Hilfe bei Firewall Planung

[yumyum]

Hallo zusammen,

ich bräuchte einmal ein wenig Hilfe. Es geht um das Abschlussprojekt für meine Ausbildung zum IT-Systemelektroniker, in dessen Verlauf ich plane eine Firewall für ein Unternehmen (+ Virenschutz, das aber ist denke ich hierbei irrelevant) zu konzipieren.

Ich will ehrlich sein: a) Ich weiß nicht genau was für Hardware man dafür idealerweise nimmt und b) weiß ich auch nicht genau ob dies hier das richtige Forum dafür ist - ich hoffe es einfach mal!. Wenn nicht: Entschuldigung!

Zum Thema nun also:

Es geht darum eine eigene Hardwarefirewall für ein Büro mit (noch ca. 6-7) Computern aufzusetzen und zu konfigurieren. Ich erhoffe mir einfach einmal das mir einige Leute hierbei wertvolle Tipps geben können da die meisten hier ja wohl doch eher im profesionellen Bereich arbeiten und dementsprechend versiert sind..?

Was sind denn (neben einer vernünftigen Netzwerkanbindung) die wohl entscheidensten Hardwareansprüche an eine Firewall? Würde es sich lohnen den momentan bestehenden Server in eine DMZ zu schmeißen?

Würde mich über helfende Antworten freuen, da ich auch immer mehr gerne etwas aus der Welt der etwas "höheren IT" lernen möchte!

Grüße

yumyum

 

[zero-bw]

hallo!

welche WAN anbindung ist denn vorgesehen? je nach anbindung sollte ein Pentium 3 System für ein einigermaßen stromsparendes und preiswertes selbstbau-firewall projekt reichen.
bei distributionen gibts viele möglichkeiten: m0n0wall, ipcop, pfsense, ...

wenn es kein selbstbau projekt werden soll, gibts am markt viel zu viele (bintec, cisco, watchguard - firebox, ... )
da kenn ich mich aber selbst zuwenig aus, aber ich vermute mal, es soll ersteres werden.

bei der hardwarefrage entscheidet immer das geld, die nötige anbindung, dienste (qos, snort, guardian, weitere udp / tcp dienste -> die brauchen vorallem viel RAM!) und der stromverbrauch inkl. hitzeentwicklung.

ein gutes preis/leistungs-verhältnis bietet bei sowas der P3, teilweise sehr günstig zu haben (bis 800mhz oder max. 1000mhz sollten wirklich ausreichen) und verbrauchen relativ wenig (ein gesamtes firewall system sollte im normalbetrieb nicht mehr als 25-27W verballern, wegfall der festplatte, einbau eines effizienteres netzteil (picopsu) und undervolting der cpu sollten das ganze in richtung 20W drücken.
hatte lange zeit so ein system mit 667mhz in einem 19" 1HE case im einsatz, bevor die alix routerboards (siehe sig) gekommen sind.

den server in einer DMZ zu packen ist nicht immer eine gute idee, hier kommt es vorallem auf das betriebssystem an und der regelmäßige wartungsaufwand an. wie oft wird der server komplett gecheckt? je mehr offene ports, desto mehr angriffsmöglichkeiten.
gibt viele mail und sql server, die sich in einer DMZ befinden, überwiegend linux oder freebsd systeme, die allerdings auch mit regelmäßigen updates gefüttert werden und auch schon selbst abgesichert sind (z.b. ssh port (22) auf einem anderen setzen, 5x falsche eingabe vom passwort -> ip ban, etc.)

ich hoffe ich konnte dir soweit helfen, und hoffe, dass ich mit meinen ausführungen soweit richtig liege, bin immer offen für kritik. :

 

[yumyum]

Hallo zero-bw!

Vielen Dank ersteinmal für die schnelle Antwort und die vielen Informationen!

Der Server selber wird eher selten gecheckt, ein Wartungsvertrag ist momentan in der Planung. An Infos erstmal: Es ist ein Win2k3 Server der hauptsächlich als AVM Ken!4 Server läuft um die Büromitarbeiter mit Emails zu versorgen und eine ISDN Verbindung im Netzwerk zu sharen.

Die WAN Anbindung besteht in den Büro in Form eines ganz normalen DSL Anschlusses von der deutschen Telekom. Dazu gesellen sich dann für den aufbau des LAN ein kleiner Router und ein 24 Port Switch.

