Welche Hardware Firewall hinter Glasfasermodem?

[Daniel712]

Guten Abend liebe Community,

wir nutzen FTTH von der Deutschen Glasfer (bisher den Standardtarif 300/150 MBit/s).
Hinter dem Glasfasermodem/-router Genexis Live! Titanium hatte ich bis heute morgen eine USG-3P von Ubiquity im Einsatz. Anscheinend hat es die USG-3P zerlegt.
Da ich absoluter Laie bin, benötige ich Eure Hilfe. ;-)

Da nun der Switch und die daran angeschlossenen Accesspoints und Geräte "nur" durch den Glasfasermodem/-router nach außen geschützt sind, würde ich gerne eine Hardware Firewall davor hängen. Ich denke, dass der Glasfasermode/-router nach meinem Verständnis die dahinter angeschlossenen Geräte (Windows 10 PCs, MacBook, FireTV, TVs, AppleTV, Playstation, Tablets, Phillips Hue, Tado-Bridge etc.) nicht ausreichend schützen.
Das Glasfasermodem könnte man durch die Deutsche Glasfaser in den Bridgemodus schalten lassen, so das es nur noch als Modem funktionieren würde. Bisher haben wir per DHCP die dahinterliegende USG-3P angesprochen. Daher würde ich so wie aktuell dort DHCP einstellen. Von außen wollen wir nicht auf die Geräte im Haus zugreifen.

Nachdem ich schon den halben Tag durchs Internet gesurft bin, habe ich ein Auge auf die Protectli FW4C geworfen.
4 Intel® 2.5 Gigabit / 8 GB Ram, 128 GB SSD / vorinstalliertem OpenSense / coreboot bios. Leider mit 470 Euro nicht gerade günstig. Sie soll dann aber die nächsten Jahre ausfallsicher ihren Dienst verrichten.
Macht diese Protectli Firewall Sinn, oder sollte das alte Glasfasermode/-router Schätzen genügend Schutz bieten?

Vorab lieben Dank für eure Ideen!

 

[tollertyp]

Warum bietet dir der Router nicht genug Schutz?
Eine Hardware-Firewall würde eher Sinn machen, wenn du den Angreifer bei dir im Netz vermutest und ihn davon abhalten willst, raus zu kommen. Das NAT des Routers schützt eigentlich ausreichend.

Wenn der Router angreifbar ist, ist das natürlich ein Problem, aber das gleiche würde für die Firewall auch gelten.

(Edit: Eigentlich müsste es "die NAT" heißen, oder? Hört sich doof an und mit "das NAT" meine ich das Feature :-) )

 

[Daniel712]

Danke tollertyp für deine Rückmeldung. Ja, das Modem hat schon mehr als 6 Jahre auf dem Buckel. Da ich nicht weiß, wie häufig die Software dort aktualisiert ist, könnte ich mir vorstellen, dass dies ein Angriffspunkt bieten könnte. Bei neueren Verträgen der Deutschen Glasfaser sind meines Wissens nach die Glasfasermodem/-router immer im Bridge-Modus geschaltet und dahinter eine Fritzbox. Diese fehlt bei mir. Es kommen sofort der Switch und anschließend die Accesspoints. Eine Protectli könnte ja immer mit einer recht neuen Firewallsoftware aktualisiert werden. Das waren meine Gedanken. Vielleicht liege ich da aber auch falsch.

 

[tollertyp]

Danke für diee Rückmeldung. Aber mir ist immer noch etwas unklar. Hast du nun einen Router da drin oder nicht? Würde mich wundern, wenn nicht, wenn alle Kunden quasi im gleichen Netz wären.

Also jede Form von Router schützt dank NAT, das macht die Fritzbox nicht bessere als andere.

 

[BFF]

Das Glasfasermodem könnte man durch die Deutsche Glasfaser in den Bridgemodus schalten lassen, so das es nur noch als Modem funktionieren würde. Bisher haben wir per DHCP die dahinterliegende USG-3P angesprochen.

Das liesst sich als ob die ganze Zeit eh schon doppeltes NAT gewesen ist und mit dem Tod der USG-3P ein NAT nur weg faellt.

Was konkret hast Du da als Modem?

 

[Daniel712]

Ja, es ist ein Router integriert der per DHCP die IPs an die Accesspoints und Clients vergibt. Portweiterleitungen für IPv4 und IPv6 sind nicht eingerichtet.
Verstehe ich das richtig, dass somit der Zugriff von extern generell verweigert wird, wenn er nicht von intern angefordert wurde und somit bekannt ist?
Eine zusätzliche Firewall würde dann nur für die interne Sicherheit (bspw. das Kind lädt auf seinen PC Schadsoftware herunter, die sich im internen Netz verbreiten könnte) einen zusätzlichen Schutz bspw. durch Intrusion Detection bieten?

Ergänzung (11. März 2023)

Das liesst sich als ob die ganze Zeit eh schon doppeltes NAT gewesen ist und mit dem Tod der USG-3P ein NAT nur weg faellt.

Was konkret hast Du da als Modem?

Als Modem kommt ein Genexis Live! Titanium 54 mit integriertem Router zum Einsatz. Das vergibt dann per DHCP die IPs.

 

[BFF]

Dann ist da eine "Firewall" an rennen.

Und ja, Du verstehst richtig. Spar Dir den Aufwand mit einer extra Firewall.
Sorry, Aber es ist bei Dir bisher nur nix passiert, weil der Router schon alles weg gefangen hat.

Und eine Firewall schuetzt nicht vor Schadsoftware die man bewusst herunter laedt.
Und der FW ist das interne Netz voellig egal.

 

[Daniel712]

Lieben Dank, BFF!
Dann spare ich mir den Aufwand und die Kosten! :-)