nicht angemeldet
welche Firewall und wie konfigurieren?
Hallo,
ich verwende die Standardfirewall von Windows 7. Bisher hab ich mich noch fast garnicht mit dieser Firewall beschäftigt. Bevor ich dies jedoch tue einige Fragen:
1.)
Ist es überhaupt sinnig sich mit dieser Firewall zu beschäftigen oder sollte ich auf eine andere Firewall ausweichen oder kann ich sogar ganz auf eine Firewall verzichten.
2.)
Die meisten Router bieten ja heute auch eine integrierte Firewall an. Ist sowas besser und sollte man diese zusätzlich zur Windows 7 Firewall bzw. statt der Windows 7 Firewall verwenden.
3.)
Gibt es irgendwo eine gute Anleitung die mir bei der richtigen Konfiguration der Windows 7 Firewall behilflich ist?
-
oder kann ich sogar ganz auf eine Firewall verzichten.
Da wirst du viele Meinungen hören. Eine gängige ist, verzichte auf eine Firewall und benutze deinen PC mit Verstand, das ist besser als eine Firewall zu haben und dann zu glauben man könne jetzt tun was und wie man will.
Meine Meinung dagegen ist, auch wenn man aufpasst was man macht ist eine Firewall trotzdem kein Schaden. Man sollte halt trotzdem aufpassen.
Ich hab durch meine zum Beispiel einige Programme am "nach Hause telefonieren" geblockt. Ob mich das jetzt so sicher macht ist eine andere Frage, wahrscheinlich nicht. Und wirkliche Schadprogramme hält man damit auch nicht ab. Das sollte dir klar sein.
Aber zu sagen eine Firewall macht nachlässig, drum lieber keine und aufpassen... ich weiß ja nicht so ganz. Es geht doch auch beides.Die meisten Router bieten ja heute auch eine integrierte Firewall an. Ist sowas besser und sollte man diese zusätzlich zur Windows 7 Firewall bzw. statt der Windows 7 Firewall verwenden.
Wie die funktioniert weiß ich nicht. Ein Router blockt alles eingehende, außer du gibst es ausdrücklich frei. Aber ob das die Firewallfunktion ist? Dieses Verhalten liegt ja eigentlich in der Natur eines Routers, weil er nicht weiß zu welchem PC er irgendwas weiterleiten soll.
-
Hi!
Ist es überhaupt sinnig sich mit dieser Firewall zu beschäftigen oder sollte ich auf eine andere Firewall ausweichen oder kann ich sogar ganz auf eine Firewall verzichten.
Dazu musst du dir auch mal grundlegend die Frage stellen, was eine Firewall verhindern kann und was passieren kann, wenn keine da ist. Anschließend solltest du in Erfahrung bringen, welche Arten Firewall es gibt und ob es sinnvoll ist, eine Art gegen eine andere Art zu tauschen (oder: ein Produkt mit seinen enthaltenen Arten gegen ein Produkt mit anderen (mehr/weniger) Arten). Weiterhin solltest du dich fragen, ob du mit den Meldungen, die andere Firewalls bringen, souverän umgehen kannst.
Nach der Recherche weißt du nun, dass man eine Firewall nicht braucht, wenn der Rechner schon von selbst nicht auf äußere Anfragen reagiert. Dazu kann man alle nicht benötigten Dienste herunterfahren und weiß dann immer noch nicht, ob man alles erwischt hat und sich auch kein Fehler in der Netzwerksoftware befindet, der sich ausnutzen lässt. Wobei du das bei einer Firewall im Router auch nicht unbedingt weißt. Dort hat man jedoch noch den geringen Vorteil, dass der keine Pakete an das interne Netz weiterroutet, wenn das nicht explizit konfiguriert wurde, denn dazu müsste er erst einmal wissen, was an wen gehen soll. Mit IPv6 und öffentlichen Adressen auch für interne Geräte entfällt jedoch auch dieser kleine Vorteil.
Die meisten Router bieten ja heute auch eine integrierte Firewall an. Ist sowas besser und sollte man diese zusätzlich zur Windows 7 Firewall bzw. statt der Windows 7 Firewall verwenden.
