Verbinding dicht

[Timo]

@pa4wdh

Dat klopt. In mijn herinnering waren het 4 profielen ofzo, van helemaal open tot alles inkomend blokkeren en een paar tussenvarianten.

Het waren inderdaad 4 profielen, dat weet ik, want die heb ik zelf geconfigureerd

Uit het archief, dit waren de 4 profielen:

Niveau 1
Beveiligde poort	Protocol
135					tcp, udp
445					tcp, udp
1434				tcp

Niveau 2
Beveiligde poort	Protocol
135					tcp, udp
137					tcp, udp
139					tcp
445					tcp, udp
1434				tcp

Niveau 3
Beveiligde poort	Protocol
19					udp
25					tcp, udp
135					tcp, udp
137					tcp, udp
139					tcp
445					tcp, udp
1434				tcp
1900				udp
5353				udp

Niveau 4
Beveiligde poort	Protocol
19					udp
25					tcp
53					tcp, udp
123					udp
135					tcp, udp
137					tcp, udp
139					tcp
161					udp
445					tcp, udp
1080				tcp
1433				tcp
1434				tcp
5353				udp
5060				tcp,udp

(provider prefixes excluded)

Van veel van deze poorten kan je je afvragen hoe relevant dat nu nog is, ik bedoel Netbios, RPC, SMB, hoeveel mensen hebben dat nog open staan op hun CPE? En SQL Slammer (1434) is ook al weer 23 jaar oud. Ik zie bij Freedom maar erg weinig abuse- of beveiligingsincidenten op dit soort poorten, en ook open relay SMTP servers zijn een zeldzaamheid geworden. Bovendien zou geen van deze profielen het huidige probleem van Rob opgelost hebben

Maar een wat meer relevante versie van de filters is misschien geen gek idee, daar kunnen we best eens naar kijken. Wat zou daar wat jullie betreft wel of juist niet in moeten staan?

@pa4wdh

Het grootste punt wat ik zie, zeker met de breedbandige verbindingen van tegenwoordig, is dat firewall hardware met dat soort capaciteiten niet goedkoop is, en voor redundantie wil je er dan waarschijnlijk twee hebben. Wil het het onderscheid maken tussen een nieuwe connectie met source poort 443 en een reply op je eigen http(s) request zal je waarschijnlijk wel iets statefulls moeten hebben, met een ACL op een router ga je dat niet redden.
En dan maar africhten dat die voor de “niet filteren” optie ook écht niets doet, dat is vaak ook lastiger dan het lijkt , of je moet met andere netwerk trucs dat verkeer om de firewall een leiden natuurlijk.

Dat valt allemaal wel mee hoor, hiervoor worden de firewall rules op de BRAS/BNG gebruikt, die kunnen dat makkelijk aan. Je stelt gewoon per filter niveau een firewall rule samen, en die wijs je dan dynamisch toe aan de ppp interface van de subscriber. Er hoeft dus ook geen hardware voor aangeschaft te worden, en verkeer omleiden is ook niet nodig.

[Timo]

@sput

Ondertussen vraag ik me af of bij een snelheidsverhoging mijn IP adressen (IPv4 en IPv6) het zelfde blijven. Een verdubbeling voor 24 pj extra is misschien niet zo’n gek plan. Het verminderd de kans dat je PPP LCP pings kwijtraakt.

Bij een snelheidswijziging blijven het IPv4 adres en de IPv6 prefix ongewijzigd.

[pa4wdh]

@Timo

Maar een wat meer relevante versie van de filters is misschien geen gek idee, daar kunnen we best eens naar kijken. Wat zou daar wat jullie betreft wel of juist niet in moeten staan?

Volgens mij richt veel misbruik zich tegenwoordig op remote access poorten: ssh, rdp, dat soort dingen. Als je dat niet nodig hebt kan ik me voorstellen dat een filter bij je ISP wat extra zekerheid kan geven bij foutjes.
Voor mijzelf is alleen een compleet open profiel van belang .