Ich hatte an sich vor nur neue Hardware zu verwenden, einem Kunden einen Pentium 3 zu verkaufen halte ich für eher unkonventionell.

Sollte ich das System selber zusammenbauen aber die Firewall selber konfigurieren: Was würde der "Sicherheits-Experte" denn da so in der Regel nehmen( von den bereits im Vorfeld genannten). IPCop z.B. ist mir zwar ein Begriff, jedoch habe ich es noch nie selber eingesetzt.

Grüße

yumyum

 

[zero-bw]

dann würd ich mal bei tronico.net vorbeischauen. dort gibt es halbwegs professionelle routerboards inkl. passende gehäuse, das wirkt professioneller als ein pentium 3 ist aber auch teurer. suchbegriffe hierbei sind alix, soekris, usw.

wenn der server selten gecheckt wird, macht es in meinen augen wenig sinn ihn in einer DMZ zu packen, die passenden ports freigeben und fertig. (eventuell ports ändern)

um die firewall zu installieren reicht bei den o.g. professionellen alternativen zum P3 einfach die passenden images runterzuladen, auf einer CF-Karte o.ä. mit "physdiskwrite" schreiben und in den cf slot des routerboards stecken. die firewall startet mit den standard-einstellungen automatisch. sollte die netzwerkkonfiguration anders sein, als die default-ip der firewall, kann ein nullmodem-kabel angeschlossen werden und das teil nach vt101-standards per PuTTY über com-port administriert werden (wie bei einem switch).
wenn die grundkonfiguration getan ist (netzwerkinterfaces, ip adressen, usw.) wird alles über ein webinterface gesteuert, wie bei einem "normalen" router eben.

unterschiede in der config zwischen ipcop und pfsense/m0n0wall gibts, wobei m0n0wall und pfsense fast identisch von der bedienung / einstellung sind.

edit: wenn es wirklich 100% professionell werden soll und die sicherheit an erster stelle liegt, führt wohl kein weg an professionelle lösungen vorbei (z.b. watchguard firebox) allerdings sind die kosten hier um ein vielfaches höher.

ich weiß jetzt nicht genau was du willst, selbstbau? ein rechner oder schon eine professionellere lösung, wie die routerboards? oder eine fertige kauflösung, die dann nur eingestellt wird?

 

[yumyum]

Hi,

naja, das Problem ist das ich das zu 100% selber noch nicht ganz genau weiß. Ich muss eben die Vor- und Nachteile von alle dem in meiner Projektdokumentation abwiegen und mich am Ende für eine Lösung entscheiden und diese dann eben auch in der Praxis realisieren.

Aber die Infos die ich jetzt schoneinmal von dir bekommen habe sind wohl mehr als nur Gold wert

Es sollte eben schon "professionell" wirken(und natürlich auch sein), die Kosten jedoch müssen eben auch in einem bezahlbaren und auch sinnvollen Rahmen bleiben.

Grüße

yumyum

 

[b3nn1_thereal]

dann schau dir den IP cop mal näher an, gibt heir ein sehr gutes Deutschpsrachiges forum über den cop.
Sinsatzbereiche sind nahezu Grenzenlos.
angefangen von einem billigen Router, der sich nur ins Internet wählt, bis hin zur professionellen Firewall, die nen Proxy intern geschaltet hat, und die Bandbreite auf mehrere vlans und Netzwerke verteilt. Nebenbei dann noch eingehende Emails auf viren Trojaner usw. durchsucht.
Praktisch ist beim IP Cop, du installierst das Grundsystem und für fast alle Bereiche gibt es Addons, die das Teil dann aufwerten.
Frei nach dem Motte jetzt brauch ich nen router, in 2 Jahren muss das ding aber VPN einwahl beherschen und mit dem neuen Radiusserver zusammen arbeiten...alles kein thema ;-)

Sichere mit dem IP cop bei mir ein Schulnetzwerk ab und an den regelmäßig eingehenden Besc hwerden der Schüler, sehe ich, dass die Lösung funktioniert.

