Appliance oder IPCop? Verbesserung der Sicherheit!

[dippas 10]

Wieder Märchen von IT-Verkaufleute...

Off-Topic:

:rolleyes: Da scheint aber jemand seine eigenen Erfahrungen mit IT-Verkäufern gemacht zu haben. Schade nur, wenn die Beantwortung einer technischen Frage mit einer technischen Empfehlung derart undifferenziert als Märchen bezeichnet wird.

 

Darf ich ganz vorsichtig fragen?

Meinst Du ernst, dass die Installation einer Cisco-Firewall viel einfacher ist als z.B eines IP-Cops? :p :p :p

 

Du darfst natürlich fragen und ich beantworte auch gerne Deine Frage:

 

Ich meine nicht, dass die Installtion einer Cisco (viel) einfacher ist, ich weis es!

 

Cisco (oder jede andere Appliance auch): auspacken, einschalten, konfigurieren

 

Selbstbaulösung: Rechner finden, SW installieren, härten, überprüfen, nachhärten, dann erst konfigurieren und hoffen keine Lücke eingebaut zu haben.

 

Wer sich mit Firewalls auskennt, wird mir Recht geben, dass die Konfiguration mehr oder weniger gleich kompliziert oder unkompliziert ist, egal welcher Hersteller dahinter steht.

 

Die Chance, eine Fehlkonfiguration einzubauen ist überall nahezu gleich groß. Sie steigt aber bei Selbstbaulösungen überproportional an (wegen des Unterbaus).

 

@Canni:

 

3 getrennte NICs

 

1. Internetgateway

2. DMZ mit TS

3. LAN mit PCs, Laptops, Server (DC)

 

eingehend Port 3389 von 1 zu 2

AD-Ports von 2 zu 3 (alt. über VPN zwischen TS und DC nachdenken, dann nur den entsprechenden VPN-Port)

 

grüße

 

dippas

[Canni 11]

3 getrennte NICs

 

1. Internetgateway

2. DMZ mit TS

3. LAN mit PCs, Laptops, Server (DC)

 

eingehend Port 3389 von 1 zu 2

AD-Ports von 2 zu 3 (alt. über VPN zwischen TS und DC nachdenken, dann nur den entsprechenden VPN-Port)

 

 

Super Idee, danke :-)

 

Das bedeutet natürlich, dass der DC nicht geschützt ist vor den (teilweise privaten) Notebooks. Aber wenn ich mir die Liste der zu öffnenden Ports angesehen habe, wird mir auch ganz anders - da bringt doch die Abschottung des DC fast (!) nichts mehr ...

 

Der VPN-Gruppe räume ich dann die Berechtigung ein, sich zum TS zu verbinden; sonst zu nichts, so richtig?

 

Wie sieht es aus, wenn wir eines Tages alle Notebooks in der Domäne haben (*träum*) und diese sich per VPN im Netzwerk anmelden... dann müsste ich doch den VPN-Zugriff auf den DC auch freigeben und unterwandere damit die DMZ des TS ?

 

Wenn ich 4 NICs an der Appliance habe, warum teile ich dann nicht auf:

 

- Internetgateway

- DC

- TS

- Switch (LAN)

 

?

 

Danke :-)