Firewall richtig konfigurieren - Firebox X20e

Hi,

1.Eine Paket-Regel erlaubt Pakete von x nach y wenn ein bestimmter Port verwenden wird.
Eine Proxy-Regel baut die Verbindung selber auf und stellt sicher das auch das drin ist was sein soll.

Beispiel: Alle aus dem Internet dürfen smtp an meinen Email Server
Die Regel sieht gleich aus. Allow outside any to emailserver port 25.

Vergleiche das Ergebnis beider Regeln mittels Telnet aus dem Internet (z.B. von zuhause)

c:> telnet meinemailser.meinefirma.de 25 (25 ist der smtp port)
Wenn du nur einen Paket Filter einrichtest wird die Verbindung direkt zum Emailserver aufgebaut der dann in der Begrüßung bereits seine Software Version nennt.
Wenn du hingegen die Proxy Regel verwendest wird die Verbindung zunächst nur mit der Firewall aufgebaut. Eine potenziellen Angreifer wird eine sehr unverfängliche Meldung angezeigt.

Beispiel:
Connecting to [194.1.2.3] port [25]...
220 name ESMTP email ready at <Datum, Uhrzeit usw.>

Es ist dann viel schwieriger z.B. einen Bufferoverflow auszunutzen. Eine Proxy Regel ist also deutlich sicherer als eine Port Regel die halt auf Port 25 alles durchlässt. Allerdings benötigt eine Proxyregel viel mehr CPU und RAM und es kann passieren das einzelne Features evtl. nicht unterstützt werden. Für den Emailserver und deinen eigen DNS Server, so fern ihr einen habt, würde ich immer die Proxy Regel empfehlen.


2. Es ist möglich DES mit einigem Rechenaufwand zu knacken und wird daher nicht mehr verwendet. Bei 3DES wurde auch schon einmal mit enormem Aufwand eine Brute Force Attacke durchgeführt. AES gilt gegenwärtig als sicher. AES128 benötigt weniger Rechenaufwand als 3DES. Deshalb rate ich zu AES128. Ob nun MD5 oder SHA ist in der Praxis egal. Wichtig ist ein wirklich langer Shared Key aus zufälligen Zeichen. Beispiel: 40 Zeichen Key erstellen lassen.
http://www.commumedia.de/keygenerator_wpa_hex_undefined.htm
Diese Shared Keys musst du verteidigen wie Passworte. Ich verwende http://keepass.info/ (Version 1.x) um alle Keys mit zig Partner Firmen und Standorte zu verwalten.
Gibt niemandem diese Keys! Wann immer möglich trage den Key selber auf dem Client ein. Für eine VPN Verbindung zu einer anderen Firma tausche den Key per FAX aus, nicht per Email. Verwende für jede VPN Verbindung einen einmaligen Shared Key.


3. Kostenloser Tipp:
Gewöhn dir von Anfang an diese Reihenfolge an:
Bevor du beginnst zu arbeiten immer die aktuelle Konfiguration mit fortlaufender Nummer abspeichern.
Trage in eine einfache Textdatei ein:
Dann Änderungen durchführen und unter der *nächsten* Nummer speichern.
Dann neue Regel prüfen und Textdatei ergänzen.

Damit bist du, oder dein Vertreter, in der Lage nach zu vollziehen warum eine Regel so eingetragen wurde und ob diese Regel noch Sinn macht. Was nützt dir deine Firewall wenn du in 6 Monaten nicht mehr weißt welche Regeln wichtig und gut sind.

Gruß Rafiki