SPI and Anti-DoS firewall protection (Stateful Packet Inspection und Anti-DoS-Firewall-Schutz): Die Funktion „Intrusion Detection“ des Wireless ADSL2+ Routers beschränkt den Zugang für eingehenden Verkehr am WAN-Anschluss. Wenn die SPI-Funktion aktiviert ist, werden alle eintreffenden Pakete ausgesperrt. Ausgenommen sind die im Bereich Stateful Packet Inspection markierten Typen.
RIP Defect (RIP-Fehler): Wenn ein RIP-Anfragepaket vom Router nicht anerkannt wird, bleibt es in der Eingangswarteschlage und wird nicht freigegeben. Ein Paketstau in der Eingangswarteschlange kann ernste Probleme für alle Protokolle verursachen. Ein Aktivieren dieser Funktion verhindert Paketstau.
Discard Ping to WAN (Ping von WAN ablehnen): Ablehnen des Weiterleitens eines Pings am WAN-Anschluss des Wireless ADSL2+ Routers zum Netzwerk.
Stateful Packet Inspection (SPI)
Die Bezeichnung „Stateful“ bezieht sich darauf, dass die Paketprüfung den Inhalt des Pakets untersucht, um den Zustand (State) der Kommunikation zu ermitteln, d. h. sie gewährleistet, dass der ermittelte Zielcomputer die aktuelle Kommunikation zuvor angefordert hat. Dadurch kann gewährleistet werden, dass jegliche Kommunikation vom Empfängercomputer initiiert wird und nur mit Quellen erfolgt, die aus vorhergehenden Interaktionen als vertrauenswürdig bekannt sind. SPI-Firewalls sind nicht nur strenger bei der Überprüfung von Paketen, sondern riegeln auch Anschlüsse ab, bis eine Verbindung mit diesem speziellen Anschluss angefordert wird.
Wenn bestimmte Arten von Datenverkehr geprüft werden, wird nur der jeweilige Datenverkehr zugelassen, der vom internen LAN initiiert wurde. Wenn der Benutzer beispielsweise nur die Option FTP Service (FTP-Dienst) im Bereich Stateful Packet Inspection wählt, wird der gesamte Eingangsverkehr gesperrt, mit Ausnahme von FTP-Verbindungen, die vom lokalen LAN initiiert wurden.
Stateful Packet Inspection ermöglicht Ihnen die Wahl unterschiedlicher Anwendungsarten, die dynamische Anschlussnummern verwenden.
So aktivieren Sie Stateful Package Inspection:
Wählen Sie unter Intrusion Detection (Erkennen von Eindringlingen) die Option SPI and Anti-DoS firewall protection (Stateful Packet Inspection und Anti-DoS-Firewall-Schutz).
Wählen Sie den bzw. die Verkehrstypen, die durch die Firewall durchgelassen werden sollen: Packet Fragmentation (Paketfragmentierung), TCP Connection (TCP-Verbindung), UDP Session (UDP-Sitzung), FTP Service (FTP-Dienst), H.323 Service (H.323-Dienst) oder TFTP Service (TFTP-Dienst).
Nur die ausgewählten Verkehrstypen, die vom internen LAN initiiert wurden, werden zugelassen. Wenn Sie beispielsweise nur die Option FTP Service (FTP-Dienst)wählen, wird der gesamte Eingangsverkehr gesperrt, mit Ausnahme von FTP-Verbindungen, die vom lokalen LAN initiiert wurden.
Klicken Sie auf Save Settings (Einstellungen speichern).
When hackers attempt to enter your network, we can alert you by e-mail (Wenn Hacker auf Ihr Netzwerk zugreifen wollen, können wir Sie per E-Mail warnen)
Der ADSL2+ Router kann einen Hinweis per E-Mail senden, um Sie zu benachrichtigen, wenn Hacker versuchen, in Ihr Netzwerk einzudringen. Geben Sie zum Einrichten von Benachrichtigungen folgende Informationen ein:
Your email address (Ihre E-Mail-Adresse): Geben Sie die E-Mail-Adresse ein, an die die Warnhinweise geschickt werden sollen.
SMTP Server address (SMTP-Serveradresse): Geben Sie die Adresse Ihres SMTP-Servers ein.
