Firewall vor einem Webserver sinvoll?

[mickey 10]

hello,

 

sodala, ich soll für das Unternehmen wo ich arbeiten ein +/- Firewall vor einem Webserver ausarbeiten.

 

Folgendes Szenario:

 

Ein Webserver (Linux Debian) steht direkt im WAN. Zugriffe geschätzt: 1000-3000 Unique User / Tag

 

So, jetzt stellt sich die Frage, ob die iptables vom Kernel her ausreichen, oder sollte man daran denken eine HW Firewall davor hinzusetzen? Wegen DoS Attacken etc. ?

Irgendwelche Empfehlungen? Cisco?...

 

danke!

[overlord 10]

Hallo,

eine sep. HW-Firewall davor zu petzen macht IMHO Sinn!

- besser/leichter zu pflegen, wobei fwbuilder auch ok ist

- eher hardened als Softwarelösung -> event. je nach Kenntnis viel Arbeit

- eher ausbaufähig, was ist bei weiteren Rechnern...?!

- bequemer bei System Update/Upgrade

- Konfiguration von services möglich, die event. gar nicht auf dieser Maschine laufen/benötigt werden

- ..

 

Jedoch schadet es auch nix trotzdem ein paar Feinheiten über die rules zu setzen....

 

Große Preisfrage ist da wohl das Budget! ;)

[mickey 10]

vielen dank! mal ein sehr guter input...

 

jedoch vermisse ich in der aufstellung auch die security seiten. klar schaden kann sie nicht, jedoch bringt sie tatsächlich von der seite der security etwas?

 

was könntest du hierfür empfehlen?

[nerd 28]

Hi,

 

vor einen Webserver gehört meiner Meinung nach auf jeden Fall eine dedizierte FW um die Sicherheit der Daten auf dem Server bzw. dessen Verfügbarkeit sicherzustellen.

 

Von der Marke her würde ich schauen was ihr sonst noch in dem Unternehmen im Einsatz habt und auf eine entsprechende Lösung setzen. FW's sind je nach Produkt sehr unterschiedlich zu konfigurieren... Ein Technologie mix macht nur Sinn wenn es sich dabei um zwei border lines handelt. Also LAN zu DMZ und DMZ zu Internet.

 

Gruß

[overlord 10]

, jedoch bringt sie tatsächlich von der seite der security etwas?

..was meinst du? Eine HW-Lösung bringt auf jeden Fall was, wie schon gesagt du kannst "besser" und flexibler konfigurieren und reagieren und bist auch nicht so direkt von der "Schwäche" deiner laufenden daemons abhängig!

Eine Kombination ist der richtige Weg!