Sicherheit - offener Port - Game Server

[Mulleperal]

Servus,

aus meinen vorherigen Thread hat sich eine weitere Fragestellung herauskristallisiert.

Backgroundinfo:
- ) Gameserver (Minecraft) läuft ca. 2 Std. tgl. (nicht jeden Tag --> unter der Woche weniger // Wochenende mehr)
- ) Server wird bei Bedarf gestartet und nach Bedarf heruntergefahren (NUR IM Heimnetzwerk über WoL)
- ) Gameserver (CoD4) soll nur für LAN-Partys und nur im Heimnetzwerk gestartet werden
- ) dzt. Technicolor Modem/Router daheim, bei dem der Port "25564" auf den Server-PC weitergeleitet wird (Modell-Nr. müsste ich (abends) nachsehen)
- ) Es soll nur das Spiel von außen erreichbar sein, sonst ist vorerst kein Dienst geplant
- ) Leitung 50Mbit Down /// 10 Mbit Up

Nun zu meinen Fragen:
- ) Wie kann ich die Sicherheit erhöhen, trotz offenen Port "25564"?
- ) Gibt es einen besseren Port, oder ist egal welche Zahl?
- ) Inwiefern würde eine Hardware-Firewall dieses Problem "lösen" bzw. die Handhabung vereinfachen?
- ) Sollte ich ggf. das Modem tauschen, auf eines welches regelmäßige updates bekommt? --> Welche sind das?(denke das geht schon, da ich damals bei meinen Eltern ein neues von Provider bekam und dieses nur per Service-Telefon mit Mac-Adresse freischalten musste)

Meine Selbstrecherche hat mich zu folgenden gebracht: (bitte Korregieren wenn falsch)
- ) Wenn man einen Port öffnet sollte man dass nur bei Hardware machen die regelmäßig Sicherheitsupdates bekommt.
D.h. sowohl der Gameserver, das Modem oder auch die Hardware-Firewall sollten regelmäßig Updates bekommen.
Zumindest beim Modem würde ich das bezweifeln.
Beim (Linux)-Gameserver werde ich sobald es sicherheitsupdates gibt dies einspielen bzw. die nächste stable Version benutzen.


Um ein paar Antworten vorwegzunehmen:
- ) Ich werde nicht einen im Internet gehosteten Gameserver bestellen. Die Mehr-/Minderkosten nehm ich im Kauf für meine Horizonterweiterung bzw. meine Wissensaneignung.
- ) Sehe das rumbasteln als Hobby an und bin deswegen bereit auch etwas nötiges zu kaufen.
- ) Durch die Server auf Bedarf, halten sich die Stromkosten in Grenzen.
- ) dynDNS sollte bei mir kein Problem sein --> mein Netzbetreiber weist sehr selten neue IPs zu --> fast schon monatlich
- ) Da ich mich beim Server schon sehr viel mit Linux beschäftige, würde ich es vorerst vorziehen, bei der Hardware-Firewall eher ein fertiges Produkt ala "Ubiquiti" oder ähnliches (günstigeres, stabiles, sichereres gern gesehen) zu benutzen.


mfg
Lim

 

[Masamune2]

Wie kann ich die Sicherheit erhöhen, trotz offenen Port "25564"?

Indem der Dienst der hinter dem Port läuft nur die Rechte bekommt die er braucht. Sollte dann eine Sicherheitslücke in dem Dienst ausgenutzt werden kommt der Angreifer damit erst mal nicht direkt auf das komplette System.

Gibt es einen besseren Port, oder ist egal welche Zahl?

Für die Sicherheit spielt der Port im Prinzip keine Rolle, allerdings kann man durch vermeiden von Standardports natürlich in gewissen Maße verhindern durch automatisierte Scans gefunden zu werden. Die Beschränken sich in der Regel auf den Standard, sonst würden sie niemals fertig.

Inwiefern würde eine Hardware-Firewall dieses Problem "lösen" bzw. die Handhabung vereinfachen?

