IPv6-Firewall-Level: So nimmst du selber Einstellungen vor

[#1]

Der Datenverkehr im Internet würde ohne IP-Adressen nicht funktionieren. Die Anzahl der weltweiten Verfügbarkeit von IP-Adressen ist allerdings beschränkt. IPv6 ist die neue Version eines Protokolls, welches unter anderem das Format der IP-Adressen vorgibt. Wie du IPv6 aktivierst und wie du festlegst, welche ein- und ausgehenden Verbindungen du zulässt, liest du im folgenden Artikel. 

Die Internet-Box bietet individuelle Experten-Einstellungen im Bereich Netzwerk- und IP-Adressen. Um diese Einstellungen vorzunehmen, gib in deinem Internet-Browser http://internetbox oder 192.168.1.1 ein und logge dich mit deinem Internet-Box „admin“ Passwort ein. Wechsle in den Experten-Modus und gehe via den Menüpunkt „Netzwerk“.  IPv6 wird in der Internet-Box standardmässig unter Verwendung des Standard-IPv6-Firewall-Level aktiviert.

Level Einstellungen zu deiner Firewall

Die Firewall schützt dein Heimnetzwerk vor unbefugten Zugriffen über das Internet. Um festzulegen, welche ein- und ausgehenden Verbindungen du zulassen möchtest, kannst du aus verschiedenen Firewall-Leveln wählen oder selbst Regeln definieren. Standardmässig ist bei allen Internet-Boxen der Strikt-Level eingestellt (ab Release 11.3 der Internet-Boxen). Im Folgenden werden die verschiedenen Level vorgestellt und kurz erklärt:

• Deaktiviert: Es ist nur eine grundlegende Datenverkehrskontrolle aktiviert, um vor ungültigem und schädlichem Datenverkehr zu schützen, da die Firewall ausgeschalten ist. Dieser Modus wird nicht empfohlen.
• Standard: Falls die Firewall-Stufe „Standard“ aktiviert ist, wird der IPv6 Datenverkehr in beide Richtungen (ankommend und abgehend) zugelassen. Davon ausgenommen sind eine Gruppe von Standardprotokollen. IPv4 Datenverkehr darf nur vom Heimnetz in Richtung Internet initiiert werden. Andere grundlegende Datenverkehrskontrollen sind aktiviert, um vor ungültigem und schädlichem Datenverkehr zu schützen.
• Strikt: Falls die Firewall-Stufe "Strikt" aktiviert ist, wird der ausgehende IPv6-Datenverkehr zugelassen und der eingehende IPv6-Datenverkehr blockiert. Davon ausgenommen sind eine Gruppe von Standardprotokollen. IPv4 Datenverkehr darf nur vom Heimnetz in Richtung Internet initiiert werden. Andere grundlegende Datenverkehrskontrollen sind aktiviert, um vor ungültigem und schädlichem Datenverkehr zu schützen.
• Benutzerdefiniert (Advanced): Du kannst die Firewall-Einstellungen eigenständig konfigurieren.

Benutzerdefinierte Firewall-Einstellungen

1. Gehe auf „Benutzerdefiniert“ und klicke auf „Konfigurieren“, um deine Regel festzulegen.

2. Klicke auf das Dropdown-Menü, und wähle eine Option aus, um ein allgemeines Verfahren zu definieren.
   Standard für IPv4 ist „Ausgehenden IPv4 Datenverkehr erlauben“
   Standard für IPv6 ist „Eingehend blockieren / Ausgehend erlauben“
3. Klicke auf „Speichern“.
4. Wenn du willst, kannst du eine eigene Regel hinzufügen; klicke dazu auf „Neue Regel hinzufügen“.

5. Zunächst kannst du zwischen zwei Optionen wählen. Die Standardeinstellung lässt dich für jedes Detail eine eigene Regel erstellen. Entscheide dich für eine der vordefinierten Regeln für eine benutzerfreundliche Konfiguration. Dann wählst du aus der Dropdown-Liste darunter aus.
6. Auch wenn du vordefinierte Regeln auswählen kannst, kannst du immer noch Parameter wie Protokoll, Port und Verfahren verändern. Neu kannst du auch Regeln für einzelne Geräte definieren.

7. Klicke auf „Speichern“, um die Regel festzulegen und zu aktivieren.

LAN-Protokolle 

„LAN-Protokolle“, sind Protokolle, welche typischerweise nur innerhalb desselben lokalen Netzes verwendet werden, aber nicht über das Internet. Diese Protokolle werden von der Firewall standardmässig in beide Richtungen, eingehend wie ausgehend, blockiert. 

Beschreibung	Kurzname	Port Number	Transport Protokoll
Kerberos	kerberos-sec	88	TCP/UDP
SUN Remote Procedure Call	sunrpc	111	TCP
Microsoft Remote Procedure Call	msrpc	135	TCP
NETBIOS Session Service	netbios-ssn	139	TCP
Microsoft SMB Domain Server	microsoft-ds	445	TCP
Remote Login	login	513	TCP
Remote Shell	shell	514	TCP
Apple Filing Protocol	afp	548	TCP
Internet Printing Protocol	ipp	631	TCP
Simple Service Discovery Protocol	ssdp	1900	UDP
Simple Service Discovery Protocol	ssdp	2869	TCP
Web Services Dynamic Discovery	upnp-discovery	3702	UDP
Multicast DNS	mdns	5353	UDP
Link-Local Multicast Name Resolution	llmnr	5355	UDP

 

Fernwartungsprotokolle 

Andererseits gibt es die Gruppe der „Fernwartungsprotokolle“. Damit kann über das Internet auf andere Geräte zugegriffen werden (Fernwartung). Diese Protokolle werden von der Firewall nach aussen zugelassen (z.B. http Port 80, was fürs ganz normale Websurfing gebraucht wird). Vom Internet ins Heimnetz wirst du blockiert.

