Re: DMZ Verständnis

Inge Trins <i.trins@xxxxxxxx> wrote:
ich beschäftige mich im Rahmen eines Aufbaustudiums erstmals mit DMZs.
In meinen Unterlagen steht, dass man bspw. Webserver und FTPserver in
eine DMZ stellt (ähnlich spär. Da frage ich mich doch:

- Bedeutet DMZ eigentlich immer, dass alle Ports frei sind? Oder gibt
es DMZs, bei denen Ports gefiltert werden?

Nein. Ja.

Letzteres ist der Regelfall. Eine DMZ ist, wie Jürgen bereits schrieb,
eine Pufferzone, in die man Rechner stellt, die (auch) von einem Netz
mit niedrigerer Sicherheitsstufe aus erreichbar sein sollen/müssen.

Im einfachsten Fall ist das ein zusätzliches Netzwerksegment, das die
Rechner enthält, die aus dem Internet erreichbar sein sollen, um diese
so von den Rechnern der Mitarbeiter zu trennen, die üblicherweise nicht
vom Internet aus erreichbar sein sollen. Einfaches und unvollständiges
Beispiel, um das Prinzip zu veranschaulichen:

Firma X will ihre Homepage selbst hosten. Dazu richtet sie ein weiteres
Netzwerksegment ein. Die Netzwerkzugriffe werden über eine dreibeinige
Firewall (Firewall mit drei unabhängigen Netzwerkinterfaces) gesteuert:

Internet --- Firewall --- Lokales Netzwerk (LAN)
|
DMZ

In der DMZ befindet sich der Rechner auf dem der Webserver läuft. Die
Firewall erlaubt nun folgende Zugriffe:

1) Internet -> DMZ/Webserver (Port 80/tcp)
2) LAN -> DMZ/Webserver (Port 22/tcp)
3) LAN -> Internet
4) Sämtlicher Traffic, der zu einer der Verbindungen 1-3 gehört

Regel 1 erlaubt die Nutzung des Webservers vom Internet aus. Regel 2
erlaubt SSH-Zugriff vom LAN auf den Webserver, so dass Mitarbeiter der
Firma den Webserver mit Daten beschicken können. Regel 3 erlaubt den
Mitarbeitern Zugriff auf das Internet (surfen, mailen, whatever). Der
Aufbau von Verbindungen in alle anderen Richtungen (z.B. DMZ -> LAN) ist
verboten.

Da die ersten drei Regeln nur die Initiierung der Verbindung abdecken,
braucht man noch die vierte Regel, damit die Antwortpakete ebenfalls
durchkommen.

- Warum eine DMZ, und nicht separat den Server im normalen Netz in der
Firewall auf Portforwarding Port 80, bzw. 21 stellen?

Der Web- bzw. FTP-Server ist von außen erreichbar und damit angreifbar.
Gelingt es einem Angreifer, den Server zu übernehmen (z.B. über einen
Exploit), dann hat er bei einem im LAN stehenden Server automatisch
Zugriff auf alle Rechner im LAN. Steht der Server hingegen in der DMZ,
hat er "nur" Zugriff auf die Rechner in der DMZ, weil die Firewall
Verbindungsversuche zu Rechnern im LAN verhindert.

Ein sehr empfehlens Buch zum Thema ist beispielsweise "Building Internet
Firewalls", erschienen bei O'Reilly.

http://www.oreilly.com/catalog/fire2/

cu
59cobalt
--
"The Mac OS X kernel should never panic because, when it does, it
seriously inconveniences the user."
--http://developer.apple.com/technotes/tn2004/tn2118.html
.

Relevant Pages

  • Re: OWA_Frontend_Firewall
    ... >>the OWA server in the DMZ to the exchange server and DC's on the LAN ... >ISA is a workgroup box not joined to the domain) and that way you only ... >GCs between a DMZ and a firewall. ...
    (microsoft.public.exchange.admin)
  • RE: Firewall and DMZ topology
    ... Subject: Firewall and DMZ topology ... Also, when I say firewall, I mean Router + Firewall. ... Should the DMZ be behind the LAN and not split off at the firewall, ... > The Gartner Group just put Neoteris in the top of its Magic Quadrant, ...
    (Security-Basics)
  • RE: Firewall and DMZ topology
    ... Subject: Firewall and DMZ topology ... Should the DMZ be behind the LAN and not split off at the firewall, ... > The Gartner Group just put Neoteris in the top of its Magic Quadrant, ...
    (Security-Basics)
  • RE: Whats wrong with this topology?
    ... it's better to have the DMZ ... complicates all the filtering rules on your firewall... ... Better is to have the DMZ physically apart from your LAN (with the firewall ... region system (hostile internet vs. not very secure internal lan) because ...
    (Security-Basics)
  • Re: Windows 2000 Server verliert verbindung ins Internet
    ... >>diese gehen auch über die firewall ... LAN öffnen - da lohnt sich überhaut die DMZ-Konfiguration nicht mehr. ... Möglichkeit: Weg mit der DMZ ... Auf jeden Fall sollte die Firewallkonfiguration ...
    (microsoft.public.de.german.win2000.networking)