Hallo in die Runde,
ich würde gerne folgendes Netz aufbauen:
INTERNET -> Fritz.Box | Firewall | NAT -> Netz als DMZ -> IpFire
Firewall | NAT | Proxy -> internes Netzwerk
Wie hier gezeigt wird ja 2x genattet, was gefühlt unschön ist, da ich im
Netzwerk der DMZ nicht weiß, welcher Client aus dem internen Netzwerk
denn z.B. zugegriffen hat...
Oder sollte ich das als zusätzliches Sicherheitsmerkmal verbuchen?
Wie seht ihr das bzw. wie habt ihr sowas in der Vergangenheit umgesetzt?
Ich hätte gerne eine DMZ und ein internes Netzwerk und habe bereits eine
Fritz.Box im Netzwerk.
Kann ich IP Fire außerdem einfach auf jedem beliebigem Rechner mit 2
Netzwerkkarten der aktuellen Generation installieren?
Danke und Gruß
feuerwand schrieb:> Wie hier gezeigt wird ja 2x genattet, was gefühlt unschön ist
Unschön ist das falsche Wort, es ist schlicht unsinnig.
> Wie seht ihr das
Genau so. Deswegen: wer, zum Teufel, zwingt dich, auf dem inneren
Gateway (also der IPFire) NAT zu betreiben?
Auf einen vom Provider gestellten Kabel-Fritz hat der Provider Zugriff.
Was damit genau möglich ist weiss ich nicht, eine innere Firewall ist
mir da durchaus recht.
Doppeltes NAT ist nicht schlimmer als einfaches. Ich habe intern einen
Mikrotik Router sitzen (auch aus anderen Gründen) und verbinde mich
i.d.R. über diesen mit dem Kabel-Internet. Dieser Router verträgt sich
auch bei IPv6/DSlite gut mit der Fritzbox.
das ist ein "normales" setup heutzutage, da die meisten dsl router
keinen modembetrieb mehr unterstützen. außerdem ist ein abgestuftes
fireewallsetup empfohlen ;)
das mit dem doppelten nat ist zwar nicht ganz so schön aber praktisch
hast du dadurch keinerlei nachteile.
für ipfire (oder lieber gleich opnsense?) reicht 1ne netzwerkkarte die
vlan tags unterstützt und ein entsprechender switch
A. K. schrieb:> Auf einen vom Provider gestellten Kabel-Fritz hat der Provider Zugriff.> Was damit genau möglich ist weiss ich nicht, eine innere Firewall ist> mir da durchaus recht.
Im Sinne von "Gürtel und Hosenträger"? Naja, wer es mag ...
Sofern man Root-Zugang zur Fritzbox hat (und bislang habe ich das nicht
anders angetroffen) kann man den Provider aussperren. Und zumindest
ich bin auch paranoid genug, das zu tun.
TestX schrieb:> das ist ein "normales" setup heutzutage, da die meisten dsl router> keinen modembetrieb mehr unterstützen. außerdem ist ein abgestuftes> fireewallsetup empfohlen ;)
Wenn man eine DMZ braucht (hinter DSL?), dann nutzt man eher eine
klassische 3-Port Firewall für intern/DMZ/extern. Zwei getrennte
Firewalls sind zumindest mal doppelter Aufwand für Konfiguration und
Pflege.
Grundregel Nr 1. : Ein NAT ist keine Firewall.
Aus dieser Regel kann man daher ableiten, dass du für die Firewall kein
NAT benötigst.
Was du bspw. machen könntest wäre eine HW mit zwei Ethernetports
zwischen der Fritzbox und dem Rest zu verwenden. Auf dieser kannst du
dann FW Filterregeln laufen lassen und Pakete die an dieser HW vorbei
wollen, müssen dann durch diese FW Filteregeln durch.
Also so:
Fritzbox > <eth1 HW eth2> < Rest des LAN
Die beiden NIC Devicenamen kannst du dann in der FW Regel zum trennen
verwenden, mit der internen IP der Fritzbox geht das allerdings auch.
Danke schon einmal für eure Antworten.
Ich habe gelesen, dass die Fritz.Box nur Pakete aus ihrem eigenen Netz
ins Internet weiterleitet, wenn das stimmt müsste zwangsläufig genattet
werden.
Ich möchte das Netz eigentlich gerne wie folgt aufbauen:
DMZ
Internes Netz
Internet
Hierfür würde ich gerne das interne Netz der Fritz.Box als DMZ nutzen.
Zur "DMZ" zeigt dann IP Fire in die eine und ins interne Netz in die
andere Richtung.
Wird somit die Fritz.Box Firewall umgegangen muss erstmal noch die
Firewall von IPFire geknackt werden.
Ich habe gelesen, dass sich bei IPFire das genatte nicht ausschalten
lässt, ist das richtig?
Nach kurzem Googlen finde ich opnsense vom ersten Eindruck her schon
schöner, kann man dort das natten deaktivieren?
feuerwand schrieb:> Ich habe gelesen, dass die Fritz.Box nur Pakete aus ihrem eigenen Netz> ins Internet weiterleitet, wenn das stimmt müsste zwangsläufig genattet> werden.
Moderne FritzBoxen kennen "statische Route", mit denen man weitere Netze
(RFC1918) ins Internet routen kann.
Damit fallen die internen NATs weg, allerdings nicht die jeweilige
Firewall.
Jim M. schrieb:> Moderne FritzBoxen kennen "statische Route", mit denen man weitere Netze> (RFC1918) ins Internet routen kann.
"Moderne"? Das ist wohl doch eine sehr weite Auslegung des Begriffs
"modern". Ich kann nicht mehr sagen, seit wie vielen Jahren Fritzboxen
schon statische Routen beherrschen, aber es sind verdammt viele Jahre.
Mindestens 10, wenn nicht sogar 15.
Eine eigene Frage?
Dieser Thread ist über 7 Jahre alt.
Stell sie in einem eigenen Thread – dort lesen mehr Leute mit, und sie wird öfter und schneller beantwortet.
