DMZ - Fragen für die Praxis

Stimmt
Auch dafür gibt es Proxys.

Proxy.
Ein Linuxserver mit Nginx oder Apache oder was auch immer der die Anfrage für die Webseite auf Port 80/443 annimmt und dann selber als Client die Anfrage an den Server im LAN stellt.
Der Webserver antwortet dem Proxy und der Proxy gibt die Antwort weiter an den Client.

Eine DMZ schützt aber nicht vor Schwachstellen in den Anwendungen die erreichbar sind.
In der Firewall zwischen DMZ und LAN müssen natürlich entsprechende Ports für die Anwendungen erlaubt sein.
Die Server im LAN können so konfiguriert werden das die z.B. keine Anfragen außer vom Proxy akzeptieren.

Jeh nach verwendetem OS kann man noch einiges rumspielen.


Gruß

Chonta

Hallo,

Also wenn schon eine DMZ dann nicht nur einrichten sondern auch verteidigen oder absichern
und dann empfiehlt sich der Umstieg von einem Router auf eine Firewall und die Überlegung eines
DMZ Radius Servers und/oder einer IDS/IPS Absicherung. Mitunter bekommt man so etwas auch
schon in Form einer UTM oder NG-Firewall in einem Gerät angeboten. Ist aber auf jeden Fall besser
als nur einen Router ohne Firewallregeln zu benutzen.

- Nur Layer2 Switch als DMZ Switch benutzen
Layer3 Switche können als Router ausgenutzt werden.
- Über einen DMZ Radius Server nachdenken
Man muss dann auf allen LAN Klienten eventuell ein Zertifikat installieren ist aber sicherer.
- Proxy Server einsetzen
Die die eigentlichen Geräte von dem Internet trennen.
- DMZ Snort Sensor oder Server einsetzen
Am besten mit einem integriertem Modem das dann auch per SMS Alarmmeldungen versendet.
- Firewallregeln für WAN - DMZ und LAN - DMZ anlegen.
So das der Zugriff nur von gewissen Benutzern und Bereichen auf gewisse Geräte in der DMZ zugelassen wird.

Sollte ein VPN nicht direkt an der Firewall oder dem Router terminiert werden, sondern an einem VPN Server
sollte dieser immer in einer DMZ stehen und von dort aus der Zugriff auf das LAN erfolgen denn der direkte
Kontakt in das LAN von Internet aus soll ja durch den Einsatz einer DMZ vermieden werden!!!

Gruß
Dobby

Wozu dann eine DMZ?
Sinn einer DMZ ist es, wenn der Router/Firewall die den Zugang zum Internet darstellt übernommen wird halt kein Zugang ins LAN erfolgen kann ja die existenz des LAN im bestenfall nichtmal bekannt ist.

Per VPN in die DMZ auf den VPN-Server und der VPN Server kann dann eine Verbindung zum LAN aufbauen.
Diese Verbindung erfolgt dan entweder auch über ein VPN oder schlichtes Routing zum Router/Firewall welche die DMZ vom LAN trennt.

Wenn generell nur ein Router vorhanden ist, der den Zugang zum Internet macht, das Defaultgateway für das LAN ist und noch direkter Router für den DMZ Bereich ist, dann hat man nicht wirklich eine DMZ.
Wen diesen Router knackt hat Zugang zu allem.
DMZ ist halt meh rals nur unterschiedliche IP-Netze für Webdienste und LAN.

Gruß

Chonta

Wenn Du das eh schon so hast, wozu die Frage?
Knall alles was Dienste für das Internet bereitstellen soll in dein DMZ Netz und mach eine Portweiterleitung für die Dienste zum entsprechenden DMZ-Server.
Per Firewall erlaubst Du nur Trafik für die benötigten Dienste von DMZ ins LAN und vom LAN in die DMZ.
(Am besten auch nach IP aufgeschlüsselt, PBX kann z.B. kein Http (wenns nicht gebraucht wird)

Fertig

Wennjetzt durch eine Sicherheitslücke der Router gekapert wird, sind DMZ, und LAN gleichermaßen hin, weil die Firewall der SPF ist.
Du kannst deine Sicherheit ggf. nur erhhöhen, in dem in der DMZ z.B. eine Snort IDS (oder was vergleichbares) steht auf die alle Ports gehen, und die dann zu den einzelnen Servern ihren Trafik weiterleitet.
So das die Dienstserver ggf. nichtmal ins Internet kommen, weil die kein Defaultateway für das Internet bekommen.

Gruß

Chonta

Sicherheit schaut anders aus abder schon im DMZ Ansatz.

Wie schaut denn dein VPN Zugriff aus und was soll darüber laufen?
Es gibt VPN da ist man im selben Netz wie in der Firma und es gibt VPN bei denen hat das VPN ein separates VPN Netz.
Ein separater VPN Server in der DMZ zu dem man sich verbindent und von dort dan Routen ins LAN bekommt ggf auch zwei separate VPN, eins für nur DMZ und eins für LAN, kann sicherer sein als eine Lösung auf dem Router.
Es kommt aber auf die Umsetzung des VPN an, schlecht gemacht kann das mit dem separaten Server auch schlechter sein als die Routerlösung.

In deiner Konstruktion ist die DMZ aber technisch gesehen nicht anders als die LAN Zone.
Deine DMZ und LAN Zone hängen am selben Router und haben unterschidlich konfogurierte Firewalleinstellungen.
Wenn die PBX in deiner DMZ steht und zwischen LAN und DMZ für die IP der PBX erlaubt ist könnte eine eine kompromitierte PBX nix imLAN machen weil die kann nur SIP mit dem LAN reden, also wären die Fileserver vor der PBX theoretisch sicher
Allerdings müsste man die PBX auch erstmal über SIP Kommunikation kapern.

Also ja PBX in der DMZ ist theoretisch sicherer wenns richtig gemacht wird

Gruß

Chonta