Richtige Security-Einstellungen DD-WRT?

[mausweazle]

Hallihallo liebe Community,

ich würde gerne von euch wissen, welche Sicherheitseinstellungen für DD-WRT im Allgemeinen eingestellt werden müssen und im Speziellen, welche Einstellungen für das Remote-Login korrekt ist.

Ich bin noch neu mit DD-WRT und habe es gerade auf einen Netgear R6400 installiert. Für die Konfiguration habe ich mich unter anderem an diesem Guide orientiert: Link.

Ich habe aber noch große Probleme mit den Einstellungen für Telnet, SSH und Remote-Zugang auf der Webinterface außerhalb meines Netzwerks. Ich will kein Telnet, SSH und Zugriff auf den Router außerhalb meines Netzwerks zulassen. Welche Einstellungen sind dafür korrekt? Derzeit komme ich gar nicht mehr auf meinen Router innerhalb des Netzwerks und ich muss jetzt eigentlich meinen Router resetten, um wieder Einstellungen ändern zu können.

Bitte um Hilfe

Viele Grüße
Mausweazle


Edit: Ich hatte zuletzt bei Web Access vom Protokoll "HTTP" auf "HTTPS" umgestellt und danach konnte ich nicht mehr aufs WEB GUI zugreifen. Weder über http://lokaleIP (<-Erwartet) noch über https://lokaleIP (<-Unerwartet)

 

[Jokeboy]

Unter Administration -> Management -> Remote Access

Da einfach auf Disable stellen.

Ich habe noch zusätzlich die Ports 443 und 80 auf 0.0.0.0 umgeleitet.

 

[mausweazle]

@Jokeboy Das hatte ich versucht, aber dafür wollte der Router von mir eine valid IP-Adresse. Derzeit kann ich das ja nicht mehr machen, da kein Zugriff auf WebGUI.

0.0.0.0 ließ die Einstellung nicht zu, was ich merkwürdig finde.

 

[Jokeboy]

"Allow any remote IP" kannst auf enabled lassen, da die remote funktionen ja deaktiviert hast.

Und wenn auf die GUI nicht zugreifen kannst dann musst den Router eben zurücksetzen.

 

[mausweazle]

Ich habe deine letzte Antwort nicht verstanden. Woher weißt du, dass "die remote funktionen [...] deaktiviert" sind?

Ich habe den Router resettet und jetzt folgende Einstellungen (siehe Bild). Reicht das, damit niemand von außerhalb des Netzwerkes den Router konfigurieren kann?


Wenn ich Protocol von HTTP auf HTTPS ändere, dann kann ich mich nicht mehr anmelden...

 

[Beast2x]

Am besten stellst du du deine Fragen bzgl Sicherheitseinstellungen im Offiziellen DD-WRT Forum...

Wenn ich Protocol von HTTP auf HTTPS ändere, dann kann ich mich nicht mehr anmelden...

HTTPS ist nicht grade überflüssig aber in deinem privaten LAN brauchst du das auch nicht unbedingt.
Würde dir aber empfehlen ein Isoliertes VLAN + Interface für Gäste/nicht vertrauenswürdige Clients und IOT Geräte erstellen und denen den Zugriff auf das GUI und SSH per firewall rules verweigern bzw nur DNS + DHCP erlauben. Das hilft imho der Sicherheit im privaten LAN schonmal enorm.
Falls du damit schon überfordert bist lese dich besser erstmal ein wenig ein, im Netz sollte diesbezüglich viel zu finden sein...

 

[mausweazle]

Gästen erlaube ich keinen Zugriff zu meinem Netzwerk und IOT Geräte besitze ich nicht. Ich will nur nicht, dass von außerhalb einer meinen Router einrichten.

 

[Jokeboy]

Telnet ist deaktiviert.
SSH ist deaktiviert.

Dann erstell einfach 2 Port Forwardings die HTTP und HTTPS ins Nirvana schickt. Fertig.

Edit:
Dann versuch mit deinem Smartphone auf deine IP zuzugreifen über dem Browser (mit Provider Netz, nicht im WLAN). Wirst sehen das dann nur noch ein Timeout entsteht.

 

[mausweazle]

Ok. Vielen Dank. Das habe ich so eingerichtet. Eine Frage hätte ich aber noch: Wie meldet man sich denn vom Router ab? Ich habe keine Log-Out Button gefunden... (oder bin zu blind)

 

[Jokeboy]

Es gibt kein Logout Button bei DD-WRT. Dafür musst du den Browser schließen klingt blöd, ist es auch - aber so läufts eben.

 

[Beast2x]

Gästen erlaube ich keinen Zugriff zu meinem Netzwerk und IOT Geräte besitze ich nicht. Ich will nur nicht, dass von außerhalb einer meinen Router einrichten.

Lol, du bist ja ein toller Gastgeber...
Ich gestatte meinen Freunden z.B. gerne zugriff auf mein Gäste WLAN, dieser Isolierte AP ist aber zuzätlich noch mit einigen blocklisten und VPN versehen, daher ist es ziemlich schwierig darüber Mist zu bauen...
Könnte es auch noch so einrichten das alles über TOR geschleust wird aber man kann es auch übertreiben.
Sind ja schließlich "Freunde", irgendwelchen fremden würde ich natürlich auch kein Zugriff auf mein Wifi gestatten, die sollen halt Freifunk nutzen !