Secure Configuration Guide

Für die Konfiguration muss der Router an eine Stromquelle angeschlossen, seine Internet-Verbindung ermöglicht und mit dem Konfigurations-PC verbunden werden. Danach haben Sie Zugriff auf das Web-Interface des Routers und können mit der sicheren Konfiguration beginnen. Laden Sie das Installations- und Benutzerhandbuch für Ihren Router herunter und informieren Sie sich gründlich über die Technischen Daten, Anschlusswerte und Anschlüsse des Routers.

Stellen Sie vor der Konfiguration folgendes sicher:

Für einen sicheren Betrieb des Routers sind folgende Konfigurationsschritte erforderlich:

Ein Teil dieser und darüberhinausgehende Konfigurationen können durch den Schnellstart-Assistenten bequem und schnell erledigt werden. Dieser führt jedoch Konfigurationen im Hintergrund aus, die aber vielleicht das geforderte Sicherheitsniveau Ihrer Anwendung beeinträchtigen. In diesem Fall wird eine manuelle Konfiguration empfohlen.

Um den Zugriff auf den Router abzusichern, ist es notwendig, eine sichere Authentifizierung zu verwenden.

Je nach Router/Anwendung erfolgt die Internet-/WAN-Verbindung über Mobilfunk, Ethernet, WLAN, DSL oder Glasfaser.

In den Grundeinstellungen sind von den fünf vorhandenen lokalen IP-Netzen drei für bestimmte Zwecke vorgesehen (wobei die Zuordnung jederzeit geändert werden kann):

Die Anzahl der verfügbaren Netzwerk-Ports unterscheidet sich je nach Router. Jedem Netzwerk-Port kann ein lokales IP-Netz zugeordnet werden.

Eine korrekte Systemzeit des Routers ist insbesondere wichtig, um die Gültigkeit von Zertifikaten verifizieren zu können. Der Router ermöglicht einen Synchronisierung seiner Systemzeit mit einem NTP-Server. Er wird so konfiguriert, dass eine Synchronisierung stattfindet, sobald der Router online geht. Damit die Synchronisierung auch bei aktivierten IP-Filtern möglich ist, wird eine Firewall-Regel angelegt, die dies ermöglicht.

Damit synchronisiert der Router jedes Mal seine Systemzeit mit dem NTP-Server, sobald er online geht.

Eine OpenVPN-Verbindung besteht zwischen einem OpenVPN-Client und einem OpenVPN-Server. Der OpenVPN-Server definiert die Konfigurationsparameter der Verbindung, die am Client eingestellt werden müssen. Im folgenden Beispiel sind die wichtigsten Parameter für einen Router als OpenVPN-Client aufgeführt (Router-Menü Netzwerk → Interfaces, erweiterte Ansicht aktivieren):

Die Verwendung folgender (gemeinhin als veraltet oder unsicher geltender), anderer oder keiner Verschlüsselungs- und Hash-Algorithmen, versetzt den Router in einen Zustand, der nicht von der Beschleunigten Sicherheitszertifizierung abgedeckt ist, und unsicher sein kann (im Web-Interface auch als nicht empfohlen gekennzeichnet).

Stellen Sie sicher, dass der OpenVPN-Server nur die sicheren Protokolle TLS 1.2 oder TLS 1.3 und die beiden Diffie-Hellman-Gruppen secp256r1 oder secp384r1 zur Verschlüsselung der Datenübertragung verwendet.

Löschen Sie nach der Verwendung eines Routers in einer sicherheitskritischen Applikation sämtliche darauf befindliche Daten. Wenn Sie das Gerät lediglich auf Werkseinstellungen zurücksetzen, werden die Daten nicht vollständig gelöscht, sondern nur die Zuordnungstabelle, so dass die Daten mit entsprechendem Aufwand und Werkzeugen bei physischem Zugang zum Router wiederhergestellt werden könnten. Deswegen darf auch ein auf Werkseinstellungen zurückgesetzter Router nicht an Dritte veräußert werden.

Verwenden Sie aus diesem Grund die Funktion für die Sichere Außerbetriebnahme des Routers. Damit wird auch die komplette Firmware vom Router gelöscht. Es verbleibt lediglich ein rudimentäres Rettungssystem auf dem Router, das über die Adresse http://192.68.1.1 zu erreichen ist, und eine Wiederherstellung des Routers ermöglicht.