NAS an FritzBox - Internetkommunikation verhindern?

[bandchef]

Hi Leute,

ich habe ein NAS (aktuelle Version der Western Digital MyCloudMirror), dass ich über den 1GBit Anschluss meiner FritzBox 7490 in mein Heim-(W)LAN bringe. Nun ist es so, dass das eben angesprochene NAS ja auch Verbindung ins Internet bekommt, weil es bspw. Software-Update direkt aus dem Internet bezieht.

Nun möchte ich aber die Kommunikation in das Internet, also "vom NAS nach draußen" sowie etwaige Kommunikation vom Internet, also "von außen zum NAS", komplett unterbinden und nur dann eine Verbindung in diese beiden Richtungen zu lassen, wenn ich das NAS bspw. nach neuen Software-Updates suchen lassen möchte.
Das Problem daran ist nun aber, auf das NAS natürlich im heimischen (W)LAN von diversen Handys und PCs zugegriffen werden soll.
Gibt es daher eine Einstellung im FritzBox-Menü bei der man sagen kann, dass die FritzBox die Kommunikation von Geräten mit dem Internet verhindern soll, welche an LAN-Buchse bspw. "Port 1" angeschlossen sind?

Wenn das so nicht geht, welche Möglichkeit habe ich sonst noch dieses Vorhaben zu realisieren?

 

[Asghan]

Du kannst der NAS eine feste IP geben (per Fritzbox) und für diese IP den Traffic Richtung WAN sperren. (zumindest mein billier 0815 TP-Link Router kann das, also muss es ne Frizze erst recht können)

 

[Chico85]

Wenn du dich in die Einstellungen klickst, dann unter Heimnetzwerk, siehst du alle deine Clients. Dein NAS anklicken und dann steht ganz unten was von Kindersicherung und Zugangsprofile. Dort auf gesperrt gehen. Du kannst da auch bisschen mit spielen.

 

[chrigu]

du kannst nur "entweder" "oder"..
momentan ist der abgleich (firmware update ja/nein) deiner nas mit dem wd-server offen, das kannst du sicher im menü der wd selber einstellen, ob autoupdate abgefragt werden soll.

solange du nichts explizit öffnest (dynds, app oder cloud usw.) oder konfigurierst, und die fritzbox kein upnp aktiv hat, ist deine wd von aussen "theoretisch" nicht erreichbar. sobald du aber den webserver (falls das vorhanden), ftp-server oder zugriff von aussen erlaubst (mit portforwarding) und/oder deine fritzbox manipuliert ist/wurde/zu alte firmware, ist ein zugriff von aussen möglich. aber das liegt an dir.
komplett getrennt vom internet geht nur mit separater (hardware)firewall, die vor dem router/modem geklemmt wird oder durch abklemmen von telefonkabel-dsl oder das abstellen des kabelrouters..

 

[bandchef]

Du kannst der NAS eine feste IP geben (per Fritzbox) und für diese IP den Traffic Richtung WAN sperren. (zumindest mein billier 0815 TP-Link Router kann das, also muss es ne Frizze erst recht können)

Wenn's ein billiger Router kann, wird sowas ähnliches die FritzBox doch auch können; hoff ich jedenfalls

Was ich noch nicht verstanden habe an deiner Antwort ist, was es bedeutet, "den Traffic Richtung WAN zu sperren"... Mir ist ein WAN als ein Netzwerk bekannt das bspw. innerhalb großen Firmen aufgebaut wird, die ein quasi firmen-internes Internet betreiben.
Was hat das jetzt mit meiner Anforderung "Kommunikation "vom Internet zum NAS" und "vom NAS zum Internet" zu tun?

Wenn du dich in die Einstellungen klickst, dann unter Heimnetzwerk, siehst du alle deine Clients. Dein NAS anklicken und dann steht ganz unten was von Kindersicherung und Zugangsprofile. Dort auf gesperrt gehen. Du kannst da auch bisschen mit spielen.