Beschreibung	Kurzname	Port Number	Transport Protokoll
Secure Shell Login	ssh	22	TCP
Telnet	telnet	23	TCP
Web GUI	http	80	TCP
Microsoft Remote Desktop Protocol	ms-wbt-server	3389	TCP
Virtual Network Computing	vnc	5900	TCP

Hast du Fragen oder brauchst du weitere Hilfe beim Einrichten? Die Swisscom Community hilft gerne weiter, schreib einfach unten einen Kommentar.

[titsch]

Danke für den Beitrag, Miriam. Mir ist die Beschreibung von "Standard" und "Strikt" leider auch zu ungenau und absolut unklar. Da ich grosse Probleme mit meinem Apple iCloud Replizieren habe, muss ich mich leider jetzt auch mit dem Thema Firewall der Swisscom Box auseinandersetzen. Leider hilft der Support der Swisscom nicht mehr, man wird an myservice weitergeleitet, wenn man fragt, welche Ports im Standard und in Strikt offen bzw. geschlossen sind. 

@MiriamF , Du hast ja eine grobe Liste der Ports aufgezeigt. Gibt es die denn auch genau? Ich muss sie nämlich abgleichen mit den Ports, die Apple braucht, damit das iCloud Replizieren von Safari Tabs und Keychain funktioniert.

Wundere mich gerade, dass ich da der Einzige in der Schweiz bin, der Probleme mit dem Swisscom Router und seinen Apple Produkten hat. Kannst Du denn so eine Liste posten?

Danke schonmal

[MiriamF]

Hallo @titsch 

Ich selber habe die Liste nicht aber ich habe intern nachgefragt ob es so eine gibt. Melde mich wieder, wenn ich etwas rausgefunden habe.

Liebe Grüsse, MiriamF

[5018]

@titsch meinst Du Handoff? Verwendest Du Beta - Versionen von Apple IOS oder MacOS? Scheint ein bekanntes Problem bei Apple zu sein, wenn man in den Foren, z.B. bei http://www.macrumors.com/ schaut. Ich denke nicht, dass das ein Problem der IB Firewalleinstellungen ist. Bei mir waren auch einige Tabs von Safari zwischen iPhone, iPad und Mac nicht synchronisiert. iOS 14 und MacOS 11 sind zwar grundsätzlich klasse, haben aber noch so ein paar kleine Macken ....

[titsch]

Vielen Dank für eure Antworten.

MiriamF. Wenn du diese Liste bekommen würdest wäre das sicher toll. Es ist leider nicht mal klar, welche Ports offen oder zu sind, wenn man die Firewall ausschaltet. Irgendwie sehr unklar. Und die Hotline hilft nicht.

ilovelB. Das Problem existiert schon lange. Nicht beim Handoff. Beim Synchronisieren von Keychain und Tabs im Safari. Aber ich glaube auch nicht dass es dir Firewall ist. Aber testen muss ich es doch. Und wenn bei Firewall Off doch noch Ports geschlossen sind, dann kann man ja weiterhin nicht testen. Daher die Frage nach der Port Liste je nach Einststellung (Off, Standard, Strict)

[MiriamF]

Hallo @titsch 

Ich habe soeben vom Experten die Antwort erhalten, dass die Liste nicht beliebig erweitert werden sollte. Ich nehme an, dass es da sehr schnell sehr tief gehen kann. Du solltest die entsprechenden Informationen jedoch beim Hersteller finden. Zum Beispiel auf der Seite von Apple: 

Von Apple-Softwareprodukten verwendete TCP- und UDP-Ports

Liebe Grüsse, MiriamF

[titsch]

Hallo Miriam

vielen Dank für Dein Nachfragen. Die Apple Liste der Ports habe ich. Das ist ja genau die Thematik. Wenn ich nicht weiss, welche Ports im Router bei der Swisscom in der jeweiligen Einstellung (Aus, Standard, Strikt) offen bzw. geschlossen sind, kann ich die Apple Liste nicht abgleichen. Daher meine Frage der Port Liste vom Swisscom Router. Ist die nirgends erhältlich? Danke nochmal für deine Hilfe. LG Christian

[titsch]

Irgendwelche Updates auf meine Frage von der Swisscom?

[Stiengefoy48]

Guten Tag

Ich muss für das neue Türschliesssystem folgende vorgaben seitens Router erfüllen.

Gateway muss von aussen erreichbar sein oder von innen nach aussen auf Mapping Server (Port443) und Cloud-Instanz Server (Port Range: 26000-26999) eine Verbindung aufbauen können.

Muss ich in der Router einstellungen etwas ändern??

Vielen Dank für Ihre hilfe

[r00t]

Hi @Stiengefoy48 

Grundsätzlich erlaubt der Router jeglichen Traffic von innen nach aussen. Du musst also keine Änderung am Router vornehmen.

Auch wenn es für die Techniker "praktisch" sein kann, von aussen nach innen auf das System zuzugreifen, würde ich dies, wenn immer möglich, vermeiden, um die Angriffsfläche so gering wie möglich zu halten.

LG

r00t