Praxisnahe Segmentierung eines Netzwerks - Hilfe bei Übungsaufgabe

Wenn das Portal von extern erreichbar sein soll brauchst du noch eine DMZ auf der Firewall.

Anzumeckern wären die Punkt zu Punkt Links zwischen den 4 Routern. Dort ein /11er zu verschwenden wäre unsinnig. Üblicherweise löst man das bei einem sauberen IP Adressdesign mit /31er P2P Netzen bzw. /127er bei IPv6. Alternativ mit /30ern (/128) wenn die Router wider Erwarten den RFC 3021 Standard nicht supporten sollten.
Der Rest ist soweit OK.
Ein weiterer größerer Kritikpunkt wäre bei einer heutigen vorausschauenden Planung noch gewesen dieses IP Design auch auf IPv6 zu übertragen.
Eine moderne, zukunftsorientierte und praxisbezogene IP Adressplanung sollte in heutiger Zeit aus guten Gründen immer auch gleichzeitig eine IPv6 Adressierung vorsehen!

Hallo,

wie zur vorherigen Frage angemerkt, ist die Praxisnähe solcher Aufgaben immer begrenzt.

Unter dieser Einschränkung ist die Gruppierung der Systeme weitgehend in Ordnung, mit Außnahme des Mail-Servers im DC-Netzwerk. Der Mail-Server kommuniziert zwangsläufig über den Perimeter und darf daher nicht mit einem sensiblen internen System kombiniert werden. Ein File-Server ist hingegen vertretbar (auch wegen des übereinstimmenden SMB-Protokolls). Die vereinfachte Annahme ist dabei immer, dass "lateral movement" einem Angreifer innerhalb eines Netzes leichter fällt als über Netzgrenzen hinweg.

Wenn man kein weiteres Netz nur für den Mail-Server verbrauchen will, wäre der treffendste Platz für ihn beim Live-System. Diese Option scheint auch in den Zugriffsanforderungen der Aufgabenstellung angelegt.
In der Praxis wäre zu bedenken, dass auch das zu einer Konzentration der Angriffsfläche führt, d.h. einem Angreifer wird ein erweitertes Spektrum an Protokollen für das Eindringen in dieselbe Servergruppe geboten. Das Konzept der DMZ sollte daher in der Praxis nicht automatisch zu einem einzelnen Netz "DMZ" führen; die Systeme dort verdienen ggf. auch Separation. Für die Aufgabe kann man das wahrscheinlich übergehen.

Würde man dieser Aufteilung genau ein weiteres Netz hinzufügen, so wäre das besser nicht in der Separation des Mail-Servers, sondern in der Trennung des DB-Servers von Anwendungs- und Mail-Server angelegt. Auf den DB-Server muss ja gerade nicht von außen, sondern nur vom Anwendungs-Server aus zugegriffen werden. Die Separation von Anwendungs-Tiers ist praktischer Standard, und evtl. weist die Aufgabe mit Erwähnung der Kundendaten darauf hin.

Die verwendeten Netzgrößen finde ich insgesamt unangebracht. Sofern der Aufgabensteller nicht bewusst eine (praxisferne) mathematische Aufteilung gewünscht, sollte nicht der gesamte Netzbereich verbraucht werden und 2 Mio. Adressen weder für Transit- noch kleine Server-Netze noch übliche Client-Netze verwendet werden. Die /11-er Maske wäre wahrscheinlich mehr als ausreichend für den ganzen Standort.

Grüße
Richard

Nein, das ist eine recht irrige Behauptung und weisst du vermutlich auch selber.
Das gesamte umständliche und kostenintensive Konstrukt mit den vielfachen Routern und ungemanagten LAN Switches oben könnte man an einem Campus Standort auf einen einzigen kompakten und redundanten Layer 3 Routing Core reduzieren an dem man dann ebenfalls redundant preiswerte Access Switches anbindet, was dann zu einer massiven Kosteneinsparung führt. Eine klassisches 2 stufiges Leaf Spine Design.
Ein weiterer massiver Schwachpunkt des o.a. Hardware Designs ist die fehlende Redundanz ohne die, aus guten Gründen, heutzutage kein Firmennetz mehr betrieben wird. Aber Hardware Design ist ja letztlich auch nicht die Aufgabe eines IP Adresskonzeptes.

Moin @Enrixk,


du meinst glaube ich eher, dass dein Szenario höhere Kosten verursacht, wie eins mit einem V-LAN Design und einem zentrallen Security-Gateway.


Mehr Sicherheit bieten dir V-LAN's im Vergleich zu wirklich dedizierter Hardware sicherlich nicht, jedoch ist ein V-LAN Design meist einfacher und kostengünstiger zu implementieren.


Sicherheitstechnisch nicht wirklich, weil du dadurch den Zugriff zwischen Clients und Server oder Server und Server, nicht wirklich filligran steuern kannst, ausser du fängst noch an die lokalen FireWalls an den Clients oder Server zu konfigurieren. Spättestens dann, bist du aber mit einem zentrallen Security Gateway, meiner Ansicht nach viel effizienter und auch sicherer dran, weil man damit eben vieles zentrall steuern kann und auch nur eine Stelle im Blick behalten musst.

Gruss Alex