abgestimmten Rechten. Das wäre aber recht umständlich, da ich hier für jeden ein Netzlaufwerk hätte und das mir dann zuviele wären.


    II. DynDNS
    Ich habe einen DynDNS Account angelegt, der wird dann in der Fritzbox eingetragen. Was muss ich machen um möglichst sicher zu bleiben, aber den Zugriff auf die Daten und die Administration zu ermöglichen? Port-Weiterleitung muss eingerichtet werden, soweit klar, aber ich habe was gelesen von einem SSH-Tunnel, durch den dann alles laufen soll, wodurch nur ein Port weitergeleitet werden müsste? Wie funktioniert das, also wie kann ich dann noch dezidiert auf Admin-Panel (darf nur ich können) oder FTP bzw. Web File Manager zugreifen kann (dürfen auch andere)? Habe diesbezüglich noch keine einigermaßen leicht verständliche Erklärung gefunden.


    III. Welche Zugangsform auf Daten von außen sollte ich wählen?
    FTP-Server oder Web File Manager oder doch noch eine andere Variante die mir noch nicht bekannt ist? Zugang sollen nur bestimmte Personen erhalten, denen ich dann einen Benutzernamen und Passwort zuweise. Einen anonymen bzw. Gast-Zugang soll es nicht geben. Auch soll jeder Benutzer überhaupt nur die Verzeichnisse sehen, auf die er Zugriff hat. Zugang auf jeden Fall nur gesichert, also https bzw. sftp/ftps kurz gesagt. Aber was ist hier sicherer, bzw hat eingeschränktere Möglichkeiten. Im Prinzip sollen man von außen fast alles nur lesen können bzw. ein Verzeichnis ist für den Upload da, da soll dann jeder nur schreiben können (von außen, ich kanns dann hier im Netzwerk natürlich jeweils lesen und schreiben).


    IV. Administration von außen
    Ich lese etwas von SSH oder Telnet. Wenn ich DynDNS nutze, reichte dann nicht eigentlich die Eingabe der adresse meinname.dyndns.org:8080 ? Soweit ich das überblickt habe brauche ich das SSH doch nur um eine Shell zu bekommen, was für manche Dinge notwendig ist, ich aber eigentlich von außen nicht haben will, sondern nur von meinem PC hier im Netzwerk, da es ja tiefere Eingriffe erlaubt als die Administration des Web-Interface.


    V. Schutz gegen Brute-Force Attacken
    Mit der Firmware, die aktuell drauf ist, kann ich ja IP-Blocking einstellen. Was sind da sinnvolle Werte? Im Moment habe ich die Regel, dass bei 10 erfolglosen Login-Versuchen in 10 Minuten die IP einen Tag geblockt wird. Nun kann man ja bei manchen Providern die IP wechseln und es einfach nochmal probieren, macht da vielleicht eine Einstellung à la 10mal in 5 Minuten mehr Sinn?


    VI. Ports und IP's
    Macht die Änderung der Ports für bestimmte Dienste (FTP, Web File Manager) Sinn bzw. ist sie überhaupt möglich? Den Prot für die Administration sollte man ja tunlichst nicht ändern wie ich in einem anderen Thread gelesen habe. Aber ein Port-Scanner bekommt die ja trotzdem schnell raus, höchstens "dumme" Angreifer, die es auf Standard-Ports versuchen, werden vielleicht abgewehrt.
    IP-Adressen bekommen meine Rechner hier ja im Moment über DHCP. Sind feste IP's sicherer? Leider kann ich bei der Fritzbox nicht einstellen, dass nur genau die 4 IP's erlaubt sind, die ich dann den Rechnern hier zuweisen würde. Wobei das ja eigentlich ja auch nur der internen Sicherheit dient, die wiederum nur über WLAN in Gefahr wäre (Wo allerdings keine neuen Geräte erlaubt sind + vernünftige Verschlüsselung), oder liege ich da falsch?



    Ich glaube das sind im Moment erst mal die wichtigsten Fragen die ich noch habe. Bevor ich nicht sicher bin, dass von außen niemand so schnell hier einbrechen kann (sichere Kennwörter sind natürlich eingestellt, sonst macht das Ganze ja überhaupt keinen Sinn), wird auf jeden Fall DynDNS net eingeschaltet und keine Ports weitergeleitet...
    Ich hoffe es sind keine allzu dummen Fragen und ihr könnt mir trotzdem weiterhelfen. Und bitte keine Hinweise auf die Suchfunktion, wie gesagt, die habe ich benutzt, auch Beiträge gefunden die hier vielleicht passen würden, aber für mich in der Form einfach nicht verständlich sind (fehlendes Grundwissen, sonstwas). Ich versuche es auf jeden Fall auch selber weiter, wenn ich was hinkriege werd ich's hier posten.
    Vielen Dank auf jeden Fall schonmal

