Firewall: Ausnahme für Subnet möglich?

[cjmatsel 10]

Hi,

 

ich plane den Einsatz der Firewall auf einem W2k3-Server. Damit ich nicht jedes Programm oder jeden Port einzeln definieren muss, suche ich eine Möglichkeit, ganze Subnetze als Ausnahme zu definieren:

 

- Lokales Subnetz: alle Anfragen erlauben

- alles andere blockieren

 

In den GPOs finde ich jedoch nur einzelne Port- oder Programmausnahmen. Kann mir jemand einen Tip geben?

[djmaker 95]

Wie wäre es mit 2 Netzwerkkarten (intern / extern)? Viele neuere Server bringen das von Haus aus mit.

[cjmatsel 10]

das macht nur beim Einsatz von Routing und RAS Sinn! Es geht mir nicht darum, den Server zu erweitern, sondern ihn einzuschränken...

 

Im Netzwerk gibts einen Router, der für Routing zuständig ist. Das dahinter sich befindende Netz soll keinen Zugriff auf den einen Server haben...

[IThome 10]

Man kann nur einzelne Ports bzw. Programme angeben mit dem Scope "localsubnet", keine Ranges ...

[cjmatsel 10]

"localsubnet" würde mir schon reichen, aber eben für alle Ports ;-)

 

Meine Recherchen haben bisher leider auch nichts anderes als diese Antwort ergeben. Wie löst Ihr sowas?

 

Die Problematik dabei: Ein Server löst meistens ja mehr als nur eine Aufgabe, besonders im SBS-Bereich können die Aufgaben sehr vielfältig sein. Hier muss jeder Port oder jedes Programm einzeln freigegeben werden... Könnte man wenigstens mit Port-Ranges arbeiten? Oder nehmt ihr Drittanbieter dafür?

[IThome 10]

Ich benutze grundsätzlich gar keine Firewall auf einem Server und löse das mit einer Firewall-Appliance oder einem Router, wenn es denn mal sein muss ...

[cjmatsel 10]

Du sprichst mir aus der Seele! Ich würde das am liebsten auch so lösen... Eine Firewall und besonders die eines Drittanbieters auf einem Server behagt mir gar nicht. Wir haben auch entsprechende Firewall-Appliances im Einsatz. Jedoch können sich viele kleinere Netze sowas nicht leisten (behaupte ich mal so) und daher suchte ich eine günstige und schnell umsetzbare Lösung: Blockiere alles, was nicht aus Deinem Subnetz kommt!

 

Ne richtige Lösung sieht anders aus, hat aber auch entspr. Pflegeaufwand...