Wenn du dir mal ein großes Netz in einer Firma vorstellst, wirst du schnell sehen, dass eine Firewall am "Eingang" immer weniger allein für den Schutz zuständig sein kann. Denn in der Firma gibt es Laptops, die auch mal nach draußen mitgenommen und an unsichere Anschlüsse angesteckt werden können. Eine generelle Firewall kann schwer auf die individuellen Schutzbedürfnisse der einzelnen Dienste/Server im Unternehmen reagieren, zumal sie ja nur an der Pforte wacht und nicht den innerbetrieblichen Verkehr zu Gesicht bekommt.
Wenn es bei dir im heimischen Netz auch so ist, dass der Schädling durch Anstöpseln ins Netz gelangen kann, dann bringt dir die Firewall im Router keinen Schutz davor.
Lo!
-
Nach der Recherche weißt du nun, dass man eine Firewall nicht braucht, wenn der Rechner schon von selbst nicht auf äußere Anfragen reagiert
Keine Antwort ist auch eine Antwort ;)
Einen Ping zu ignorieren ist z.B. so ein Fall - der Rechner darf hier nicht "nicht auf Anfragen reagieren", konsequenterweise muss der übergeordnete Knoten sagen "kenn ich nicht".
-
-
Ist es überhaupt sinnig sich mit dieser Firewall zu beschäftigen oder sollte ich auf eine andere Firewall ausweichen oder kann ich sogar ganz auf eine Firewall verzichten.
Verzichten: Nein. Eine andere verwenden: Auch nicht. Die Alternativen mögen zwar funktionieren, sie funktionieren aber nicht besser als die in Windows eingebaute Firewall – die Hersteller versuchen, dieses kleine Manko durch eine möglichst farbenfrohe und verspielte Bedienungsoberfläche zu übertünchen, damit sich die Benutzer auch totaaaal wichtig vorkommen. Entsprechend beliebt sind die Dinger bei Kindern und Jugendlichen, allen voran das quietschbunte Zone Alarm.
2.)
Die meisten Router bieten ja heute auch eine integrierte Firewall an. Ist sowas besser und sollte man diese zusätzlich zur Windows 7 Firewall bzw. statt der Windows 7 Firewall verwenden.Ich kann nicht für alle Router sprechen, aber in der Regel handelt sich nicht im eigentlichen Sinne um eine Firewall, sondern da wird lediglich der einzelne öffentliche Internet-Zugang für mehrere lokale Rechner zugänglich gemacht.
Zu diesem Zweck werden im lokalen Netz IP-Adressen verwendet, die im Internet nicht benutzbar sind; etwas vereinfacht dargestellt protokolliert der Router, welcher lokale Rechner eine Verbindung zu einem Server draußen aufbaut und versieht fürdahin alle ausgehenden Datenpakete dieser Verbindung mit der öffentlichen IP-Adresse und leitet alle ankommenden an die zur Verbindung gehörige private IP-Adresse weiter. Mehr dazu findest du unter dem Kürzel NAT, Native Address Translation.
Ein Nebeneffekt dieser gemeinsamen Verbindungsnutzung ist, dass es schon per se nicht möglich ist, vom Internet aus einen Rechner im lokalen Netz direkt anzusprechen, denn alle Rechner haben ja eine private IP-Adresse, die im Internet nicht vermittelbar ist. Weiter als bis zum Router kommen Angreifer von außen ergo nicht (sofern der Router nicht so eingestellt wurde, das unbekannte Verbindungen an einen lokalen Rechner weitergegeben werden, in die sogenannte demilitarisierte Zone).
Um auf deine Frage zurückzukommen: Für ankommende Verbindungen hat eine Firewall, die auf einem Rechner hinter einem NAT-Router installiert ist, in der Regel wenig bis gar nichts zu tun. Die Ausnahme wäre, dass der Angreifer selbst im lokalen Netz sitzt oder aber besagte demilitarisierte Zone aktiviert ist. Das soll aber nicht bedeuten, dass man sie abschalten sollte, denn schaden tut sie nicht.
Davon abgesehen verwaltet die Windows-7-Firewall (im Gegensatz zu ihren Vorgängern) auch ausgehende Verbindungen, sie bietet also auch eine Kontrolle darüber, ob ein Programm mit irgendwem im Internet kommuniziert.3.)
