UGREEN NAS: Firewall in UGOS Pro richtig einrichten
Teil 50 der UGREEN-Serie: die UGOS-Firewall einrichten, Regeln aktivieren, Heimnetz und Docker-Netze erlauben und die Grenzen bei Docker-Ports und IPv6 kennen.
Werbung Mit * markierte Links sind Werbelinks: Bei einem Kauf erhalten wir eine Provision, der Preis bleibt gleich. Als Amazon-Partner verdiene ich an qualifizierten Verkäufen. Mehr dazu
Die Firewall in UGOS Pro legt fest, welche Geräte welche Dienste der NAS erreichen dürfen. Richtig eingestellt, sperrt sie alles aus, was nicht aus Ihrem Heimnetz kommt. Falsch eingestellt, sperrt sie Sie selbst aus oder schützt weniger, als die Oberfläche vermuten lässt. Diese Anleitung zeigt Schritt für Schritt, wie Sie die UGOS-Firewall einrichten, warum eine neue Regel zuerst nichts bewirkt, welche Grundeinstellung sinnvoll ist, wo die Firewall nicht greift, nämlich bei veröffentlichten Docker-Ports, und warum sie mit Zugriff verweigern auch IPv6 aus dem Heimnetz sperrt.
Voraussetzungen
- Eine UGREEN NAS mit UGOS Pro und ein Konto mit Administratorrechten
- Die Adresse Ihres Heimnetzes, etwa 192.168.1.0 mit der Präfix-Länge 24. Sie steht im Router, bei einer FRITZ!Box unter Heimnetz, Netzwerk, Netzwerkeinstellungen.
- Ein zweites Gerät zum Prüfen, etwa ein Notebook oder Smartphone im WLAN
- Für die Kontrolle der Regeln SSH, siehe Teil 52
- Etwa 30 Minuten
Was die UGOS-Firewall schützt und was nicht
Die Firewall arbeitet auf der NAS selbst. Sie entscheidet über Verbindungen zu Diensten, die UGOS direkt bereitstellt, etwa die Weboberfläche oder SSH. Läuft eine App als Docker-Container mit veröffentlichtem Port, gilt Schritt 9. Sie ersetzt nicht den Router: Was von außen kommt, hält schon die FRITZ!Box ab, solange Sie keine Portfreigabe einrichten, siehe Teil 51. Sinnvoll ist die UGOS-Firewall vor allem, wenn Sie Dienste für das Internet freigeben oder Geräte in Ihrem Netz haben, denen Sie nicht trauen, etwa ein Gastnetz oder smarte Geräte.
Zwei Besonderheiten zeigte unser Test deutlich, beide erklären wir in eigenen Schritten: Ports, die ein Docker-Container veröffentlicht, sperrte die UGOS-Firewall nicht. Und Regeln mit IPv4-Adressen gelten nicht für IPv6, mit Zugriff verweigern ist IPv6 deshalb gesperrt.
Schritt 1: Die Firewall öffnen und einschalten
Öffnen Sie die Systemsteuerung, links Sicherheit, Reiter Firewall. Im Auslieferungszustand ist sie aus:
Schalten Sie die Firewall ein. Danach erscheint der Bereich Firewall-Konfiguration auswählen mit dem Knopf Hinzufügen, und die Firewall-Benachrichtigung ist automatisch angehakt:
Das Einschalten allein sperrt noch nichts. Ohne Konfiguration blieben bei uns alle Dienste erreichbar, die Regeln auf der NAS änderten sich nicht.
Verifizieren: Der Schalter steht auf ein, und darunter erscheint Firewall-Konfiguration auswählen.
Schritt 2: Eine Konfiguration anlegen
Klicken Sie auf Hinzufügen. Eine Konfiguration ist eine Liste von Regeln mit einer Grundeinstellung für alles, was keine Regel trifft:
Vergeben Sie einen Namen, etwa Heimnetz. Die Regeln prüft die Firewall von oben nach unten, die erste passende Regel entscheidet. Die Reihenfolge ändern Sie per Ziehen am Griff links in jeder Zeile. Unten steht die Grundeinstellung Wenn keine der oben genannten Regeln erfüllt ist, voreingestellt auf Zugriff erlauben. Lassen Sie sie vorerst so, bis Ihre Erlauben-Regeln stehen. So sperren Sie sich beim Einrichten nicht versehentlich aus.
Verifizieren: Der Dialog Neue Firewall-Konfiguration hinzufügen ist offen, mit Ihrem Namen und Zugriff erlauben als Grundeinstellung.
