Gefahren durch Port forwarding?
Welche Gefahren enstehen wenn man ein Debian Web und SSH Server im eigenen Netzwerk durch Port forwarding hostet?
7 Antworten
Hinter einem Port verbirgt sich ein Prozess (eine Software). Gibt es in der Software (zum Beispiel einem Web-Server) eine Schwachstelle, besteht die Gefahr, dass man das System übernehmen kann.
Der offene Port ist somit ein mögliches Einfallstor, wenn die Software Bugs aufweist oder falsch konfiguriert ist.
Tipp: Öffne keine Ports, da sonst das Risiko besteht, dass man in das interne Netz eindringen kann.
Grundsätzlich sollten solche Dienste sowieso in einer DMZ sein und niemals in deinem lokalen LAN.
Also: Firewall -> DMZ -> Firewall -> LAN
Bei SSH sehe ich das weniger kritisch, wenn man den SSH Sever ordentlich konfiguriert.
Alles was gesagt wurde, außerdem kannst und solltest du dein System auditieren mit z.B. Lynis. Das zeigt dir mithilfe eines Index-Scores (0-100) an, wie sicher dein System ist und listet außerdem auf was (und wie) du dein System weiter absichern kannst. Außerdem wäre eine "professionelle" Netzwerkinfrastruktur sinnvoll, so ca. nach folgendem Schema
Internet -> Firewall -> DMZ -> Reverse Proxy -> Dein Server
Du öffnest Dein Netz nach außen. Sobald der Rechner, für den die Portweiterleitung gilt, eine Schwachstelle hat, ist Dein gesamtes Netz und alle Geräte darin gefährdet. Der Server sollte also sorgfältig administriert und gehärtet sein. Web- und SSH-Server werden sehr schnell von ungewünschten Gästen besucht werden. Den SSH-Server würde ich ausschließlich mit Public Key Authentication betreiben, Passwort-Authentisierung würde ich deaktivieren. Bei mir scheitern manche Bots schon daran, dass die sehr strikte Kryptoalgorithmen konfiguriert habe. Natürlich ist der Root-Login zu deaktivieren.
Wenn Du auf dem Webserver Dienste betreibst, die nicht öffentlich zugänglich sein sollen, würde ich da eine Authentisierung mit Client-Zertifikat konfigurieren.
Besuche durch unerwünschte Gäste kann man auch verringern, indem man die Dienste auf ungewöhnlichen Ports laufen lässt.
Generell sind Default-Benutzer und Default-Passwörter umzukonfigurieren.
Fail2Ban kann IP-Adressen blockieren, wenn Loginversuche zu häufig nicht erfolgreich waren.
Pro Tip: Stelle deinen SSH-Server nicht auf den Standard-Port 22, denn es gibt jede Menge Programme, die den ganzen Tag nichts anderes machen, als das Internet nach solchen Servern abzusuchen. Bei der Webseite bleibt dir wohl nichts anderes übrig, als Port 80 oder besser 443 zu verwenden, aber über einen Webserver kommt man auch nicht direkt in dein Heimnetz. Benutz ein sehr starkes Passwort für deinen SSH-Server!
Benutz ein sehr starkes Passwort für deinen SSH-Server!
Nein, keine Passwörter nutzen sondern public keys.
Das mit dem nicht standard port empfehle ich zwar auch einfach damit sich nicht hunderte Bots versuchen bei einem anzumelden aber es bringt im Zweifel nicht wirklich mehr Sicherheit, reduziert halt den Müll Traffic.
Na ja, hat beides seine vor- und Nachteile. Einen Private Key musst du irgendwo speichern und der kann dann verloren gehen und/oder in die falschen Hände geraten. Ein starkes Passwort, welches nur in deinem Kopf ist, nicht.
Ein private key ist in der Regel genau so durch ein Passwort geschützt. Passwörter sind unsicher eben genau weil man die sich merken muss, es fällt Menschen schwer sich sichere Passwörter zu merken und deswegen wird oft auf schlechte zurückgegriffen.
Außerdem ist es absolut fatal Passwörter mehrmals zu verwenden, wenn man eine bestimmte Menge an Zugängen hat kann man sich da irgendwann gar nicht mehr sichere, einzigartige Passwörter merken. Es ist fast gar nicht möglich Passwörter sicher zu verwenden ohne einen Passwort Manager.
Du hast natürlich genau Recht. Ich habe leider vergessen, dass man Keys auch verschlüsseln kann. Grüße!
Jemand der in der Lage ist über die Ports auf deinen Server zu gelangen hat auch Zugang zu deinem lokalen Netzwerk.
Ich würde für SSH kein Password Auth nutzen und auf einen nicht Standard port legen. Fail2Ban kann auch sinnvoll sein, damit kannst du bots blocken.
Solange die Anwendungen die auf deinem Webserver laufen einigermaßen sicher sind sehe ich aber kein wirklich großes Problem.
Zusätzliche 2FA Authentifizierung ist bei SSH auch sehr sinnvoll, also Auth per Key und 2FA