Jump to content

Stellt DMZ ein Sicherheitsproblem dar?


Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Empfohlene Beiträge

Hallo,

ich habe einen MS Windows Server 2003 Standard als Terminalserver laufen. Damit die User sich übers Insternet anmelden können, hab ich eine 2. Netzwerkkarte eingebaut und RAS/VPN installiert.

 

Als DSL-Router verwende ich einen Linksys WRV54G.

Damit das Netzwerk aus dem Internet erreichbar ist, hab ich im Router "Software DMZ" aktiviert und dort die IP des Terminalservers eingetragen.

Stellt dass jetzt eine Sicherheitslücke dar?

 

Ich hab gelesen, dass dadurch die Firewall des Routers ausser Kraft gersetzt wird und alles Ports offen sind. Stimmt das ???

Link zu diesem Kommentar

Hallo IThome,

 

wie genau stelle ich das denn an?

 

Ich hab den DSL-Router Linksys WRV54G.

Statt DMZ zu aktivieren hab ich folgende Einstellungen versucht:

-------------------------

Applications & Gaming / Port Range Forwarding / Port Range:

Start: 47, End: 47, Protocol: both, IP Address 192.168.2.1 (IP des Terminalservers)

Start: 1723, End: 1723, Protocol: both, IP Address 192.168.2.1

 

Applications & Gaming / Port Triggering:

Triggered Range: Start Port: 47, End Port: 47, Forwarded Range: Start Port: 47, End Port: 47, Protocol: both

Triggered Range: Start Port: 1723, End Port: 1723, Forwarded Range: Start Port: 1723, End Port: 1723, Protocol: both

-------------------------

 

Damit war es aber nicht möglich eine VPN-Verbindung aufzubauen.

Link zu diesem Kommentar

Also VPN-Passthroughs hab ich aktiviert:

http://froigo.de/pics/foren/vpn1.jpg

 

IP 192.168.2.2 (Subnet 255.255.255.252) ist die Netzwerkkarte in meinem Server, die mit dem Router verbunden ist. Die 2. Netzwerkkarte im Server ist mit dem Switch für das Intranet verbunden und hat die IP 192.168.1.2 (Subnet 255.255.255.0)

 

Die Konfiguration des RAS hab ich mit dem Assistenten erledigt. VPN/NAT Server ist dem entsprechend korrekt konfiguriert.

 

Die Port-Weiterschaltungen sehen im Router so aus:

 

http://froigo.de/pics/foren/vpn2.jpg

 

http://froigo.de/pics/foren/vpn3.jpg

 

Trotzdem kann ich nicht von Außen zugreifen.

Aktiviere ich im Router DMZ, funktioniert es aber.

 

Was mach ich da nur wieder falsch ?!?

Link zu diesem Kommentar

Hi,

 

installiere auf dem Server doch mal Ethereal (oder einen anderen Netzwerksniffer) und lausche mal mit, wenn Du Dich extern per VPN einwählen willst. Einmal mit DMZ Funktion und einmal nur mit den weitergeleiteten Ports.

 

Wenn Du die Ergebnisse vergleichst, sieht man vielleicht, welche Ports/Protokolle nicht vom Router weitergereicht werden.

 

Gruß

Andre

Link zu diesem Kommentar

Bin der Verzweilung nahe.

 

Nachdem ich mit wrv54g_LogViewer_fw.exe (wird auf der Treiber-CD vom Router mitgeliefert) dem Router kein Logging entlocken konnte, hab ich es mit wallwatcher versucht. Leider auch vergeblich.

 

Nach ein paar Stunden Endloskampf und Telefonaten mit LINKSYS, hab ich´s jetzt mit Kiwi Syslog probiert. Auch dieses Manual kenn ich mittlerweile auswendig, aber Log-Dateien hab ich immer noch keine.

 

Weiß nicht mehr wo ich den Fehler noch suchen soll.

S O S

Link zu diesem Kommentar

Habe nun schon über 30 Arbeitsstunden damit verbracht, um unseren MS Server 2003 Std per VPN zugänglich zu machen.

War leider weder mit Netgear noch mit D-LINK oder LINKSYS Routern erfolgreich. Am Router wird es also wahrscheinlich nicht liegen.

 

Grundätzlich funktioniert es, wenn ich im Router DMZ aktiviere. Aber dann werden scheinbar alle Ports frei gemacht und somit die Firewall des Routers außer Kraft gesetzt.

Klar, die NAT/Basisfirewall auf dem Server ist noch aktiv, aber zufriedenstellend ist die Lösung sicher nicht.

 

Das Thema scheint derart kompliziert und umfangreich zu sein, dass es so ohne Weiteres nicht realisierbar ist; zumindest nicht für einen Amateur wie mich :-)

 

Werd also wohl aufgeben müssen ?!?

 

Wer sich die Sache per Remote mal anschauen möchte, gerne.

Link zu diesem Kommentar

Wenn ich Dir helfen würde, wäre mein erster Ansatz nach wie vor der Einsatz eines Sniffers wie Ethereal. Ist zwar auch kein Anfänger-Tool für Computerbild-Abonnenten, aber trotzdem sehr gut für dein Problem geeignet.

 

Ich würd ja helfen, aber vermutlich wohnst Du nicht in PLZ-Gebiet 48.

 

Sniffe bitte mal wie im oberen Posting von mir beschrieben die beiden Einwahlvorgänge mit und ohne DMZ Funktion und stell mir die Dumps gezippt irgendwo bereit, dann kann ich mal drüberschauen.

Am besten ne kurze PM schicken, dann kann ich zeitnah drauf reagieren.

 

Gruß

Andre

Link zu diesem Kommentar

IMHO benötigst Du auf dem Router nur die VPN-Weiterleitung oder den VPN-Tunnel.

 

VPN-Weiterleitung:

Den VPN-Endpunkt kannst Du auf einem Windows Server einrichtern (RRAS-Dienst), der dann auf die Terminalserverdienste weiterleitet.

 

VPN-Tunnel

Oder Du richtest auf dem Linksys einen VPN-Tunnel (=VPN-Server?? Tip: Handbuch (Beschreibung) lesen, falls nicht genau, den Linksys-Service befragen) ein, das scheint auf diesem Gerät zu funktionieren. Da solltest Du keinen extra Server benötigen, das sieht zumindest auf Deinem Screenshot so aus.

 

In beiden Fällen solltest Du das Portrange Forwarding und das Porttriggering nicht benötigen.

 

Kleiner Tipp zum Linksys Service: Je genauer Du Deine Ziele dem Service definierst, desto besser kann Dir geholfen werden - funktioniert i.d.R. ganz gut.

Link zu diesem Kommentar
Der letzte Beitrag zu diesem Thema ist mehr als 180 Tage alt. Bitte erstelle einen neuen Beitrag zu Deiner Anfrage!

Schreibe einen Kommentar

Du kannst jetzt antworten und Dich später registrieren. Falls Du bereits ein Mitglied bist, logge Dich jetzt ein.

Gast
Auf dieses Thema antworten...

×   Du hast formatierten Text eingefügt.   Formatierung jetzt entfernen

  Only 75 emoji are allowed.

×   Dein Link wurde automatisch eingebettet.   Einbetten rückgängig machen und als Link darstellen

×   Dein vorheriger Inhalt wurde wiederhergestellt.   Editor-Fenster leeren

×   Du kannst Bilder nicht direkt einfügen. Lade Bilder hoch oder lade sie von einer URL.

×
×
  • Neu erstellen...