Gar nicht, du hast bereits eine Firewall. Der Router muss durch NAT erst dazu gebracht werden die Pakete dieses Ports an den DIenst weiter zu reichen. Das ist im Prinzip nicht das was man klassisch unter Firewall verstehen würde, erfüllt aber genau den gleichen Zweck.

Sollte ich ggf. das Modem tauschen, auf eines welches regelmäßige updates bekommt? --> Welche sind das?

Das ist grundsätzlich immer zu empfehlen. Wenn man sich anschaut was für grauenhafte Lücken in manchen Plasteroutern stecken und das es schon Würmer gab und gibt die diese nutzen würde ich dringend empfehlen einen Router zu verwenden dessen Hersteller das Thema Security ernst nimmt.

 

[GuardianAngel93]

- ) Wie kann ich die Sicherheit erhöhen, trotz offenen Port "25564"?
Du kannst dir eine DMZ Bauen. Hierbei empfehlenswert eine Hardware-Firewall zu verwenden um wirklich etwas starkes dazwischen zu haben. Solange intern sonst nichts auf den Port reagiert bzw. du leitest ja den externen Port an die Interne IP mit Port weiter, kann eigentlich nicht gross etwas passieren - Zumindest denke ich, dass ein Server mit MC zu uninteressant ist für Personen, die dies trotzdem ausnutzen können.

- ) Gibt es einen besseren Port, oder ist egal welche Zahl?
Port ist egal. Du kannst theoretisch auch EXTERNEIP:60000 --> INTERNEIP:2200 machen usw. Vielleicht kurz bei Wikipedia schauen, ob deine gewünschten Ports nicht für etwas anderes gebraucht werden wie z.B. HTTPS - 443 / HTTP - 80 usw..

- ) Inwiefern würde eine Hardware-Firewall dieses Problem "lösen" bzw. die Handhabung vereinfachen?
In einer HW Firewall kann man eine DMZ erstellen, die komplett vom internen Netzwerk getrennt ist. Du kannst dort aber in der Regel auch FirewallRegeln erstellen --> Sprich dein MC Server kann nicht in dein Internes netz greifen aber du aus dem Internen Netz schon auf ihn. - Antworten sprich die Rückleitung vom MC Server ins Interne Netz klappt dann aber trotzdem! Es erhöht die Sicherheit jedoch sehr.

- ) Sollte ich ggf. das Modem tauschen, auf eines welches regelmäßige updates bekommt? --> Welche sind das?(denke das geht schon, da ich damals bei meinen Eltern ein neues von Provider bekam und dieses nur per Service-Telefon mit Mac-Adresse freischalten musste)
Ich würde dir zu einer Hardware Firewall raten. Bzw. Hardwarefirewall mit integriertem Router. Diese sind zwar teuer, aber Sicherheit kostet nunmal was. Ansonsten habe ich mit Asus Routern gute Erfahrungen gemacht. Mein irgendwie 5 Jahre alter Asus RT-3200AC bekommt immernoch ca. alle 2-3 Monate ein Firmwareupdate sowie Antiviren-Updates usw..

Ich hoffe, ich konnte dir etwas weiterhelfen?

 

[Sephe]

Also:

Wenn du einen Port öffnest und eine Weiterleitung einrichtest, ist über diesen Port NUR dieser Dienst an diesem einen Gerät erreichbar.

Ist das Gerät offline, werden auf dem Port keine Daten mehr entgegengenommen. / Ergo: Es gibt hier keine Sicherheitslücke.

Genauso verhält es sich, wenn der Gameserver eingeschaltet ist, aber der Dienst, der auf Port 25564 lauscht nicht gestartet wurde.

Für die Sicherheit dieses einen Ports ist ausschließlich der Dienst (Minecraft) verantwortlich.

 

[Mulleperal]

Danke für eure Erläuterungen und neu eingeworfene Punkte.
Hat mich wieder ein Schritt nach vor gebracht.