Nov. 2025 - Das ist die sogenannte Port-Weiterleitung mit einer Fritz-Box oder einem äquivalenten Router. Denn der eigentliche MS-SQL- Netzwerk-Port darf draußen im Internet nie auftauchen und unsere "Freunde" der aufgehenden Sonne sowie hinter dem Ural sind pfiffig und extrem neugierig.

Darum sind einige Vorsichtsmaßnahmen zu treffen.
.

In der Fritzbox konfiguriere ich die Weiterleitung einer Portnummer von draußen mit dem Verweis auf eine IPV4 Adresse (unseres Servers) hinter der Fritzbox im lokalen Netz und mit einem dortigen internen Server-Port.

Auch dieser Port braucht nicht der normale MS-SQL Standardport 1433 zu sein. Das bedeutet insgesamt, wir nutzen (spezifizieren) keinen der im Internet überall bekannten Ports irgendwelcher Standard-Dienste. Wir definieren unsere eigene(n) Portnummer(n) - sowohl die von außen als auch die im lokalen Netz.

Alle anderen offenen Ports einer Win10 Umgebung können damit von außen nie gescannt, angebaggert und erreicht werden.

Im Prinzip könnten wir sowohl bei unserem Linux-SQL-Server wie auch bei unserem Win10-SQL-Server die beiden Firewalls abschalten. Es wäre sowieso nur dieser eine spezielle Port offen.
.

In der Fritzbox gibt es eine ziemlich aktuelle Liste von überall bekannten Ports mit den dahinter arbeitenen Diensten. So zum Beispiel der Port 80 für einen http-Webserver und der Port 443 für einen https webserver. Auch der Port 22 für den Konsolenzugang zu einem Server ist allseits bekannt.

Darum hier eine Liste, welche Ports auf keinen Fall von außen erreichbar sein dürfen :
.

.

...... die aber alle unterhalb von Port 9999 liegen.

Darum suchen wir uns einen sehr hohen Port oberhalb von 55.000 aus, über den wir von draußen duch die Fritzbox auf unsere(n) MS-SQL Server zugreifen können.

Auch unsere beiden MS-SQL Server Engines erhalten (neben den unterschiedlichen lokalen IP Adressen einen solchen unbenutzten abweichenden Port. Damit haben es die Angreifer schon mal schwer, keine Aufmerksamkeit zu erwecken, wenn sie alle Ports von 22 bis 64.000 durchscannen. Denn das dauert doch eine ganze Weile und es fällt auf, wenn ein und dieselbe fernöstliche IP-Nummer alle Ports (automatisch) abklappert.

Und selbst wenn der Angreifer den (unseren) offenen Port der Fritzbox gefunden hat, muß er noch den genauen Dienst (siehe Tabelle oben) erkunden, der sich hinter dieser Portnummer verbirgt.

Als letztes kommt ein 12 stelliges Passwort nach MS-Vorgaben mit Sonderzeichen usw., das auch noch geknackt werden müsste. Und das alles unerkannt in akzeptablen Zeiten zu bewerkstelligen, ist wirklich nicht mehr trivial und es ist auffällig.

Als letzte Stufe der Sicherheit könnten wir die hereinkomende(n) IP Nummer(n) genau festlegen. Das geht aber nur in Firmennetzen, die solche festen IP-Nummern verfügbar haben und ganz gezielt vergeben. In unseren bundesdeutschen Home-Offices haben wir täglich wechselnde IPV4 Nummern oder aber IPV6 Nummern, wobei es bei diesen IPV6 Eingangsfiltern schon recht aufwendigt wird.
.
Wichtig ist nur, alle anderen offene Ports unserer Server hinter der Fritzbox sind von außen überhaupt nicht sichtbar.
.