Firewall für Anfänger

[HansWurst99]

Hallo Gemeinde

Ich suche eine Firewall, die mir erlaubt das ein oder andere Netzwerk-Gerät daran zu hindern, nach Hause zu telefonieren. Ich möchte aber auch sicher sein, dass kein Zugriff von außen möglich ist. Ok, was heißt sicher, ich möchte den Zugriff zumindest schwerer machen

Als Beispiel (von mehreren) sei eine Eufy WLAN Kamera genannt. Hab aber auch nix dagegen, wenn ich die eine oder andere SW der Win PCs (oder Win selbst) kontrollieren kann.

Nach bisheriger Recherche sehe ich drei Möglichkeiten:

1) ich versuche mich noch tiefer an den Einstellungen der FritzBox (OS 8.02 mit "Internetnutzung > Gerät gesperrt" hat bisher nix gebracht)

2) ich lasse einen Mini-PC mit SW Firewall laufen (zB Raspberry mit IPFire)

3) ich lass eine HW Firewall laufen (sowas wie UbiQuiti UXG-LITE)

Das Ganze sollte einigermaßen wartungsarm sein und möglichst wenig Energie brauchen. Ein bißchen Geld darf es kosten. Sicherheit kostet ja immer

Im ersten Schritt: welche Option empfehlt ihr? Eine der drei? Oder eine ganz andere?

 

[madmax2010]

eigentlich reicht die fritzbox
versuch mal ueber die Kindersicherung die Geräte zu sperren

 

[bart1983]

Fritzbox ist wohl wirklich die einfachste Möglichkeit.

Habe ich bei einem uralt Netzwerkdrucker mit entsprechend alter Firmware genauso gemacht

 

[SuperHeinz]

Das BSI hat 2018 mal eine Stellungnahme zu diesen Personal Firewalls herausgegeben:
https://web.archive.org/web/2014101...C/Schutzprogramme/Firewall/firewall_node.html

Ich wüsste nicht, dass sich hier etwas Grundlegendes geändert hätte.

 

[luckysh0t]

Ich wüsste nicht, dass sich hier etwas Grundlegendes geändert hätte.

Offensichtlich schon

 

[TomTDooley]

Vom Prinzip reicht es, wie einige Vorschreiber schon geschrieben haben, entweder IP-Adressen oder URLs in der Fritz!Box zu sperren.

Hilft nebenbei auch gegen die Telemetrie von Windows, Werbung, Fakeshops etc. pp.
Ein anderes Mittel könnte ein "PiHole" sein, auf dem man die URL sperrt und den als Haupt-DNS-Server nutzt.
Zum Glück gibt es immer mehrere Ansätze.

 

[qiller]

Da ich Option 2 nutze nur ein kleiner Hinweis (falls es dich in die Richtung verschlägt): Nehm keinen Raspberry. Der hat einfach zu wenig Rechenpower, falls man doch paar mehr Features der FW aktivieren will. Als günstig haben sich alte gebrauchte o. refurbished Small-Form-Factor(SFF)-Office-PCs (ab Intel 8. Gen mit 4 o. 6 Kernen) erwiesen. Man muss nur gucken, dass man noch eine (Low Profile-)Netzwerkkarte verbauen kann (gibts z.B. als 4x 2.5Gbit PCIe-Variante).

 

[TorenAltair]

Das geht immer nur solange sich die IP und/oder URL nicht ändern. Für richtige Firewall-Funktion braucht man Packet Inspection und Co. Das geht mit Fritzbox und Co nicht

 

[LiniXXus]

Neben PiHole gibt es auch AdGuard Home. Hiermit lässt sich dann die DNS in der Fritzbox eingeben und alles im Netzwerk wird dann gefiltert. Aber hierzu muss man schon eine gewisse Hardware wie z.B. eine NAS haben oder was @qiller bereits mit dazu geschrieben hat.

​

 

[TheManneken]

Ich würde ebenfalls sagen, dass eine FritzBox in den meisten Fällen ausreichen sollte. Wenn es aber doch ein bisschen "mehr" sein darf, würde ich gerne OPNsense empfehlen. Nutze ich selbst, ist inzwischen recht intuitiv und es gibt massig Plugins und Anleitungen dafür. Größter, aber zugleich wichtigster Knackpunkt: man sollte (!) sich dann auch ein bisschen damit beschäftigen, denn eine schlecht konfigurierte Firewall ist im Zweifel so unsicher wie gar keine zu haben.

