Forum Ljud, bild och kommunikation Nätverk och uppkoppling Tråd Inlägg

Filtrerande router

1
Skriv svar
Permalänk
Medlem
●

Filtrerande router

Hej.
Jag tänkte passa på att fråga lite om bra sätt att sätta upp DMZ. Jag har en sparcstation5 med ett qfe(4-portars ethernet) som jag tänkte använda som filtrerande router. Det jag undrar är över hur jag skall skapa en DMZ mellan internet och mitt lokala nät.

Ett alternativ är att använda tre av portarna, en till kabelmodemet(1), en till DMZ(2) och en till det lokala nätet(3). NAT mellan (1) och (2), samt mellan (1) och (3). Sedan intern routing mellan (2) och (3) för administration av de publika datorerna.

Nästa alternativ är att använda alla fyra portarna. En till kabelmodemet(1), en till DMZ(2). Sedan en från DMZ(3), och till sist en in till LAN(4). NAT mellan (1) och (2), och intern routing mellan (3) och (4).

Är ni med, eller rörde jag till det? Det enda ss5:an kommer att göra är att skyffla paket och filtrera lite. Det rör sig alltså hur jag fysiskt skall sätta upp det hela. Använda tre eller fyra portar. Det känns som att det blir lättare att skriva regler med fyra portar, men det kan ju finnas saker jag inte har tänkt på eller har en aning om så alla kommentarer är välkomna.

Visa signatur

Bastard Operator From Hell
Frigående amatör har skrivit detta inlägg.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Jag förstår inte riktigt hur du menar att du ska använda fyra portar för detta? Det självklara för mig är att använda tre av dem. Blir lite struligt att skriva reglerna när du har ett till nic med i leken, men använder du OpenBSD/pf blir de ju lättlästa ändå.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Jag kommer att köra NetBSD/ipf. Jag vet inte om jag kan förklara på bättre sätt. Se det som att de två första portarna bildar brandvägg mot internet. Alltså en till modemet, och en till switchen. Sen blir det en router mellan de två andra porterna, från DMZ till mitt LAN. Kanske kan hjälpa med en fin illustration(<-nr-> är portnr ;0):

(sätt in ett moln) <-1-> brandvägg <-2-> DMZ <-3-> router <-4-> LAN

Istället för:

(sätt in ett moln) <-1-> brandvägg/router mellan LAN och DMZ
<-2-> LAN
<-3-> DMZ

Det är det jag undrar över, vilken som är att föredra? Är det någon risk med att brandväggen och den interna routingen görs av samma maskin? Det är ingen tung belastning på nätet, så det är ingen fara med att maskinen inte skall orka med både brandväggen och intern routing. Jag är inne på lösningen med 4 portar, känns enklare, och så utnyttjar jag alla portar ;0).
Blev det klarare?
Är det här en dum fråga?

Visa signatur

Bastard Operator From Hell
Frigående amatör har skrivit detta inlägg.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Om du tänkter köra NAT på yttersta routern ser jag inte riktigt poängen. Annars skulle jag ha kört VM-ware och en svart brandvägg först, sen DMZ (alla i dmz får externt ip) sen NAT-routern till LAN. Då har du alltid en brandvägg uppe även om din NAT-burk blir hackad.

Visa signatur

Two types of people laugh at the law: those that break it and those that make it.

Redigera
Citera flera Citera
Permalänk
Medlem
●

>Om du tänkter köra NAT på yttersta routern ser jag inte riktigt poängen.

Jag glömde och säga att detta är mest för att leka och lära hemma. Har endast en dynamisk adress, så jag måste köra NAT på brandväggen. Jag tänkte inte ha någon NAT på den interna routern, endast kontrollera trafiken mellan DMZ och LAN.
Men vad skulle vara poänglöst med att sätta upp det så? Man kan ju fortfarande ha publika tjänster uppe, även om man bara har en adress så kan man ju styra trafiken till flera i DMZ, tex en för mail, en för web etc.

>Annars skulle jag ha kört VM-ware och en svart brandvägg först, sen DMZ (alla i >dmz får externt ip) sen NAT-routern till LAN. Då har du alltid en brandvägg uppe även >om din NAT-burk blir hackad.

Ahh...
Men VM-ware kostar väl pengar?

Jag förstår inte hur brandväggen är skyddad från att bli hackad om den körs på samma burk som den interna routern? Har den blivit hackad är det väl inga större problem att påverka brandväggen, även om den körs i en virituell maskin? Eller vet jag inte vad jag talar om ;0)?

