VPN Server in DMZ?

[-nin 11]

Hallihallo,

 

ich bräuchte mal etwas Backgroundwissen.

 

Ich habe zuhause ein Netzwerk. Die PC's hängen an einem 8-port Gigabit-Switch (Netgear GS608), der wiederrum an einem Kabelrouter (Netgear RP614v2) hängt.

 

Nun wüsste ich gerne, ob und wo ich eine DMZ habe. Ist die DMZ das "Gebiet" hinter dem Router oder davor? Oder habe ich keine?

Wenn ich keine DMZ habe, wie müsste ich eine aufbauen?

 

Es geht mir darum, dass ich mir einen VPN-Server aufbauen möchte. Nun habe ich gelesen, dass man diesen am besten in eine DMZ "reinsetzt". Ist halt nur dumm, wenn man noch nicht so richtig kapiert hat, was und wo eine DMZ ist.

 

Eine DMZ ist doch die Zone, die nicht durch irgendwelche Firewalls oder ähnliches geschützt ist. Oder???

 

Danke für Eure Hilfe

 

-nin

[zuschauer 10]

Hi !

Hie mal ein Link zu einer klasischen Variante der DMZ (DeMilitarisierte Zone):http://www.elektronik-kompendium.de/sites/net/0907241.htm

(gleich die erste Zeichnung).

 

Die derzeit handelsüblichen Hardware-Router haben eigentlich alle eine Option, die sich DMZ nennt. Was jeder Hersteller dann darunter versteht, kann er selbst festlegen.

 

"Normalerweise" steht eine DMZ genau zwischen den "befeindeten Parteien" Internet und LAN und ist der Platz für Server, die aus dem Internet erreicht werden sollen (wie Dein VPN-Server) aber keinen unkontrollierten/direkten Zugang zum LAN haben (Firewall).

 

In Deinem konkreten Fall wirst Du nicht umhin kommen, den Server hinter Deinen Router zu stellen und so zu konfigurieren, daß er von außen nicht oder schwer angreifbar ist.

 

Einige Router bringen ein paar Feature mit und nennen das DMZ, aber eine echte DMZ ist das auch nicht.

 

Der eigentlich Hintergedanke, den VPN-Server in die DMZ zu stellen, besteht darin, daß die 1. FW den VPN-Verkehr nur an den VPN-Server weiterleiten kann, ohne in zu checken (im Normalfall verschlüsselt). Erst die 2. Firewall ist in der Lage, den Datenververkehr auch inhaltlich zu prüfen.

[-nin 11]

Hallo Zuschauer,

 

danke für Deine Antwort. Heißt dass, dass ich für eine echte DMZ eine Hardware-Firewall und einen Router haben müsste? Wohin der VPN-Server dann an den Router angeschlossen wird und der Router wiederum auf die Firewall umleitet, an der dann die "Militarized" PC's hängen müssten???

[zuschauer 10]

Puhh !

Die Firewall auf dem Router sollte die Server in der DMZ vor Attacken schützen und den normal vom LAN initierten Verkehr durchgeben.

 

Der Router müßte vom LAN nicht initierte Anfragen an die Server in der DMZ weiterleiten können (http/ftp/vpn-Server). Zwischen der DMZ und dem LAN sollte dann eine weitere FW (Hard- oder Software) stehen, die in der Lage ist, die Anfragen auch inhaltlich zu checken (statefull inspection).

 

Diesen Aufwand betreibt man natürlich nicht für ein Homenetzwerk - daher diese All-in-One-Lösungen mit einer sogenannten "DMZ" auf dem Router.

 

Für meinen Geschmack reichen diese Lösungen auch, um ein Homenetzwerk abzusichern.