POP3 Sever address (POP3-Severadresse): Geben Sie die Adresse Ihres POP3-Servers ein. Diese wird nur benötigt, wenn der Mailserver zum Versenden von E-Mails Ihre Identität authentifizieren muss.
User name (Benutzername): Geben Sie den Benutzernamen für Ihren POP3-Server ein. Dieser wird nur benötigt, wenn der Mailserver zum Versenden von E-Mails Ihre Identität authentifizieren muss.
Password (Passwort): Geben Sie das von Ihrem POP3-Server benötigte Passwort ein. Dies wird nur benötigt, wenn der Mailserver zum Versenden von E-Mails Ihre Identität authentifizieren muss.
Connection Policy (Verbindungsrichtlinie)
Geben Sie die entsprechenden Werte für TCP/UDP-Sitzungen ein:
Fragmentation half-open wait (Wartezeit bei halb offener Fragmentierung): Konfiguriert die Anzahl von Sekunden, die eine Paketstatusstruktur aktiv bleibt. Wenn das Zeitlimit abläuft, leitet der Router das nicht zusammengesetzte Paket nicht weiter und gibt diese Struktur für ein anderes Paket frei.
TCP SYN wait (Wartezeit bei TCP-Synchronisierung): Definiert, wie lange die Software auf die Synchronisierung einer TCP-Sitzung wartet, bevor die Sitzung beendet wird.
TCP FIN wait (TCP-FIN-Wartezeit): Legt fest, wie lange eine TCP-Sitzung gehalten wird, nachdem die Firewall ein FIN-Paket festgestellt hat.
TCP connection idle timeout (Leerlauf-Zeitlimit für TCP-Verbindung): Zeitraum, für den eine TCP-Sitzung ohne Aktivität verwaltet wird.
UDP connection idle timeout (Leerlauf-Zeitlimit für UDP-Verbindung): Zeitraum, für den eine UDP-Sitzung ohne Aktivität verwaltet wird.
H.323 data channel idle timeout (Leerlauf-Zeitlimit für H.323-Datenkanal): Zeitraum, für den eine H.323-Sitzung ohne Aktivität verwaltet wird.
DoS Detect Criteria (DoS-Erkennungskriterien)
Geben Sie die entsprechenden Werte für das Erkennen der Dienstverweigerung (Denial of Service, DoS) und die Anschlussprüfung ein:
Total incomplete TCP/UDP sessions HIGH (Gesamtzahl unvollständiger TCP/UDP-Sitzungen HOCH): Definiert die Anzahl der neuen, nicht hergestellten Sitzungen, die die Software veranlassen, das Löschen halb offener Sitzungen zu starten.
Total incomplete TCP/UDP sessions LOW (Gesamtzahl unvollständiger TCP/UDP-Sitzungen NIEDRIG): Definiert die Anzahl der neuen, nicht hergestellten Sitzungen, die die Software veranlassen, das Löschen halb offener Sitzungen zu stoppen.
Incomplete TCP/UDP sessions (per min) HIGH (Unvollständige TCP/UPD-Sitzungen [pro Minute] HOCH): Maximal zulässige Anzahl unvollständiger TCP/UDP-Sitzungen pro Minute.
Maximum incomplete TCP/UDP sessions number from same host (Höchstzahl unvollständiger TCP/UDP-Sitzungen vom gleichen Host): Maximale Anzahl unvollständiger TCP/UDP-Sitzungen vom gleichen Host.
Incomplete TCP/UDP sessions detect sensitive time period (Zeitraum der Erkennungsempfindlichkeit für unvollständige TCP/UDP-Sitzungen): Zeitraum, bis eine unvollständige TCP/UDP-Sitzung als unvollständig erkannt wird.
Maximum half-open fragmentation packet number from same host (Höchstzahl halb offener Fragmentierungspakete vom gleichen Host): Maximale Anzahl halb offener Fragmentierungspakete vom gleichen Host.
Half-open fragmentation detect sensitive time period (Zeitraum der Erkennungsempfindlichkeit für halb offene Fragmentierung): Zeitraum, bis eine halb offene Fragmentierungssitzung als halb offen erkannt wird.
Flooding cracker block time (Sperrzeit für Flooding Cracker): Zeitraum vom Erkennen eines Flooding-Angriffs bis zum Sperren des Angriffs.
