Top-Themen

Aktuelle Themen (A bis Z)

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit

Nutzung von IPSec als Firewall

Mitglied: RADIO55Webmin

RADIO55Webmin (Level 1) - Jetzt verbinden

28.12.2004, aktualisiert 29.12.2004, 5158 Aufrufe, 3 Kommentare

Hallo Leute,

ist das erste mal, dass ich hier schreibe, also bitte nicht so hard umgehen, falls ich was falsch mache oder nicht genügend Informationen bereitstelle.

Also ich hab nen netten Windows 2003 Web Server bei einem großen Provider hosten. Voreingestellt ist IPSEC als Firewall, d.h. Packetfilter werden als Firewallersatz misbraucht. Wie hier illustriert http://www.microsoft.com/technet/itsolutions/network/security/ipsecld.m ...

Nun hab ich aber das Problem, dass ich nicht möchte das durch das Block All Flag auch der ausgehende Trafic gefiltert wird. Also Eingehende Ports ja, ausgehende nein. Nur kriege ich das nicht hin.

Weiss da einer Rat?

Alternatif würd ich ja gern eine richtige SW Firewall benutzen, allerdings darf ich Port 3389 (Remotedesktop) nicht dabei verlieren, weil das der einzige Zugang zum Server ist. Also brauch ich wohl eine Firewall, die nach Installation ersteinmal garnichts sperrt.

Könnt ihr mir was empfehlen?

Danke im voraus

regards Webmin
Mitglied: fritzo
28.12.2004 um 09:33 Uhr
Hi,

hm - dein Provider wird sicherlich selbst eine Firewall davor geschaltet haben. Am besten wäre es imho, diese zu benutzen.

IPSec ist wohl eine Möglichkeit, aber sicherlich aufwendig. Problem: Dein Client hat evtl. keine feste IP - wie definiere ich hier Regeln? Möglichkeit: Verwendung eines Zertifikats. Ich habe sowas noch nicht konfiguriert, würde es aber wahrscheinlich so machen, daß ich inbound nur die Dienste durchlasse, die Dein Server anbieten soll und ansonsten nix außer ein Rechner mit dem richtigen Zertifikat connectet. Outbound würde ich wahrscheinlich auch filtern, der Sicherheit wegen.

Soweit ich weiß, kann man ipsecpol für w2k3-Server nicht oder nur eingeschränkt verwenden, hier wird mit netsh gearbeitet. Schau Dir mal das hier an: http://www.microsoft.com/resources/documentation/WindowsServ/2003/stand ...

Google auch mal nach vorgefertigten Rule-Sets bzw. Scripts für den Gebrauch mit netsh; ich bin mir sicher, daß es welche gibt.

Ausgehender Traffic - bei der Definition der Filter gibt es eine Box namens "Diese Filterangabe wird auch für Pakete mit gegenteiliger Quell- und Zieladresse angewendet". Wenn Du den Haken hier nicht setzt, dann sollte er bei Deinem "Block All Flag" auch nur den Traffic von einer Seite filtern.

Grüße,
fritzo
Bitte warten ..
Mitglied: RADIO55Webmin
29.12.2004 um 10:31 Uhr
Danke für deine detailierte Antwort.

Leider hat mein Provider keine Firewall für diese Art von Server, und das ist ja auch gut so, da ich die Ports selbst definieren möchte.

netsh ist sicher eine alternative, nur würde ich da wohl eher eine richtige Firewall vorziehen. Wenn ich schon das Risiko eingehe mich vom Server durch unbekannte Programme auszusperren, dann lieber mit der Möglichkeit hinterher ein System zu haben, was mir Stats und Warnings geben kann.

Ich dachte auch, dass mit dem Deaktivieren des Flags zur Spiegelung der Quell- und Zieladresse mein Problem gelöst wäre. Pustekuchen, entweder geht das nicht so wie ich will, oder das Ding hat nen Bug. Ich habe ein eigenes Regelset angelegt, nur mit offenem Port 3389 und Block All. Dies habe ich wie folgt definiert: Block von Beliebiger-IP-Adresse zu Eigner-IP-Adresse alle Protokolle und jeden Port ohne Spiegelung der Regel. Nach meinem Dafür halten sollte jedes Programm munter aus dem Server rauskonnekten können. Leider ist das nicht der Fall. Nicht einmal Browseranfragen werden durchgelassen.

Und Updates hab ich auch alle gemacht von MS.

Naja ich hab mich fast entschieden, ich brauch ne richtige Firewall mit Warnings und Stats. Nur welchen? Und wie löse ich das Problem mit Port 3389 bei der Installation?

Danke im Voraus


Sak
Bitte warten ..
Mitglied: fritzo
29.12.2004 um 17:49 Uhr
Naja ich hab mich fast entschieden, ich
brauch ne richtige Firewall mit Warnings und
Stats.

ack.

Nur welchen?

