Port Forwarding

Settings -> policy engine -> create new policy

Hallo,

ich hänge mich an den Beitrag, weil der sehr gut zu meinem Problem passt.

ich habe zwar länger schon eine UDM im Einsatz (hinter einer Fritzbox), hatte aber dafür externe Hilfe, die leider für längere Zeit ausfallen wird. Ich bin also Anfänger und muss ich mich kurzfristig selbst darum kümmern. Konkret soll ich sicherstellen, dass verschiedene Ports freigegeben sind, beispielsweise:

Name	Port	Protokoll	Richtung
NTP (Zeit)	123	TCP/UDP	Ausgehend
Kartenterminal	5051-5059	TCP/UDP	Eingehend & Ausgehend
Web	80, 443	TCP	Eingehend & Ausgehend
Ping	8	ICMP (Type	Ausgehend

Das Bild von Nutzer666 hat mir schon geholfen die passende Stelle zu finden. Mir ist aber nicht klar, wie/was ich eintrage bei:

1. Forward IP Address: beim Kartenterminal kenne ich die IP-Adresse und kann sie direkt auswählen (weil fix?) oder eintragen, aber was ist, wenn ich sie nicht kenne wie bei mit NPT, Web oder Ping?
2. WAN Port: die Portnummer?
3. Forward Port: die gleiche Portnummer?

Zudem denke ich, dass es schon Freigaben in meiner UDM geben müsste. Kann ich mir alle Freigaben anzeigen lassen, ähnlich der vorstehenden Liste oben?

Vielen Dank im Vorraus

Pauschal und ohne eignes wirken ist kein Verkehr geblockt bei Unifi, die Büchse Verhält sich wie quasi wie jeder Consumer Router
auch. Sprich PING, NTP, WEB und Kartenterminal dürfen raus und für den Rückweg sorgen firewall und NAT das die Antworten wieder
da landen wo sie hingehören.

Ist da so nicht gegeben bei dir dann hast du halt limitierende Einstellung in der Firewall. Die kenn wir aber nicht :.)

Dazu kommt das Portweiterleitungen (sofern FROM=ANY) offen sind für das gesamte Internet. Also jeder wirklich jeder
auf diese zugreifen kann. Das kann z.b bei KartenTerminals nicht gewünscht sein. Noch kenne ich Terminals die
von außen erreichbar sein müssen, üblich bauen die Terminal verbidungen auf und nicht der Payment server zu dem Terminal.

Prima,

der erste Teil deiner Antwort beruhigt mich schon mal bzgl. Ping, NTP und WEB. Denke, das ist dann erledigt bzw. erfüllt.

Ich hab die "Hardwarefirewall" Anfang 2023 einbauen lassen, weil es so empfohlen war (es wurde mitgeteilt: Softwarefirewall reicht nicht aus). Warum und was sie tun, weiß ich nicht. Ich versuche mich jetzt zwangsweise einzulesen - schadet sicherlich nicht.

Ich habe noch konkrete Nachfragen zur Umsetzung meiner Tabelle oben:

1. Wäre die Freigabe nach der obigen Anforderung z.B. für das Terminal (hat feste IP, sodass ich sie auswählen kann) so ok (auch wenn ggf. gar nicht notwendig, da Unifi von sich aus nichts blockiert)?

Hier sind beide Richtungen freizugeben.

Aber wenn nur "Ausgehend" oder nur "Eingehend" gefordert wäre, wo/wie müsste ich das eingeben?

Zudem werden bei den Anforderungen an die Firewall auch noch "Dienste" genannt wie wie z.B. POP3 S, mit Port 995, TCP, ausgehend oder DNS, Port 53, TCP/UPD ausgehend. Diese wären dann nur an der Fritzbox freizugeben, da ja Unifi von sich aus nichts blockt-oder?

2. Verstehe ich den ersten Absatz richtig:

Wenn auf der Seite unter "Settings -> policy engine -> policity table" nichts explizit steht, ist kein Verkehr geblockt bei meiner UDM und dementsprechend sind, wie in meinem Fall, automatisch auch alle Anforderungen erfüllt?

Umgekert: wenn ich die Anforderungen wie beim Terminal reinschreibe, ist das eigentlich obsolet?

3. will das gelbe Dreieck mir sagen, dass ich alle Freigabenauch der UDM auch an der Fritzbox machen muss?

Eingehend brauchst du gar nichts freigeben, ausgehend ist schon alles frei wenn du nichts selber blockst. In der Fritzbox sollte die UDM als "exposed host" eingetragen sein damit du nicht alles doppelt pflegen musst.

Quote from HN-Nutzer

was sie tun, weiß ich nicht.

Sollte Prio1 haben zu ergründen was warum wieso dir was eingestellt wurde, oder es zeigen. Es ist sehr viel möglich. Was eingestellt oder nicht
eingestellt wurde.

Dazu fängt es mit den Begriflichkeiten an.

FREIGEBEN bedeutet nicht automatisch das du von außen nach innen kommen sollt darüber, sonder meist nur das diese FREI sind
draußen zukommen. Ein deinem Beispiel mit POP würde es bedeutet das du diese Dienste selber anbietest.

Üblich spricht man Fachliich von einer Portweiterleirung wenn etwas von außen nach innen weiterleiten möchten.

Aber Fische bei die Butter.. Deine "Anforderung" is hier unbekannt, hören sagen hat noch nie geholfen.
Pack aus, was hast du genau vor, was soll nun Integriert werden. ?

Denn ich möchte immer noch bezweifle da auch nur eine Portweiterleitung von extern nach intern nötig ist.

Danke euch beiden,

im Ergebnis habt ihr mir sehr geholfen. "Eingehend brauchst du gar nichts freigeben, ausgehend ist schon alles frei wenn du nichts selber blockst."

Die Installation (über Fernwartung) konnte erfolgen und funktioniert (daher kam der Zeitdruck).

Für die korrekte Einstellung der Firewall nehme ich mir wieder externe Hilfe, werden mir aber zumondest die Grundzüge erklären lassen.

Nochmals Danke