 

[daheym]

ich muss hier mal wieder allen wiedersprechen :P wenn es um serverhardware im professionellen einsatz geht heult hier jeder immer gleich was von hp, ibm & co vor.. aber bei der firewall plötzlich so ne bastellösung??

selbst mit professioneller hardware würde ich das keinem kunden verkaufen wollen. ip cop und wie sie alle heißen sind zwar mittlerweile relativ stabil und ausgereift und für umme sicherlich brauchbar.

auch für kleine firmen/büros wie hier mit 6-7 clients würde ich dir eher zu einer kleinen astaro (110) raten. wenn da dran was ist, kannst du bei der hotline anrufen und die ankacken und musst dich in erstfällen nicht halbwahrheiten in irgendwelchen bsd foren beschäftigen.
die ganzen vorteile wie stromverbrauch etc. möchte ich hier jetzt gar nicht aufzählen (und an so geschichten wie dass dein selbstzusammengeschusterter undervolteter p3 abfackelt und die ganze firma und schutt und asche liegt erst recht nicht)

 

[b3nn1_thereal]

muss ich widersprechen.
IP cop ist sehr sicher. auch die Backupfunktion ist super.
keine 15 min und ich hab nen komplett neuen IP cop hier mit der bestehenden gesicherten Konfig neu aufgesetzt.
Im Moment hängen hier bis zu 150 clients hinter dem cop. Ist ein Schulnetzwerk, was mit ein paar Addons Beschränkungen im Netz durchsetzt.
Diese Addons sind allesamt sehr ausgereift und werden auch ständig weiter entwickelt, teilweise auch ein großer Teil von der deutschen IP cop Community.
Für fast alles gibt es Addons zum Grundpaket IP Cop.
Die Installation ist realtiv einfach und was kann es viel sichereres geben, als eine Linux Firewall? ^^
Habe hier auch Angebote vorleigen gehabt bezüglich einer fest isntallierten. Das gleiche Prinzip, sogar auf IP Cop basierend wird in Deutschland als Schulfirewallsystem vermarktet.
Kostenpunkt 1500 € + etwa 1000 € pro Jahr an Lizensierungskosten. Hier noch keine WArtung dabei!

IP Cop kostet mich nichts. ein gutes vernünftiges energisparendes embeddet System leigt bei 300-400 € Aufwärts. PC ist auch in dem umfang zu realisieren...
Da weiß ich dann aber was reingebaut wurde, was dort getan wurde usw.

bin auch kein Freund von fertig Servern. Mehrere tausend euro hinzulegen für nen Namen und nen halbwegs vernünftigen austauschservice, der noch nichtmal grundlegende Teile mit einbezieht....
gibt nicht viele Hersteller z.b. die Netzteile mitversichern bei Servern, Switchen usw.
Alles was da unter der Bezeichnung Netzteil läuft, fällt nicht utner die Garantiebedingunen.

auch bei Serverhardware...Würde niemals freiwillig meine Server mit Samsungplatten ausrüsten, was aber teilweise z.b. gemacht wird.

 

[badkarmaboy]

Ich würde von IPCop abraten, ist zwar alles schön und gut, aber eben doch eine Bastellösung.

Ich habe gute Erfahrungen mit Juniper Netscreen 5 GT/XT und den neuen SSG5.

Feine Hardwarefirewall, guter Support, stabil, unkaputtbar.

 

[hostile]

Auf vielen "professionellen" Firewalls läuft auch nur ein modifziertes Linux... soviel also zu dem Begriff "Bastellösung". Ausserdem kann jede Hardware plötzlich *puff* kaputt gehen. Auch in der Netscreen-Firewall ist ein Netzteil, dass plötzlich den Geist aufgeben kann.

gruß
hostile

 

[b3nn1_thereal]

genau so sieht es aus.
Wenn ich mir ein schönes embeddet zusammenbaue, ohne großartig bewegliche Teile, da vernünftig IP cop raufzimmere und installiere, dann ist das für mich eine einmal installeiren und vergessen Lösung.
Meiner hier läuft auf ultrabillig Hardware (duron 800,billig board, 512mb speicher., 2 intel 20 euro netzwerkkarten, usw.) seit 2 Jahren vollkommen stabil. Das letzte mal vor einem Jahr neu gestartet, weil der Schrank ausgeräumt wurde und die Stromversorgung neu geplant.

