Hardwarefirewall im eigenbau

[svw]

Moin,

bin neu hier und erhoffe mir, dass mir hier vielleicht geholfen werden kann. Wie man dem Tietel entnehmen kann, möchte ich mir eine Hardwarefirewall bauen.
Nun zu meiner Frage:
Wie setze ich das ganze am besten um (Welches OS) und wo bekomme ich die besten Tools (Spamfilter, Portfilterung usw.) für das OS, bzw. hat jemand vielleicht eine Anleitung im Netz dazu?
Habe schon nach commerziellen Hardwarefirewalls geschuat, nur sind die mir viel zu teuer. Im ganzen habe ich vor mir eine DMZ ein zu richten, da ich gerne ein FTP-Server laufen lassen möchte und mein privates Netz sicher sein soll.

Ich hoffe ihr könnt mir weiterhelfen.

Gruß svw

 

[SiS]

Im Prinzip brauchst du nur einen alten Rechner mit entsprechend vielen Netzwerkkarten( so viele wie es getrennte bereiche geben soll, also Lokal, DMZ, Inet).

Als OS gibt es schon viele vorgefertigte Lösungen. Google mal nach IPCop, m0n0wall und fli4l. Das sind die bekanntesten.

 

[schwedenmann]

Hardwarefirewall

Hallo


Ist weiß, heißt zwar Hardwarefirewall, ist abernatürlich keine (schließlich erledigt das eigentliche Firewalling ja SW).

Aber zurück zum Thema.

1. Alter PC
2. Epia-Board, besser als 1.
3. Wrap - Board, noch besser als 3.

Distris siehe 1. Antwort auf den Thraed, sowie z.B. pfsense, Linuxliverouter, devillinux

mfg
schwedenmann

 

[svw]

danke für die schnelle Antwort, nur wie sieht es mit der Sicherheit aus? Können die mit einer Commerziellen lösung wie Juniper mithalten?

 

[schwedenmann]

Firewall

Hallo

nur wie sieht es mit der Sicherheit aus?

Wie meinst du das ?

Es gibt auf jeden Fall keine Backdoors für die Schlapphüte, wenndu das meinst.

Was der Vergleich mit Juniper oder Cisco angeht, schau dir doch mal die feature Liste von pfsense an (URL-filtering, content.filtering, etc.), oder von IPCop an.

mfg
schwedenmann

 

[Mike1]

Wenn die "Hardwarefirewall" selbst keine Dienste anbietet hat sie eigentlich keinen Angriffspunkt, richtig Konfiguriert werden wohl auch die anderen Systeme gut geschützt sein

 

[schwedenmann]

Firewall

Hallo

@mike schrieb

Wenn die "Hardwarefirewall" selbst keine Dienste anbietet hat sie eigentlich keinen Angriffspunkt, richtig Konfiguriert werden wohl auch die anderen Systeme gut geschützt sein

dem kann ich vol und ganz zustimmen. Wer auf eienm Router/Firewall einen Mailserver, Proxy betreibt, ist (in Köln sagt man " der hat e ne ratsch im Kappes") selbst schuld.

Auf eienen Router gehört die Roting und Firewalling Funktion, sonst nichts.

mfg
schwedenmann

 

[juan_]

Hallo,
hier ein paar Links, falls du es selbst umsetzten willst:

http://www.kabelverhau.ch/elwms/de_index.php
http://wiki.debianforum.de/In2minDebianRouterMitFirewallInDebianmanier
http://www.kabelverhau.ch/router/index.php
und das wiki von bsdforen.de

ciao

 

[svw]

Also wenn ich das richtig verstanden habe, ist eine selber gebaute Firewall mit Linux/BSD genau so gut wie eine von Juniper, Cisco usw ?

 

[Nemesis]

Auf eienen Router gehört die Roting und Firewalling Funktion, sonst nichts

das mag wohl so sein, aber im privatbereich wird nicht jeder die kohle haben sich für jede aufgabe ne extra schüssel hinzustellen und ich denke nicht dass er solch massive sicherheitsanforderungen hat, dass er nicht web-, ftp- oder sonstige server auf der firewall laufen lassen kann.

 

[Mike1]

das mag wohl so sein, aber im privatbereich wird nicht jeder die kohle haben sich für jede aufgabe ne extra schüssel hinzustellen und ich denke nicht dass er solch massive sicherheitsanforderungen hat, dass er nicht web-, ftp- oder sonstige server auf der firewall laufen lassen kann.

abgesehen davon frage ich mich ja warum man Firewall und Server trennen soll, schliesslich ist es doch egal ob Ports für die entsprechenden Dienste direkt in der Firewall offen sind oder diese an einen anderen Computer weitergeleitet werden...

