Möchte DMZ mit VMs aufbauen

[Andy]

Hallo Gemeinde,

ich habe zuhause einen Debian Server mit Jessie stehen. Jetzt möchte ich einige Dieste (Mail und owncloud) aus dem Internet erreichbar machen. Für jeden Dienst möchte ich eine eigene virtuelle Maschine verwenden. Es soll so aussehen wie auf dem Bild unten.




Die Virtuellen Maschinen sollen in DMZ gesteckt werden. Eine brauchbare Anleitung habe ich nicht gefunden. Hat jemand hier was vergleichbares am laufen?

.

[eggy]

Wahrscheinlich hast Du nichts gefunden, weil Du unter DMZ ne andere Vorstellung hast, als die meisten anderen.

Code: Alles auswählen

    INTERNET
  === R1 ===
       |
      DMZ 
       | 
  === R2 ===
      LAN

Du willst wahrscheinich einfach nur ne Weiterleitung von bestimmten Ports an die VM.

[BenutzerGa4gooPh]

Eine DMZ baut man m. H. eines oder bei Anscluss eines LANs aus zwei Routern und mind. einer Firewall auf. In dieser DMZ könnte der Host stehen, auf denen virtuelle Gäste mit entsprechenden Servern laufen. Mit Bridging zum Host. Damit würden Host und Gäste netzwerktechnisch und sicherheitstechnisch in der DMZ (gleiches Segment) laufen und müssten entsprechend abgesichert werden. Mit diesem Gedanken findest du Informationen im Netz unabhängig von Virtualisierung. Konkrete Fragen hast Du keine gestellt, das gesamte Netz- und Sicherheitskonzept für öffentlichen Erreichbarkeit von Servern mit Firewall, Router und DMZ und Serversicherheit wird hier wohl kaum einer vorkauen.

Rein gerätetechnisch benötigst du "nur" eine Router-Firewall-Kombination, müsstest bei NAT Portweiterleitung aktivieren, DynDNS nutzen bei vom ISP dynamisch vergebenen IPs (oder du erhälst feste, öffentliche IP-Adressen vom Provider), Firewallkonfiguration und die Absicherung eines öffentlich erreichbaren Debian-Servers beherrschen. Stichworte hast du genug?!

Oder willst Du nur per VPN von außen auf deinen Dateiserver (owncloud?) zugreifen und Mails automatisch von einem Mail-Provider nur abholen und intern per eigenem Mail-Server bereitstellen? Dann sieht die Sache ganz anders aus ...

Ein Virtual Network Switch ist eine hochperformante Virtualisierungsloesung für Rechenzentren, den Begriff nutzt so wohl nur Microsoft für seinen Hypervisor. https://technet.microsoft.com/en-us/lib ... s.10).aspx
VMWare und Cisco haben ähnliche (!) Begriffe und Konzepte, die aber nicht von einer DMZ bei Nutzung für öffentlich erreichbare Server entbinden. Deine (geklaute?) Skizze zeigt nur private IPs!
Für Privatnutzer sollte also Bridging der gesicherten Gaeste zum gesicherten Host innerhalb einer korrekt gesicherten DMZ genügen.

Du kannst natürlich den Virtualisierungs-Host gleich als Router/Firewall verwenden, ist aber eine heisse Kiste, Host kompromittiert, Firewall, Router und alle Server gleich mit. Es geht doch nichts über ein gutes Konzept und über eine konkrete Problembeschreibung.

[r4pt0r]

Eine DMZ kann auch mit nur einem Gateway/Router/Firewall realisiert werden. Entscheidend ist, dass LAN und DMZ getrennte Netze bilden.
In einer Klassischen DMZ laufen Dienste, die von aussen erreichbar sein müssen - sprich die DMZ ist potentiell "feindlichem" Traffic ausgesetzt und wird daher vom sicheren Netz (LAN) getrennt.
Lokale Dienste werden entweder direkt im LAN angeboten oder in einer lokalen DMZ (LDMZ).
Um solche Netzwerkstrukturen sinnvoll/überhaupt aufzubauen sind VLANs unverzichtbar (=VLAN-fähige switches mit egress-filter); notfalls muss für jede Zone zumindest eine eigene NIC und ggf ein eigener Switch verwendet werden.


Thema Virtualisierung:
Mit Softwarevirtualisierung wirst du eher nicht glücklich. Solange du kein Windows anbieten musst, sind VMs (Hardware-Virtualisierung) der falsche Weg. Der Overhead übersteigt meistens den Ressourcenbedarf der eigentlichen Dienste in so kleinen Anwendungsfällen. Ganz zu schweigen vom Wartungsaufwand wenn für jeden Dienst ein komplettes eigenes System läuft...

Unter Linux bleibt aktuell eigentlich nur LXC/Docker. Ggf mit vagrant für "einfacheres" management. Unterm Strich ist aber jede LXC/Docker Installation immer noch (unnötig) komplex, wirkt immer wüst zusammengeschustert und ist sicherheitstechnisch eine ziemliche Katastrophe (my 2 cents). Zudem hat man hier wieder praktisch "einzelne Systeme" die alle einzeln gewartet werden müssen.

