Gefährliche Portfreigabe?

[PathFinder 10]

Hallo,

 

bitte nicht hauen wenn die Frage selten doof ist, aber ich muss euch damit belästigen.

 

Situation:

 

- Softwaredeployment Software die im Rechenzentrum installiert ist.

- Kundenbezogene Installationen in den LANs der Kunden, diese werden vom RZ gefüttert

 

Und damit das klappt müssen in das Kunden LAN zwei Ports freigegeben werden.

 

Der erste ist 8383 und terminiert an einem Webserver das ist sicher kein Ding.

 

Der zweite Port ist 389 und terminiert am AD =)

 

Jetzt mein Problem:

 

Bei den meisten Kunden haben wir "ordentliche" Firewalls die können den Port freigeben und die WAN Seite einschränken so das nur die IP des Servers aus dem RZ diesen Port nutzen darf. Ich denke damit wäre das Problem normalerweise erschlagen.

 

Jetzt haben wir aber auch kleinere Kunden denen wir keine LANCOM Firewall oder ähnliches hinstellen können / wollen, weil das mit Kanonen auf Spatzen geschossen wäre.

 

Meine Frage ist einfach nur, für wie kritisch schätzt ihr es ein wenn der Port 389 für 0.0.0.0 freigegeben wäre, also "the whole World"?

 

Ich bekomme bei dem Gedanken Schweißausbrüche und halte das für fahrlässig und fatal.

 

habe ich damit recht oder bin ich nur hysterisch?

 

Ich suche noch eine bessere Lösung, evtl mit onDemand-Site-2-Site VPNs das würde zwischen dem RZ und den FRITZ!Boxen die bei den kleinen Kunden verbaut sind schon klappen, aber das alles ist mit ordentlichem Aufwand verbunden, den ich natürlich betreien würde.

 

Meine Frage ist kurz und knapp, ist das notwendig, oder kann ich den Port öffnen?

 

lg der Path

bearbeitet 7. Dezember 2013 von PathFinder

[MrCocktail 204]

Und warum nicht einfach die Firewall der Fritzbox nutzen?

Geht allerdings nicht über die grafische Benutzeroberfläche

 

http://blog.schmidt.ps/2007/05/30/die-interne-fritzbox-stateful-firewall/#comments

[Dunkelmann 96]

Das Kunden AD per Port Forwarding im iNet veröffentlichen? Das war hoffentlich nur eine rethorische Frage.

 

Es gibt genügend Open Source Firewalls mit IPSec Funktion. (z.B. IPFire, IPCop, DDWRT)

[PathFinder 10]

Hallo ihr zwei,

 

danke für die Antworten.

 

Ja das war eben eine rethorische Frage.

 

Von IPCops kommen wir, es müssen aus verschiedenen Gründen FRITZ!Boxen sein.

 

Wann hat denn das letzte mal einer von euch probiert die ar7.cfg zu modden?

 

Das klappt nähmlich mit den neueren Fimrware Versionen offensichtlich nicht mehr.

 

Freetz ist auch keine Lösung. Klappte auch nicht mehr.

 

Wenn jemand mehr weiß und ich mich irre, bitte klärt mich auf =)

 

lg

bearbeitet 7. Dezember 2013 von PathFinder

[zahni 587]

Wie wäre es mit einer VPN-Verbindung zu diesem RZ-Dingsbums ?

[PathFinder 10]

Hi,

 

ja darauf wird es wohl hinauslaufen. Danke