    Hi,


    zunächst eine kurze Antwort:


    möglichst lange Passwörter mit Sonderzeichen und Groß- und Kleinschreibung,
    möglichst wenig Ports öffnen (sprich: nur die benötigten, nicht den 8080 für die Administration),
    möglichst über VPN auf das NAS zugreifen (alternativ über https (also z.B. https://Dein_dyndns.dyndns.org), dazu Port 443 im Router freigeben), die Meldung beim ansprechen dieser Adresse, dass da was nicht sicher sei, hat was damit zu tun, wie das Zertifikat zugeordnet werden kann, meint aber nicht, dass es unsicher ist.
    möglichst die aktuelle 3.0er Firmware nutzen und dort (Systemadministration - Sicherheit - Netzwerkzugangsschutz) die entsprechenden Optionen aktivieren, damit werden Angriffsversuche weitestgehend bis definitiv abgeblockt,


    dann ist das ganze hinreichend sicher.


    Absolut sicher geht das prinzipiell nie. Wenn die FritzBox die VPN-Funktion drauf hat, diese nutzen, sicherer geht zur Zeit kein Zugriff von außen.


    Um von außen auf das NAS zu kommen, solltest du NICHT den Port 8080 aufmachen! Wenn du über https gehst, kommst du automatisch auf die NAS-Verwaltungsoberfläche inkl. Mediacenter, Webdateimanager und Administration. Seit ich das so mache, wurde mein NAS noch nicht wieder gescannt - Port 443 scheint bei Hackern "verpönt" zu sein!


    Fest oder DHCP-IPs ist eher egal, wenn du feste verteilst und dem Router sagen kannst, dass danach keine mehr vergeben werden darf, mag das etwas sicherer sein, hat aber nichts mit dem Zugriff von außen zu tun.

    Hallo Euere Heiligkeit ;)


    also mal der Reihe nach...


    Erst mal Hut ab, dass Du Dir so explizite gedanken in Sachen Sicherheit gemacht hast!


    I Verzeichnisrechte:
    Ja und Nein! Wenn Du Rechte auf bestimmte Unterverzeichnisse vergeben möchtest, so ist dies grundsätzlich möglich, jedoch nicht über die Administrationsoberfläche, es sei denn Du gibst den Pfad manuell an (in diesem Falle mault das Interface etwas)
    Mögliche Wege sind zum einen die Unterordner über das Webinterface zu erstellen und die angedachten Rechte zu vergeben, anschließend den übergordneten Ordner zusätzlich freigeben (diese variante kann ich jedoch nicht empfehlen, da sie wenig übersichtlich ist und Du u.U. Deine gesamten Daten für "anonymous" freigibst.
    Der bessere Weg heist die gewünschten Benutzer(-gruppen) zu erstellen, wobei darauf geachtet werden muss, welche Gruppe wo welchen Zugriff erhält (ist etwas Tricky, aber durchaus zu bewältigen) dann erstelltst Du die Freigabe mit dem Webinterface.
    Nun Wirds Tricky, da Du jedem Ordner nur eine Gruppe zuordnen kannst. Nun verbindest Du Dich per SSH mit dem NAS und änderst die Gruppenzugehörigkeit der gewünschten Ordner (per chown-Befehl) nun sind die gewünschten Berechtigungen gesetzt, aber Vorsicht jegliche Änderungen an der Freigabe im Webinterface oder manuell beim übergeordneten Verzeichnis macht alles u.U. zu nichte....


    II DynDNS
    DynDNS regelt nur unter welchem Namen Du Deinen Router im weiten Web wiederfindest, Portforwarding etc. gehört an eine andere Stelle. Der Zugriff über SSH ist nur ein Weg, ein guter, aber nicht das Nonplusultra. Besser ist es den Zugriff auf das Webinterface (Admin) und unsichere Dienste (http/ftp) nur über VPN zuzulassen.....


    III Zugangsform
    Wenn es keinen Gast- o. anonymen Zugang geben soll, richte sofern möglich unterschiedliche VPN-Tunnel ein, die Du per Konfig-Dateien an die möglichen Nutzer weitergibst, so kannst Du sicherstellen, dass z.B. Deine Freundin auf Ihre Dateien kommt und die Fotos ansehen kann, Deine Eltern nur auf die Fotos und Deine Kumpel nur auf die Musik (z.B.)


    IV Administration von Außen
    Würde ich nicht machen! ;)


    V brute force
    Eine wirklich Sinnvolle Einstellung kann Dir da keiner empfehlen, warte einfach ab, wie stark Dein Nas Angriffen ausgesetzt ist, danach kannst Du das selbst entscheiden...


