AW: Anderer Port für PPTP VPN Verbindung am Speedport Smart 3

[#1]

Ich wollte aus Sicherheitsgründen den VPN Port von 1723 auf einen freien Port 240XX verlegen. Auch um es potentiellen Angreifern erst einmal schwieriger zu machen offene Ports zu ermitteln und welcher Dienst auf diesem Port läuft.

Solange ich für VPN den Port 1723 nutze, kann eine Verbindung korrekt etabliert werden, wechsele ich aber den freigeschalteten Port, kann keine Verbindung mehr aufgebaut werden.

Von extern wird der freigeschaltete Port zwar angezeigt, aber die Verbindung wird nicht mehr etabliert.

Problem besteht seit Wechsel auf Speedport Smart 3.

Ist hierzu etwas bekannt und gibt es vielleicht eine Lösung, an die ich bisher noch nicht gedacht habe - denn ich möchte es einem Angreifer gen schwerer machen und dennoch VPN PPTP nutzen.

[#2 · Accepted solution]

Ich finde das schon besorgniserregend.

Gerade da ich bemerkt habe, dass nachdem ein offener Standardport anschliessend Ziel häufiger aufrufe wurde.

Daher nehme ich an, dass dies Aufmerksamkeit erregt und dann genauer hin gesehen wird.

Ich bin daher nun eine andere Lösung gegangen. Da der Speedport nicht die gewünschte Lösung bat und nach einigem Lesen zum Thema, habe ich den Speedport nun zurück gegeben und mit eine Fritzbox gekauft. Dort vermute ich eine höhere Sicherheit, was mir die Artikel im Internet auch wiederspiegeln.

Leider muss ich damit als Fazit sagen: Die von der Telekom im Standard gelieferte Technik ist nur für die sehr simple Heimnutzung nutzbar. Alles über den absoluten Standard hinaus, wird nicht mehr gut abgedeckt.

[#3]

@Tcomuser001 

Einige Netze sperren bestimmte Ports. Der 1723 ist komischerweise oft offen. Schonmal dran gedacht das es daran liegen könnte?

Ich habe OpenVPN auch versucht auf einen anderen Port zu Legend aber da es viele Netzwerke sperren bringt es nichts. Zwar überlege ich ich noch auf Port 80 mit obfs4 zu gehen um aus jedem Netzwerk zugreifen zu können, aber das wird nicht viel bringen.

Im übrigen bringt eine Portänderung relativ wenig Sicherheit mehr. Angreifer die wirklich auf dein Netz wollen bekommen das in 2min mit.

[#4]

Hallo @Tcomuser001 ,

ich sehe das so:

Wenn du den Port 1723 weiterleitest, vermutet der Smart3, daß es sich um PPTP-handeln könnte, und er die IP-Protokollnummer 47 (GRE) speziell behandeln muß.

Leitest du einer x-beliebigen Port weiter, weiß er das halt nicht.

[#5]

OPenVPN auf einen anderen Port zu legen ist seehr sinnvoll. Viele öffentliche Hotspots erlauben nur den Zugriff auf http, https und einige Email Ports. So gesehen bei MacDoof zum Beispiel.

Aus diesen Netzen erreiche ich mein VPN natürlich nur, weil ich es auf 443 umkonfiguriert habe.

[#6]

@Gelöschter Nutzer 

Ist bei unserem Hochschulnetz genauso, nur dass dort noch Traffic blockiert wird welcher nicht wie HTTPs aussieht. Vermutlich mit deep-Package-Inspektation, nur Port 80 auszuwählen funktioniert nur sehr kurz, danach wird der Traffic blockiert. Wahnsinn was da dahinter steckt für sowas...

obfs4 hilft da.

[#7]

Zwischenzeitlich habe ich Port 1723 mal geöffnet und auf Verbindungsversuche geprüft. Und siehe da. Nur einen Tag später gab es den ersten fehlerhaften Verbindungsversuch.

Damit bestätigt sich leider, dass Standardports keine sinnvolle Lösung sind. Es wird sicherlich immer wieder versucht werden darauf zuzugreifen. Ich habe zwar ein gutes Passwort, aber kein gutes Gefühl dabei hier eine halb offene Tür stehen zu lassen. Jemanden in mein privates Netzwerk zu meiner Familie zu lassen ist keine Option für mich.

Da ich die Verbindung von meinem Android Mobiltelefon aus versuche, schließe ich geblockte ports eigentlich im Netzwerk aus (nur Telekom). Ich vermute daher weiterhin, dass für VPN seitens Telekom Router nur der Standard Port genutzt werden kann, was ich nicht gerade sinnvoll finde. 

[#8]

Hallo in die Runde,

vielleicht steigen @FelixKruemel oder @wari1957 hier noch mal ein?

Viele Grüße
Ina B.

[#9]

@Tcomuser001 

- Zwischenzeitlich habe ich Port 1723 mal geöffnet und auf Verbindungsversuche geprüft. Und siehe da. Nur einen Tag später gab es den ersten fehlerhaften Verbindungsversuch.

Hätte ich jetzt kein Problem damit.

Wenn du schon soviel Wert auf Sicherheit legst, warum dann PPTP und nicht IPSec?

[#10]

Portscans sind mittlerweile ein ganz normaler Vorgang im Internet. Das wird in einer Firewall natürlich als Zugriffsversuch geloggt. An sich ist das aber bei einem einzelnen Ereignis noch kein Grund zur Besorgnis.

Dabei ist es übrigens völlig egal, welchen Port Du wählst. Schau Dich mal bei Shodan um. Es werden eigentlich nahezu alle verfügbaren Ports gescannt.

[#11 · Accepted solution]

Ich finde das schon besorgniserregend.

Gerade da ich bemerkt habe, dass nachdem ein offener Standardport anschliessend Ziel häufiger aufrufe wurde.

Daher nehme ich an, dass dies Aufmerksamkeit erregt und dann genauer hin gesehen wird.

Ich bin daher nun eine andere Lösung gegangen. Da der Speedport nicht die gewünschte Lösung bat und nach einigem Lesen zum Thema, habe ich den Speedport nun zurück gegeben und mit eine Fritzbox gekauft. Dort vermute ich eine höhere Sicherheit, was mir die Artikel im Internet auch wiederspiegeln.

Leider muss ich damit als Fazit sagen: Die von der Telekom im Standard gelieferte Technik ist nur für die sehr simple Heimnutzung nutzbar. Alles über den absoluten Standard hinaus, wird nicht mehr gut abgedeckt.

[#12]

@Tcomuser001 

Es war schon immer so das Speedports nur funktionieren sollen was auch dem größten Teil der Kunden so reicht.

Viel Konfiguration war nie möglich und ich denke das wird sich auch in Zukunft nicht so stark ändern.

[#13]

Guten Morgen @Tcomuser001,

---

Tcomuser001 schrieb: Da der Speedport nicht die gewünschte Lösung bat und nach einigem Lesen zum Thema, habe ich den Speedport nun zurück gegeben und mit eine Fritzbox gekauft.

---

Schade, dass du diesen Weg gehen musstest. Aber es ist nachvollziehbar, es gibt ja für jeden Topf einen passenden Deckel. Die FRITZ!Box 7590 bieten wir übrigens auch als Mietgerät an.

Wenn du noch mal Hilfe brauchst, melde dich gerne bei uns in der Community.

Beste Grüße & einen schönen Donnerstag
Ina B.