Gibt es irgendwo eine gute Anleitung die mir bei der richtigen Konfiguration der Windows-7-Firewall behilflich ist?Die Windows-Firewall ist weitestgehend selbstkonfigurierend, jedenfalls in dem Sinne, als dass du keine großartige Konfiguration vornehmen musst. Sobald eine Verbindung ansteht, mit der die Firewall nichts anfangen kann, fragt Windows nach und du hast die Möglichkeit, dem betreffenden Programm zukünftig das Verbindungsrecht einzuräumen, es zu verweigern oder die Verbindung nur dieses Mal zuzulassen. Mehr brauchst du nicht.
Wichtig ist davon unabhängig, dass du mit normalen Benutzerrechten arbeitest und _nicht_ mit den (hoffentlich passwortgesicherten) Administratorrechten – ansonsten kann sich nämlich jedes Programm selbst bedienen.
-
1.)
Ist es überhaupt sinnig sich mit dieser Firewall zu beschäftigen oder sollte ich auf eine andere Firewall ausweichen oder kann ich sogar ganz auf eine Firewall verzichten.Die Windows-Firewall erfüllt ihren Zweck, auf eine andere Firewall ist für den normalen Menschen nicht notwendig.
2.)
Die meisten Router bieten ja heute auch eine integrierte Firewall an. Ist sowas besser und sollte man diese zusätzlich zur Windows 7 Firewall bzw. statt der Windows 7 Firewall verwenden.Die Firewalls die ein Router bietet sind meistens ein nebeneffekt der NAT und des Port-Forwardings - nur halt schön verpackt.
Die wenigsten Router bieten einen halbwegs brauchbaren Packet-Filter.
3.)
Gibt es irgendwo eine gute Anleitung die mir bei der richtigen Konfiguration der Windows 7 Firewall behilflich ist?"Lass sie einfach machen" ist wohl das beste was du tun kannst, wenn du nicht sehr tief einsteigen und verdammt viel Geld investieren willst.
ggf. interessiert dich auch dieser Vortrag von dem Mann, der die Stateful Packet Inspection erfunden hat.
-
2.)
Die meisten Router bieten ja heute auch eine integrierte Firewall an. Ist sowas besser und sollte man diese zusätzlich zur Windows 7 Firewall bzw. statt der Windows 7 Firewall verwenden.Die Firewalls die ein Router bietet sind meistens ein nebeneffekt der NAT und des Port-Forwardings - nur halt schön verpackt.
Die wenigsten Router bieten einen halbwegs brauchbaren Packet-Filter.
mmm, laut Deiner Aussage ist also sowohl die Firewall des Routers notwendig (die ja, weil sie keine brauchbaren Packet-Filter unterstützt eigentlich garkeine richtige Firewall ist), also auch die Windows 7 Firewall das die ja dann im Gegensatz zum Router brauchbare Packet-Filter besitzt.
"Tata" behauptet aber genau das Gegenteil. Er schreibt:
"Für ankommende Verbindungen hat eine Firewall, die auf einem Rechner hinter einem NAT-Router installiert ist, in der Regel wenig bis gar nichts zu tun..."
Ist sie nun notwendig oder nicht?
3.)
Gibt es irgendwo eine gute Anleitung die mir bei der richtigen Konfiguration der Windows 7 Firewall behilflich ist?"Lass sie einfach machen" ist wohl das beste was du tun kannst, wenn du nicht sehr tief einsteigen und verdammt viel Geld investieren willst.
"Lass sie einfach machen"?, da steh ich jetzt wieder auf dem Schlauch. Angenommen ich nutze irgendein Fernzugriffstool mit dessen Hilfe ein Bekannter auf meinen Rechner zugreifen möchte. Damit dies geht muss ich doch zunächst mal den Port in der Windows Firewall freigeben der von diesem Programm verwendet wird, sonst kann ja keine Verbindung zu meinem Rechne aufgabaut werden. Damit ich diesen Port freigeben kann muss ich mich ja mit der Firewall auskennen, demnach brauch ich auch eine Anleitung. In diesem Zusammenhang verstehe ich die Aussage "Lass sie einfach machen" nicht.