Diese Zugangsprofile hören sich interessant an, schränken aber meist zu sehr ein. Kann man auch eigene Profile anlegen, wo man wirklich für dieses NAS knallhart festlegt "keinerlei Kommunikation von und zum NAS in das Internet nach draußen, aber in jedem Fall voll Kommunikation in meinem eigenen (W)LAN?

Wie verhält es sich mit festen IPs? Aktuell wird die IP-Vergabe durch die FritzBox geregelt; ich nehme an, dass dies durch den DHCP-Server geschieht. Ist es für die hier angestrebte Anwendung sinnvoller (besser) eine feste IP zu vergeben?

 

[M@rsupil@mi]

Hat er doch geschrieben. Das gibt es und nennt sich Profil "gesperrt".

Feste IPs sind nicht wirklich notwendig. Die bekommen die gleichen Geräte im Netz von der FB sowieso. Aber, wenn man auf Nummer sicher gehen will, dann kann man das in den Heimnetz-Optionen in der FritzBox auch noch für das NAS im Netzwerk einstellen.

 

[bandchef]

Hat er doch geschrieben. Das gibt es und nennt sich Profil "gesperrt".

Feste IPs sind nicht wirklich notwendig. Die bekommen die gleichen Geräte im Netz von der FB sowieso. Aber, wenn man auf Nummer sicher gehen will, dann kann man das in den Heimnetz-Optionen in der FritzBox auch noch für das NAS im Netzwerk einstellen.

Das nachfolgende Zitat (von chrigu) hat sich gerade aber anders gelesen (oder hab ich das missverstanden?!):

du kannst nur "entweder" "oder"..
momentan ist der abgleich (firmware update ja/nein) deiner nas mit dem wd-server offen, das kannst du sicher im menü der wd selber einstellen, ob autoupdate abgefragt werden soll.

solange du nichts explizit öffnest (dynds, app oder cloud usw.) oder konfigurierst, und die fritzbox kein upnp aktiv hat, ist deine wd von aussen "theoretisch" nicht erreichbar. sobald du aber den webserver (falls das vorhanden), ftp-server oder zugriff von aussen erlaubst (mit portforwarding) und/oder deine fritzbox manipuliert ist/wurde/zu alte firmware, ist ein zugriff von aussen möglich. aber das liegt an dir.
komplett getrennt vom internet geht nur mit separater (hardware)firewall, die vor dem router/modem geklemmt wird oder durch abklemmen von telefonkabel-dsl oder das abstellen des kabelrouters..

Ok, das hört sich jetzt nicht mehr so gut an. Ich kann also das NAS nur komplett aussperren (auch kein Zugriff von Endgeräten wie bspw. Handy) oder eben komplett drin (dann auch Internet und Handy), aber wohl nicht voneinander getrennt einstellen... Hab ich das richtig verstanden?


Zusätzliche Frage:
Momentan nutze ich das NAS ja so: Das NAS ist über ein LAN-Kabel an der FritzBox angesteckt. Alle anderen Endgeräte wie Handys, PCs usw. usf. können mit bestimmten Nutzer-Accounts, die am NAS verwaltet werden über SMB auf das NAS zugreifen.

Ist nun die Freigabe der Inhalte des NAS über SMB an die Endgeräte ähnlich kritisch zu bewerten wie bspw. die Freigabe von UPNP oder ftp NAS-seitig wäre?

 

[ByteFax]

setzt die IP der NAS einfach Manuell statt DHCP und gebe ihr kein Standard Gateway .. und schon ist sie im LAN erreichbar aber Internet ist nicht mehr nutzbar.

