Ports von DMZ ins interne Netz öffnen

Hallo,

wie riskant ist es wenn man einige Ports von der DMZ (oder einem Rechner in der DMZ) ins interne Netz öffnet? (z.B. für NTP, DNS oder Samba)?

Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben

Content-ID: 99382

Url: https://administrator.de/forum/ports-von-dmz-ins-interne-netz-oeffnen-99382.html

Ausgedruckt am: 08.04.2025 um 21:04 Uhr

11 Kommentare

Neuester Kommentar

Du hast dann halt keine DMZ mehr und gerade Dienste wie Samba und DNS sind relativ leicht manipulierbar und anfällig für Angriffe.

bei einer echten firewall, kann man nicht nur den port, sondern auch die richtung definieren, d.h. eine kontaktaufnahme von intern nach DMZ ist zulässig, umgekehrt jedoch nicht. würde ich aber trotzdem nicht mit services für dateifrigaben etc machen.

Hi,
richtig...denn dafür wurde die DMZ erfunden.
Mit dieser Zone soll das Netzwerk geschützt werden und nicht "einbrechen einfach gemacht" erschaffen werden. Nicht zu empfehlen! Außer du bist Top-Fit in Sache Firewallrules Inbound, Outbound, Protokolle, Ports...ansonsten Finger weg!

Gruss,
Dani

Uns wie wird sowas in der Praxis dann umgesetzt? Habe Ihr einen eigenen Server in der DMZ stehen um die Dienste zur Verfügung zu stellen? Wie sichert Ihr die Server in der DMZ?

Die Frage ist doch, für was du in der DMZ Samba, NTP brauchst?!
Normaler steht der NTP für das LAN hinter der DMZ und stellt die Anfrage in die DMZ oder gleich ins Internet - das ist bei z.B. DNS genauso. Für was du allerdings einen Samba inder DMZ brauchst, verstehe ich nicht. Ich lasse mich aber gerne belehren.

GRuss,
DAni

NTP und DNS habe ich am Domaincontroller laufen - aber ist ja kein Problem das in die DMZ auszulagern.
Bzgl. Samba: Ich habe in der DMZ einen kleinen VMware-Server stehen (für ganz keine Server wie Mail und Web-Server). Dabei möchte ich einmal die Woche die VMware-Images wegsichern. Natürlich wäre es am einfachsten diese am NAS abzulegen, welcher jedoch im Internen Netz steht...

Hi,

Dabei möchte ich einmal die Woche die VMware-Images wegsichern. Natürlich wäre es am einfachsten diese am NAS abzulegen, welcher jedoch im Internen Netz steht...

ISt kein Problem, solange die Sicherung aus dem LAN gestartet wird.

Wirklich NIE eine Regeln DMZ => INTERN öffnen!!

Gruss,
Dani

Ich hab da noch ein Gateway für ein Programm am laufen welches in der DMZ läuft. Dieses muss die Clients fragen, wem die Anforderung gehört welches vom Internet kommt. In diesem Fall bleibt es mit ja nicht aus diesen einen Port (fürs nachfragen) von der DMZ ins LAN zu öffnen - oder?

LG. Dextha

Hi,
kannst du uns verraten wie das Programm heißt und was genau "verteilt" wird?! Das Ganze kommt mir ein bisschen seltsam vor.
Du kannst natürlich ein Loch in die Firewall reißen, dann aber so klein wie möglich. D.h. wirklich jeden Funken genau erlauben oder eben verbieten!

Gruss,
Dani

Es handelt sich hierbei um NetOp OnDemand, wo ein Kunde sich über eine Ticketnummer auf das Gateway connected und das Gateway frage die Guersts wem das Ticket für die Hilfeanforderung gehört....