WWW-, FTP-, Mail-Sever usw. ohne NAT ans öffentliche Netz?

[eXOs 10]

Hi zusammen,

 

ein Kollege hat mir ein paar fragen gestellt zum Thema IPs, NAT, INet usw. und dabei kam bei mir die Frage auf, ob es vorteile bringt, wenn ich den Servern, die öffentlich Dienste bereitstellen, eine öffentliche IP gebe.

 

Hier bin ich nicht dafür zuständig (im grunde ist keiner mehr zuständig da wir eine Linux Firewall haben mit der sich keiner aus kennt), aber ich glaube die Firewall macht gleich noch NAT und die Server haben nur interne IPs.

[marka 584]

Normalerweise bewerkstelligt man das folgendermaßen:

 

Die Server, die Dienste für das Internet bereitstellen, stehen in einer so genannten "demilitarisierten Zone".

Dann konfiguriert man die Firewall so, dass Anfragen auf die entsprechenden Dienste (Ports) auf die interne IP-Adresse den betreffenden Servers weitergeleitet werden.

Man kann, besonders bei billigen SOHO-DSL-Routern, einen so genannten "exposed Host" definieren, dass ist dann ein Host, der ohne Schutz direkt am Internet hängt. Das ist imho aber eine unsichere Methode und daher nicht zu empfehlen...

[eXOs 10]

Hi marka,

 

DMZ ist mir ein Begriff. Wenn ich es richtig weiß wäre das ja ein zusätzliches Netz zwischen WAN und LAN und somit hätten die Server keine öffentliche IP - richtig?

[Velius 10]

@eXOs

 

Du kannst schon eine DMZ mit öffentlichen IPs bereitstellen, macht aber IMHO relativ wenig Sinn da der verschleiss an öffenltichen IPs höher ist (mindestens ein /30 Subnetz für Firewall <-> Internet Router des ISPs + zusätzliches Firewall Interface <-> 'beliebiges' öffentliches Subnetz für DMZ). Ausserdem schauen die meisten ISP darauf, das in einem vernünftigen Rahmen zu halten der der öffenltiche Adressraum ist begrenzt.

 

Auch das von Marka erwähnte 'Port-Forwarding' ist eigentlich nicht's anderes als ein Port-NAT (auch NAPT genannt).

 

- Internet <-> Firewall IP + z.B. HTTP Port (80) <-> DMZ Host 1

- Internet <-> Firewall IP + z.B. SMTP Port (25) <-> DMZ Host 2

 

 

cheers

Velius

[eXOs 10]

Danke,

 

das bringt ja alles erstmal sicherheitsrelevante Vorteile. Andere Vorteile aber nicht, oder?

[Velius 10]

Nein, eben nicht.

 

 

NAT hat technisch gesehen mit Port-, bzw. Application-Filtering rein gar nichts zu tun.

 

Also, wenn du eine DMZ mit öffentlichen Adressen einer mit privaten Adressen gegenüber stellst gibt's es primär zwei Vorteile:

 

- Du verbrauchst weniger öffentliche IP Adressen beim privaten Modell und eventuell zahlst du weniger bei deinem ISP

- Du bist flexibler im gestalten deines Adress-Raumes, da du bei IP Knapheit nicht immer zuerst den ISP zu Hilfe nehmen musst.

 

 

Alles klar?

 

cheers;)

Velius

[eXOs 10]

Alles klar?

 

cheers;)

Velius

 

nicht ganz...

 

Worauf bezieht sich das

 

Nein, eben nicht.

?

 

Nicht dass wir aneinander vorbeireden...

 

das NAT nichts mit Port-, bzw. Application-Filtering zu tun hat ist mir klar, meine Frage ob es außer der Sicherheit noch weiter Vorteile gibt bezog sich auf die DMZ, nicht auf NAT.

[Velius 10]

 

das NAT nichts mit Port-, bzw. Application-Filtering zu tun hat ist mir klar, meine Frage ob es außer der Sicherheit noch weiter Vorteile gibt bezog sich auf die DMZ, nicht auf NAT.

 

 

Klar, eine DMZ hat ihren Nutzen nur in der Sicherheit, that's it (ok, vielleicht noch um die Broadcast Domäne einzugrenzen, aber das ist nur ein natürlicher Nebeneffekt davon).

[eXOs 10]

Fein,

 

dann bin ich jetzt wieder ein stück schlauer!

 

Danke