Anfängerfrage : interne Geräte vor dem Internet beschützen am Beispiel WebCam

Das kann man jetzt nicht pauschal beantworten, da es auch davon abhängt, welche Dienste der UTM aktiv sind.

Wenn die Web Protection im transparenten Modus aktiv ist gilt diese auch erst mal für die Webcam und "nach Haus telefonieren" über http/s wäre möglich, selbst wenn Du die Firewall für die Quell-IP der Kamera komplett dicht machst in Richtung Internet. Damit das nicht passiert müsstest Du die IP der Webcam zusätzlich noch in der "Transparent Mode Skiplist", genauer der "Skip Transparent Mode Source Hosts/Nets" hinzufügen. Für die IPs in dieser Liste wird der transparente Proxy quasi ausgeschaltet, danach gelten nur noch rein die Firewallregeln.

Wenn die Kamera nicht über irgendeine "App auf dem Handy" aufgerufen werden muss (wo die Verbindung über einen Cloudserver des Anbieters erfolgt) und auch keine Firmwareupdates braucht kannst Du sicher jeglichen Internetzugriff für sie deaktivieren.

Was die andere Richtung betrifft kommt es eigentlich nur darauf an, wie Du und ob Du NAT-Regeln definiert hast. Ist nur die Standard Masquerading-Regel aktiv wird lediglich das interne Netz auf die IP-Adresse des WAN-Interfaces umgesetzt, was ausgehenden Traffic betrifft, aus dem Internet sind dann erst mal nur die Ports der UTM aktiv, wie Webadmin, SSH o.ä., bei denen wäre es noch wichtig, die Default "Any" Quelle zu entfernen und z.B. nur für das interne Netz/VPN-Netz den Zugriff zu erlauben.

Damit der Zugriff auf die Kamera via VPN funktioniert müssen die IPs und Dienste für den Remote-Zugriff in der Firewall erlaubt sein. Das heißt einmal im Profil des VPNs und dann natürlich noch als Firewall-Regel. Die "automatische Firewall" erlaubt standardmäßig alle Ports für die definierten Netze, daher würde ich die eher nicht verwenden.

Ich würde Dir aber ohnehin eher den SSL Remotezugriff auf OpenVPN-Basis empfehlen, der ist meiner Erfahrung nach weniger "störanfällig". OpenVPN-Clients gibt es für alle gängigen Betriebssysteme und Mobilfunkgeräte, die entsprechende ovpn-Config lässt sich z.B. einfach per Mail auf die entsprechenden Geräte bringen.

ich hatte ähnliches Problem mit der WebCam im Kinderzimmer gehabt.

Sperre einfach die IP von der Cam mit any > internet

Meine hat permanent versucht über HTTP!!! zu chinesischen Servern (Cloud) sich zu verbinden...

Das funktioniert aber nur, wenn der WebProxy/Filter nicht verwendet wird für das besagte Netz, da andernfalls die Firewallregeln hierfür erstmal nicht gelten und greifen.

Stimme hier kerobra voll und ganz zu.

Hallo Sebastian,

der Zugriff von extern nach intern muss explizit eingerichtet werden.  Sollange du keine WAF oder NAT Regel die den Zugriff von extern gewährt, eingerichtet hast, brauchst du nichts weiter tun. Standardmäßig werden alle Zugriffe von extern geblockt.

Wenn du die Kommunkation von intern nach extern nicht zulassen möchtest kommt es natürlich darauf an, wie hier schon erwähnt, ob du einen Proxy nutzt oder nicht und ob es bereits eine Firewallregel gibt die alles raus läßt oder ein Proxy Profil das den Zugriff zuläßt. Aber auch hier wird standdardmäßig erst mal alles gedroppt was nicht explizit erlaubt ist.

vg

mod