Geoblock für Webserver aktivieren?

daujens · August 30, 2025 at 9:22 PM

UDM SE

Sorry, bin in FW nicht so richtig fit.

Ich betreibe eine Webseite/Datenbank auf die nur ein sehr kleiner Userkreis Zugriff hat (max 8 User).

Daher habe ich schon mal den Port verbogen, siehe Screenshot.

In letzter Zeit habe ich gehäuft Eintrage im Syslog das diverse externe IPs einen Zugriff versuchen.

Da der Userkreis aber bekannt ist und nur in DE sitzt, wollte ich ggf noch einen Geoblock hinzufügen so das nur von inländischen IPs ein Zugriff möglich ist.

Wäre ja wohl der Punkt "Von". Aber dort komme ich nicht weiter, müsste ja dort scheinbar alle IPs/IP-Ranges aus DE eintragen?

Geht das nicht auch irgendwie einfacher? In Irgendwelchen Beschreibungen wird immer wieder von Ländern die nur ausgewählt werden müssen, gesprochen, finde den Punkt aber nicht.

Kann mir jemand einen Tip/Hilfestellung geben?

Danke

**Networker** · August 30, 2025 at 11:32 PM

Es gibt dafür zwei Möglichkeiten: Du könntest als imple Methode unter Cyber Secure --> Region Blocking eingehenden Traffic nur aus Deutschland eintragen. Das bezieht sich dann auf alles hinter Deiner UDM SE, also auch VPN-Zugänge etc. .

Granularer und weniger Holzhammer wäre, den Webserver in die DMZ-Zone zu packen. Dann konfigurierst Du für den Bereich External --> DMZ eine Blockregel mit Any-->Any und darüber eine Regel, die Anfragen aus Deutschland für den Webserver zulassen.

daujens · September 1, 2025 at 8:19 PM

Beide Lösungen sind mE eher Suboptimal.

Ich hab da mal eine Idee:

Normalerweise Arbeiten Firewalls ihre Regelliste von oben nach unten ab:

Also habe ich als erstes eine Allow-Regel für alles aus DE erstellt.

und erst darunter kommt dann die Portumsetzung.

Kann das so funktionieren? Oder wo liegt mein Denkfehler?

**maxim.webster** · September 1, 2025 at 9:04 PM

Quote from daujens

Beide Lösungen sind mE eher Suboptimal.

Eigentlich ist der 2. Vorschlag von Networker schon zielführend und auch nicht unüblich.

Sollte der Server dann doch „gehackt“ werden (Hacker und Skript Kiddies kennen auch VPNs), bewegen sich die Angreifer wenigstens nicht frei in deinem Netz.

**Networker** · September 1, 2025 at 9:22 PM

Würde mich jetzt auch mal interessieren, was daran suboptimal sein soll.

Verstehe anhand der Screenshots jedenfalls nicht, wie irgendetwas blockiert werden soll, wenn man nur Allow-Regeln schreibt...

DDHN · September 1, 2025 at 10:30 PM

Ich finde das Geoblocking ziemlich praktisch ... aber die Begrenzung auf 15 Einträge ist schon unverständlich.

**Networker** · September 1, 2025 at 10:39 PM

Quote from DDHN

Ich finde das Geoblocking ziemlich praktisch ... aber die Begrenzung auf 15 Einträge ist schon unverständlich.

Wieso 15? Bei Firewall-Regeln kannst Du doch 150 Staaten hinzufügen. Ich würde mich auch über mehr freuen, aber ehrlicherweise ist bei rund 200 Staaten auf der Erde dann irgendwann auch eine Whitelist besser zu pflegen als eine Blacklist.

DDHN · September 1, 2025 at 10:59 PM

Also ich kann nicht speichern, weil ich mehr als 15 Einträge habe.

**Networker** · September 1, 2025 at 11:15 PM

Quote from DDHN

Also ich kann nicht speichern, weil ich mehr als 15 Einträge habe.

Hmm, hast Du irgendein altes, schwaches Gateway? Das alte Express oder so? Selbst beim günstigsten aktuellen Modell (UCG-Ultra) kann man 150 Staaten eintragen.

DoPe · September 2, 2025 at 3:38 PM

Quote from daujens

...
Kann das so funktionieren? Oder wo liegt mein Denkfehler?

Eher nicht ... Du erlaubst im besten Fall erstmal DE und dann erlaubst Du scheinbar weiter unten alle (also auch die aus nicht DE). Was soll da jetzt blocken?

**maxim.webster** · September 2, 2025 at 4:30 PM

Quote from DoPe

Eher nicht ... Du erlaubst im besten Fall erstmal DE und dann erlaubst Du scheinbar weiter unten alle

Ist das so? Arbeitet die Firewall nicht "First Match", bis zur Default Action runter?

DoPe · September 2, 2025 at 5:42 PM

Ja first match für DE ist das allow DE. Alle die nicht DE sind rasseln weiter durch bis alle erlauben matcht.

DDHN · September 2, 2025 at 10:12 PM

Quote from Networker

Hmm, hast Du irgendein altes, schwaches Gateway? Das alte Express oder so? Selbst beim günstigsten aktuellen Modell (UCG-Ultra) kann man 150 Staaten eintragen.

😜 ja .... habe noch das USG4 Pro. Hätte ich auch selbst drauf kommen können

daujens · September 3, 2025 at 9:44 AM

Ok, nachdem ich mich lange vor DMZ und Co gedrückt habe, komme ich wohl nicht drum herum.

Also ein neues Netzwerk als DMZ angelegt und nach einigen Mühen auch die virtuelle Maschine auf meiner Synolgy in das Netzwerk gebracht.

Firewall-Liste sieht jetzt so aus:

Kann das jetzt so funktionieren?

**maxim.webster** · September 3, 2025 at 3:46 PM

Ob es funktioniert (oder nicht) siehst Du unter „Flows“.

Participate now!