Schritt 3: Eine Regel anlegen
Klicken Sie auf Neue Regel hinzufügen. Eine Regel besteht aus vier Angaben:
- Berechtigungen: Erlauben oder Ablehnen.
- Netzwerkverbindung: ALL oder ein einzelner Anschluss wie LAN1 oder LAN2. Das Feld ist Pflicht.
- Port: Alle, ein Dienst aus der Liste der integrierten Dienste oder Benutzerdefiniert.
- Quell IP: Alle oder eine Spezifische IP-Adresse.
Bei Benutzerdefiniert legen Sie Zielports fest, mehrere durch Kommas getrennt oder als Bereich, dazu das Protokoll:
Die Quelle geben Sie unter Spezifische IP-Adresse als einzelnen Host, als Subnetz mit Präfix-Länge oder als Bereich von bis an. Für Ihr Heimnetz nehmen Sie Subnetz, etwa 192.168.1.0 mit der Präfix-Länge 24:
Legen Sie als erste Regel die für Ihr Heimnetz an: Erlauben, Netzwerkverbindung ALL, Port Alle, Quell IP Subnetz Ihres Heimnetzes. Bestätigen Sie mit OK. Die Regel erscheint in der Liste der Konfiguration. Die folgenden Bilder zeigen als Beispiel eine Sperrregel für zwei Testports, an ihr sieht man die Wirkung am deutlichsten.
Verifizieren: Die Regel steht in der Liste mit Netzwerkverbindung, Ports, Quell IP und Berechtigung.
Schritt 4: Die Regel aktivieren
Das ist der Stolperstein in UGOS: Eine neue Regel ist nicht aktiv. Der Haken in der Spalte Aktivieren ist leer:
Wir haben das geprüft: Eine Sperrregel für zwei Testports speicherten wir zuerst mit leerem Haken. Beide Ports blieben erreichbar, UGOS legte keine Sperre an. Erst mit Haken griff die Regel. Setzen Sie also bei jeder Regel den Haken und klicken Sie auf Bestätigen:
Die Konfiguration steht danach mit einem Haken in der Liste. Über die beiden Symbole rechts bearbeiten oder löschen Sie sie. Zum Bearbeiten einer einzelnen Regel scrollen Sie die Tabelle im Dialog nach rechts, dort stehen Bearbeiten und Löschen.
Verifizieren: In der Liste der Konfiguration ist bei jeder Regel der Haken Aktivieren gesetzt.
Schritt 5: Prüfen, ob die Regel greift
Verlassen Sie sich nicht auf die Oberfläche, sondern prüfen Sie von einem zweiten Gerät aus. Für einen Webdienst genügt der Browser oder curl. Ersetzen Sie Adresse und Port durch Ihre:
curl -m 5 http://192.168.1.10:8080/Eine gesperrte Verbindung beantwortet die NAS nicht, sie verwirft die Pakete. Der Aufruf läuft deshalb in eine Zeitüberschreitung, statt sofort abgelehnt zu werden. Über SSH sehen Sie, welche Regeln UGOS tatsächlich angelegt hat. Die Kette heißt UG_INPUT:
sudo iptables -S UG_INPUT
sudo ip6tables -S UG_INPUTUnsere Sperrregel für zwei Ports stand dort als DROP für TCP und UDP, in iptables und ip6tables. Mehrere Ports, die direkt aufeinander folgen, fasste UGOS zu einem Bereich zusammen, getrennte Ports wie 8098 und 8200 übernahm es als Liste. Vor allen Ihren Regeln lässt UGOS immer Port 5443 zu, auf dem ein nginx-Dienst von UGOS lauscht. Die Weboberfläche auf Port 9999 fällt dagegen unter Ihre Regeln.
Verifizieren: In UG_INPUT steht Ihre Heimnetzregel als RETURN mit Ihrem Subnetz, etwa -s 192.168.1.0/24 -j RETURN. Eine Sperrregel erkennen Sie an DROP, der gesperrte Dienst antwortet dann vom zweiten Gerät aus nicht mehr.
Schritt 6: Die sinnvolle Grundeinstellung
Einzelne Ports zu sperren, hilft wenig. Sicherer ist es, nur bekannte Netze zu erlauben und alles andere zu verweigern. Dafür brauchen Sie mindestens zwei Erlauben-Regeln mit Port Alle:
- Ihr Heimnetz, etwa 192.168.1.0/24.
