Netzwerke:Firewall

Aus ITWiki
Zur Navigation springen Zur Suche springen

1 Was ist eine Firewall?

  • eine auf einer Softwarekomponente basierendes Sicherungssystem, (oder auch ein Filter)
  • schützt vor unerwünschten Netzwerkzugriffen und beschränkt den Netzwerkzugriff
  • überwacht den laufenden Datenverkehr und entscheidet anhand festgelegter Regeln, ob bestimmte Netzwerkpakete durchgelassen werden

2 Firewall-Arten

2.1 Personal Firewall (auch Desktop Firewall)

  • eine lokal auf dem Computer installierte Firewall-Software
  • unterbindet ungewollte Zugriffe von außen auf Netzwerkdienste des Computers
  • kann Anwendungen davon abzuhalten, ohne das Einverständnis des Anwenders mit der Außenwelt zu kommunizieren

440px-Anschluss einer Personal Firewall.png

2.2 Externe Firewall (auch Netzwerk- oder Hardware-Firewall)

  • liegt zwischen dem LAN (dem lokalen Netzwerk) und dem WAN (das Internet)
  • beschränkt die Verbindung zwischen zwei Netzen
  • unterbindet unerlaubte Zugriffe von außen auf das interne System
  • Im Unterschied zur Personal Firewall besteht sie nicht zwangsläufig aus nur einem einzigen Computer, denn sie kann auch aus einem Verbund mehrerer Computer bestehen

2.2.1 Hardware-Firewall

  • in der Praxis gibt es keine Firewalls, die ausschließlich auf Hardware basieren
  • sie kann zwar auf einem eigenen Betriebssystem laufen und auf unterschiedliche Netzwerkebenen zugreifen, jedoch wird sie dadurch nicht Bestandteil der Hardware
  • enthält immer als wesentlichen Bestandteil eine Software.
  • Der Begriff Hardware-Firewall wird als Synonym für externe Firewalls verwendet (es handelt sich um eine separate Hardware, auf der die Firewall-Software läuft)
  • es gibt Hardware, die für die Verwendung der Firewall-Software optimiert wurde

440px-Gateway firewall.svg.png

3 Firewall-Technologien

3.1 Paketfilter-Firewall

  • Netzwerkpakete anhand ihrer Netzwerkadresse zu sperren oder durchzulassen
  • wertet sie die Header-Informationen der Netzwerkpakete aus

3.1.1 Die einfache Paketfilterung (zustandslose)

  • arbeitet auf einem Firewall-Router mit statischen Regeln
  • betrachtet jedes Netzwerkpaket einzeln
  • stellt also keine Beziehungen zu den vorherigen Netzwerkpaketen her

3.1.2 Die erweiterte Paketfilterung (zustandsgesteuerten)

  • erfasst Beziehungen mit der Technik der Stateful Inspection
  • der Zugriff auf das Quellsystem, das eine Kommunikation angefordert hat, wird weiter eingeschränkt
  • wird ebenfalls als reine Paketfilter-Firewall klassifiziert, solange keine Proxyfilter installiert sind

3.1.3 Paketfilter-Firewall OSI-Schichten Modell

OSI Packet Filter.jpg

3.2 Firewall-Router

  • wird als Paketfilter-Firewall klassifiziert
  • eine Software, die auf einem Router installiert ist und die Netzwerkverbindung beschränkt
  • bietet keine genauere Form der Paketfilterung (Stateful Inspection) und keine erweiterte Form der Filterung
  • bei gleicher Hardware verglichen mit anderen Firewall-Arten sehr schnell

3.3 Proxy Firewall (Application Layer Firewall)

  • ist ein Dienstprogramm für Computernetze, das im Datenverkehr vermittelt (auch Proxy-Server genannt)
  • verhält sich dem anfragenden Client gegenüber wie ein Server, der anderen Seite, dem Zielsystem, gegenüber wie ein Client
  • die Filter beachten zusätzlich zu den reinen Verkehrsdaten wie Quelle, Ziel und Dienst typischerweise noch die Nutzdaten (Inhalt der Netzwerkpakete)
  • reicht die Netzwerkanfrage des Quellsystems nicht einfach an das Zielsystem weiter
  • baut selbst eine eigene Verbindung zum Zielsystem auf
  • kommuniziert stellvertretend für den anfragenden Client mit dem Zielsystem
  • greift in den Datenverkehr ein und terminiert die Verbindungen auf beiden Seiten (zwei eigenständige Verbindungen), anstatt die Netzwerkpakete durch zu reichen
  • für jedes höhere Kommunikationsprotokoll (HTTP, FTP, DNS, SMTP, POP3, MS-RPC usw.) gibt es einen eigenen Filter (dedicated Proxys)
  • es kann für das selbe Protokoll mehrere dedicated Proxys geben

3.3.1 Generische Proxy (Circuit Level Proxy)

  • protokollunabhängiger Filter auf der Proxy Firewall
  • realisiert ein port- und adressbasiertes Filtermodul, das zudem eine Authentifizierung für den Verbindungsaufbau unterstützt
  • nicht in der Lage die Kommunikation einzusehen, sie selbst zu führen, oder zu beeinflussen, da er das Kommunikationsprotokoll nicht kennt