Inhaltsverzeichnis
Werbung
15 Firewall
412
Kapitel 15 Firewall
Mit einer Stateful Inspection Firewall (SIF) verfügen bintec elmeg Gateways über eine leis-
tungsfähige Sicherheitsfunktion.
Zusätzlich zur sogenannten statischen Paketfilterung hat eine SIF durch dynamische Pa-
ketfilterung einen entscheidenden Vorteil: Die Entscheidung, ob ein Paket weitergeleitet
wird, kann nicht nur aufgrund von Quell- und Zieladressen oder Ports, sondern auch mittels
dynamischer Paketfilterung aufgrund des Zustands (Status) der Verbindung zu einem Part-
ner gefällt werden.
Es können also auch solche Pakete weitergeleitet werden, die zu einer bereits aktiven Ver-
bindung gehören. Dabei akzeptiert die SIF auch Pakete, die zu einer "Tochterverbindung"
gehören. Die Aushandlung einer FTP-Verbindung findet zum Beispiel über den Port 21
statt, der eigentliche Datenaustausch kann aber über einen völlig anderen Port erfolgen.
SIF und andere Sicherheitsfunktionen
Die Stateful Inspection Firewall fügt sich wegen ihrer einfachen Konfiguration gut in die be-
stehende Sicherheitsarchitektur der bintec elmeg-Geräte ein. Systemen wie Network Ad-
dress Translation (NAT) und IP-Zugriffs-Listen (IPAL) gegenüber ist der Konfigurationsauf-
wand der SIF vergleichbar einfach.
Da SIF, NAT und IPAL gleichzeitig im System aktiv sind, muss man auf mögliche Wechsel-
wirkungen achten: Wenn ein beliebiges Paket von einer der Sicherheitsinstanzen verwor-
fen wird, so geschieht dies unmittelbar, d. h. es ist irrelevant, ob es von einer anderen In-
stanz zugelassen werden würde. Daher sollte man den eigenen Bedarf an Sicherheitsfunk-
tionen genau analysieren.
Der wesentliche Unterschied zwischen SIF und NAT/IPAL besteht darin, dass die Regeln
der SIF generell global angewendet werden, d. h. nicht auf eine Schnittstelle beschränkt
sind.
Grundsätzlich werden aber dieselben Filterkriterien auf den Datenverkehr angewendet wie
bei NAT und IPAL:
• Quell- und Zieladresse des Pakets (mit einer zugehörigen Netzmaske)
• Dienst (vorkonfiguriert, z. B. Echo, FTP, HTTP)
• Protokoll
• Portnummer(n)
Um die Unterschiede in der Paketfilterung zu verdeutlichen, folgt eine Aufstellung der ein-
bintec elmeg GmbH
bintec RS-Serie
Quicklinks ausblenden:
Werbung
Inhaltsverzeichnis