- Die Netze Ihrer Docker-Container. Container sprechen die NAS über deren Adresse an, zum Beispiel ein Reverse Proxy, der die Weboberfläche von UGOS weiterreicht, oder ein Monitoring, das Dienste prüft. Diese Zugriffe laufen durch die Firewall. In unserem Test kam ein Container nicht mehr an einen Dienst der NAS, als wir sein Netz sperrten.
Welche Netze Ihre Container nutzen, sehen Sie in der App Docker unter Netzwerk oder über SSH:
for n in $(sudo docker network ls -q); do sudo docker network inspect -f "{{.Name}} {{range .IPAM.Config}}{{.Subnet}} {{end}}" $n; doneViele Docker-Netze liegen in 172.16.0.0/12, aber nicht alle. Docker und eigene Compose-Dateien legen Netze auch in Bereichen wie 192.168.x.x oder 10.x.x.x an. Erlauben Sie jedes Netz, aus dem Container die NAS erreichen sollen, und wählen Sie bei diesen Regeln die Netzwerkverbindung ALL. Nutzen Sie ein VPN wie WireGuard, siehe Teil 48, prüfen Sie auch, aus welchem Netz dessen Zugriffe kommen.
Bevor Sie umstellen, lesen Sie Schritt 7: Mit Zugriff verweigern sperrt UGOS auch alle Zugriffe über IPv6, auch aus dem Heimnetz. Erst wenn die Erlauben-Regeln aktiv sind und Sie Schritt 7 geprüft haben, stellen Sie die Grundeinstellung auf Zugriff verweigern:
Bei uns legte UGOS daraus je eine Regel für die beiden Netze und am Ende eine Sperre für alles andere an. Die Weboberfläche und eine neue SSH-Verbindung blieben aus dem Heimnetz erreichbar, ebenso der Testdienst aus einem Container.
Verifizieren: Vom zweiten Gerät im Heimnetz erreichen Sie die Weboberfläche und Ihre Freigaben, eine neue SSH-Verbindung klappt, und Ihre Container arbeiten weiter.
Schritt 7: IPv6 nicht vergessen
Die Regeln mit IPv4-Adressen gelten nur für IPv4. Mit Zugriff verweigern sperrt UGOS IPv6 deshalb fast vollständig: In ip6tables standen bei uns nur Ausnahmen für die IPv6-Nachbarerkennung, danach eine Sperre für alles. Geräte, die die NAS über IPv6 ansprechen, kommen dann nicht mehr durch, auch aus Ihrem Heimnetz.
Ob Ihre Geräte die NAS über IPv6 erreichen, hängt von Router und Geräten ab. Nutzen Sie die NAS ausschließlich über ihre IPv4-Adresse, merken Sie davon nichts. Greifen Geräte über IPv6 zu, etwa über einen Namen, den der Router auch mit einer IPv6-Adresse auflöst, bleiben Sie bei Zugriff erlauben und sperren gezielt, oder sprechen Sie die NAS nur über ihre IPv4-Adresse an.
Verifizieren: Ein ping auf den Namen der NAS zeigt, ob ein Gerät sie über IPv4 oder IPv6 anspricht. Mit sudo ip6tables -S UG_INPUT sehen Sie, ob am Ende eine Sperre für IPv6 steht. Prüfen Sie danach, ob Ihre Geräte die NAS weiter erreichen.
Schritt 8: Docker-Ports schützt die Firewall nicht
Das wichtigste Ergebnis unseres Tests: Einen Container, der seinen Dienst mit -p oder ports: auf einem Port der NAS veröffentlicht, sperrt die UGOS-Firewall nicht. Unsere Sperrregel galt für einen Port auf der NAS selbst und für einen veröffentlichten Container-Port. Der Dienst der NAS war gesperrt, der Container blieb erreichbar.
Der Grund liegt in der Technik: Verbindungen zu veröffentlichten Container-Ports leitet Docker weiter, statt sie an die NAS selbst zu stellen. Die Regeln von UGOS stehen aber nur in der Kette für Verbindungen zur NAS selbst. In der Kette für weitergeleitete Verbindungen hängt UGOS zwar eine eigene Kette ein, legt dort aber keine Ihrer Regeln an.
Für die Praxis heißt das:
- Veröffentlichen Sie Container-Ports nur, wenn Sie sie wirklich brauchen.
- Steuern Sie den Zugriff aus dem Internet über die Portfreigaben im Router. Was der Router nicht weiterleitet, erreicht den Container von außen nicht.
- Für Dienste, die nur bestimmte Geräte nutzen sollen, setzen Sie einen Reverse Proxy mit Zugriffsliste davor, siehe Teil 47.
- Prüfen Sie jeden Container-Dienst nach dem Einrichten von einem zweiten Gerät aus, statt sich auf die Firewall zu verlassen.