@Timo

Dat valt allemaal wel mee hoor, hiervoor worden de firewall rules op de BRAS/BNG gebruikt, die kunnen dat makkelijk aan. Je stelt gewoon per filter niveau een firewall rule samen, en die wijs je dan dynamisch toe aan de ppp interface van de subscriber. Er hoeft dus ook geen hardware voor aangeschaft te worden, en verkeer omleiden is ook niet nodig.

Dat is netjes, meestal zie je in dat soort apparatuur alleen heel basic (niet statefull) filters en daar zou je voor het misbruik waar dit topic om begonnen is niets aan hebben.

[Larry]

Wellicht als het voor Freedom opportuun kan worden, kunnen we een topic maken om eventuele gedachten en voorstellen daarin inhoudelijk door te akkeren op dan een haalbaarheid voor een aanvullende “Freedom Poort Filter”.
//–//
Belangrijkste lijkt mij dat, net als dat xs4all dat destijds had, er een keuze mogelijk is. Ik vind dat een ISP een basale vorm van beveiliging moet kunnen bieden op de aansluiting die niet perse afhankelijk is van een bepaald modem, kunde of zo.

Er zijn hier wel wat gedachten met sws die (oude) bios/serie, sws 443 & snmp/161 die ik toch regelmatig (open) tegenkom. Met dat wat vanwege ISP niet doorlaat op een CPE, daar sws zelf wat minder issues zal geven.

Andere gedachten in willekeurige volgorde die mij nu te binnen schieten:

• dns/53, telnet/23, web/site (80/8080), ftp/21, ssh/22, Voip//5060, mqtt/1883, vnc/5900, rdp/3389, rsync/893, syslog/514, mysql/3306, cups/631, AMT/1699x, vpn/17xx, smtp/25, pop3/110, ntp/123
  en meer van dat soort generieke usual suspects die iemand onbedacht kan hebben openstaan op een whatever CPE.

Natuurlijk is daarin weer (af)bespreken, wat of dat naar wiens inzicht in welke mate (ir)relevant is als afweging.

In & naar welke groepering verdeeld is dan daarin weer een verdelende discussie.
Ik zou zelf de volgende groepen willen bedenken:

1. elementair bedreigend, zowat alles < 1024 plus 2 & 3.
2. beter van niet met allerhande gangbare services poorten.
3. diensten die zelf al veilig geacht of een ingestelde autorisatie bevragen
4. niets (wat we nu hebben).

[sput]

Hoi

In dat geval verneem ik graag welke procedure hiervoor te volgen. Ik vind dat ik wel een hogere snelheid heb verdient.

Vr.Gr,
Rob

[Timo]

@sput

In dat geval verneem ik graag welke procedure hiervoor te volgen. Ik vind dat ik wel een hogere snelheid heb verdient.

Hoe kan ik de snelheid van mijn abonnement wijzigen? | Freedom Helpdesk

[Erik]

@Timo

Maar een wat meer relevante versie van de filters is misschien geen gek idee, daar kunnen we best eens naar kijken. Wat zou daar wat jullie betreft wel of juist niet in moeten staan?

In mijn geval ging er mogelijk iets mis met wat in de Fritzbox Provider Services heet.
De toenmalige 5490 maakte een roll-back naar een oude firmware.
Er was nooit duidelijkheid of er van buitenaf iemand er in gekomen was.
Ook dit is in de 5590 nieuwer en anders.
Of een filter de zekerheid kan verhogen, weet ik ook niet.
TR-x69 staat nog steeds uit en gaat slechts op verzoek van de helpdesk even aan, als het moet.

[sput]

Hoi

Vrijdag ochtend verse snelheid aangevraagd. Later die ochtend kreeg ik een mailtje dat de snelheid hoger zou worden. Vrijwel onmiddellijk daarna ging de link down die vervolgens meteen weer opkwam gevolgd door een mailtje dat de nieuwe snelheid actief was. Dit alles in een minuut! Erg efficiënt.

Vr.Gr,
Rob

[Larry]

Wel goed te benoemen hoe dit door SOMS, het door Freedom zelf gemaakte Order Management tool, verloopt waarmee zij haar aangevraagde orders als taken van een abbo laat uitvoeren.

Zie voor info: Een technisch kijkje in de development-keuken 3/3 | Freedom

[sput]

Hoi

DIY Rulez!

Vr.Gr,
Rob