TwoCom Online-Forum

[bernostern]

Hallo,

wie sicher ist den eigentlich das Webinterface/Telnet? Wenn ich ein 8-stelliges Passwort vergebe und es laaaange dauert bis das jemand durchprobiert hat, kann man sich dann sicher fühlen?

Gibt es eine Meldung, dass über http oder telnet schon mal auf einen Draytek (2200X) eingebrochen wurde?

Danke,
Bern

[deMattin]

wie sicher ist den eigentlich das Webinterface/Telnet? Wenn ich ein 8-stelliges Passwort vergebe und es laaaange dauert bis das jemand durchprobiert hat, kann man sich dann sicher fühlen?

Nein - jedes mit Passwort geschützte System ist auch relativ leicht (mi gewissem Zeitaufwand) zu knacken. Du solltest daher die Fernwartung nur aktivieren, wenn du sie auch wirklich brauchst.
Die alternative und deutlich sichere Methode ist es, eine VPN-Verbindung in's LAN aufzubauen und dann hierüber den Router (fern) zu konfigurieren.
Diese Webinterface oder telnet-Fernwartung halte ich nur für eine schnelle Möglichkeit, wenn man mal kurzfristig auf einen Router muss und für Supportzwecke das kurz freischaltet.

Gibt es eine Meldung, dass über http oder telnet schon mal auf einen Draytek (2200X) eingebrochen wurde?

Das wird dir keiner erzählen
Meine Meinung dazu: s.o.

Gruss,
Martin

[kdd]

Hi,
@deMattin

Die alternative und deutlich sichere Methode ist es, eine VPN-Verbindung in's LAN aufzubauen und dann hierüber den Router (fern) zu konfigurieren.

und wie bitte kommst du dann auf den Router, wenn die Fernwartung aus ist?
Meines Wissens ist das seit FW1.8 nicht mehr möglich. Die VPN und isdn Dial Ins erhalten eine IP Adresse aus dem Kontingent aber mit /32 Subnetzmaske. Damit schliesst sich dann die Router IP zu diesen IP Adressen ab. Ein Konfiguration ist nicht möglich.

Workaraound Vorschlag für "Fernwarter"
Lösung 1:
Man installiere einen Remote Desktop (Netmeeting oder Terminal Server) und Konfiguriere via isdn oder VPN und Remote Desktop.

Lösung 2:
Man öffne die Fernwartung und hänge zwei Filter an den default Data Filter.
Der eine blockt alle Incoming Packets mit Port Nr. 23 (Telnet);
Der andere blockt alle Incoming Packets mit Port Nr 80 bzw dem eingestellten Web User Interface (WUI) Port.
Zwar bemerken Scanner nun, das der Telnet und WUI Port offen seien, aber die Firewall ist dicht!
Nun können alle Dial Ins/VPN Verbindungen auf den Router sozusagen von hinten durch die Brust ins Auge konfigurieren. Das sind in der Regel Leute, die sich über CHAP, PPTP oder gar L2TP/IPSec authentifiziert haben.

(kleiner) Nachteil:
Alle die sich per Dial In/VPN einwählen haben Zugriff auf den Router, sofern sie das Passwort kennen.