Wie sicher ist der Cloudkey, wenn man für die Remote-Verwaltung von APs Port 8080 öffnet

Hallo in die Runde,

ich betreibe seit etwa 14 Tagen einen Controller auf einem CloudKey Gen 2+ für die Verwaltung von APs in externen Netzwerken. Jetzt habe ich täglich mehrere Alarm-Meldungen von der Firewall, die auf den Controller zugreifen wollen. Wie sicher ist das Unifi-System, um diese Angriffe abzuwehren. Meine Problemlösung sieht im Moment so aus, dass ich den Controller nur dann in Betrieb nehme, wenn ich ihn brauche. Das soll aber keine Dauerlösung sein.

Die Hardware-Config ist folgendermaßen: UDM-Pro mit fester öffentlicher IP --- CloudKey in einem 30er Subnetz. Portweiterleitung 8080 auf den CloudKey.

Beispiele für Alarmmeldungen:

Threat Management Alarm 3: Detection of a Network Scan. Signatur ET SCAN Zmap User-Agent (Inbound). Von: 192.241.221.94:54432, auf: x.x.x.x:8080, Protokoll: TCP

Threat Management Alarm 1: Attempted Administrator Privilege Gain. Signatur ET SCAN Mirai Variant User-Agent (Inbound). Von: 222.247.159.41:14260, auf: x.x.x.x:8080, Protokoll: TCP

Threat Management Alarm 1: Attempted Administrator Privilege Gain. Signatur ET EXPLOIT HackingTrio UA (Hello, World). Von: 222.247.159.41:14260, auf: x.x.x.x:8080, Protokoll: TCP

Ich hab keine Lust mir da irgendwas einzufangen, meine Firewall-Kenntnisse sind aber eher dürftig...

Gruß Jörg

x.x.x.x : hier steht die IP-Adresse des CloudKey

Der CloudKey ist notwwendig, da die UDMPro nur eine Site verwalten kann! Ich möchte mein Netz aber nicht mit anderen vermischen. Der CloudKey verwaltet APs in externen Netzen also Remote. Die externen APs hängen an irgendwelchen Routern im www. Als inform setzt man folgenden Befehl: set-inform http://öffentliche IP der UDM:8080/inform

In der UDM leitet man Port 8080 auf den CloudKey und schon kann ich den entfernten AP in die gewünschte Site einbinden.

Ja die Idee hatte ich auch schon. Aber wird das was bringen? Ich versuche es mal mit einem AP im Labor....

Ich ändere einfach mal den Port in der Weiterleitung und schaue was passiert. Die Ports für den STUN-Servver und das Captive Portal werden bislang auch nicht gescant

...bislang keine Scans, danke für die Unterstützung!