Nächste Seite: Aufbau eines Bastion Host
Aufwärts: Firewall-Architekturen
Vorherige Seite: Screened Subnet Architektur
  Inhalt
  Index
Mischformen
Chapman und Zwicky geben in [BIF-96] folgende Empfehlungen zu
Variationen von Firewallarchitekturen:
- Mehrere Bastion Hosts
Die Verwendung mehrerer Bastion Hosts kann aus verschiedenen Gründen
sinnvoll sein:
- Performance
Bestimmte Dienste, z.B. News, sind sehr große ,,Resourcen-Fresser``, so
daß es besser ist, diese auf einem eigenen Rechner anzubieten.
- Redundanz
Durch die Verwendung mehrerer Bastion Hosts kann man einige Dienste (z.B.
DNS, SMTP) redundant konfigurieren, so daß sie bei Ausfall einer
Maschine einfach von einer anderen weiter angeboten werden.
- Daten trennen
Durch die Aufteilung von Diensten auf mehrere Rechner wird ebenfalls die
Performance erhöht und zusätzlich die Sicherheit der Daten. Man
könnte z.B. einen Webserver für die eigenen Kunden und einen für den
,,Rest`` der Welt anbieten.
- Exterior und Interior Router in einem Gerät
Wenn ein Router auf jedem Netzwerkinterface Filter für eingehenden und
abgehenden Datenverkehr verwalten kann, benötigt man keine zwei Router
um eine Screened Host Architektur aufzubauen.
- Zusammenlegen von Exterior Router und Bastion Host
Dadurch kann man dieselbe Funktionalität wie bei der Screened Subnet
Architektur mit drei Geräten (Interior, Exterior Router und Bastion Host)
erreichen. Allerdings wird durch das Zusammenlegen der Bastion Host
leichter angreifbar.
Die nachfolgenden Konfigurationen sollten vermieden werden:
- Zusammenlegen von Bastion Host und Interior Router
Dadurch erhält man eine Screened Host Architektur. Wird dann der Bastion
Host erfolgreich angegriffen, so gibt es keinen weiteren Schutz mehr.
Der Angreifer kann den Traffic im internen LAN mitlesen.
- Verwenden mehrerer Interior Router
Der Hauptgrund der gegen eine derartige Konfiguration spricht ist, daß die Konfiguration
mehrerer Interior Router sehr schwierig und fehleranfällig ist.
Im Falle eines Konfigurationsfehlers, kann ein
fehlerhaft konfigurierter Router Datenpakete zwischen internen Hosts über
das Perimeter Netzwerk senden. Interner LAN-Traffic soll jedoch nie in das
Grenznetz gelangen.
Nächste Seite: Aufbau eines Bastion Host
Aufwärts: Firewall-Architekturen
Vorherige Seite: Screened Subnet Architektur
  Inhalt
  Index
Klaus Bauer
1999-10-20