Small Business Server 2003 Win Firewall an, wenn hinter HW Router?

[Bavaria 10]

hi,

 

habe da einfach keine Meinung zu. Sollte man die Windows built in Firewall nutzen oder ausschalten auf dem Server oder ist der server durch die HW Firewall in unserem Router auch so geschützt?

 

2) Wie haltet ihr es mit der Firewall auf den Xp Sp2 Clients

 

Besten Dank

[Mox_T 10]

hi,

 

habe da einfach keine Meinung zu. Sollte man die Windows built in Firewall nutzen oder ausschalten auf dem Server oder ist der server durch die HW Firewall in unserem Router auch so geschützt?

 

2) Wie haltet ihr es mit der Firewall auf den Xp Sp2 Clients

 

Besten Dank

 

Ich würde mal behaupten es kommt auf die Regeln in der HW FW an. Aber nichts desto trotz schaffen es User doch immer wieder auf irgendwelchen Sites zu surfen und fangen sich dann was ein. Ich denke bei dieser Frage scheiden sich die Geister, aber grundlegend halte ich es nicht für absolut falsch.

[Wurzerl 10]

Das kommt darauf an, welche Firewall bzw. Router eingesetzt wird und für welchen Zweck.

 

Für das Wohnzimmer reicht i. d. R. ein Router mit einer guten SPI-Definierung. Für ein kleines Unternehmen würde ich ein Produkt empfehlen, das mit mindestens mit einer Zywall 2, IPCop vergleichbar ist, oder die interne FW von Windows Server 2003.

 

Für den Einsatz in grösseren Unternehmen (> 10 MA) ist der ISA-Server oder eine andere FW basierend auf Checkpoint, Astaro oder ähnliches zweckmäßig.

 

Doch auch die beste FW reicht i.d.R nicht aus, wenn sie nur ausgepackt und hingestellt wird. Eine gründliche und gute Konfiguration ist bei jedem Produkt zweckmäßig.

[Bavaria 10]

Naja die momentane im Router blockt folgendes

 

DoS defense Setup |

Enable DoS Defense

Enable SYN flood defense Threshold packets / sec

Timeout sec

Enable UDP flood defense Threshold packets / sec

Timeout sec

Enable ICMP flood defense Threshold packets / sec

Timeout sec

Enable Port Scan detection Threshold packets / sec

Block IP options Block TCP flag scan

Block Land Block Tear Drop

Block Smurf Block Ping of Death

Block trace route Block ICMP fragment

Block SYN fragment Block Unknown Protocol

Block Fraggle Attack

[Bavaria 10]

ist das dann soweit ok?

 

oder welche Einschränkungen habe ich dadurch, klar outgoing wird nicht geprüft.

[dippas 10]

Hallo Bavaria,

 

die Einstellmöglichkeiten der HW-Firewall klingen ja nicht nach ner Spielzeugkiste ;)

 

Das ist schon mal sehr gut! Deutet aber auch daruf hin, dass Du über ein Firmennetz redest.

 

Ich bin der Meinung, das eine Firewall am Gateway und am Rechner (egal ob Server oder Client) sinnvoll ist. Dabei unterscheide ich nicht zwischen Firma und Privat.

 

Ich habe die Erfahrung gemacht, das insbesondere im Firmenumfeld eine Firewall auf den Rechner sinn macht, weil es immer wieder vorkommen kann, dass User irgendetwas ins Unternehmen schleppen, was sich verselbstständigt. davor würde eine Gateway-Firewall natürlich nicht schützen.

 

Allerdings sollte die Firewall der Rechner möglichst auch aus der Ferne konfigurierbar sein, damit man nicht an jeden Rechner separat konfigurieren muss ;)

 

Mein Tipp: Nutze die eingebaute Firewall auf den Rechnern um dich vor Angriffen von innen etwas besser zu schützen.

 

grüße

 

dippas

 

PS: Nur so rein interessahalber: welche HW-FW nutzt Du?

[Bavaria 10]

Ist ein Draytek Vigor 2900 Router

[real2004 10]

Hi,

 

ich habe die auch im Einsatz. Du solltest die aktuelle 2.5.5 Firmware nutzen.

