Portforwarding auf Server mit identischen Ports

[DocData 85]

Jo, aber thats it hilft eben auch nur für owa usw. Für smtp oder andere Dienste braucht man wieder was anderes

 

Das stimmt natürlich wieder. Für SMTP wäre ein simplex Mailrelay die einfachste Lösung. Ansonsten Firewall, min. zwei Public IPs und die Dieste über mehrere Public IPs verteilen.

[NorbertFe 2.034]

Der smtp von Windows kann kein opportunistic tls und ist damit heute eigentlich gegen besseres zu tauschen. Ansonsten hast du recht und ich setze gern orf Fusion ein, was sehr gut mit dem iis smtp funktioniert.

[simauki 10]

Hallo, vielen Dank für die Anregungen. Ich habe jetzt grad wieder reingeschaut, und mit erstaunen festgestellt, dass siche eine lebhafte Grundsatzdiskussion eingestellt hat.

Leider habe ich für die Sophos UTM noch kein Angebot bekommen. Ich schwanke derzeit zwischen mehreren öffentlichen IP's, der UTM oder gleich ganz krass zwei unabhängigen Internetzugängen.

 

Kann man Microsoft WAP auch auf den SBS2011 draufbasteln? Oder braucht das einen Server 2012 als zwingende Grundlage?

 

MfG Stephan

[Dunkelmann 96]

Der WAP ist eine Rolle unter Server 2012R2.

Auf einen SBS würde ich keinen Proxy o.ä. 'draufbasteln'. Als integrierte Lösung kann der SBS sehr komisch auf solche Dinge reagieren.

 

Ich würde auf jeden Fall einen Reverse Proxy einsetzen, egal ob ein oder zwei öffentliche IPs/Anschlüsse. Beim einfachen Port Forwarding steht Dein Server quasi nackt im Netz und der ganze Schmutz schlägt direkt dort auf. Ein Reverse Proxy terminiert die Verbindung auf dem externen Interface und baut eine separate Sitzung zu den internen Resourcen auf.

[nopanic 0]

Ahoi zusammen,
um die eigentliche Frage zu beantworten, würde mit dem entsprechendem Netzdesign anfangen:
wenn du nur einen Provider verwenden willst, würde ich ein transfer-Netz und 2 separate kleine Netze einkaufen, die dann in die DMZ geroutet werden. Dh heisst, du baust 2 DMZ-Zonen und 2 LAN's auf:
Transfernetz      /DMZ1
-------Firewall----Lan1
               ----Lan2
                  \DMZ2  

Das ist dann auch ein Sicherheitsgewinn, als Ports ins Lan zuzulassen.
Ausserdem würde ich auch nicht auf die Micosoft-Firewall setzen. Monokulturen machen es Angreifer einfacher...
Die opensource Firewalls sind eigentlich alle mit webgui...
Mittlerweile gibt es auch opensource Firewalls mit angebotenem Support....

Gruß
Stefan

bearbeitet 27. Februar 2015 von nopanic

[NorbertFe 2.034]

Wo stand hier was von Microsoft firewall? Hab ich was überlesen? Und wieso ist eine dmz ein Sicherheitsgründen, wenn dort nix steht?