Die ganzen professionellen lösungen haben auch nichts anderes wie ein Linux installiert.
Der Vorteil beim IP cop ist nur, dass das Ding erweiterbar ist. Die meisten Hardwarefirewalls richtet man ein und dann laufen die auch wunderbar, nur dann fang mal an und rüste ne normal firewall mit nur einem netzwerk port für vlan aus.
Beim Ip cop kauf ich 2 Netzwerkkarten, ab in die PCI slots, hochfahren, kurz durchconfigurieren und schwups hab ich 3 vlans, die aus meinem ipcop rausgehen...
VPN Lösungen usw. alles sehr ebschränkt...

Was machst du wenn in einem Jahr plötzlich neue sicherheitsstandarts aufm Markt kommen und deine Hardwarefirewall komplett veraltet ist? wegwerfen/neukaufen...beim ipcop config sichern, neue version laden, installieren, config raufziehen, läuft.
Ganz ehrlich ich hab viele verschiedene Lösungen durchgetestet und da is mir der IP cop wirklich am liebsten, da kann fast jeder dowadmin alles mit dem Webmenü einstellen und falls man mal in die tiefe will und linuxkentnisse hat ist das auch kein Thema...

Hab heir auf arbeit auch nen netten cisco router stehen, der eben direkt in den IP cop führt und von da aus aufs Netzwerk.... absolut kein thema....

 

[crackie81]

ich würde nen linux rechner nutzen mit paar guten iptables. anleitungen dazu gibt es im internet en masse, zur einrichtung einer gute firewall per iptables. noch dazu würde ich die dann empfehlen, den rechner nicht als gateway zu nutzen, sondern einen gesonderten webproxy aufzusetzen, und den bei den usern im inet exploerr oder whatever einzutragen. mfg crackie ( so läuft es bei mir in der firma ( etwa 40 standorte über die stadt verteilt, verbindung per VPN untereinander, alle surfen über den main webproxy mit iptables firewall, 300+ PCs))

 

[b3nn1_thereal]

jo mit iptables arbeitet ipcop ja auch, nur das man eben so super Linuxkentnisse braucht. vor 2 Jahren hat mir das den einstieg in Gestalltung und bau von Firewallsystem schon stark geholfen, mitlerweile, ettliche bücher weiter würde ich wohl auch statt Ipcop alles selber designen und schreiben, eben ohne Weboberfläche...

 

[traxxus]

Zuhause habe ich eine IPCOP Firewall auf alix2d3 Basis. Es ist nicht genau ipcop, es nennt sich embcop. ( www.embcop.org ) . Sprich ein ipcop welcher Treiber inklusive hat für die embedded Boards und die lese/schreibzugriffe wegen der CF Karten vermindert hat.

Bin sehr zufrieden und braucht nicht mehr Strom als ein billig Router.

 

[matthias3000]

hi,

also ich möchte mich nicht zu weit aus dem fenster hängen, aber bevor hier die technischen details abgeklärt werden, würde ich mich erst noch mal erkundigen, ob du mit dem projekt überhaupt durchkommst... ich bin selbst fisi und das projekt ist mehr auf einen fisi als auf einen se zugeschnitten ....

ach und noch etwas: in keiner vernünftigen firma kommt man mit dieser bastellösung durch die revision (arbeite selbst für eine größere bank)... hier geht es einfach um support (keiner vorhanden) nicht absehbare folgekosten (schulungen...) usw. was passiert, wenn der admin aus der firma ausscheidet? wer kümmert sich um die firewall? bei einer selbstbaulösung mit vielen plugins sehr schwierig... außerdem ist allein die doku der firewall wohl eine sache für sich...

lg matthias

 

[b3nn1_thereal]

hi,

also ich möchte mich nicht zu weit aus dem fenster hängen, aber bevor hier die technischen details abgeklärt werden, würde ich mich erst noch mal erkundigen, ob du mit dem projekt überhaupt durchkommst... ich bin selbst fisi und das projekt ist mehr auf einen fisi als auf einen se zugeschnitten ....

ach und noch etwas: in keiner vernünftigen firma kommt man mit dieser bastellösung durch die revision (arbeite selbst für eine größere bank)... hier geht es einfach um support (keiner vorhanden) nicht absehbare folgekosten (schulungen...) usw. was passiert, wenn der admin aus der firma ausscheidet? wer kümmert sich um die firewall? bei einer selbstbaulösung mit vielen plugins sehr schwierig... außerdem ist allein die doku der firewall wohl eine sache für sich...

