Welche Hardware Firewall für zweistufiges Firewall Konzept?

Entweder LANCOM oder was wir bei uns im Einsatz haben und was auch sehr mächtig ist, eine Appliance von WatchGuard. Sind rundum zufrieden mit und die Art und Weise wie was eingestellt wird und vor allem die Möglichkeiten sind einfach phänomenal.

Ich denke, daß Du Dir durch dieses Konzept mehr Probleme als Nutzen einhandelst, wenn Du es zum Laufen bringst.

Gruß,
Arch Stanton

Hallo,

leider habe ich den Sinn dieses Konstruktes noch nicht so richtig begriffen.
Wozu baust du eine DMZ auf und benutzt sie dann nicht?

Wenn du deine Firewall nur nicht direkt ins Internet hängen willst (wieso auch immer) würde ich mir den Aufwand einer Firewall sparen und einen Router davor hängen.

Was die VPN Anbindung angeht stellt sich mir die Frage ob du SSL oder IPsec verwenden willst.

brammer

Ich würde ebenfalls von einer zweiten Firewall abraten, du handelst dir damit mehr Probleme ein als es dir nützt. Wie stellst du dir das mit dem zweiten DSL-Zugang genau vor? Soll der ausgehende Datenverkehr auf beide Zugänge verteilt werden (Stichwort: Multi-WAN)?

Schau dir z.B. mal die Geräte von WatchGuard an (ab der X Core 750e aufwärts). Es hängt davon ab, was du für eine Firewall nimmst. Wie oben schon erwähnt, wir setzen bei uns eine von WatchGuard ein. Mit einer UTM-Lizenz (Unified Threat Management) kannst du mit dem nötigen Know-How daraus eine richtige Festung bauen, die nur schwer zu überwinden ist. Außerdem kann sie dir beide DSL-Zugänge "bündeln", sodass du den VPN-Zugang ohne Probleme als zweiten ausgehenden Internetzugang nutzen kannst. Die Möglichkeiten der Geräte sind gewaltig, man kann damit ganze Bücher füllen. Wo es halt hapern könnte, ist der Preis. Für unser Modell fängst du inklusive UTM-Lizenz, 1-Jahr LiveSecurity und Fireware Pro nicht unter 3000 Euro an.

Mit Astaro kenne ich mich nicht aus. Ich kenne die Geräte von WatchGuard nun schon seit vier Jahren. Die Dinger zu konfigurieren macht richtig Spaß und vor allem damit Leute zu ärgern, die meinen, sie müssten sich nicht an Regeln halten, z.B. dass Instant Messaging nicht erlaubt ist.

Jaein. Also Ja, ähm ich meine Nein. Bis auf ganz wenige Ausnahmen würde ich immer nur eine Firewall einsetzten. Es schafft mehr Probleme als Sicherheit zwei Firwalls hintereinander zu betreiben.

Hier am Beispiel der VPN Benutzer:

Wenn die zweite Firewall VPN Clients annehmen soll dann muss die erste Firewall den Traffic zu der zweiten durchlassen und schützt die zweite Firewall damit nicht mehr. Wenn mal ein VPN Benutzer sagt da hat "irgend etwas" nicht funktioniert kannst du spekulieren ob evtl. die erste Firewall schuld war oder eigentlich auch nicht. Du handelst dir also eine zusätzliche Fehlerquelle ein ohne mehr Schutz zu erreichen.

Wenn die erste Firewall den VPN Client annehmen soll dann muss die zweite Firewall den Datenverkehr aus der DMZ, die du nicht DMZ nennen möchtest, durchlassen ins LAN. So etwas tut man nicht, denn dann braucht du die zweite Firewall nicht mehr.

Entsprechendes gilt für andere Protokolle.

Eine der wenigen Ausnahmen mag die Firewall "ISA Server" von Microsoft sein. MS selber sagt man solle eine einfache, hochperformante Firewall davor schalten um unnötigen Traffic ab zu filtern.

Ich nehme einfach mal an, dass ihr ein großes Netzwerk habt in dem viele Computer unterschiedliche Aufgaben haben. Halt ein normales Büro & Labor. Einige wenige Mitarbeiter und Computer sollen mit diesen sensiblen Daten (Patientendaten) umgehen. Ich rate euch dazu einen eigenen Bereich innerhalb von eurem Netzwerk nur für diese Daten und Mitarbeiter einzurichten.

Beachte bitte den Artikel bei Heise für ein Beispiel.
http://www.heise.de/netze/artikel/78397

Im Bezug auf den Artikel und das Bild in dem Artikel wäre also in deiner Konfiguration der größte Teil vom Netzwerk hinter der ersten Firewall. Nur Daten, die anonymisiert wurden, dürfen dort verarbeitet werden. In der Regel werden dafür die Proben und Papierberge mit einem Barcode Aufkleber versehen. Detaillierte Angaben (Name, geb Datum, Krankenkassen) zum Patienten sind aber tabu.

Nur in dem besonders geschützten Bereich darf es eine Verbindung zwischen Patientennamen und seiner Probennummer auf dem Barcode geben. Das ist dann der Bereich hinter der zweiten Firewall. Möglicherweise müsst ihr sogar noch weiter gehen, denn kein Mitarbeiter im Labor darf erfahren wessen Probe gerade analysiert wird. Kein Mitarbeiter in der Verwaltung(Buchhaltung) darf das Analyseergebnis erfahren. Also Trenne auch diese Bereiche durch Türen, Vorschriften und Firewalls.

Wenn ihr Auditiert werdet, also eine Behörde prüft ob ihr anständig arbeitet, wird es in der Regel schwierig denen zu erklären das ein EDV Admin in allen diesen Bereichen die Backups macht und die Berechtigungen verwaltet. Aber das ist ein anderes Thema jenseits der ursprünglichen Frage nach der Firewall.