Inhaltsverzeichnis
Werbung
Teldat GmbH
RXL-Serie und bintec PSU XL
Kapitel 18 Firewall
Mit einer Stateful Inspection Firewall (SIF) verfügen Teldat Gateways über eine leistungsfä-
hige Sicherheitsfunktion.
Zusätzlich zur sogenannten statischen Paketfilterung hat eine SIF durch dynamische Pa-
ketfilterung einen entscheidenden Vorteil: Die Entscheidung, ob ein Paket weitergeleitet
wird, kann nicht nur aufgrund von Quell- und Zieladressen oder Ports, sondern auch mittels
dynamischer Paketfilterung aufgrund des Zustands (Status) der Verbindung zu einem Part-
ner gefällt werden.
Es können also auch solche Pakete weitergeleitet werden, die zu einer bereits aktiven Ver-
bindung gehören. Dabei akzeptiert die SIF auch Pakete, die zu einer "Tochterverbindung"
gehören. Die Aushandlung einer FTP-Verbindung findet zum Beispiel über den Port 21
statt, der eigentliche Datenaustausch kann aber über einen völlig anderen Port erfolgen.
SIF und andere Sicherheitsfunktionen
Die Stateful Inspection Firewall fügt sich wegen ihrer einfachen Konfiguration gut in die be-
stehende Sicherheitsarchitektur der Teldat-Geräte ein. Systemen wie Network Address
Translation (NAT) und IP-Zugriffs-Listen (IPAL) gegenüber ist der Konfigurationsaufwand
der SIF vergleichbar einfach.
Da SIF, NAT und IPAL gleichzeitig im System aktiv sind, muss man auf mögliche Wechsel-
wirkungen achten: Wenn ein beliebiges Paket von einer der Sicherheitsinstanzen verwor-
fen wird, so geschieht dies unmittelbar, d. h. es ist irrelevant, ob es von einer anderen In-
stanz zugelassen werden würde. Daher sollte man den eigenen Bedarf an Sicherheitsfunk-
tionen genau analysieren.
Der wesentliche Unterschied zwischen SIF und NAT/IPAL besteht darin, dass die Regeln
der SIF generell global angewendet werden, d. h. nicht auf eine Schnittstelle beschränkt
sind.
Grundsätzlich werden aber dieselben Filterkriterien auf den Datenverkehr angewendet wie
bei NAT und IPAL:
• Quell- und Zieladresse des Pakets (mit einer zugehörigen Netzmaske)
• Dienst (vorkonfiguriert, z. B. Echo, FTP, HTTP)
• Protokoll
• Portnummer(n)
Um die Unterschiede in der Paketfilterung zu verdeutlichen, folgt eine Aufstellung der ein-
18 Firewall
357
Werbung
Inhaltsverzeichnis