Verifizieren: Legen Sie vorübergehend eine aktive Sperrregel für den Port eines Containers an und rufen Sie ihn vom zweiten Gerät aus auf. Antwortet der Container, gilt dieser Schritt für Sie. Löschen Sie die Testregel danach wieder.
Schritt 9: Sicher einrichten, ohne sich auszusperren
Eine falsche Regel kann Sie von der Weboberfläche aussperren. Gehen Sie deshalb so vor:
- Halten Sie eine SSH-Verbindung offen, um die Regeln mit iptables zu kontrollieren. Bestehende Verbindungen lässt die Firewall weiter zu, bei uns blieb eine offene SSH-Sitzung über alle Änderungen hinweg bestehen.
- Legen Sie zuerst die Erlauben-Regeln für Heimnetz und Docker-Netze an, aktivieren Sie sie, und stellen Sie erst danach auf Zugriff verweigern.
- Prüfen Sie nach jedem Bestätigen von einem zweiten Gerät aus und mit einer neuen SSH-Verbindung, nicht nur mit dem offenen Browserfenster.
- Halten Sie ein zweites Gerät aus dem erlaubten Heimnetz bereit. Geht etwas schief, melden Sie sich dort an der Weboberfläche an und schalten die Firewall aus. Beim Ausschalten entfernte UGOS bei uns die Sperren sofort wieder.
Verifizieren: Nach dem Speichern erreichen Sie die NAS mit einer neuen Verbindung vom zweiten Gerät aus.
Typische Fehler
- Haken bei Aktivieren vergessen: Die Regel steht in der Liste, wirkt aber nicht.
- Zugriff verweigern zuerst gesetzt: Ohne Erlauben-Regel für Ihr Heimnetz sperren Sie sich aus. Erst erlauben, dann verweigern.
- Docker-Netze vergessen: Reverse Proxy, Monitoring und andere Container erreichen Dienste der NAS nicht mehr.
- IPv6 übersehen: Mit Zugriff verweigern sind Zugriffe über IPv6 gesperrt, auch aus dem Heimnetz.
- Auf die Firewall für Container verlassen: Veröffentlichte Container-Ports bleiben erreichbar.
- Nur im offenen Browser getestet: Bestehende Verbindungen bleiben erlaubt. Testen Sie mit einer neuen Verbindung.
Häufige Fragen
Brauche ich die UGOS-Firewall, wenn ich eine FRITZ!Box habe?
Für Zugriffe aus dem Internet schützt schon der Router, solange Sie keine Ports freigeben. Die UGOS-Firewall lohnt sich, wenn Sie Dienste der NAS ins Internet freigeben oder Geräte im Netz haben, die nicht auf die NAS zugreifen sollen.
Warum antwortet ein gesperrter Dienst nicht mit einer Fehlermeldung?
UGOS verwirft gesperrte Pakete, statt sie abzulehnen. Programme warten deshalb bis zur Zeitüberschreitung.
Meldet die NAS, wenn die Firewall etwas sperrt?
Die Option Firewall-Benachrichtigung soll laut Beschreibung melden, wenn die Firewall eine Anwendung oder einen Dienst blockiert. Für unsere gesperrten Testports und den gesperrten Container kam keine Meldung. Verlassen Sie sich darauf nicht.
Was bedeutet DoS-Schutz im Reiter Sicherheit?
Die Option steht getrennt von der Firewall im Reiter Sicherheit. Auf unserer NAS waren Grenzen für Verbindungsfluten in den Regeln schon aktiv, obwohl der Haken bei DoS-Schutz nicht gesetzt war.
Gelten die Regeln für beide Netzwerkanschlüsse?
Mit Netzwerkverbindung ALL ja. Sie können eine Regel auch auf LAN1 oder LAN2 beschränken, etwa wenn ein Anschluss an einem eigenen Netz hängt, siehe Teil 43.
Fazit
Die UGOS-Firewall ist schnell eingerichtet, hat aber Tücken. Neue Regeln sind erst nach dem Haken bei Aktivieren wirksam, und eine sinnvolle Konfiguration erlaubt Heimnetz und Docker-Netze, bevor sie alles andere verweigert. Bei veröffentlichten Container-Ports schützt sie weniger, als die Oberfläche vermuten lässt, bei IPv6 sperrt sie mit Zugriff verweigern mehr als erwartet. Prüfen Sie deshalb jede Regel von einem zweiten Gerät aus und steuern Sie Zugriffe aus dem Internet weiterhin über den Router.
