Internetzugriff für ein Programm blocken, aber LAN freigeben

[numerobis]

Hallo,

ich bekomme es leider nicht geregelt, für einzelne Programme oder eine Programmgruppe den Internetzugriff komplett zu blocken, aber den LAN-Zugriff zu ermöglichen. Kann mir hier vielleicht jemand sagen, was ich da einstellen muss? 

(KIS 21, aktuelle Version)

[Schulte]

Hallo @numerobis, willkommen.

Welche Versuche hast Du bislang unternommen?

Deine gewünschten Einstellung müsste über die Programmkontrolle möglich sein (“Einstellungen->Schutz->Programmkontrolle->Programme verwalten”).

Im “Programme verwalten”-Fenster kannst Du die Hauptgruppen, Untergruppen oder ein einzelnes Programm markieren. Per Mausrechtsklick erscheint ein Dropdown mit der Option “Details und Regeln”.

 

Klick darauf, dann kannst Du im Reiter “Netzwerkregeln” das Gewünschte einstellen.

 

Vielleicht versuchst Du es zunächst mal mit einem einzelnen Programm, z. B. mit dem Zweitbrowser.

Gib Laut, wenn es nicht klappt.

[numerobis]

Hallo Schulte,

vielen Dank für die schnelle Antwort! 

Standardmäßig habe ich auf dem Rechner alles geblockt, was nicht zwingend auf Internet angewiesen ist (zB. Browser, Mail).

Hier geht es um Netzwerkrendering (Renderer lokal und auf mehreren PCs im Netzwerk und ein Manager lokal)

Nur “Öffentliches Netzwerk” verbieten war das erste, was ich versucht habe. Wobei ich unsicher war, ob das dann wirklich jegliche Kommunikation nach außen blockt (bisher hab ich einfach immer alle drei verboten 😉 ). Prinzipiell sollte das so sein, ja? Also sowohl “vertrauenswürdig”, als als auch “lokal” bedeuten LAN?

Es funktioniert aber leider nicht. Sobald ich “öffentlich” blocke, können die verschiedenen Komponenten, die miteinander kommunizieren sollen (Renderer und dazugehöriger Manager) sich merkwürdigerweise sogar nicht mal mehr auf demselben Rechner miteinander verbinden. Keine Ahnung, warum das so ist.

[Schulte]

Hi @numerobis,

Du kannst jedem erkannten Netzwerk öffentlich, lokal oder vertrauenswürdig zuweisen. Nur die Internetverbindung bleibt stets öffentlich.

Welchen Status hat Dein Netz? “Einstellungen->Schutz->Firewall->Netzwerke”.
Dort sollte Dein (W)Lan “lokal” oder “vertrauenswürdig” sein.

 

 

[EricaFriedlander]

Die zahlreichen Komponenten, die miteinander kommunizieren sollen (Renderer und zugehöriger Manager), können sich auf demselben Rechner nicht mehr miteinander verbinden, wenn ich "öffentlich" blockiere. Ich bin mir nicht sicher, warum dies der Fall ist.

[numerobis]

 @Schulte  LAN steht schon auf “lokal”

(was ist denn der Unterschied zwischen “lokal” und “vertrauenswürdig”?)

Wobei ich nicht ganz verstehe, was das für einen Einfluss auf die Programme haben soll. Das ist doch die Einstellung für die Netzwerkverbindung oder versteh ich da was falsch?

 

Die Programme sind übrigens bisher unter “Vertrauenswürdig” einsortiert, um zu verhindern, dass irgendwelche Zugriffsrechte eingeschränkt werden.

[Schulte]

Hi @numerobis,

hab’ leider erst später Zeit.

In der Zwischenzeit könntest Du mal etwas ausprobieren:

Rufe in den Netzwerken per Mausrechtsklick->Ändern die Netzwerkeigenschaften Deines Netzes auf. Scrolle dann die Seite nach unten und füge “127.0.0.1/32” als zusätzliches Subnetz hinzu.

 

 

Ändert sich das Verhalten?

[numerobis]

Hallo @Schulte 

da ändert sich leider nichts. Sobald ich in den Programmregeln “Öffentliches Netzwerk” auf “verbieten” stelle, geht es nicht mehr.  Hier mal der Bericht:

Das betrifft jetzt erstmal nur den komplett lokalen Teil (interne Kommunikation der zwei Komponenten auf dem Rechner mit dem Manager), die Rechner im Netzwerk hab ich erstmal außen vor gelassen.

