Mal wieder etwas aus der Klugschei*er-Ecke, der Vollständigkeit halber:
NAT steht für Network Address Translation und ist explizit nicht nur in eine "Richtung". Eine Portweiterleitung wie man sie kennt ist durchaus NAT, aber genau genommen ein DNAT, Destination NAT. Dabei wird ein Paket schlicht und ergreifend umgeleitet, wie ein Adressaufkleber auf einem Brief, der über die evtl. falsche ursprüngliche Adresse auf dem Umschlag selbst geklebt wird. Quasi "Stefan Meier" wohnt nicht hier, sondern da". Eine Portweiterleitung ist ein Beispiel für DNAT, weil der Router an ihn gerichtete Pakete mit einem neuen Adressaufkleber versieht und zB an das NAS weiterleitet.
Neben DNAT gibt es jedoch auch noch SNAT, Source NAT. Dabei bleibt die (Ziel-)Adresse auf dem Umschlag unberührt. Stattdessen wird die Absendeadresse auf der Rückseite geändert. Die masquerade-Regel an einem Router ist ein Beispiel dafür. Ruft ein PC in einem Netzwerk zB computerbase.de auf, schickt er seine Pakete mit seiner eigenen IP als Absender weg. Der Router jedoch merkt das und überschreibt den Absender und setzt sich selbst bzw. seine öffentliche IP Adresse ein. Ungefähr so als wenn man im Büro einen Brief in den Postausgang legt und als Absender "Stefan Meier" draufschreibt - die Postabteilung, die den Brief einsammelt, ersetzt das dann mit "DingenskirchensFirma, Tolle Straße 12, 12345 Musterstadt".
Eine Firewall wiederum hat nichts mit Adressaufklebern zu tun, sondern guckt sich nur die Adressen als solche an und arbeitet wie ein Türsteher - zB "Stefan Meier darf keine Post bekommen" oder auch "Stefan Meier darf keine Post verschicken". Wenn die Kriterien der Regel erfüllt werden, schnappt die Aktion zu, blocken oder erlauben. Wird keine der Regeln getriggert, wird die Standardaktion ausgeführt, die ebenfalls blocken oder erlauben kann - je nachdem wie die Firewall konfiguriert wird. Die Firewall, die den Datenverkehr von außen nach innen regelt, wird in der Regel mit Standard=Blocken konfiguriert, während die Firewall, die von innen nach außen regelt, normalerweise Standard=Erlauben eingestellt ist. Frei nach dem Motto: Aus dem Gebäude raus darf jeder, aber rein darf man nur mit Ausweis.
So, viel Geschwafel, nun zum eigentlichen Problem:
Fernzugriff auf ein Netzwerk kann ohne adäquate Kenntnisse des Einrichters fatale Folgen haben. Wenn es sich um eine Firma handelt, kann ich nur dringendst dazu raten, sich einen Profi ins Haus zu holen! Ein bischen Youtube, ein bischen Forum und dann wird man IT-Admin? Wohl kaum. Das soll kein Vorwurf sein, sondern eine ernst gemeinte Warnung. Heute ist es die Telefonanlage, morgen ist es der Fileserver, übermorgen sind alle Daten weg und die Firma pleite. Worst case Szenario, ja, aber die Gefahr ist real.
Das heißt, ich rate dazu, einen fachkundigen ITler damit zu betrauen oder zumindest mit dem Hersteller der Telefonanlage Kontakt aufzunehmen. Für solche Zwecke gibt es definierte Vorgehensweisen, sichere Lösungen statt Bastelei.
Wie dem auch sei, den Zugriff auf eine Portweiterleitung (zu einer Telefonanlage, Server oder was auch immer) kann man maximal durch die Quell-IP einschränken. Das heißt, dass die Absende-IP immer dieselbe sein muss. Bei Mobilfunk oder auch heimischen Internet-Anschlüssen ist das nicht der Fall. Der Router kann also gar nicht erkennen ob es sich um Mobiltelefon #3 handelt oder zB mein Mobiltelefon. Hätte ich also deine WAN-IP und den Port, könnte ich ebenfalls auf die Telefonanlage, sofern diese nicht ihrerseits über Sicherheitsmechanismen verfügt (zB ein Login). Wie erwähnt steigen aber früher oder später die Anforderungen und dann ist es eben auch noch der Fileserver, der erreichbar sein soll. Spätestens dann sollte man sich mit VPNs beschäftigen. Ein VPN ist eine verschlüsselte Verbindung, die man beispielsweise zum Einwählen in ein privates Netzwerk nutzt. Am Handy kurz VPN starten, mit dem VPN-Server im Zielnetzwerk verbinden und dann über diese Verbindung die Telefonanlage, den Fileserver oder auch den Drucker nutzen als säße man direkt daneben.
Eine Sophos bietet zu 100% auch VPN an und deswegen würde ich das immer darüber lösen statt mit nackten Portweiterleitungen zu arbeiten.
