TomL hat geschrieben: ![↑ zum Beitrag ↑](https://debianforum.de/forum/styles/debianforumde/theme/images/debianforum_uparrow.png)
23.03.2018 15:13:19
Wie hast Du die angeblichen Schwächen des Provider-Routers bestätigt[?]
Fremde Managementhoheit (Provider). Daraus folgt: Teil des "bösen" WAN/Internet.
TomL hat geschrieben: ![↑ zum Beitrag ↑](https://debianforum.de/forum/styles/debianforumde/theme/images/debianforum_uparrow.png)
23.03.2018 15:13:19
... und wie hast Du infolgedessen bestätigt, dass der 2. (innere) Router diese Schwächen nicht hat[?]
https://tools.cisco.com/security/center ... nListing.x Ähnliches von AVM?
Des Weiteren kein Managementzugang aus WAN, ausschliesslich meine Managementhoheit (SSH nur von bestimmten Rechnern im LAN), ausführliche Logs, individuelle Konfiguration meinem Netz und meinem Traffic angepasst: Interzonen-Traffic reguliert (und Drops geloggt) mittels LAN-Segmentierung durch VLANs und Sicherheitszonen (WAN, untrusted, trusted, WLAN, Router-Self-Zone) sowie nur bestimmte Geräte (IPs + MACs) zugelassenen. Einsatz professioneller Firewall-Software mit regelmäßigen Updates und proaktiver Fehlersuche/Beseitigung/Bugtracker/Dokumentation des Herstellers. Noch individuelle Feinheiten wie indivduell getestete Thresholds und Logging bei Überschreitung, Maximum neue Sessions/s, halboffene Sessions etc.
Open-Source-Firewalls können Dritte auf Backdoors und Fehler prüfen, ich kann und will es nicht. Meinem Autohersteller vertraue ich auch - und da hängt sogar mein Leben dran. Da mein Zeug nicht hochwichtig ist, Router/FWs/Netzwerke Hobby sind, probiere ich Verschiedenes, derzeit läuft Cisco IOS, PFSense oder OPNSense auf professionellem Thin Client in Vorbereitung. PFSense hatte ich früher schon mal auf einer China-Büchse.
TomL hat geschrieben: ![↑ zum Beitrag ↑](https://debianforum.de/forum/styles/debianforumde/theme/images/debianforum_uparrow.png)
23.03.2018 15:13:19
und was viel wichtiger ist, dass er nicht noch zusätzlich weitere (möglicherweise unbekannte/unentdeckte) Schwächen hat, die durch unsachgemäßes Customizing entstanden sind?
Intensives Literaturstudium bezüglich Firewalling, Übersichtlichkeit der Regeln durch Firmware-Hersteller: Nutzung durch Experten vorgefertigter, gehärteter, spezieller "Distributionen" (z. B. PFSense, OPNSense, Cisco). Unterstützung durch GUI bzw. Konfigs in 1 Datei, nicht "verstreuselt". Eigene Abschlusstests / "Qualitätskontrolle" mit Werkzeugen wie nmap. Am meisten gelernt habe ich bei Cisco mit hervorragender Dokumentation, z. B.:
https://www.cisco.com/c/en/us/support/d ... guide.html
https://www.cisco.com/c/en/us/td/docs/i ... ol-fw.html
(Zone self / Router unbedingt beachten, regeln!)
@TO: Sorry für OT.
![Hail :hail:](./images/smilies/icon_hail.gif)