lg matthias

schonmal IP Cop angesehen?= behaupte mal jeder, der schonmal vernünftig nen router eingestellt hat, der deutschen Sprache mächtig ist, um die Doku zu lesen und zu verstehen kann das Teil einrichten und bedienen.

sollt eich hier z.b. ausscheiden findet mein nachfolger nen DinA4 Ordner mit allen Unterlagen bezüglich IP cop, Konzepterstellung, Planung, installierte Addons usw. das dauert für nen normalen admin keine Stunde und der hat kompletten durchblick was ich da mit dem IP Cop bezwecken möchte und wie das Ding konfiguriert ist.

Und warum etwas ändern, was funktioniert?
Kenne Freunde von mir, die das Teil vorm Exchange auch als Emailfilter nutzen mit Copfilter und total begeistert sind auch diesem high end einsatz. hierfür braucht man aber auch dementsprechende Hardware...
ein Exchange für ca 100 Benutzer mit copfilter Addon kann man nich aufn embeddet System laufen lassen.

 

[daheym]

Auf vielen "professionellen" Firewalls läuft auch nur ein modifziertes Linux... soviel also zu dem Begriff "Bastellösung". Ausserdem kann jede Hardware plötzlich *puff* kaputt gehen. Auch in der Netscreen-Firewall ist ein Netzteil, dass plötzlich den Geist aufgeben kann.

stimmt, aber wenn das ding abraucht ruf ich und bekomm ruck zuck ne neue (je nach service). auch bei verdienstausfällen hab ich jemand den ich dafür haftbar machen kann. wer ist das bei ip cop?

Ist ein Schulnetzwerk, was mit ein paar Addons Beschränkungen im Netz durchsetzt.

so was geht halt auch nur an ner schule. glaub mir, du wirst in keiner(!) firma von deinem chef (wenn er halbwegs wirtschaftlich denken kann und das ist in der regel der fall) auch nur einen cent budget für das projekt bekommen.

Was machst du wenn in einem Jahr plötzlich neue sicherheitsstandarts aufm Markt kommen und deine Hardwarefirewall komplett veraltet ist?

nichts, meine firewall läd sich automatisch updates runter


p.s.: das war mein letzer beitrag in diesem thread (hör schon die jubelschreie)

 

[matthias3000]

schonmal IP Cop angesehen?= behaupte mal jeder, der schonmal vernünftig nen router eingestellt hat, der deutschen Sprache mächtig ist, um die Doku zu lesen und zu verstehen kann das Teil einrichten und bedienen.

sollt eich hier z.b. ausscheiden findet mein nachfolger nen DinA4 Ordner mit allen Unterlagen bezüglich IP cop, Konzepterstellung, Planung, installierte Addons usw. das dauert für nen normalen admin keine Stunde und der hat kompletten durchblick was ich da mit dem IP Cop bezwecken möchte und wie das Ding konfiguriert ist.

Und warum etwas ändern, was funktioniert?
Kenne Freunde von mir, die das Teil vorm Exchange auch als Emailfilter nutzen mit Copfilter und total begeistert sind auch diesem high end einsatz. hierfür braucht man aber auch dementsprechende Hardware...
ein Exchange für ca 100 Benutzer mit copfilter Addon kann man nich aufn embeddet System laufen lassen.

hi,

also ich habe ip cop schon gesehen und nat auch schon damit gearbeitet ... tolles teil, wirklich!!! aber ICH würde es nie in der firma einsetzten (dürfen und wollen), rein aus supportgründen... wie gesagt, es kommt auf die firma darauf an, sobald eine revision vorhanden ist, fällt man mit großer wahrscheinlichkeit hinten runter. wenn durch einen bug irgendetwas passiert, hängt man als admin in der schlinge....

und ganz ehrlich: keine firma sollte an der sicherheit sparen (wir haben ein 3 stufiges firewallsystem, verschiedene hersteller!!!!)

 

[BBR]

Sicher ist Support wichtig, nur muss man auch auf der Unternehmen achten.

Hat ein Unternehmen die Mitarbeiter um das selber zu machen, ja oder nein?

Falls nein, ganz klar Supportverträgt.

Falls ja , warum einen Support Vertrag? Es gibt schließlich Mitarbeiter im Unternehmen die da Problem selber lösen können. Des wegen spricht auch nichts gegen eine selbst erstellte Lösung.