Da hast Du die Qual der Wahl, es gibt wirklich viele. Wenn Du eine DTF nehmen willst, dann hast Du eine riesige Auswahl. Ich mag die Kerio -Firewall (www.kerio.com), ansonsten gibt es da noch zB welche von Sygate, Outpost, McAfee etc. Du könntest Dir auch mal MS ISA 2000 oder 2004 ansehen, kostet ein bißchen mehr, ist aber recht gut.

Und wie löse ich das
Problem mit Port 3389 bei der Installation?

Das Problem ist, daß man die meisten nur administrieren kann, wenn sie laufen - und wenn sie laufen, machen sie by default erst mal alles dicht. Die Hersteller gehen richtigerweise davon aus, daß der Admin lokal am System arbeitet. Versuch, eine zu finden, bei der Du einen Adminport nach der Installation offen hast. Kerio zB macht das. ISA weiß ich nicht.

Grüße,
fritzo
Bitte warten ..
Ähnliche Inhalte
Sonstige Systeme
Spiceworks in Nutzung?
gelöst Frage von bastian23Sonstige Systeme4 Kommentare

Hallo liebe Mitadmins, hat jemand von Euch die Produktpalette von spiceworks im Einsatz und kann mal aus dem Nähkästchen ...

Drucker und Scanner
Drucker Farbpatronen-Nutzung
gelöst Frage von KoboldukeDrucker und Scanner6 Kommentare

Hallo Administrator-Community, ich habe eine Frage zu den Tintenfüllständen meines OfficeJet Pro 8610. Ich drucke kaum Farbseiten und die ...

Router & Routing

PfSense Firewall mit Multi-WAN: Konflikt zwischen VoIP und IPsec-VPN

Frage von LarsIPRouter & Routing14 Kommentare

Hallo, ich habe in den letzten Monaten einiges an Erfahrung mit pfSense sammeln können, zum einen was IPsec-VPNs mit ...

Router & Routing

Pfsense Firewall Regeln in Verbindung mit OpenVPN, IPsec, pfBlockerNG, und Ausnahme Regelungen

Frage von dremeierRouter & Routing7 Kommentare

Hallo Freunde der Bits und Bytes, nachdem ich nun gefühlt das Internet leer gelesen habe und nun den Wald ...

Neue Wissensbeiträge
Windows Installation

Windows Install ISO mit übergroßer Install.wim auf FAT32 übertragen

Tipp von Lochkartenstanzer vor 2 TagenWindows Installation9 Kommentare

Moin Kollegen, Viele von euch werden sicher aus praktischen Gründen nicht nur DVDs oder "virtuelle" CD-Laufwerke (Zalman, IODD) zum ...

Datenschutz

Gehe zurück auf Los, ziehe keine 4.000 Mark. E-Privacy (erstmal) gescheitert

Information von certifiedit.net vor 3 TagenDatenschutz

Webbrowser

Firefox 71 verfügbar mit Picture in Picture Funktion

Information von sabines vor 3 TagenWebbrowser2 Kommentare

Die neue Firefox Version 71 unterstützt, zunächst nur für Windows, Picture in Picture. Damit kann ein Video in einem ...

E-Mail
SPF beim Versenden testen
Tipp von StefanKittel vor 5 TagenE-Mail3 Kommentare

Hallo, wenn man einen SPF für einen Exchange, oder anderen Mail-Server, konfigiruert muss man das ja auch testen. Ganz ...

Heiß diskutierte Inhalte
Server-Hardware
Hetzner Dedicated-Server für Terminalserver - RDSH 5 Benutzer gesucht
gelöst Frage von ra-user10Server-Hardware37 Kommentare

Hallo liebe IT-Fachleute! Ich möchte für unseren kleinen Betrieb einen Terminalserver aufsetzen und dafür das Angebot von Hetzner nutzen. ...

E-Business
Brainstorming: Zeiterfassungs- oder gesamtes Abrechnungssystem
Frage von certifiedit.netE-Business23 Kommentare

Guten Abend, alles neu macht der, naja, schon lange nicht mehr, Mai Zum Ende des Jahres, besser zum Beginn ...

Entwicklung
Powershell-Skript und Organisationseinheiten auskludieren
gelöst Frage von informatikkfmEntwicklung13 Kommentare

Hallo, ich habe ein Powershell-Skript, ähnlich wie das folgende. Ich möchte dabei, dass alle Benutzer unterhalb der OUs in ...

Weiterbildung
Thema Gehaltsverhandlung - Angemessenes Gehalt als (SAP)-Supportmitarbeiter
Frage von DennisWeberWeiterbildung10 Kommentare

Hallo Leute, ich möchte nach ca. 3 Jahre Betriebszugehörigkeit und 4 Jahre Berufserfahrung (Arbeitsjahre/ keine Ausbildungszeit) endlich eine Gehaltsanpassung ...