Wobei ich auch nicht so ganz verstehe, wie der “Localhost” offensichtlich zum “öffentlichen Netzwerk” zählen kann...

[Schulte]

Hallo @numerobis,

das war ein Schuss ins Blaue.
Die Komponenten auf dem Rechner verbinden sich höchstwahrscheinlich über localhost über bestimmte Ports. Da mir nicht klar ist, warum das dann mit der Sperre des öffentlichen Netzes nicht mehr funktioniert, war der Versuch naheliegend.

Laut Deinem Screenshot schickt eines der Module einen Broadcast, um andere Module / Rechner zu finden. Die Broadcastadresse 255.255.255.255 wird von KIS offenbar dem (blockierten) öffentlichen Netz zugeordnet, obwohl sie vom Router nicht ins öffentliche Netz weitergeleitet wird.

Die Ursache scheint damit gefunden, der Grund noch nicht.
Ich lass’ mir das nochmal durch den Kopf gehen - vielleicht hat auch ein anderer User eine Idee…

Nachtrag:
hab’ das Problem auf dem kurzen Dienstweg an Moskau weitergereicht.
Ich hoffe, es gibt eine zeitnahe Lösung.

[numerobis]

 @Schulte 

Dann schon mal vielen Dank so weit! Ich bin gespannt…

Als Ergänzung vielleicht noch. Für die Verbindung mit einem anderen Rechner gilt dasselbe. Sobald ich das “Öffentliche Netzwerk” blocke, bekomme ich keinen Kontakt mehr.

Neben dem im Bericht oben angezeigten “lokalen Port” 55331 und dem “Remote Port” 45454 werden übrigens noch andere Ports in diesen Bereichen genutzt (scheinbar zufällig)

Lokale Ports:  55329-60024 (nach dem, was ich im KIS-Bericht sehen konnte, vielleicht sind es auch noch mehr)

Remote Ports:  45454- 45474  (laut Aussage des Herstellers, lässt sich aber wohl auch ändern)

[Schulte]

Hi @numerobis,

wenn sich mein Verdacht bestätigt, dass der Broadcast geblockt wird, kann sich auch kein anderer Rechner beim Hauptrechner melden. Er bekommt ja keine Aufforderung dazu.

Veruchen wir zunächt mal, den Hauptrechner mit deaktiviertem öffentlichem Netz in Gang zu bringen. Dazu kam eine Frage aus Moskau:

Funktioniert es, wenn Du testweise alle Paketregeln deaktivierst?

Ich würde dazu den Rechner vom Netzwerk trennen.
Dann über “Einstellungen->Firewall->Paketregeln” ausnahmslos alle auf “Inaktiv” setzen. Solltest Du hier eigene Einstellungen haben, kannst Du sie am besten per Screenshot “archivieren”.

 

 

Falls es nun geht, bitte Regel für Regel wieder zuschalten und jeweils testen ob es noch geht.

Klappt es auch mit deaktivierten Regeln nicht, suchen wir weiter.

[numerobis]

Hallo @Schulte ,

Es funktioniert leider auch nicht, wenn ich alle Paketregeln deaktiviere. 

Ich habe aber dabei festgestellt, dass “Remote Desktop (Öffentliches Netzwerk)” auf inaktiv stand. Ist das normal/ok?

[Schulte]

Hi @numerobis,

das ist natürlich schade.
Kannst Du bitte ein Ticket beim Support aufmachen?

Verlinke darin bitte auch diesen Thread und lass mir dann die INC-Nummer zukommen.

Remote Desktop sollte man über öffentliche Netze nicht ausführen, dafür gibt es verschlüsselte VPN-Verbindungen. Die Option ist per default gesperrt.

[numerobis]

@Schulte 

Ok. 

Remote Desktop sollte man über öffentliche Netze nicht ausführen, dafür gibt es verschlüsselte VPN-Verbindungen. Die Option ist per default gesperrt.

Ja, das macht Sinn…

[Schulte]

Hi @numerobis,

hast Du schon ein Ticket eröffnet?
Ich bräuchte die INC-Nummer, damit sich Moskau einklinken kann.