Welche TCP/UDP-Ports minimal freigeben?

[Seestern]

Sorry,
ist total bootsfern, aber ich weiß mir nicht zu helfen. Das gesamte Web scheint diese Frage nicht adäquat zu beantworten.

Ich habe zwei Nachbarn mit auf meinem DSL-Router, blutigste Super-DAUs in Sachen PC. Die sind systembedingt jetzt Bestandteil meines LANs. Damit die sich nicht irgendeinen Scheiß einfangen und lustig in meinem LAN verbreiten, möchte ich denen das für Web minimal Notwendige in der Firewall freischalten:

80 TCP (HTTP)
443 TCP (HTTPS)
53 UDP (DNS)

Das funzt aber noch nicht. Welchen Port übersehe ich? IP wird via DHCP dynamisch zugeteilt (die beiden haben einen eigenen IP-Raum bei mir), Mail machen sie via GMX-Webinterface, FTP und sowas brauchen sie nicht (habe ich beschlossen).

Hilfe!

[Seekreuzer]

bei mir sind die typischen Ports:
21
ftp File Transfer [Control]
22
ssh SSH Remote Login Protocol
25
smtp Simple Mail Transfer
53
domain Domain Name Server
80
http World Wide Web HTTP
110
pop3 Post Office Protocol - Version 3
111
sunrpc SUN Remote Procedure Call
143
imap Internet Message Access Protocol
443
https http protocol over TLS/SSL
3306
mysql Mysql

[Manu]

Hallo,

gib auf dem Router doch testweise mal alles frei bis auf die Ports 135, 137 - 139, 445 und 593.
Wenn es dann immer noch nicht klappt hast Du vermutlich ein Problem mit Deinem Netzwerk.
Spontan fällt mir dazu ein:
- alle Kabel drin?
- stimmen IP-Adresse / Subnetmask?
- klappt "ping 127.0.0.1" bzw. "ping <eigene IP>" auf den Rechnern?
- können die Rechner sich untereinander sowie den Router anpingen?
Btw., wenn die neuen clients bei Dir einen neuen Adressraum (Subnet?) nutzen, kennt der Router dieses Subnet? Meine ehemaligen Drayteks haben bei den dyn. IPs gerne mal "Kakao" verteilt ...
- funktioniert z.B. "ping www.heise.de"?


Gruß Manuel

[Seestern]

@Seekreuzer:

Das habe ich mri eigentlich auch so gedacht, wobei ich FTP, SSH, SMTP, POP3, IMAP, SUNRPC (???) und MySQL weggelassen habe - das sollen die erstmal nicht nutzen. Kriege im Browser aber immer einen DNS-Fehler, obwohl 53 offen ist.

@Manu:
Klar, wenn die meisten Ports offen sind funktioniert alles, von PING untereinander und zum Router über HTTP intern/extern etc.
Eigener IP-Raum heißt, dass die von meinem privaten Class-C-Netz (192.168.x.y-z) den Bereich .190 bis .199 per DHCP zugewiesen bekommen, so dass ich diesem Bereich eigene Firewall-Rules zuordnen kann. Es ist schon das gleiche Class-C-Netz.

Sobald ich die Firewall-Rules entsprechend der oben genannten 3 Ports konfiguriere, ist Schicht - kein ping, kein nichts.
Vielleicht tricksen mich aber auch noch die Rules der Firewall (DLink 614+ Rev. B2, Firmware 3.35, kanadische Version) aus.
Ich teste mal weiter.