temat Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem w Modemy i routery

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

j131 — Fri, 07 May 2021 07:34:12 GMT

Na NO pojawiają się regularnie pytania o to jak umożliwić bądź uniemożliwić dostęp z internetu do LAN poprzez FunBox. Najczęściej pytania te znajdują satysfakcjonujące (?) odpowiedzi, ale sam fakt że się pojawiają świadczy o niedoinformowaniu użytkowników. Może to mieć jakiś związek z brakiem standartowej instrukcji do modemu albo z wrodzonym lenistwem użytkowników, to nie jest najważniejsze.

W swojej arogancji byłem przekonany że wystarczająco dobrze rozumiem jak to działa ale ostatnio zaczęły mnie nachodzić wątpliwości. Chodzi konkretnie o wzajemne relacje tych trzech ustawień:

Pytanie jest takie:

Czy dostęp "otwarty" w jednym z tych ustawień ma wpływ na inne zaznaczone ustawienia czy też każdym z nich niezależnie można osiągnąć podobny efekt?

Wygląda na to, że ustawienia te są, przynajmniej w jakimś stopniu, niezależne. Ustawienie zapory sieciowej na "średni", które zgodnie z opisem powinno odrzucać wszystkie połączenia przychodzące, jest ignorowane dla portów otwartych w zakladce NAT/PAT (które to z kolei "otwierają się" automagicznie bez wiedzy i woli użytkownika przy domyślnie włączonej opcji automatycznego otwierania portów w zakładce UPnP). Czy to oznacza że nawet ustawiając zaporę na jeszcze wyższy poziom nadal porty mogą się same otwierać?

Z drugiej strony nie ma formalnie możliwości udostępnienia komunikacji po protokołach innych niż TCP i UDP (plus "odpowiedź na ping" czyli rozumiem też ICMP, przynajmniej w jakimś stopniu). Czy dotyczy to też DMZ? Czy też w DMZ "z zewnątrz" przekazywane jest wszystko - bez związku z ustawieniami zapory i NAT/PAT? A jak się zachowa FB jeśli będzie konflikt między tymi ustawieniami (np. te same porty w NAT/PAT i DMZ ale prowadzące gdzie indziej w LAN)? Czy jest tu jakaś hierarchia ustawień?

Ja rozumiem że mogę sobie poeksperymentwać i się podzielić (i pewnie to zrobię), ale ciekaw jestem opinii bardziej doświadczonych kolegów.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

Anonim — Thu, 29 Apr 2021 11:47:05 GMT

@j131 w routerach z wolnego rynku, dostęp zdalny i wszystkie przekierowania portów, są zamknięte, zapora na średni poziom powinna wystarczyć, choć w FunBox mało jest opcji modyfikacji zabezpieczeń, jeśli coś jest nie tak i dostęp zdalny na fabrycznych ustawieniach jest, to trzeba "Pomysł" zrobić i zaznaczyć co ma być poprawione. Normalnie nie ma prawa ktoś z zewnątrz do sieci wewnętrznej wejść, czy do konfiguracji drukarki, DMZ i ICMP nie powinny być fabrycznie aktywne, jak są i jakieś tam zmiany też, to albo użytkownik miesza, albo do poprawy oprogramowanie, nie mam FunBoxa, ale Orange chyba furtek nie otwiera na gości czy wirusy, co do tematów na forum, to użytkownicy mocno grzebią w ustawieniach, otwierają co się da i udostępniają wewnętrzną sieć i zasoby, to bardzo nie bezpieczne.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

Samotnick — Thu, 29 Apr 2021 11:51:18 GMT

Ja to rozumiem tak:

Zapora nie pozwala na ruch przychodzący a jej poziom określa tylko jaki ruch wychodzący (i czy w ogóle) jest filtrowany.

Przekierowania portów uruchamiają proces translacji adresów sieciowych i jednocześnie tworzą reguły zapory umożliwiające przepuszczenia takiego ruchu do wewnątrz sieci.

UPnP umożliwia utworzenie usłudze wewnątrz sieci przekierowania portów na własne potrzeby bez względu na poziom filtrowania zapory.