Aber bitte die englische. Die deutsche hat immer wieder Fehler.

 

mfg

 

mb

[real2004 10]

Kurze Anmerkung zu "dippas"...

 

die 2900 Serie sind genial von der Leistung her und günsig im Preis.

Konfiguration ist einfach und der Router wurde gelobt von Kennern...

 

http://www.draytek.de/presse.html

 

mfg

 

mb

[dippas 10]

Kurze Anmerkung zu "dippas"...

 

die 2900 Serie sind genial von der Leistung her und günsig im Preis.

Konfiguration ist einfach und der Router wurde gelobt von Kennern...

 

http://www.draytek.de/presse.html

 

mfg

 

mb

 

Hab mir gerade die Specs angeschaut. Klingt ja wirklich nicht schlecht. zumindest ist alles drin, was man so braucht ;)

 

grüße

 

dippas

[Bavaria 10]

würdest du trotzdem zu einer Hardware raten?

 

Helft mir mal gerade, wenn der Router alles gängige blockt, was von außen kommt ist das doch schon eine Menge wert.

 

1) Was würde eine externe HW Lösung weiteres bringen

 

2) Welche Gefahren drohen vom outgoing traffic.

 

 

Die Hardware der meisten Router konzentriert sich ja nur auf incoming traffic

 

Was ist von der Kombi draytek FW + Firewall des SBs zu halten

[dippas 10]

würdest du trotzdem zu einer Hardware raten?

 

Helft mir mal gerade, wenn der Router alles gängige blockt, was von außen kommt ist das doch schon eine Menge wert.

 

ja, in die eine Richtung (also rein ins interne Netz) ist das schon ne Menge Wert.

 

1) Was würde eine externe HW Lösung weiteres bringen

 

FW-Appliances oder auch auf Softwarebasis (z.B. Linux) bieten im allgemeinen Policys an allen Schnittstellen. Also einfach gesagt, was Du am Router für den eingehenden Verkehr konfigurieren kannst, kannst Du bei solchen Geräten auch für ausgehenden Verkehr und in die (echte) DMZ einstellen. Und das meist viel detaillierter als bei Routern.

 

2) Welche Gefahren drohen vom outgoing traffic.

 

Stichwort Spamschleuder zeigt sicherlich eine große Gefahr auf ;)

 

Interne PCs können durch das Mitbringen von CDs, Disketten, USB-Sticks verseucht werden und unkontrolliert nach aussen Spammen oder sonstwas rausschicken.

 

Die Hardware der meisten Router konzentriert sich ja nur auf incoming traffic

 

Was ist von der Kombi draytek FW + Firewall des SBs zu halten

 

Meines Erachtens viel, damit der SBS auch - wie gesagt - gegen interne Angriffe besser geschützt ist. Gilt auch für Client-FWs.

 

grüße

 

dippas

[Bavaria 10]

danke

[Bavaria 10]

Muss ich den die Wall noch konfigurieren, damit zb. exchange Owa läuft, etc.? Sprich Ausnahmen eintragen, denn für meine Remote Software(radmin) muss ich dies.

 

danke

[dippas 10]

Muss ich den die Wall noch konfigurieren, damit zb. exchange Owa läuft, etc.? Sprich Ausnahmen eintragen, denn für meine Remote Software(radmin) muss ich dies.

 

danke

 

Für alle Dienste, die Du nach außen verfügbar machen möchtest, benötigst Du entsprechend offene Ports, also "Ausnahmen" wie für dei Remotesoftware.

 

Welche das dann im Einzelfall sein müssen, ist Abhängig vom Dienst.

 

Da OWA ein Webservice ist, muss entsprechend Port 80 auf den Exchangeserver geleitet werden. Bei eingeschalteter SSL-Verschlüssenlung auch Port 443.

 

Bevor Du das allerdings einfach einrichtest, mach dich unbedingt hinsichtlich sicherheitsrelevanter Dinge und Patches am Exchange-Server schlau!

 

grüße

 

dippas