Außerdem habe ich bei "Lass sie einfach machen" keine gutes Gefühl, möchte ja verstehen was sie macht. Sich auf irgendwas zu verlassen, was man nicht versteht finde ich nicht so gut.
-
mmm, laut Deiner Aussage ist also sowohl die Firewall des Routers notwendig (die ja, weil sie keine brauchbaren Packet-Filter unterstützt eigentlich garkeine richtige Firewall ist), also auch die Windows 7 Firewall das die ja dann im Gegensatz zum Router brauchbare Packet-Filter besitzt.
Wie schon erwähnt: die meisten Router haben keine Firewall, das ist ein (un)erwünschter Nebeneffekt der NAT und des Port-Forwardings.
"Tata" behauptet aber genau das Gegenteil. Er schreibt:
"Für ankommende Verbindungen hat eine Firewall, die auf einem Rechner hinter einem NAT-Router installiert ist, in der Regel wenig bis gar nichts zu tun..."
Ich denke, dass sich hier unsere Ansichten, was eine Firewall ist und was nicht unterschieden :)
Es gibt verschiedene Arten von "Firewalls" (oder Technologien):
- Die gängisten sind Packet Filter. Die lassen einfach Pakete mit bestimmten Eigenschaften (nicht) durch - z.B. wenn sie über einen bestimmten Port laufen. Im Grunde recht dumm aber recht wirkungsvoll gegen das gefährliche "Hintergrundrauschen" des Netz.
- Firewalls die Traffic von und zu bestimmten Ports oder IP-Adressen Blockieren - im Grunde das, was ein Packet Filter macht nur "dümmer und meistens unabsichtich" - also etwa das, was gewöhnliche Router tun.
- SPI funktioniert im Grunde wie wie ein Packet-Filter, nur wird protokolliert wann wo welcher Dienst, Recht oder wasauchimmer an wen ein Paket schickt und wann die antwort zu erfolgen hat und wie diese aussehen sollte.
Deneben gibts noch z.B. Content-Filter die wirklich jeden Inhalt zerlegen und schaun, ob da was gefährliches drin ist - das machen z.B. Proxy-Server die die HTML-Dokumente analysieren und auf geblacklistete URLs (z.B. Phishing-Seiten) durchsuchen oder gefährliches JavaScript entfernen usw. und natürlich noch viele weitere Technologien.
Firewall ist also nicht gleich Firewall - sie ist nur eine Sammlung ausverschiedenen Technologien. Während eine Firewall auch z.B. einen Paketfilter und einen Virenscanner besitzt, kann eine andere ggf. nur bestimmte IP-Adressen aufgrund einer Blacklist blockieren und sonst nichts.
Ist sie nun notwendig oder nicht?
Das kommt darauf an, warum du glaubst eine Firewall zu brauchen. Im Grunde ist aber die Windows Firewall in ihrer Grundkonfiguration vollig ausreichend für einen normalen Menschen. Der Router tut sein Ding dazu und es sollte passen dass du vor den meisten gewöhnlichen Attacken sicher bist. Gegen einen DoS-Angriff wirst du dich aber als normaler mensch nicht wehren könne - aber zumindest ist sichergestellt, dass Scriptkiddie X nicht mit Script Y ungefragt deinen Windows abschießt.
Solch einfache Firewalls können aber eben ummöglich den erwünschten Traffic in Echtzeit kontrollieren - dafür fehlt einfach die Rechneleistung.
Angenommen ich nutze irgendein Fernzugriffstool mit dessen Hilfe ein Bekannter auf meinen Rechner zugreifen möchte. Damit dies geht muss ich doch zunächst mal den Port in der Windows Firewall freigeben der von diesem Programm verwendet wird, sonst kann ja keine Verbindung zu meinem Rechne aufgabaut werden.
Ja - aber prinzipiell müsstest du hier nur den RDP-Port (im Falle der Microsoft-Lösung) und ggf. die IP des Bekannten freigeben, ob darüber dann aber wirklich nur dein Bekannter Zugriff oder auf seinem Traffic huckepack etwas anderes mitkommt (z.B. ein Trojaner der seine RDP-Verbindung highjackt) kannst du nicht kontrollieren.
Damit ich diesen Port freigeben kann muss ich mich ja mit der Firewall auskennen, demnach brauch ich auch eine Anleitung. In diesem Zusammenhang verstehe ich die Aussage "Lass sie einfach machen" nicht.
Jetzt hab' ich dich verstanden, dafür brauchst du eine Anleitung :) Die Suchmaschine deiner Wahl ist dir da sicher gerne behilflich, je nachdem was du tun kannst.
Außerdem habe ich bei "Lass sie einfach machen" keine gutes Gefühl, möchte ja verstehen was sie macht.
Das wirst du ohnehin nicht ohne einen Doktor in Rocket Science verstehen ;) darum hab' ich dir auch den Vortrag verlinkt, da wird zumindest ein bisschen Klarheit gebracht, was eine Firewall überhaupt tut.
Sich auf irgendwas zu verlassen, was man nicht versteht finde ich nicht so gut.
Du Verwendest sicher auch einen Virenscanner oder - den wirst du vermutlich auch nicht verstehen. Das ist für "unsereins" ein böhmisches Dorf.
-
Hi!
"Lass sie einfach machen"?, da steh ich jetzt wieder auf dem Schlauch. Angenommen ich nutze irgendein Fernzugriffstool mit dessen Hilfe ein Bekannter auf meinen Rechner zugreifen möchte. Damit dies geht muss ich doch zunächst mal den Port in der Windows Firewall freigeben der von diesem Programm verwendet wird, sonst kann ja keine Verbindung zu meinem Rechne aufgabaut werden. Damit ich diesen Port freigeben kann muss ich mich ja mit der Firewall auskennen, demnach brauch ich auch eine Anleitung. In diesem Zusammenhang verstehe ich die Aussage "Lass sie einfach machen" nicht.
Windows 7 sollte so freundlich sein, die Firewall entsprechend zu konfigurieren, wenn du die Fernwartung freigibst. Wenn du ein Tool eines anderen Herstellers verwendest, schau in dessen Bedienungsanleitung, was da auf einem Windows 7 konkret zu tun ist. Außerdem musst du deinen Router konfigurieren, dass der die Fernwartungszugriffe an deinen Rechner forwardet. _Was_ da konkret freizugeben ist, verrät ganz sicher das Internet, wenn nicht sogar schon die Windows-Hilfe. _Wie_ das auf deinem Router zu tun ist, wird dessen Bedienungsanleitung zumindest exemplarisch erläutern.
Lo!
-
Die Firewalls die ein Router bietet sind meistens ein nebeneffekt der NAT und des Port-Forwardings - nur halt schön verpackt.
Die wenigsten Router bieten einen halbwegs brauchbaren Packet-Filter.
mmm, laut Deiner Aussage ist also sowohl die Firewall des Routers notwendig (die ja, weil sie keine brauchbaren Packet-Filter unterstützt eigentlich garkeine richtige Firewall ist), also auch die Windows 7 Firewall das die ja dann im Gegensatz zum Router brauchbare Packet-Filter besitzt.
"Tata" behauptet aber genau das Gegenteil. Er schreibt:
"Für ankommende Verbindungen hat eine Firewall, die auf einem Rechner hinter einem NAT-Router installiert ist, in der Regel wenig bis gar nichts zu tun..."
Das ist nicht das Gegenteil. Wenn der Gorilla draußen vor der Tür einer Disco pickeliges Landvolk abweist, dann hat der Barkeeper in der Disco weniger mit der Ausweiskontrolle zu tun. Blockiert der Router am Internetzugang unbekannte Verbindungen, braucht eine Firewall auf dahinter angeschlossenen Rechnern sich nicht damit rumplagen.
Das bedeutet aber nicht, dass der Barkeeper jedem Deppen das Glas füllen kann.
Ist sie nun notwendig oder nicht?
Du solltest nicht so in absoluten Grenzen denken. Deine Unterhosen lässt du ja vermutlich auch nicht weg, obwohl vollkommen sicher ist, dass deine Jeans in der Öffentlichkeit nicht runterrutschen.
Die Windows-Firewall hat vielleicht nichts zu tun, aber sie kann auch nicht schaden. Du hast keinen Vorteil davon, sie (gänzlich) abzuschalten, das wäre nur grob fahrlässig.