 

[schwedenmann]

Firewal und Dienste

Hallo

schliesslich ist es doch egal ob Ports für die entsprechenden Dienste direkt in der Firewall offen sind oder diese an einen anderen Computer weitergeleitet werden...

Wenn die Firewall (Dienste die direkt auf dem Router/Firewall laufen) "befallen" werden, ist das komplete Netz offen, nicht bloß der Router. Wäre der Server (mail, etc) hinter der Firewall, wäre dann nur der Serverpc betroffen).

Insoweit bräuchte man dann auch keine Firewall.

mfg
schwedenmann

 

[supersucker]

abgesehen davon frage ich mich ja warum man Firewall und Server trennen soll, schliesslich ist es doch egal ob Ports für die entsprechenden Dienste direkt in der Firewall offen sind oder diese an einen anderen Computer weitergeleitet werden...

Wenn du das als Admin in einem halbwegs professionellem Laden machst, kannst du deinen Hut nehmen, wenn das rauskommt.

Grund:

Wenn du es als böser Cracker schaffst einen Dienst zu kompromittieren, ist nicht nur dieser eine Dienst / Maschine kompromittiert, sondern die komplette Firmenfirewall.

Obige Aussage jetzt verständlicher?

 

[hoernchen]

abgesehen davon frage ich mich ja warum man Firewall und Server trennen soll, schliesslich ist es doch egal ob Ports für die entsprechenden Dienste direkt in der Firewall offen sind oder diese an einen anderen Computer weitergeleitet werden...

Ich fasse das mal als ironischen Beitrag auf

 

[Guest]

abgesehen davon frage ich mich ja warum man Firewall und Server trennen soll, schliesslich ist es doch egal ob Ports für die entsprechenden Dienste direkt in der Firewall offen sind oder diese an einen anderen Computer weitergeleitet werden...

Ganz einfach. Wenn du auf dem FIrewallServer ein Apache z.b am laufen hast. Und apache wird gecrackt und dadurch gelangt der eindringling dann Root rechte, kann er somit auch direkt deine Firewall lahm legen, und sogar auf andere Pc's zugreifen. Wenn z.b Shares im Netz offen sind usw. Oder Daten klauen usw. (natürlich ist es jetzt ein krasses beispiel).

 

[Mike1]

Ich fasse das mal als ironischen Beitrag auf

ist es nicht, ich kann echt keinen wirklich sinnvollen Grund erkennen...

Wobei das mit Schadensbegrenzung dadurch das jeder Rechner(+Dienst) in nem abgeschotteten Bereich sitzt schon eine gewisse Berechtigung ist, jedoch wohl auch erst bei größeren Netzwerken... (wo es dann ja auch im Bezug auf Ausfallssicherheit praktisch ist wenn verschiedene Dienste auf verschiedenen Computern laufen)

 

[Guest]

ist es nicht, ich kann echt keinen wirklich sinnvollen Grund erkennen...

Wobei das mit Schadensbegrenzung schon eine gewisse Berechtigung dafür ist, jedoch wohl auch erst bei größeren Netzwerken... (wo es dann ja auch im Bezug auf Ausfallssicherheit praktisch ist wenn verschiedene Dienste auf verschiedenen Computern laufen)

Sieh ein Beitrag vor dir

http://www.ipcop-forum.de/unipcop.php

Das kann man großteils übernehmen. Da ist nur das beispiel mit VM. Ist Ja im prinzip das selbe.

 

[svw]

Es freut mich, eure rege Beteiligung zu meinem Problem zu sehen, aber könnte mir noch mal jemand meine Frage beantworten die lautet:

"Ist eine eigen gebaute Firewall mit den oben genanten OS derivaten gleich gut (Sicherheit usw...) wie eine kommerzielle Lösung wie Cisco, Juniper usw... "

Aber trotzdem habt ihr mir schon viel geholfen und ich danke euch sehr für eure mühe !!!

Gruß svw

 

[supersucker]

@Mike

ist es nicht, ich kann echt keinen wirklich sinnvollen Grund erkennen...

Was hast du an meinem Beitrag

Wenn du das als Admin in einem halbwegs professionellem Laden machst, kannst du deinen Hut nehmen, wenn das rauskommt.

Grund:

Wenn du es als böser Cracker schaffst einen Dienst zu kompromittieren, ist nicht nur dieser eine Dienst / Maschine kompromittiert, sondern die komplette Firmenfirewall.

Obige Aussage jetzt verständlicher?

nicht verstanden?

@svw

Wenn du ohne Spirenzchen wie "Application Layer Firewall" und ausgefuchste VPN-Funktionalitäten leben kannst: Ja.

 

[juan_]

Je nachdem wie du sie konfigurierst und wartest.

ciao