    VI Ports & IPs
    jep, ist aber kein 100%iger Schutz...



    ich hoffe es konnte Dir etwas helfen...
    Grüße
    Jody

    Vielen Dank, hat mir auf jeden Fall weitergeholfen.
    Im Moment hab ich's doch erst mal so gemacht, dass ich für die wichtigsten unterschiedlichen Arten von Dateien (Fotos, Musik und so) eigene Freigabeordner über die Administration erstellt habe und entsprechend bei jedem Ordner die Rechte für jeden Benutzer einzeln setze. Da ich für jeden Ordner und Benutzer dann eh spezifische Einstellungen haben will, es insgesamt wenige Benutzer geben wird (im Moment eh nur zwei), nimmt sich das nicht so viel ob ich einen Benutzer nun der Gruppe Musik zuordne oder eben die Rechte an dem Ordner freischalte.
    Bis ich rausgefunden hab, welche Ordneraufteilung am Ende wirklich Sinn macht ändert sich vielleicht ja noch was, wenn das dann mal steht geb ich mich an die Tricky-Methode über SSH-Verbindung und chown, da muss ich mich dann eh erst noch bissl einarbeiten.


    So ganz ist mir das aber mit dem VPN noch nicht klar. Wenns die sicherste Variante ist, will ich die natürlich nehmen, aber:
    - Muss ich für VPN keinen Port weiterleiten?
    - Wenn doch, müsste ich für jeden einen eigenen Port weiterleiten?
    - Wenn jemand sich per VPN hierhin verbindet, ist er dann nicht so im Netz dass er auch alle Rechner sieht und wer weiß was anstellen kann?
    - Müsste ich bei der VPN-Verbindung den gleichen Benutzernamen vergeben wie auf dem NAS, damit die Zugriffe klappen?
    - Wie kommt man dann wenn die VPN-Verbindung steht an die Administrationsoberfläche bzw. an die Freigabeordner des NAS und
    - Wie lassen sich diese Zugriffe einschränken, sprich verstecken alles anderen + trotzdem noch Kennwort-Eingabe bei Zugriff auf erlaubte Ordner (falls mal jemand böses anderes am Rechner eines Freundes sitzt)


    Ich hatte halt gedacht wenn ich quasi ftp nur als sftp/ftps zulasse könnte ich einfach Benutzer erstellen, die können sich dann einloggen und sehen nur die Ordner die für sie erlaubt sind, das klang so schön einfach, VPN erscheint dagegen sooo kompliziert ;) :oops:

    Hi,


    wie das mit VPN und der FritzBox funktioniert, findest du hier: http://www.avm.de/de/Service/S…rtal/index.php?portal=VPN


    Das Ganze läuft mit einem speziellen VPN-Programm von AVM für die FritzBox, auf bzw. von der FritzBox aus muss eine spezielle Datei erstellt werden, ohne die nichts geht. Weil diese Datei nur direkt über die Box erstellt werden kann (und aus anderen Gründen...) ist es sicher.

    Zitat von "Dalai Llama"

    Muss ich für VPN keinen Port weiterleiten?


    Nein, das macht die Fritz!Box intern über Routing, da brauchst du weiter nichts einrichten.


    Zitat von "Dalai Llama"

    Wenn doch, müsste ich für jeden einen eigenen Port weiterleiten?


    Du mußt/kannst jeder Person/Freund/Verwanden einen Zugang über die Software einrichten.
    Mit unterschiedlichen (VPN-)Namen kannst du dann auch in der Fritz!Box erkennen, wer gerade eine VPN-Verbindung offen hat.


    Zitat von "Dalai Llama"

    Wenn jemand sich per VPN hierhin verbindet, ist er dann nicht so im Netz dass er auch alle Rechner sieht und wer weiß was anstellen kann?


    Das stimmt. Ich würde eh nur den Personen einen VPN-Zugang geben, dem ich auch vertraue.


    Zitat von "Dalai Llama"

    Müsste ich bei der VPN-Verbindung den gleichen Benutzernamen vergeben wie auf dem NAS, damit die Zugriffe klappen?


    Die VPN-Verbindung hat darauf keinen Einfluß, eine Rolle spielt der genutze Windows-Benutzername bzw. der Benutzername beim Erstellen des Netzlaufwerkes.


    Zitat von "Dalai Llama"

    Wie kommt man dann wenn die VPN-Verbindung steht an die Administrationsoberfläche bzw. an die Freigabeordner des NAS und


    Genauso wie im LAN, der VPN-Endpunkt (Fritz!Box-VPN-Client) erhält eine IP aus deinem lokalen Netzwerk, die du ihm manuell bei der Einrichtung angibst.


    Schöne Grüße,
    Stefan

    Hm, ich hab grad festgestellt, dass meine Fritzbox (7113) diese VPN-Funktion in dem oben verlinkten Video net hat. Wie kann ich denn jetzt das einrichten?