DMZ, o ile jest skonfigurowany, kieruje przychodzący na FB ruch na wskazany adres o ile nie ma takiego przekierowania w zakładce NAT/PAT. Możliwe, że warto sprawdzić jakie protokoły i zakresy portów trafiają do DMZ.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

j131 — Thu, 29 Apr 2021 13:07:17 GMT

@Anonim: zgadzam się z Tobą że tak powinno być. I że juzerzy mieszają też się zgadzam. Ale pytam bo mi się czerwona lampka zapaliła w kontekście tego wątku:

https://nasz.orange.pl/t5/Internet-domowy/Dost%C4%99p-po-adresie-IP-publicznym/td-p/264231

Wygląda na to że w domyślnej konfiguracji FB3, nawet bez mieszania czegokolwiek przez juzera, może udostępnić jakieś porty na zewnątrz. Dobrze byłoby przynajmniej zdawać sobie z tego sprawę. Jeśli nie masz FB3 to niestety nie możesz tego sprawdzić.

Zanim zgłoszę w tym zakresie jakiś pomysł chcę rozeznać sytuację.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

Samotnick — Thu, 29 Apr 2021 12:49:36 GMT

@j131Nie pamiętam czy FB ma domyślnie włączone UPnP ale jest to jedna z opcji którą sprawdzam i wyłączam przy pierwszej konfiguracji na każdym routerze. Moim zdaniem powinno to być standardowo wyłączone.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

j131 — Thu, 29 Apr 2021 13:19:56 GMT

@Samotnick: na ile mogę to teraz sprawdzić to domyślnie ma włączone. Też wyłączam, ale zachęcam innych kolegów żeby sprawdzili to ustawienie u siebie i dali znać.

Jeśli relacje między ustawieniami są faktycznie takie jak piszesz (co jest oczywiście do jakiegoś stopnia logiczne) to uważam, że GUI FB powinien prezentować aktualną efektywną konfigurację we wszystkich zakładkach, tzn. zapora sieciowa powinna pokazywać zmiany wprowadzone przez NAT/PAT (tak jak NAT/PAT pokazuje zmiany wprowadzone przez UPnP).

DMZ pozostaje zagadkowa ale tu to chyba faktycznie tylko eksperymenty...

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

slav72 — Thu, 29 Apr 2021 12:58:32 GMT

@Samotnick UPnP jest domyślnie włączone w funboxach.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

j131 — Sat, 01 May 2021 01:10:01 GMT

Faktycznie, zgodnie z "pomocą w dymkach":

Czyli operator uważa, że aplikacje powinny móc automatycznie otwierać porty na modemie i domyślnie tak właśnie konfiguruje FunBoxy. Tłumaczy to potrzebami gier i komunikatorów. Z grami mógłbym się ewentualnie zgodzić, ale w dobie pandemii miałem okazję korzystać z całego wachlarza różnych komunikatorów i żaden nie wymagał otwierania portów dla połączeń przychodzących z internetu.

Tak dla porządku, przypominam czym grozi taki niekontrolowany dostęp do ustawień rutera (protokół UPnP nie przewiduje żadnej autoryzacji - co tylko chce może port otworzyć):

https://www.varonis.com/blog/the-mirai-botnet-attack-and-revenge-of-the-internet-of-things/

https://www.zdnet.com/article/this-sneaky-malware-will-cause-headaches-even-after-it-is-deleted-from-your-pc/

https://www.cyberdefensemagazine.com/pinkslipbot-banking-trojan-exploiting-infected-machines-as-control-servers/

Reasumując: czy nie wydaje się Wam, że warto zapostulować zmianę tego domyślnego ustawienia?

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

slav72 — Sat, 01 May 2021 08:03:02 GMT

@j131 wiesz, jeden będzie postulował aby zmienić to ustawienie domyślne na wyłączone, drugi że jednak powinno być domyślnie włączone, faktycznie może to i racja kto chce otwierania portów zaznaczy to ustawienie, zapisze i tyle.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

pirenej — Sat, 01 May 2021 09:34:40 GMT

Najlepiej niech nic nie grzebią, bo zamiast naprawić jeszcze bardziej popsują.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

Anonim — Sat, 01 May 2021 11:08:09 GMT

@pirenej tego Orange nie wyłączy, bo potem była by fala telefonów jak to włączyć, po co utrudniać klientowi życie, firmowy router ma być łatwy w obsłudze.

@j131 twój pomysł nie ma racji bytu, FB ma być otwarty na potrzeby klientów, zapora jedynie daje opcję poprawy ochrony, na wysoki czy średni i jest ok, jak ma być mega bezpiecznie, to topowy router zamiast FB, taki ma VPN i ochronę sieci wewnętrznej.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

j131 — Sat, 01 May 2021 12:22:18 GMT

@AnonimDla porządku: na razie nie zgłosiłem żadnego w tej sprawie pomysłu więc o kwestiach ontologicznych nie ma co dyskutować. Czy jesteś pewien stwierdzenia dotyczącego zapory FB? Co prawda nie robiłem ekstensywnych testów, ale te które robiłem wskazują na to, że UPNP ignoruje ustawienia zapory, w każdym razie na pewno ignoruje je przy zaporze ustawionej na poziom "średni". Tak że nie do końca rozumiem co miałeś na myśli pisząc "zapora daje opcję poprawy ochrony". Skoro nie masz FB to nie wiesz... więc po co to piszesz?

W kwestii lawiny telefonów od graczy (IMHO to jedyna grupa która mogłaby się skarżyć), to sądząc po postach na NO, gracze i tak się skarżą i grzebią w tym ręcznie. Tak że tu też nie do końca kupuję Twój argument.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

Anonim — Sat, 01 May 2021 12:24:35 GMT

@j131 UPNP musi być włączone, jak ktoś chce uszczelnić zaporę, to to wyłączy, by być 100% bezpiecznym, to trzeba by drugi router postawić za FB i 2x NAT, bo FB niestety mało ma opcji zabezpieczeń i domowa sieć LAN, jest tak średnio bezpieczna. Gracze ci rozgarnięci, to FB nie używają do grania, kupują topowy router, ten ma odpowiednie opcje dla graczy i konfiguracja jest wszystkiego, co niestety nie jest tak oczywiste i proste w FB.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

j131 — Sat, 01 May 2021 12:47:34 GMT

@Anonimnapisał(-a)
@j131 UPNP musi być włączone, jak ktoś chce uszczelnić zaporę, to to wyłączy, by być 100% bezpiecznym, to trzeba by drugi router postawić za FB i 2x NAT, bo FB niestety mało ma opcji zabezpieczeń i domowa sieć LAN, jest tak średnio bezpieczna. Gracze ci rozgarnięci, to FB nie używają do grania, kupują topowy router, ten ma odpowiednie opcje dla graczy i konfiguracja jest wszystkiego, co niestety nie jest tak oczywiste i proste w FB.

Po pierwsze UPNP nie musi być włączone bo u mnie nie jest włączone i wszystko co mi potrzebne (praca zdalna, IPTV, VoIP) mi działa.
Po drugie ustawienia UPNP i ustawienia zapory są w FB rozdzielone i użytkownik zwyczajnie nie wie o tym, że zmieniając ustawienia zapory powinien jeszcze zmienić ustawienie UPNP żeby, jak piszesz "chcieć uszczelnić zaporę". Nic w ustawieniach zapory tego nie sugeruje. Skoro nie masz FB to tego nie możesz wiedzieć więc czemu tak stanowczo się wypowiadasz?
Po trzecie co ma postulat stawiania drugiego rutera za FB do rzeczy z tym tematem?

Generalnie rzucasz tu stwierdzeniami, które mają co prawda walor ogólnej poprawności, ale do tematu nic nie wnoszą.

Jaka jest relacja między ustawieniami dostępu z zewnątrz do LAN przez modem

p0wertiger — Wed, 19 Jan 2022 18:15:17 GMT

Kiedyś w przeszłości się tym bawiłem jak dostałem nowy FB3, więc dorzucę dwa zdania na temat DMZ. Wpisanie adresu serwera DMZ powodowało przekierowanie CAŁEGO ruchu przychodzącego z Internetu na tego hosta, przy czym po drodze był jeszcze firewall konfigurowany w tej innej zakładce. Ja od dawna mam niestandardowy, mocno przymknięty, plus reguły NAT, więc co potrzebowałem to działało, nawet IPsec. Bawiłem się też z loginem BEZ_OCHRONY, ale to niewiele wnosi, otwiera tylko kilka podstawowych portów które i tak powinny być poblokowane. Cenne info odnośnie UPnP, dzięki.