Angenommen ich nutze irgendein Fernzugriffstool mit dessen Hilfe ein Bekannter auf meinen Rechner zugreifen möchte. Damit dies geht muss ich doch zunächst mal den Port in der Windows Firewall freigeben der von diesem Programm verwendet wird,
Wie ich bereits schrieb: Windows meldet sich bei dir, sobald ein Programm einen Port zum Empfang aufmachen möchte.
Allerdings muss auch dein Router Bescheid wissen, an welchen Rechner er eine Verbindung, die an Port X ankommt, weiterleiten soll. Es besteht die Möglichkeit, dass dein Router von Windows über UPnP automatisch gesteuert wird (sobald du besagte Windows-Nachfrage bestätigst), dazu muss diese Funktion aber am Router eingeschaltet sein. Befrage dazu die Anleitung deines Routers.
Meine Fritzbox 5050 hat beispielsweise unter Einstellungen -> System -> Netzwerkeinstellungen folgenden Punkt[ ] Änderungen der Sicherheitseinstellungen über UPnP gestatten
Programme mit UPnP-Unterstützung können Sicherheitseinstellungen wie die Portfreigaberegeln der FRITZ!Box automatisch verändern. Aktivieren Sie diese Option aus Sicherheitsgründen nur, wenn Sie tatsächlich eingehende Verbindungen aus dem Internet gestatten möchten.
Außerdem habe ich bei "Lass sie einfach machen" keine gutes Gefühl, möchte ja verstehen was sie macht. Sich auf irgendwas zu verlassen, was man nicht versteht finde ich nicht so gut.
Hast du mal in die Windows-Hilfe geguckt? Auf dem Arbeitsplatz F1 drücken. Die Firewall sollte sich in der Systemsteuerung befinden (zumindest tut sie das bei XP), auch dort kannst du die Hilfe aufrufen.
Unter XP kannst du in der Windows-Firewall nur einstellen, welches Programm Verbindungen von welchen IP-Adressen annehmen darf. Das reicht vollkommen aus.
-
-
Die Firewalls die ein Router bietet sind meistens ein nebeneffekt der NAT und des Port-Forwardings - nur halt schön verpackt.
Hab mich bezüglich NAT nochmal informiert. Eine Frage anhand eines Beispiels.
Im LAN befinden sich zwei Rechner.
- 192.168.0.10 (Rechner A)
- 192.168.0.20 (Rechner B)
Angenommen Rechner A baut eine Verbindung zu einem Webserver auf. Der Router ersetzt die private Adresse von Rechner A durch seine öffentliche und speichert gleichzeitig in einer Tabelle den Port von Rechner A der zu dieser Verbindung gehört. Antwortet nun der Webserver an Rechner A so schaut der Router in der Tabelle nach und kann anhand des Ports den richtigen Rechner (in diesem Fall Rechner A) identifizieren.
Das heißt also wenn ich Rechner A von außen Angreife muss ich ja erstmal am Router vorbei. Um Rechner A von außen angreifen zu können müßte ich also irgendwie Einblick in diese Tabelle haben können, in der steht welchem Rechner welche Ports zugeordnet sind.
Bezeichnet man diese Funktionalität als "Firewall", weil ja kein direkter Zugriff auf den Rechner, sondern nur über die NAT Funktion des Routers, möglich ist.
-
Das heißt also wenn ich Rechner A von außen Angreife muss ich ja erstmal am Router vorbei. Um Rechner A von außen angreifen zu können müßte ich also irgendwie Einblick in diese Tabelle haben können, in der steht welchem Rechner welche Ports zugeordnet sind.
Prinzipiell ja - darum ist es auch einfacher "Huckepack" anzugreifen, da der Router Traffic von außen ohnehin nur durchlässt, wenn er auch angefordert wurde.
Bezeichnet man diese Funktionalität als "Firewall", weil ja kein direkter Zugriff auf den Rechner, sondern nur über die NAT Funktion des Routers, möglich ist.
Die Routerhersteller schon ;) im Grunde genommen hat es aber mit einer Firewall nichts zu tun, da diese Logik zwangsläufig durch die limitierten Kapazitäten des Routers entsteht und nicht bewusst.
-