Firewall Einstellung für SMB, Netzwerkdrucker- und Scanner

Omegator · 4. Januar 2020

Hallo Sauerland,

ich komme leider überhaupt nicht weiter, egal welchen Port ich eintrage.
Bin mir in der Zwischenzeit auch gar nicht mehr sicher, ob nicht ein Dienst durch die Firewall blockiert wird.
Gibt es denn keine Möglichkeit aufzuzeichen, was alles aktiviert wird wenn ich SimpleScan oder Skanlite starte?

sterun · 5. Januar 2020

Poste einmal (als Root mit su):

Code

firewall-cmd --list-all

Öffne die Konsole (als Root mit su) und gebe dort ein (aber noch nicht mit ENTER den Befehl starten):

Code

lsof -i -P

Jetzt startest du einen Scanvorgang und wechselst sofort zum Konsolenfenster und bestätigst den Befehl mit ENTER.
Die Ausgabe postest du hier in der Hoffnung, dass wir Ports / Services sehen, welche gerade arbeiten.

Omegator · 5. Januar 2020

O.K. hier mal Nummer 1:

Brainfuck

public (active)
  target: default
  icmp-block-inversion: no
  interfaces: eth0
  sources: 
  services: dhcpv6-client
  ports: 
  protocols: 
  masquerade: no
  forward-ports: 
  source-ports: 
  icmp-blocks: 
  rich rules:

Alles anzeigen

Und hier Nummer 2 (mit deaktivierter Firewall):

Brainfuck

COMMAND    PID   USER   FD   TYPE DEVICE SIZE/OFF NODE NAME
systemd      1   root   69u  IPv6  18249      0t0  TCP *:6566 (LISTEN)
cupsd      937   root    7u  IPv6  26665      0t0  TCP localhost:631 (LISTEN)
cupsd      937   root    8u  IPv4  26666      0t0  TCP localhost:631 (LISTEN)
avahi-dae 1033  avahi   11u  IPv4  25739      0t0  UDP *:5353 
avahi-dae 1033  avahi   12u  IPv6  25740      0t0  UDP *:5353 
avahi-dae 1033  avahi   13u  IPv4  25741      0t0  UDP *:59339 
avahi-dae 1033  avahi   14u  IPv6  25742      0t0  UDP *:41414 
chronyd   1173 chrony    1u  IPv4  25223      0t0  UDP localhost:323 
chronyd   1173 chrony    2u  IPv6  25224      0t0  UDP localhost:323 
master    1618   root   13u  IPv4  30338      0t0  TCP localhost:25 (LISTEN)
master    1618   root   14u  IPv6  30339      0t0  TCP localhost:25 (LISTEN)
dhclient  1705   root    6u  IPv4  31896      0t0  UDP *:68 
kdeconnec 2064   user   12u  IPv6  34249      0t0  UDP *:1716 
kdeconnec 2064   user   13u  IPv6  34250      0t0  TCP *:1716 (LISTEN)

Alles anzeigen

sterun · 5. Januar 2020

War leider nicht wirklich aussagekräftig und ich selbst habe keine Erfahrung mit Canon und Sane.
Was wir aber wissen ist, dass du dich in der Zone "public" befindest und dort nichts freigegeben ist.
Jetzt konfigurieren wir deine Firewall.
Zum Testen machen wir das nicht "permanent".
Wenn es also nichts bringt, ist nach einem Neustart alles wieder so, wie es war.
Führe folgende Befehle aus (als Root mit su) und starte einen Test-Scan:

Code

firewall-cmd --zone=public --add-port=9100/tcp

Code

firewall-cmd --zone=public --add-port=8610/tcp

Code

firewall-cmd --zone=public --add-port=8612/tcp

Code

firewall-cmd --zone=public --add-service=sane

Und noch:

Code

firewall-cmd --reload

Test-Scan...

sterun · 5. Januar 2020

Fällt mir gerade noch ein...
Falls es sich um ein Upgrade auf openSUSE Leap 15.1 handelt, poste noch:

Code

zypper se -si firewall

Wenn es eine Neuinstallation war, brauchst du es nicht posten.
Grund: Kontrolle, ob noch eine alte Firewall zusätzlich läuft.