 

[owned_you]

ist so auch nicht korrekt: so kann das NAS von innen keine Verbindung nach draußen aufbauen ... alles was es aber durch deinen Router reinschafft kann dann trotzdem munter machen was es will! auch auf das NAS zugreifen ... auch ein Trojaner von innen kann das umgehen.

für eine wirklich sichere Lösung müsstest du 2 getrennte Netze aufziehen und selbst das bietet keinen 100% Schutz!

 

[Chico85]

Die Profile beziehen sich auf die Internetnutzung.

Was du stattdessen mit der Kindersicherung machen könntest:
Wenn du es weiterspinnen willst, kannst du dein NAS als Kind sehen und es nur einmal in der Woche für eine Stunde zum updaten ins Netz lassen...


Edit: Hört auf ihn zu verwirren.


Geh bitte in deine fritzbox Einstellungen und schaue nach den Profilen.

 

[chrigu]

sobald irgend ein gerät physisch mit einem anderen gerät verbunden ist (nas mit deinem heimnetzwerk und dem router(tor zum internet), ist es auch möglich darauf zuzugreifen. sei es durch sicherheitslücken oder unachtsamkeit...

du solltest dich aber grundsätzlich die frage stellen, was genau du haben willst...
voller zugriff der nas von allen die im heimnetz sind? (ist momentan der fall)
nur zugriff von einzelnen im heimnetz? (benutzerkonto der nas anpassen)
oder so nach lust und laune darf mal teilnehmer A auf die nas, oder doch nicht, oder ja? (??)

solange du den media-server nicht aktivierst, kannst du jeden zugriff kontrollieren wie du möchtest.. benutzer a darf auf "bilder" und "ordner xxx" aber nicht "ordner bandchef".

oder verstehe ich deine frage nicht?

 

[bandchef]

Ok, verstehe. Dass das NAS so keine Verbindung von innen nach außen aufbauen kann ist ja schon mal gut. Da ich ja innerhalb meines Netzwerks auf das NAS zugreifen will, muss ich es ja für innen öffnen; sonst hättes das NAS ja seinen Sinn verfehlt.

Die Gefahr von Trojaner hat man immer... Meiner Ansicht nach ist eine Konfiguration von fester IP ohne Standard-Gateway für das NAS sowie FritzBox-seitiges deaktivieren der Kommunikation über diese FritzBox-Profile sowie das abschalten aller NAS-öffnenden Dienste (wie bspw. UPNP, ftp, ... usw. usf) schon ein guter Kompromiss.

Ergänzung (7. Dezember 2016)

sobald irgend ein gerät physisch mit einem anderen gerät verbunden ist (nas mit deinem heimnetzwerk und dem router(tor zum internet), ist es auch möglich darauf zuzugreifen. sei es durch sicherheitslücken oder unachtsamkeit...

du solltest dich aber grundsätzlich die frage stellen, was genau du haben willst...
voller zugriff der nas von allen die im heimnetz sind? (ist momentan der fall)
nur zugriff von einzelnen im heimnetz? (benutzerkonto der nas anpassen)
oder so nach lust und laune darf mal teilnehmer A auf die nas, oder doch nicht, oder ja? (??)

solange du den media-server nicht aktivierst, kannst du jeden zugriff kontrollieren wie du möchtest.. benutzer a darf auf "bilder" und "ordner xxx" aber nicht "ordner bandchef".

oder verstehe ich deine frage nicht?

Die Frage war nicht wie ich die Bernutzerregeln auf dem NAS einstelle...; das hab ich schon vor länger Zeit gemacht. Die Frage war eher wie ich eine Trennung von NAS Zugriff auf das Internet und NAS Zugriff in das heimische (W)LAN machen kann. NAS soll in keiner Richtung mit dem Internet kommunizieren können; innerhalb des (W)LANs will ich aber Zugriff so wie ich es auf dem NAS geregelt habe.

 

[chrigu]

ok.. verstehe jetzt auch..

es ist aber ratsam, jede woche einmal das manuellen update des nas anzuwerfen, um sicherheitslücken auszuschliessen.