[ADSL-modems] Hebben alle ethernet modems een Firewall?

[VisionMaster]

Ik ben dik op zoek naar een ethernet modem voor 1 PC (of multi: dat extra geld is niet belangrijk), maar de eis is ... er moet een Firewall in zitten

Hebben die Speedtouch 510(i) ethernet modems allemaal een firewall. Zowel de non-'i' single user ethernetmodem als de Multi-PC modems.

Subvraagje op de single user modems, kan je bij de distrobutie net zo eenvoudig die firewall configgen als op een andere NAT-box router? Eigenlijk is de vraag ... kan je het uberhaupt configgen zonder de modem te flashen?

[Paul]

Inbound of outbound?

Inbound heeft iedere nat-router. Zodra er namelijk een pakketje binnenkomt dat een nieuwe connectie wil openen naar een poort die in de router niet naar een bepaald adres wordt geforward, weet de router niet waar dat pakketje heen moet, en zal het dus ofwel negeren, ofwel een melding terugsturen dat er op die poort niets draait.
Welke van die 2 weet ik zo niet

Dus tenzij je een default server opgeeft zal de router alle onbekende binnenkomende SYN-pakketjes weggooien

Outbound heb ik in ieder geval nog niet kunnen vinden op de mijne (al heb ik geloof ik wel een oude firmware (4.0.2.0.0)).

[Jesse99]

'k heb zelf een Speedtouch 510 single user ethernet ADSL modem, en daar zit gewoon een NAT router in (firewall dus). Simpel toegankelijk en gemakkelijk te beheren via Internet Explorer. En hangt hier rechtstreeks op een switch dus van daaruit wordt 't alsnog voor het hele netwerk toegankelijk!

[ Voor 7% gewijzigd door Jesse99 op 08-08-2004 03:46 ]

[MadMarky]

Outbound firewall hebben de Speedtouch modems niet. Inbound heeft elke router, zoals hierboven uitgelegd.

[Chutney]

Outbound vind je op de Vigor 2600 series wel, ik heb er zelf een.

Je kan netjes alles weer geven blokade opzetten e.d. voor in of uit gaande traffic op een bepaald ip.

[VisionMaster]

thanx 4 the info.
Ja, het 'NAT-box effect' verhinderd inderdaad die directe connectie. Maar ik vroeg me af of er geen tunnel tussen mijn LAN-adapter en de WLAN port van de modem. Het gevolg is dat je zelf (als pc) aanspreekbaar bent op een bepaalde port, omdat het allemaal via de tunnel wordt geforward en gereversed port voor port. En dat is het laatste wat ik wil. (De 'twist in my head' was voornamelijk om en rond de single-user Speedtouch 510's)

Echter ... dit betekent dat je dus op (ook de single user Speedtouch 510 ethernet ADSL modem) de modem dat je daar je portforwarding moet kunnen zetten (de machine moet remote beheert kunnen worden met de zwaarste beveiligingsvariant van pcAnywhere. (Ik hoop dat het RSA encrypted ratteplan goed werkt )

Dus ok, voor outbound firewalling heb ik een geavanceerdere modem nodig ... eens kijken of ik dat een gemis vind.

Het liefst heb ik trouwens dat als ik ga kijken met Shields Up of een aggressive NMAP van een linux machine stealth of onzichtbaar wordt gerapporteerd (op die ene port na waar ik dan die pcAnywhere heb geforward).

[ Voor 5% gewijzigd door VisionMaster op 08-08-2004 11:52 ]

[JvS]

Visionmaster: Alle speedtouch modems (510, 510i, 510multiPC, 570, 580) werken allemaal precies hetzelfde . Ze verschillen dus alleen in de mogelijkheid om op een isdn lijn aangesloten te worden (De "i" versie), een ingebouwde 4 poorts switch (de multi PC), of een ingebouwde wireless accespoint (570, 580).

Een firewall die al het ongevraagde van buiten komend verkeer tegenhoudt hebben ze inderdaad allemaal, omdat het allemaal NAT routers zijn (maar dat was al gezegd ). Houdt bijvoorbeeld heel effectief sasser en blaster virussen tegen .

