Sicherheit in vernetzten Systemen - RRZ Universität Hamburg

KAPITEL 7. „KLASSISCHE“ FIREWALLS IN IP-NETZEN
7.4 Firewall-Architekturen in der Praxis
In diesem Abschnitt werden zwei Firewall-Architekturen beschrieben, die bei AT&T und DEC eingesetzt
werden. Die Beispiele sind aus [Ellermann 94] entnommen. Anhand der beiden Beispiele
soll gezeigt werden, wie die in den vorherigen Abschnitten vorgestellten Konzepte für Firewall-
Architekturen in der Praxis kombiniert werden können. Die beiden Firewall-Architekturen wurden
ausgewählt, weil beide Architekturen interessante Konzepte enthalten und auf unterschiedlichen Policies
beruhen (Policies werden ausführlich in [Großklaus 99] behandelt).
7.4.1 AT&T Firewall
Abbildung 7.8: AT&T Firewall (Aus [Ellermann 94])
Der AT&T Firewall ist in Abb. 7.8 dargestellt. Die Zugriffskontrolle erfolgt durch die beiden Gateways
Inet und R70. Der AT&T Firewall besitzt also eine Gateway-Architektur, wobei das Gateway aus
Abb. 7.4 in zwei Komponenten aufgeteilt worden ist.
Der Host Inet ist ein nicht vertrauenswürdiges Gateway, dessen Aufgabe die Annahme von Verbindungsanfragen
aus dem Internet und der Aufbau von Verbindungen aus dem inneren TCP/IP Netzwerk
sind. Obwohl der Host vertrauensunwürdig ist, wird eine hohe Hostsicherheit gefordert. Die
hohe Hostsicherheit wird erreicht, indem keine Benutzer-Accounts eingerichtet werden und das Programm
sendmail wurde durch das sicherere upas ersetzt. Auf dem Host Inet sind Proxy-Server für
FTP und Telnet und ein ‘anonymous FTP-Server’ eingerichtet worden.
Die zweite Komponente des Gateways stellt der als vertrauenswürdig eingestufte Host R70 dar. Er ist
der einzige Computer im internen Netzwerk, den Inet direkt erreichen kann. Die Aufgabe von R70 ist
die Authentisierung von Verbindungen, die aus dem externen Netzwerk aufgebaut werden. Ein Host
aus dem externen Netzwerk, der eine Verbindung zu einem Computer aus dem internen Netzwerk
aufbauen will, stellt zuerst eine Anfrage an das Gateway Inet. Inet leitet die Anfrage an das Gateway
R70 weiter. Das Gateway R70 führt eine Benutzerauthentisierung mittels eines „Challenge/Response“
Verfahrens durch und leitet danach im Erfolgsfall die Verbindung an den internen Host weiter. Die
110 SS 99, Seminar 18.416: Sicherheit in vernetzten Systemen