 

[HansWurst99]

würde ebenfalls sagen, dass eine FritzBox in den meisten Fällen ausreichen sollte

Kindersicherung: Ich lege also ein Zugangsprofil mit "Nie" an und weise es den entsprechenden Geräten zu?

Weiterführende Frage: für Firmware-Updates lasse ich die Geräte dann punktuell wieder raus?

 

[BFF]

das ein oder andere Netzwerk-Gerät daran zu hindern, nach Hause zu telefonieren. Ich möchte aber auch sicher sein, dass kein Zugriff von außen möglich ist.

Den betreffenden Geraeten manuell eine IP verpassen und keine Gateway.

 

[JumpingCat]

für Firmware-Updates lasse ich die Geräte dann punktuell wieder raus?

Dann kannst du dir das vorher auch sparen. Firmware lädst du manuell auf dem Rechner runter und updatest das Teil über deren Webinterface.

Als Beispiel (von mehreren) sei eine Eufy WLAN Kamera genannt.

Teilweise funktionieren solche Geräte nur wenn sowohl Gerät als auch App beliebigen Internetzugriff haben: Eufy [camera] work without internet?

Die meisten "günstigen" IoT Geräte machen der Einfachheit einfach alles über chinesische Server. Es gibt ja so Features wie "Client Isolation", "Gast Netzwerke", etc.

heise hatte mal einen Artikel wo die viele Smart Steckdosen gekauft haben und gefühlt 95% alle in der gleichen chinesischen Cloud hingen. Inklusive Features wie ständig GPS Standort der App übertragen, dazu dein WLAN + Schlüssel. Natürlich unverschlüsselt in klartext http nach China.

 

[ms007]

+1 für OPNsense

 

[HansWurst99]

Den betreffenden Geraeten manuell eine IP verpassen und keine Gateway.

Manuell fixe IP geht in der Fritzbox. Gateway ja nur am Gerät selbst, richtig?

Ergänzung (Gestern um 18:04)

Die meisten "günstigen" IoT Geräte machen der Einfachheit einfach alles über chinesische Server.

Nicht nur die günstigen. So oder so scheint das mein Ansinnen zu bestätigen

Ergänzung (Gestern um 18:06)

eigentlich reicht die fritzbox
versuch mal ueber die Kindersicherung die Geräte zu sperren

Kindersicherung: Ich lege also ein Zugangsprofil mit "Nie" an und weise es den entsprechenden Geräten zu?

 

[1lluminate23]

Och habe vor ca. 10. Jahre mal iPFire laufen, mit separatem ELAN-Netz und anderen Sachen wie AntiVirus, Werbung filtern. Letztlich hat sich der Aufwand nicht gelohnt. Heute benutze ich nur die Fritz-Box

 

[chrigu]

Je mehr Firlefanz installiert wird um dein „Sicherheit“ zu erhöhen, desto mehr potenzielle noch nicht erkannte sicherheitslücken sind da. Mit deinem Szenario reicht die fritzbox, mit der Kindersicherung.
Eigentlich vergibt man die ip und Gateway am Gerät. (Ausserhalb der dhcp-range)

 

[HansWurst99]

Szenario reicht die fritzbox, mit der Kindersicherung.

Kindersicherung: Ich lege also ein Zugangsprofil mit "Nie" an und weise es den entsprechenden Geräten zu?

 

[chrigu]

Wie das funktioniert steht bei Fritz auf der Website… und auch bei deiner suchmaschine deines Vertrauens und auch bei YouTube als Schritt für Schritt Anleitung in fast jeder Sprache mit Video und Text.

 

[cartridge_case]

1) ich versuche mich noch tiefer an den Einstellungen der FritzBox (OS 8.02 mit "Internetnutzung > Gerät gesperrt" hat bisher nix gebracht)

Wieso hat das nichts gebracht? Bitte genauer beschreiben was getan wurde und was passiert ist.

Kindersicherung: Ich lege also ein Zugangsprofil mit "Nie" an und weise es den entsprechenden Geräten zu?

Du musst die Frage nicht dreimal stellen.