 

[hostile]

Klar, für 6-7 Clients 'nen dreistufiges Firewallsystem
Man muss auch mal auf den Kunden schauen, ob der sowas braucht...

gruß
hostile

Beiträge zusammengeführt, da Antwort auf eigenen Beitrag innerhalb von 4 Stunden:

stimmt, aber wenn das ding abraucht ruf ich und bekomm ruck zuck ne neue (je nach service). auch bei verdienstausfällen hab ich jemand den ich dafür haftbar machen kann. wer ist das bei ip cop?

Haftbarmachung für Verdienstausfälle - schön und gut. Ich bin da eher der Meinung: Scheissegal wie, hauptsache das ganze System läuft wieder.
Also wenn du dir ne "Bastel"-Kiste hinstellst, stell dir ne zweite, getestete daneben und wenn die erste ausfällt schiebste die zweite einfach rein - fertig.
Schnell handeln ist imho besser als sich zu freuen mit dem Finger auf jemanden zeigen zu können. Muss man aber auch je nach Firma sehen. Ich denke mal bei großen Firmen ist es wohl besser die Schuld auf jemand anderes schieben zu können.

gruß
hostile

 

[b3nn1_thereal]

Klar, für 6-7 Clients 'nen dreistufiges Firewallsystem
Man muss auch mal auf den Kunden schauen, ob der sowas braucht...

gruß
hostile

Beiträge zusammengeführt, da Antwort auf eigenen Beitrag innerhalb von 4 Stunden:



Haftbarmachung für Verdienstausfälle - schön und gut. Ich bin da eher der Meinung: Scheissegal wie, hauptsache das ganze System läuft wieder.
Also wenn du dir ne "Bastel"-Kiste hinstellst, stell dir ne zweite, getestete daneben und wenn die erste ausfällt schiebste die zweite einfach rein - fertig.
Schnell handeln ist imho besser als sich zu freuen mit dem Finger auf jemanden zeigen zu können. Muss man aber auch je nach Firma sehen. Ich denke mal bei großen Firmen ist es wohl besser die Schuld auf jemand anderes schieben zu können.

gruß
hostile

selbst für den Fall gibt es ein Addon ^^ im Notfall falls der IP cop ausfällt und sich nicht mehr anpingen lässt bekomm ich ne sms....wohne 5 min von der arbeit weg, 10 minuten umtausch und es geht wieder alles, wobei wie gesagt läuft seit 2 Jahren das Teil ohne Ausfall...
auch große Unterfangen sind mit IP cop und/oder direkten Linuxlösung realisierbar, teilweise einfacher wie mit nem vorprogrammierten Zeug, weil man eben das ganze individueller anpassen kann...

Ach ja zum Thema abschlussprüfung. Egal für was du dich entscheidest, wenn du damit in die Prüfung gehst mit diesem Thema, wirst du hundertpro sicher im Fachgespräch einige nette Fragen bezüglich Sicherheitssystem in Linux gestellt bekommen. Sprich informiere dich was Ip Tables sind, unterschiede Infrastruktur Linux, windows usw.
so im nachhinein würde ich mir 3 mal überlegen ob ich über das thema referieren würde.... Das Referat, doku usw. dürfte alles kein ding sein,
aber vergesse eben nicht, die dürfen dich 15 min lang in einem Fachgespräch quälen und ausfragen ;-)

 

[matthias3000]

Klar, für 6-7 Clients 'nen dreistufiges Firewallsystem
Man muss auch mal auf den Kunden schauen, ob der sowas braucht...

gruß
hostile

ich hab nie gesagt, dass man so etwas für einen kleinbetrieb benötigt .... bei meinem letzten arbeitgeben hatten auch die kleinen steuerbüros (2-3 mitarbeiter) eine "richtige" firewall (proventia, ca 3000€). aus dem einfachen grund:
-kosten sind absetzbar (steuerberater halt )
-ein ausfall des systems wäre sehr teuer
-ein sicherheitsleck in der software würde bei einer klage das 100 fache kosten (was bei einer gekauften fw der hersteller tragen würde; vertraglich festgelegt!)

also selbst bei kleinen firmen ist eine fw preislich eigentl immer drinn ... oder internet physikalisch vom produktivsystem trennen