Re: Sicherheitskonzept eines neuen Servers
Hi!
On Mon, 21 Nov 2005 15:45:12 +0100
Gerhard Brauer <gerhard.brauer@web.de> wrote:
> Mit Routing würde das IMHO sicher gehen, würde aber dem DMZ Prinzip
> widersprechen, innere und äußere Dienste physikalisch und logisch zu
> trennen. Dein Rechner in der DMZ wäre aber gleichzeitig Server für
> Clients im LAN und (per sshd) fürs Badland.
Hmm, ich muss dann mal schauen, wie ich den Rechner am Router am besten
freigebe - ist so'n doofer T-Online-Router und so ganz raff ich den
nicht. Man kann zwar auch externe Ports per IP auf interne freigeben,
aber zumindest bei dem einen mal, bei dem ich das mal getestet hatte,
war der Port nach außen hin dann dennoch nicht offen. Hat jemand
zufällig einen "T-Sinus 154 DSL" mit Freigaben im Einsatz?
> xringd geht (vons Haus aus) IMHO auch mit Modems (serial connections).
Da bin ich schon gespannt. :)
> nicht vergessen, dieses z.B. aus der Wahlwiederholung rauszunehmen.
Wenn, dann nehm ich dann mein Handy dafür. :)
> Ich meinte damit, _wenn_ ein Angreifer auf deinen Server gelangt dann
> kann er wie ein normaler Client agieren (z.B. nfs, smb, eigene Dienste
> starten, ...)
Achso ja, das ist klar...
> Das alte Thema personal firewalls... ;-)
> Du kannst definitiv darauf verzichten wenn kein Dienst von außen zu
> erreichen ist.
Muss ich mal gucken, was das Argument von Frank da in der Praxis zu sagt
- von wegen NTP!?
> Ich finde allerdings die
> Logging-Möglichkeiten bei z.B. iptables hilfreich, um z.B. Art,
> Zeitpunkt und Häufigkeit diverser Zugriffe zu protokollieren um diese
> dann ggf. mit "Auffälligkeiten" im LAN zu kombinieren.
Hmmm,... ok. Auch ne Idee.
> Sinnvoll als Sicherheit auch, um z.B. _vom_ LAN nur bestimmte Dienste
> z.B. zum Server bzw. ins Internet zuzulassen. Wichtig IMHO weil z.B.
> vermehrt Trojaner über "legale" Dienste (mail) ins LAN geschleppt
> werden. Und wenn jetzt die FW so konfiguriert ist: von Innen nach
> außen alles erlauben, dann gute Nacht. Obwohl wir von außerhalb ja nie
> angreifbar waren...
Hat da jemand ein paar Beispiel-Ports (oder eine HowTo), die man ruhig
nach außen hin sperren sollte?
--
Best regards...
Ace Dahlmann
Reply to: