Webserver/FTP Server aufsetzen - Wie sicher ist das?

[delobre]

Ich habe bei mir zu Hause einen einfachen Windows Server (Windows Server 2016) stehen. Dadrauf läuft neben Plex (für Filme im lokalen Netz) abundzu auch ein Spieleserver, der allerdings kaum Leistung benötigt (deshalb auch Windows und kein Linux). Da jetzt ein Freund von mir abundzu mal größere Dateien von mir benötigt und ich sie nicht jedes mal über eine Cloud an ihn weiterleiten will, brauch ich was einfacheres. Sprich, er lädt sich die Dateien selber vom Server herunter. Meine Idee: Entweder ein einfachen Apache-Webserver oder FTP-Server nur mit Leseberechtigung. Ich hatte früher bereits einmal einen Apache-Webserver auf meinem Raspberry Pi am laufen. Dort hatte ich testweise einmal den Port geöffnet und somit nach außen geöffnet. Keine drei Tage später flatterte bei mir ein Brief von der Telekom herein, dass mein Raspberry Pi anscheinend einem Bot-Netzwerk angehöre. Irgendjemand hatte sich wohl Zugriff auf meinen Pi verschafft, durch den Webserver. Seither trau ich mich nicht mehr wirklich, irgendeinen Server nach außen zu öffnen.

Deshalb meine Frage: Es geht hier lediglich darum, Dateien von meinem Server auf einen anderen PC (bspw. bei einem Freund) herunterzuladen. Wie sicher sind da FTP bzw. Webserver? Was benötige ich an Software (Firewall?). Würde den Server vermutlich auch nur dann einschalten bzw nach außen öffnen, wenns benötigt wird. Also kein 24/7 Betrieb

 

[Saguya]

es reicht ein ftp server mit tls, mehr brauchst du nicht. Beachte aber, wenn du ne Dynamische IP hast die sich alle 24h ändert, musst du entweder deinen Bekannten immer die aktuelle IP mitteilen oder du benutzt einen Dynamic DNS Service.

 

[delobre]

Danke. Habe heute einen aufgesetzt, einen Port freigeschaltet und siehe da, keine zwei stunden später im log (ip durch x ersetzt). TLS war aktiviert und der FTP Passwort geschützt (irgendwas kryptisches, brute force fällt also weg)

(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> Connected on port 1999, sending welcome message...
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> 220 Fileserver TEST
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)>
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> 500 Syntax error, command unrecognized.
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> /*à
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> 500 Syntax error, command unrecognized.
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> Cookie: mstshash=Administr
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> 500 Syntax error, command unrecognized.
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)>
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> 500 Syntax error, command unrecognized.
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)>
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> 500 Syntax error, command unrecognized.
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)>
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> 500 Syntax error, command unrecognized.
(000039)29.04.2019 10:42:50 - (not logged in) (XXX.XXX.XXX.XXX)> disconnected.


Habe danach den port wieder geschlossen (hab statt port 21 port 1999 genommen). Was kann man dagegen machen? Ich vermute mal, dass das irgendein Bot war.

 

[cann0nf0dder]

selber erstmal gar nichts, irgendwelche bots scannen laufend alle erreichbaren ip adressen nach offenen ports ....
ein IPS (intrusion preventuion system) mit entsprechenden filterliste würde das automatisch erkennen und die ip adresse sperren, z.b. ipfire guardian addon oder snort ....

 

[taks]

Könntest ihn ja per VPN in dein Netz lassen anstelle den Server ins Internet zu hängen.

 

[DataDino]

Wie schon gesagt wurde, sind solche Scans völlig normal. Ich würde wenn auch das ganze über nen VPN machen.

Ich würde einen Webserver verwenden. Allerdings wäre mir ein Apache zu wuchtig. Ich würde nen NGinx oder Hiawatha verwenden. Die sind klein, handlich und schnell zu konfigurieren.

 

[shadie]

Ich würde Ihn per VPN rein lassen und dann mit SMB Freigaben arbeiten.