Chutney: Een outbound firewall op een router kan volgens mij helemaal niet zo goed werken. Het mooie van een zone alarm of een Norton Internet Securety, is juist dat het programma's in de gaten kan houden. Zoals spyware of andere meuk die contact gaan zoeken met internet. Dat kan een modem bijna niet doen. Het enige wat je met zo'n modem kan doen is bijvoorbeeld de poorten voor msn dichtgooien, zodat iemand niet kan msn'en ofzo. Maar dan heb je het met name over beperkingen voor gebruikers en niet over bescherming...

Eigenlijk is een NAT firewall in combinatie met gezond verstand al genoeg, maar dat is slechts mijn mening .

[ Voor 12% gewijzigd door JvS op 08-08-2004 11:55 ]

[Paul]

Die 'single user' speedtouch van jou is gewoon een 'multi user' speedtouch zonder ingebouwde switch

De interne werking is dus gelijk bij beide apparaten. Wel kun je dmv het uploaden van .ini bestandjes kiezen of de modem als router of als bridge wilt hebben En aangezien je de 'inbound firewall' wilt gebruiken moet je dus voor router kiezen

[VisionMaster]

4 info

Ja ... lang zo gek nog niet om 1 core te maken voor zo'n kastje en meervoudige implmentaties te maken (single LAN port, 4-voudige switch, wifi-enabled).

Ik weet voldoende.

Gezien er op die machines no-body komt te zitten (het zullen display machines worden die gestuurt worden via internet) zal de outbound functionaliteit niet zo zwaar wegen.

[TaXaN]

Bwa, het is toch wel iets complexer dan dat De lagere regionen van de software verschilt aanzienlijk bij een single-user 510 tov een 4-poort managed switch 610. Denk aan de ethernet driver, configuratie van de kernel, e.d. Alles komt wel uit één source repository waar aan de hand van build switches de juiste code wordt meegenomen en geïnitialiseerd.

De firewall kan trouwens wel degelijk outgoing verkeer filteren (de 'source' hook en dstintfgrp=wan als ik mij niet vergis). In de volgende versie wordt de firewall volledig statefull.

[leuk_he]

VisionMaster schreef op 08 augustus 2004 @ 02:16:
Hebben die Speedtouch 510(i) ethernet modems allemaal een firewall. Zowel de non-'i' single user ethernetmodem als de Multi-PC modems.

Ja de recente wel. Echter oudere moest je tweaken. dus opletten als je 2ehands koopt.

/Edit: domme opemrking van mij. waar paul hieronder me op wijst.

[ Voor 12% gewijzigd door leuk_he op 09-08-2004 09:48 ]

[Paul]

De te tweaken speedtouch modems waren de Speedtouch home, deze kon je tweaken naar de Speedtouch Pro.

Echter, in de post die je quote staat letterlijk (!!) Speedtouch 510, dus waarom je er nu een ander type bijsleept?

[VisionMaster]

Yeah ... het moet allemaal kunnen werken zonder Tweaks. Direct kunnen gebruiken op de juiste manier (hopelijk dus met een latest-and-greatest firmware versie). Ik heb 4 a 5 van deze setups te installeren (nieuwe hardware en nieuwe telefoonlijnen en internetabo's) en wil die locaties na installatie niet iedere week moeten bezoeken voor een reboot of rescue-disk-recover.

[ Voor 9% gewijzigd door VisionMaster op 09-08-2004 07:40 ]

[Verwijderd]

VisionMaster schreef op 08 augustus 2004 @ 11:51:


Het liefst heb ik trouwens dat als ik ga kijken met Shields Up of een aggressive NMAP van een linux machine stealth of onzichtbaar wordt gerapporteerd (op die ene port na waar ik dan die pcAnywhere heb geforward).

toevallig vorige week op grc.com de shields up test gedaan, met een speedtouch 570 modem: alles stealth t/m poort 1055 (daarboven test die site niet, en heb ik er zelf ook een paar opengezet, als enige wijziging aan de standaard-config)


overigens hoeven speedtouch 500-series-modems inderdaad niet getweaked te worden: allemaal een ingebouwde router, ook al hebben sommige maar 1 lan-poort.