Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

7.3. FIREWALL-ARCHITEKTUREN
Eine weitere Firewall-Architektur ist der Gateway Firewall (Abb. 7.4). In dieser Architektur wird
die Packet-Screen in der vorherigen Architektur durch eine Bastion ersetzt. Die Bastion stellt die
einzige Verbindung zwischen den beiden Netzwerken dar und übernimmt die Funktion des Gateways
zwischen den Netzwerken. Die Bastion wird technisch durch einen dual homed Host realisiert.
Da auf der Bastion nicht die Funktionen eines Routers vorhanden sind, gibt es keine direkte Verbindung
zwischen den beiden Netzwerken. Die Zugriffskontrolle erfolgt i.a. über Proxy-Server (siehe
Abschnitt 7.2.2), die auf der Bastion installiert sind. Es ist auch möglich, auf dem Gateway eine
Packet-Screen zu installieren.
Vor- und Nachteile
Vorteil dieser Architektur ist die umfangreiche Zugriffskontrolle, die durch den Einsatz von Proxy-
Servern gegeben ist. Da das Auditing auf dem Gateway sehr umfangreich gestaltet werden kann,
können Angriffe auf das Gateway und das interne Netzwerk gut nachvollzogen werden. Für diese
Firewall-Architektur sind viele kommerzielle Lösungen erhältlich, so daß diese Produkte in der Praxis
eingesetzt werden können.
Ein Nachteil ist der hohe Installationsaufwand, den die Proxy-Server mit sich bringen, wenn für die
gewünschte Anwendung kein Proxy vorhanden ist oder dessen Funktionalität nicht ausreicht. Die
Firewall-Architektur bietet keine Erweiterungsmöglichkeiten. Reicht die Performanz des Gateways
nicht mehr aus, muß das Gateway durch einen anderen Rechner ersetzt werden.
Bewertung
Die Sicherheit der Gateway Firewall-Architektur ist durch die umfangreichere Zugriffskontrolle und
die besseren Möglichkeiten des Auditings höher, als bei dem alleinigen Einsatz einer Packet-Screen.
Bestehende Schwachstellen des Gateway können durch das Auswerten der Informationen des Auditings
erkannt und beseitigt werden.
7.3.3 Kombination von Packet-Screen und Bastion
Im folgenden werden die Firewall-Architekturen beschrieben, die sich aus der Kombination von
Packet-Screens und Bastions-Rechnern ergeben (Abb. 7.5 bis 7.7).
Bastion innen
In Abschnitt 7.3.1 sind die Nachteile des alleinigen Betriebs einer Packet-Screen beschrieben worden.
Diese Nachteile werden durch die Kombination einer Packet-Screen und einer Bastion vermieden. Die
Packet-Screen wird so konfiguriert, daß die Bastion als einziger Host im internen Netzwerk von außen
erreicht werden kann. Dadurch wird die Anzahl der angreifbaren Hosts auf die Bastion beschränkt.
Die Zugriffskontrolle erfolgt i.a. durch die Packet-Screen und Proxy-Server, die auf der Bastion installiert
sind. Um erfolgreiche Angriffe auf die Packet-Screen zu erkennen, durch die der Schutz des
internen Netzwerkes aufgehoben wird, ist ein detailliertes Auditing auf der Bastion erforderlich.
SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen 107