Omegator · 5. Januar 2020

Vielen Dank sterun.
Ich habe es gerade ausprobiert, aber da ändert sich leider nichts.

Edit:

Ich habe mal alle Zonen ausprobiert, nachdem ich deinen sehr guten Beitrag zu den Firewall Basics gelesen habe.
Es funktioniert mit der Zone "trusted", alle anderen Zonen funktionieren nicht.
Aber da wird halt viel zu viel offen sein...

Code

systemd      1   root  128u  IPv6  24790      0t0  TCP *:6566 (LISTEN)
cupsd      929   root    7u  IPv6  25235      0t0  TCP localhost:631 (LISTEN)
cupsd      929   root    8u  IPv4  25236      0t0  TCP localhost:631 (LISTEN)
avahi-dae  931  avahi   11u  IPv4  22185      0t0  UDP *:5353 
avahi-dae  931  avahi   12u  IPv6  22186      0t0  UDP *:5353 
avahi-dae  931  avahi   13u  IPv4  22187      0t0  UDP *:53506 
avahi-dae  931  avahi   14u  IPv6  22188      0t0  UDP *:38824 
chronyd   1168 chrony    1u  IPv4  25803      0t0  UDP localhost:323 
chronyd   1168 chrony    2u  IPv6  25804      0t0  UDP localhost:323 
master    1541   root   13u  IPv4  30626      0t0  TCP localhost:25 (LISTEN)
master    1541   root   14u  IPv6  30627      0t0  TCP localhost:25 (LISTEN)
dhclient  1561   root    6u  IPv4  30779      0t0  UDP *:68 
kdeconnec 2110   user   12u  IPv6  33254      0t0  UDP *:1716 
kdeconnec 2110   user   13u  IPv6  33255      0t0  TCP *:1716 (LISTEN)

Alles anzeigen

sterun · 5. Januar 2020

Ja, "trusted" wollen wir vermeiden.
Trete wieder der Zone "public" bei und dann:

Code

firewall-cmd --permanent --zone=public --add-port=5353/udp

Code

firewall-cmd --permanent --zone=public --add-port=8610/udp

Code

firewall-cmd --permanent --zone=public --add-port=8612/udp

Code

firewall-cmd --permanent --zone=public --add-port=9100-9102/tcp

Danach den Rechner einmal neu starten und testen.

Omegator · 6. Januar 2020

Erfolgsmeldung, es funktioniert mit diesen Einstellungen! Vielen Dank!
Der Scanner funktioniert sehr gut unter Simple Scan und Skanlite. Xsane findet den Scanner, aber die Buttons Vorschau und Scannen haben keine Funktion.

Jetzt ist die Frage, müssen/dürfen diese Ports alle offen sein, oder soll ich testen, welche tatsächlich benötigt werden?

sterun · 6. Januar 2020

Zitat von Omegator

Jetzt ist die Frage, müssen/dürfen diese Ports alle offen sein, oder soll ich testen, welche tatsächlich benötigt werden?

Ganz genau...
Das wäre der nächste Schritt, weil:
- je weniger Ports offen, desto besser
- es von Interesse ist, wie man in Zukunft schneller handeln kann (bei einem gleichen Gerät).
Wenn du dir die Mühe machen möchtest, wäre es super, wenn du deine Erfahrung hier postest.
Deine Sicherheit nach draußen (WWW) ist jedoch noch immer vorhanden, da in deiner Hardware-Firewall (FritzBox) keine Ports geöffnet wurden

Omegator · 6. Januar 2020

Und gleich der nächste Erfolg:

Es wird nur der 8612/udp benötigt, alle anderen habe ich wieder entfernt.

Vielen Dank für deine super Unterstützung!

Firewall Einstellung für SMB, Netzwerkdrucker- und Scanner

Spectacle: seit Plasma6 wird Spectacle beim Screenshot nicht mehr ausgeblendet

Bluetooth mit Aussetzern

Sprache in Systemeinstellungen teilweise auf Englisch

BCM43142 treiber fehlt / Modprobe findet Datei nicht

Frage zu Micro OS (Aeon)

Nidrnox

hudel

uli11

Lioh

dax67

Teilen