Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 7. „KLASSISCHE“ FIREWALLS IN IP-NETZEN
Abbildung 7.5: Bastion innen: konzeptionelle Sicht (Aus [Benecke et al. 98]).
Vor- und Nachteile
Die Bastion im inneren Netzwerk ist gegen Angriffe aus dem externen Netz durch einen Screening-
Router geschützt. Im Gegensatz zu der Gateway-Architektur ist diese Architektur durch den Einsatz
von mehreren Bastions-Rechner erweiterbar, auf denen dann Proxy-Server für verschiedene Dienste
installiert werden können.
Nachteil dieser Architektur gegenüber dem Gateway sind zusätzliche Kosten durch den Screening
Router. Der Netzwerkverkehr des inneren Netzes kann mitgehört werden (sniffing), falls es dem Angreifer
gelingt, die Bastion zu kompromittieren. Dadurch ist die Sicherheit des inneren Netzes deutlich
reduziert, weil z.B. unverschlüsselte Passworte mitgehört werden können.
Bastion außen
Abbildung 7.6: Bastion außen: konzeptionelle Sicht (Aus [Benecke et al. 98]).
Ist die Bastion im inneren Netzwerk, kann der Netzwerkverkehr des internen Netzes mitgehört werden
(sniffing), falls es dem Angreifer gelingt, die Bastion zu kompromittieren. Dieser Nachteil wird vermieden,
wenn die Bastion von dem inneren Netz durch einen Screening-Router abgeschirmt wird. Die
Bastion ist dann in einem vom inneren Netzwerk unabhängigen Subnetz untergebracht. Die Funktion
der Bastion ist analog zu der Funktion der Bastion, die im vorherigen Abschnitt beschrieben wurde.
108 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen