Firewall und Webserver Konzeptfragen

[KlimperHannes]

Hallo,

ich habe einen herkömlichen DSL Anschluß, an dem eine Fritzbox 7390 hängt.
Vom Internet aus erreichbar ist ein Server, auf dem CentOS läuft. Genau genommen eine Owncloud Installation, die via Portforwarding auf HTTPS erreichbar ist.
Wie sollte ich den Server schützen?
CentOS bringt von Hause aus eine Firewall mit. Macht es Sinn, diese aktiv zu lassen und somit z.B. dafür zu sorgen, dass via Exploits ein Tunnel von meinem Webeserver nach Außen erstellt?
Oder was ist der Nutzen einer Firewall auf einem Host der via NAT erreichbar ist?

Oder macht es mehr Sinn, einen Router hinter die Fritzbox zu klemmen, der sozusagen zwischen dem Webserver und dem HeimLAN steht?
Habe da leider gar keine Ahnung von und wäre über Vorschläge sehr erfreut.

Weitere Herausforderung wäre noch ein Raspi, auf dem mein FHEM läuft. Dass der eventuell besonders geschützt wird?!

Danke für Eure Tipps...!

 

[Domii666]

dmz per sophos utm oder so in die richtung.

 

[fax668]

CentOS bringt von Hause aus eine Firewall mit. Macht es Sinn, diese aktiv zu lassen und somit z.B. dafür zu sorgen, dass via Exploits ein Tunnel von meinem Webeserver nach Außen erstellt?

Kann jedenfalls nicht schaden.

Oder macht es mehr Sinn, einen Router hinter die Fritzbox zu klemmen, der sozusagen zwischen dem Webserver und dem HeimLAN steht?

Der Router nennt sich dann Firewall. Die erwähnte DMZ würde ich auf jeden Fall einrichten. Leider kann das die Fritzbox nicht, so dass du eine extra Firewall dafür brauchst. Das Ziel der DMZ ist, dass von einem kompromittierten Webserver die anderen Rechner im LAN nicht erreicht werden können, s.a.: DMZ in FRITZ!Box einrichten | FRITZ!Box 7390 | AVM Deutschland.

 

[KlimperHannes]

Was für eine Firewall auf Software Basis könntet ihr empfehlen?
Sophos?

Dann:

FRITZ    --|
  |        |
LAN-----SOPHOS----DMZ

Oder wie stelle ich mir das vor?
VLANs (hab ja alles in ESXi)

 

[fax668]

pfSense, kann man sich selbst installieren oder eine fertige Hardwarefirewall damit kaufen.

 

[KlimperHannes]

Ich habe mich die letzten Tage mit verschiedenen Firewall Distris beschäftigt.
Gefallen haben mir soweit pfsense (von der Community her) und IpFire (von der Installation und Konfigurierbarkeit).

Allerdings stehe ich jetzt etwas auf dem Schlauch.
Ich weiss nicht genau wie ich Ansetzen soll.
Auf dem ESXi läuft mein Webserver der geschützt werden soll. Auch hier wollte ich die Firewall "vorschalten".
Liege ich richtig, wenn ich der Firewall 2 Virtuelle NICs gebe und die NIC 1 an mein normales LAN klemme und NIC 2 in ein separates Netzwerksegment, welches mit dem Webserver geteilt wird.
Mache ich das mit Portgroups oder getrennten vSwitches?
Was ist da Best-Practice?