NAT på den interna routern är verkar ju vara vettigt. Maskinerna i DMZ behöver ju inte se de som finns i mitt lokala nät.

Intressant, tack för svaren förresten!

Visa signatur

Bastard Operator From Hell
Frigående amatör har skrivit detta inlägg.

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

Ursprungligen inskrivet av miny3945

(sätt in ett moln) <-1-> brandvägg <-2-> DMZ <-3-> router <-4-> LAN

Istället för:

(sätt in ett moln) <-1-> brandvägg/router mellan LAN och DMZ
<-2-> LAN
<-3-> DMZ

Eftersom du bara snackat om en ss5'a antar jag att du bara har tillgång till en burk. Om du hade haft två hade ditt första förslag kunnat vara nåt, men jag ser inte riktigt poängen med det när du bara har en burk.

Om du använder alla fyra portar har du alltså två interface ut mot DMZ, ska du då ha två tp-kablar till en switch/hub för dmz-burkar då? Och hur har du tänkt ha två interface på samma ip-nät utan att använda dig utav brygga (eftersom du inte nämnt nåt om det). För mig låter det bara struligt faktiskt..

Såhär tänker jag:

        Internet
           |
        ___|___ 
       |       |   |
       | router|---| DMZ-nät
       |_______|   |
           |
        ___|___

      Internt nät

Varför krångla till det?

Redigera
Citera flera Citera
Permalänk
Medlem
●

Jag kan ha fel, men jag tror att om du har virituella maskiner så är de tillräckligt åtskillda för att förhindra att mer än en maskin (i taget) blir övertagen.

Ett alternativ, kanske, är att köra två jail, men jag vet inte hur bra det fungerar med bryggor, nat osv.

griff: jo två interface till DMZ. Burken med fyra portar ska ju egentligen vara två burkar med två portar var; det här blir samma sak fast annorlunda. Din lösning går också, men då får man inte skyddet av att ha två brandväggar: om väggen blir övertagen så är hela nätet kört. Har man två brandväggar och den inre blir övertagen kan man på den yttre (förhoppningsvis) undersöka hur det gick till och vart man ska skicka ett abuse-mail.

Tre portar är dock givetvis mycket lättare att sätta upp när man bara har en router.

Man krånglar till det för att se om man klarar det och för att lära sig saker på vägen.
När jag får pengar till ett till 1u-rack och moderkort och har fått upp min nfs-server ska jag se om jag lyckas sätta upp en DMZ själv, med disklösa brandväggar. Kommer däremot vara tvungen att köra NAT på den yttre brandväggen, eftersom det inte går att ockupera mer än ett IP 24/7 från BBB (trots att man ska få 5).

Visa signatur

Two types of people laugh at the law: those that break it and those that make it.

Redigera
Citera flera Citera
Permalänk
Medlem
●

Nu kör inte jag med FreeBSD, istället använder jag Slack 9.1 med fyra nätkort och iptables

eth0 - lan
eth1 - dmz
eth2 - inet
eth3 - wlan

Har regler mellan alla nätkorten, i det här fallet har eth3 bara access till internet, vem vill lämna öppet mot ett wlan..

Sen är det inga problem att binda fler ip'n på inet interfacet, skapa extra interface eth2_0, eth2_1 o.s.v. och sätt macadress från privata mac området så är det problemet löst. Dock så blir det ju ändå nat mot interfacen bakom, men man kan iallafall låta olika datorer hamna på olika ip'n utåt, och på så sätta öppna för alla portar mot en dator om man vill.

Redigera
Citera flera Citera
Permalänk
Medlem
●
Citat:

griff: jo två interface till DMZ. Burken med fyra portar ska ju egentligen vara två burkar med två portar var; det här blir samma sak fast annorlunda.

Precis vad jag menade! ;0) Det blir som två burkar i en. Nackedelen är ju om den blir hackad så är hela nätet kört som det sades i tidigare inlägg.

Citat:

Jag kan ha fel, men jag tror att om du har virituella maskiner så är de tillräckligt åtskillda för att förhindra att mer än en maskin (i taget) blir övertagen.

Låter intressant. Någon som har erfarenhet av det?

Citat:

Ett alternativ, kanske, är att köra två jail, men jag vet inte hur bra det fungerar med bryggor, nat

Kan man bygga sandlådor åt nätverksstacken? Eller är jag puckad nu? Jag vet att man kan göra så med användarprocesser, men med kärnan? Förklara för mig som om jag inte förstod ;0)...

Visa signatur

Bastard Operator From Hell
Frigående amatör har skrivit detta inlägg.

Redigera
Citera flera Citera
1
Skriv svar