Netzwerkstruktur

[Balu2fat]

Ahoi Amigos,

würde mich über jeden brauchbaren tipp freuen, ich hatte vor das heimnetz zu verbessern hinsichtlich (Administration , Sicherheit)

aktuelle aufstellung:

(INTERNET)======|ROUTER + Firewall|=====:PC1:=====:PC2:

-alle im /24 Subnet
-lediglich Hardware Firewall

bevorstehende änderung:

(INTERNET)=====|ROUTER + Firewall|===|SERVER +WSUS + PROXY +VPN| ====/1000 Mbps Switch\====:PC1:====:PC2:

zu den geräten ROUTER (DLink 604 DI) Server (2 NIC`s , 64 Bit System , Win 2003 Server Standart, JANA Server, Windows Update Server, Virtual Private Network Server, pro NIC 1 Firewall) Zum subnetting router + server in 192.168.1.x alle anderen pc`s in 192.168.2.x

vorteil :
-sicherheit alle pc`s sind vom internet her gertrennt nur über Proxy zu erreichen (Subnetting)
-netzauslastung
-1000 DSL effizienter genutzt
-es müssen 3 firewall durchdringt werden

nachteil:
-anfällig für den ausfall von programm ... über Socks port genutzt (homebanking, messenger etc.)
-browser sicherheitslücken nicht zu stopfen

hatte mir auch schon gedacht .. i-net direkt an server zu installieren aber naja der router ist ja schon vorhanden....vpn benötige ich für mein laptop der von unterwegs auch auf mein lan zugreifen soll .... vielleicht kommt ein zusätzlicher RIS in einsatz dann aber auch gleich ne domäne + AD etc...

was denkt ihr ? relevante sicherheitslücken?

balu

 

[Stay_Tuned]

Also ich denke, mir wäre das viiiieeeel zu stressig sowas für ein kleines Heimnetzwerk hochzuziehen... ^^

Außerdem denke ich, dass es die Sicherheit eher verschlechtert als verbessert. Je mehr Komponenten du da hast, umso schwieriger ist es bei jeder einzelnen Komponente stetig auf Aktualität und Sicherheit zu achten. Außerdem erreichst du damit eigentlich nur, dass du dir durch die unterschiedlichen Komponenten auch die verschiedenen Sicherheitslücken der Komponenten in dein Netz holst. Es könnte also passieren, dass du im Endeffekt mehr Sicherheitslücken hast als vorher...

 

[Balu2fat]

danke schonmal für die schnelle antwort...

zum aspekt sicherheit der komponenten, ist ja der neueingekaufte switch nicht betroffen , hier wird nichts geregelt .... ich will mir ja auch nicht das netzwerk nur mit sicherheits und kontroll frames zu ballern. der router ist klar bekommt jetzt auch schon immer seine firmeware upgraded ... der server ist mein neues system , fehlt nur noch die graka (der zeit S3 2 MB PCI ) womöglich wird er als Terminal eingerichtet und ich sitzt an einer grütz maschine oder ich arbeite direkt daran.
aber hier müssen schon updates etc gepflegt werden... aber das mir damit wahrscheinlich mehr sichrheitslücken in netzfallen kann ich mir nicht so recht vorstellen. lediglich die konfigs für den proxy und firewall verbieten alles ... aber recht hast du mit der aufwendigkeit für den letztendlichen gebrauch ....

aber nett schonmal ne 2 meinung zu bekommen

 

[NetworkerZ]

Wenn du kannst:
Stell den Mickeysoft Server in eine eigene DMZ deines Routers. Schließe dann den Switch an einen eigenen Port an der Firewall an.

Die relevateste Sicherheitslücke ist wohl das Microsoft BS. Kannst du nicht Linux als Server nehmen? Mal abgesehen von WSUS kannst du alles mit Linux realisieren und die Lizenz sparst du dir auch noch! Zudem: Nen WSUS wegen 2 PCs??? Ist wohl leicht übertrieben. Windows Updates kommen 1x pro Monat. Das sind dann zwischen 5-10 MB o.ä. pro PC, das ist selbst für DSL 1000 nicht zu viel! Was mir gerade noch einfällt: Du brauchst für den WSUS den IIS, der meines Wissens immer wieder gerne Ziel eines Angriffs wird, wenn ich mich nicht irre ...

Greetz

NetworkerZ

 

[Balu2fat]

ahoi ,

@networkerz
linux ist absolut nicht meine welt , kenne gerade mal die syntax um ne ip + subnet + gateway einzutragen. oder die standards cd ,mkdir ....

das versuche ich gerade mit vom kollegen beibringen zulassen ...

ja na klar ist WSUS übertrieben für die 2 Rechner , mist den IIS vergaß ... das wäre ja keine große sache aber mit dem IIS hast du vollkommen recht ... okay wsus gestorben , dann trage ich halt nen patch day im kalender ein ..

wollte auch zunächst nen RIS einsetzten da ich 1 pc fast alle 2 woche neu aufsetzten muss , zur zeit gibts nur ne selbsterstellte cd muss man aber immer mit hand einlegen, wie langweilig ...

aber gefahren von außen werden ja minimiert ?!, benutzerrechte werden eh runtergeschraubt...

danke

 

[NetworkerZ]

Wie gesagt, stell deinen WIndows Server auf alle Fälle in eine eigene DMZ!!!

Für deinen PC kannst du dir doch ein Image auf ne externe Platte ziehn und dann einfach immer kopieren und fertig?!?!?

Greetz

NetworkerZ

 

[Balu2fat]

Ja klar gehts auch so .... bleibe erstmal mit meiner spezial cd am installieren ...

DMZ zum verständnis ,wird aktiviert die leitung vom router zum server ? dort wo die 2 firewall aktiv sind ? hinter dem server wird ja dann ein weitere ip bereich aktiv ...

danke

 

[NetworkerZ]

´´´´´´´´´´´´´´´´´´´´´´´´[Server]
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´ |´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´PC1
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´ |´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´/
[Internet]---------[Router+Firewall]--------[Switch]
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´\
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´PC2

Denk dir die Hochkommata einfach weg!

Falls sich jetzt irgendwelche Freaks auf deinem Server austoben, sind sie immerhin nicht im Netz deiner PCs!

Greetz

NetworkerZ

 

[Shihatsu]

pro NIC 1 firewall - dieser satz verwirrt mich. ich ahne böses. was verstehst du denn da noch unter firewall? mehrere firewalls hintereinander, in der leistungsklasse die homeuser benutzen, ist ganz ganz selten sinnvoll. vielleicht bei wildesten vpn spielereien, aber sonst?

 

[Balu2fat]

sehe ich auch gerade den fehler "3 firewalls " es werden ja nur 2 aktiv sein router+server ...

du sagst dmz zwischen router und server und an den router die letzten pc `s ? ich meine zu wissen das die dmz bei router und server liegt okay, aber dann der switch an die nic 2 des server kommt und dann die rechner verbindet. für die clients steht der server nun alleine dar (quasi der internetzugang, router wird nicht sichtbar) und dmz liegt zwischen 2 firewalls welche die anfragen überwachen .... bitte berichtigen ....

danke

 

[NetworkerZ]

Ich sehe gerade, dass du nur einen D-Link Homerouter verwenden willst, sorry, muss ich übersehen haben. Vergesse den o.g. Vorschlag besser wieder, da ich dir nicht sagen kann, wie gut ich die PCs vom Inet abgeschirmt werden könnten.

Besser wäre:

´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´[Server]
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´ |´´´´´´´´´´´´´´´´´´´´´´´PC1
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´ |´´´´´´´´´´´´´´´´´´´´´´/
[Internet]---------[Router]------[Firewall]--------[Switch]
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´ ´´´´´´´´´´´´´´´´´\
´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´´ ´´´´´´´´´´´´´´´´´´PC2

Als Firewall würde sich IPCop anbieten oder eben ne kleine Standalone HWFirewall wie z.B DIESE HIER

Greetz

NetworkerZ