PC Magazin Classic XXL Deutschlands sicherster PC (Vorschau)

PERSONAL COMPUTING
henden Anfragen mit Port 8070 auf Ihr NAS
mit der internen Adresse 192.168.1.30 weitergeleitet
werden sollen. In den meisten
Firewall-Einstellungen können Sie außerdem
noch angeben, auf welchen internen
Port am NAS die Anfrage erfolgen soll, zum
Beispiel an Port 80. Die Verbindungsanfrage
funktioniert wie folgt: Sie geben von
einem beliebigen Internet-PC die Adresse
http://87.106.88.25:8070 in den Browser ein.
Anhand der Portnummer 8070 erkennt die
Firewall im Router, dass die Anfrage an das
Alle Router sind in der
Regel mit einem DDNS-
Client ausgestattet.
Dieser Netgear-Router
bietet sogar ein eigenes
DDNS-Konto zusammen
mit dem Anbieter No-IP
an.
NAS weiterzuleiten ist. Da auf einem NAS
meist mehrere Dienste laufen, gibt man in
der Portweiterleitung selbst noch an, welcher
Dienst auf dem NAS tatsächlich angewählt
wird. Achtung: Bei einer Portweiterleitung
auf eine SSL-Verbindung, geben
Sie im Browser die Adresse nicht mit http://
sondern mit https:// an.
Echte DMZ und Pseudo-DMZ
Eine interessante Strategie, um Portweiterleitungen
auf ein bestimmtes Gerät (NAS,
Webserver) möglichst sicher für alle übrigen
Geräte im Heimnetz zu gestalten, ist die
Einrichtung einer demilitarisierten Zone,
kurz DMZ. Für eine DMZ benötigen Sie zwei
Router beziehungsweise Firewalls, die Sie
als Kaskade hintereinander schalten. Das
NAS-Gerät oder der Webserver, der aus dem
Internet erreichbar sein soll, befindet sich
dann im lokalen Netzwerk zwischen dem
äußeren Router und dem inneren Router.
Dieser Bereich wird als DMZ bezeichnet.
Der äußere Router leitet Zugriffe aus dem
Internet, zum Beispiel über eine Portweiterleitung,
an den Server in der DMZ weiter.
Der innere Router hingegen blockt alle Verbindungsmöglichkeiten
aus der DMZ und
somit auch aus dem Internet ab.
Selbst wenn ein Angreifer aus dem Internet
den Server in der DMZ übernehmen könnte,
wird der innere Bereich durch die zweite
(Router-) Firewall geschützt.
Doch Vorsicht: In den WAN- oder Portweiterleitungseinstellungen
vieler Heimnetz-
Router findet sich recht häufig die Einstellung
DMZ oder DMZ/Exposed Host, wobei
diese Einstellung nichts mit einer echten
DMZ gemein hat, sondern in Bezug auf die
Sicherheit sogar das glatte Gegenteil bedeu-
Portweiterleitung einrichten
Damit Sie auch vom Internet aus auf ein Heimnetzgerät, z.B. ein NAS, zugreifen können,
richten Sie in der Firewall des Routers eine sogenannte Portweiterleitung ein.
1.
Interne IP-Adresse reservieren
Bevor Sie jedoch eine Portweiterleitung
in der Router-Firewall einrichten,
sorgen Sie dafür, dass das besagte Gerät
im Heimnetz immer dieselbe interne IP-
Adresse zugewiesen bekommt. Viele Router
besitzen hierzu Adressreservierung. Alternativ
können Sie auch die Lease-Dauer
für die interne IP-Adresse verlängern.
Wählen Sie bei der Fritzbox oben im Drop-Down-
Menü die Einstellung Andere Anwendungen.
2.
Internen Port des Geräts prüfen
Prüfen Sie außerdem, mit welcher
Port-Nummer Sie im Heimnetz auf das
besagte Gerät zugreifen. Bei manchen
NAS-Geräten ist der HTTPS-Port nicht
auf den Standard-Port 443 gesetzt. Bei
Synology-NAS-Geräten kommen Sie beispielsweise
mit der Port-Nummer 5001
auf die HTTPS-Weboberfläche.
So könnte eine fertige Portweiterleitung auf ein NAS in
der Fritzbox aussehen.
3.
Interner und externer Port
Suchen Sie nun in der Weboberfläche
Ihres Routers nach der Einstellung
Portweiterleitung, Portfreigabe oder Port
Forwarding. In der Fritzbox finden Sie
diese Einstellung beispielsweise unter Internet/Freigaben.
Achten Sie beim Anlegen
einer neuen Portfreigabe darauf, dass Sie
jeweils einen externen und einen internen
Port angeben können. Dazu müssen Sie
bei der Fritzbox beispielsweise im Drop-
Down-Menü neben Portfreigabe aktiv für
die Option Andere Anwendungen wählen.
Der externe Port heißt hier von Port, der
interne Port an Port.
4.
Fernzugriff aus dem Internet
Für den externen Port wählen Sie
einen vierstelligen, vor allem aber einen
nicht standardmäßig verwendeten Port,
wie zum Beispiel 8070 oder 1274. Für den
internen Port verwenden Sie den Port,
über den Sie auch im LAN auf Ihr NAS
zugreifen, in unserem Beispiel Port 5001.
Ist die Weiterleitung eingerichtet, können
Sie mit einem Browser aus dem Internet
auf Ihr NAS zugreifen. Verwenden Sie die
DDNS-URL des Routers gefolgt von einem
Doppelpunkt und der externen Portnummer
der Portweiterleitung.
34 www.pc-magazin.de PC Magazin 8/2014