Deutlich eleganter und _viel_ einfacher zu verwalten sind Jails mit FreeBSD - kombiniert mit ZFS ist das unglaublich schlank, flott und mit iocage[1] ziemlich simpel zu verwalten/pflegen. Alle Einstellungen sind als attribute des ZFS-Datensatz gespeichert; Jails können daher absolut simpel und schnell per ZFS send/receive repliziert werden, z.B. auf ein neues System, für Backups oder für Hochverfügbarkeit in kombination mit CARP.
Overhead auf der Platte (ohne deduplikation) sind i.d.r. 50-200MB; Speicher wird praktisch nur von den Anwendungen die im Jail laufen benötigt, den Rest stellt das Hostsystem bereits. Upgrades auf das base-jail werden automatisch und sofort ohne downtime auf alle anderen jails propagiert. Da man Jails mit ZFS in sekundenbruchteilen klonen kann (alles per iocage möglich!), sind auch selektive Upgrades oder tests einfach durchzuführen. Gerade für owncloud (oder auch Wordpress) ist das praktisch, da sich diese gerne mal bei upgrades komplett zerlegen...
Jail klonen, den Klon updaten und ggf manuelle anpassungen vornehmen, die IP von "altem" zu "neuem" jail switchen - fertig. Die eigentlichen Daten für owncloud liegen idealerweise auf einem NFS-share oder einem weiteren ZFS-Datensatz und werden (automatisch) ins "neue" jail übernommen.

Auf meinem Gateway zuhause (WAN,LAN,WLAN (=2VLANs privat/gäste), DMZ) laufen BIND, DHCP und tor (4 nodes) jeweils in eigenen Jails. Hardware ist ein alter 1U Server mit Celeron D 340 mit 6GB RAM und 60GB SSD. RAM-Verbrauch liegt zu Spitzenzeiten bei knapp über 50%; die CPU wird im normalen Betrieb praktisch nie wirklich beansprucht - nen eigenen Kernel bauen dauert aber etwas länger
Backups bestehen aus einfachem ZFS send/receive via amanda-script zum Storageserver. Das sind nach der ersten vollständigen Replikation nur noch wenige MB am Tag.


[1] http://iocage.readthedocs.io/en/latest/index.html#

[Andy]

Ich habe keinen vLAN fähigen Router. Zusätzliche Hardware will ich auch nicht haben.
Ich habe eine normale Fritzbox zu Hause und einen Linux Server plus PCs, Tablets und Smartphones.
Der Linux Server fungiert auch als HOST für mehrere virtuelle Maschinen. Aktuell ist alles im selben Frtitzbox-Netz.
Da ich auf die virtuellen Server den Zugriff aus dem Internet freigeben will, wollte ich diese VMs in eine DMZ verschieben.
Alles was sich über zusätzliche Hardware abbilden lässt, sollte sich doch auch virtuell abbilden lassen.

[eggy]

Nicht alles. Hast Du nen Problem im Netzwerkstack des Hosts greift keine der Sicherungsmethoden Deiner Pseudo-DMZ. Deswegen ist nen klassischer Ansatz auch die Firewalls, die die DMZ umgeben, im Idealfall aus unterschiedlichen Systemen aufzubauen.

[rendegast]

Vielleicht so?
Im Linux-Host eine zweite Netzwerkkarte,
die VMs (nur) daran binden,
andere Dienste des Host NICHT daran binden.
Auf dem Linux-Host wird KEIN forwarding (eth0<->eth1) eingestellt.
Die Verbindung von Fritzbox zu zweiter Netzwerkkarte wird in der Fritzbox als DMZ / separates VLAN eingestellt,
eventuell hat die Fritzbox dafür einen separaten eth-Port.

[habakug]

Hallo!

Mit einer aktuellen Firmware kann die Fritzbox "exposed Host". Da muss man den Server dann aber selbst absichern.

Gruss, habakug

[1] https://avm.de/service/fritzbox/fritzbo ... inrichten/

[BenutzerGa4gooPh]

Zu bevorzugen ist habakugs Vorschlag, die einer Firewall/DMZ zusätzlich zum internen LAN auf dem Router entspricht. Damit würden 3 Zonen entstehen: WAN/Internet, DMZ und LAN.

Falls diese Firmware aus irgendeinem Grund nicht mit der FB funktioniert, folgende Notlösung:
- auf FB: NAT mit Portforwarding ins LAN
- Desktop-Firewall auf jedem LAN-Rechner, muss nur die forwarded Ports schützen, nur NAT eingestellt, dürfte schon reichen
- Server mit Desktop-Firewall, die DMZ bildet und ViirtualBox mit Bridging zu VMs mit virtuellen Servern
- Phys. und virt. Server sind öffentlich erreichbar und entsprechend zu schützen.
Nachteil: Host kompromittiert, Firewall und alle Virtuellen Server kompromittiert!!!

Edit:
NAT, Portforwarding und Bridging von VMs: Schaue mal in VBox bei den Maschineneinstellungen nach den Modi des Virtuellen Netzwerkadapters, von NAT auf Bridging umstellen. Die einzelnen VMs benötigen dann feste, private IPs im Gastsystem, das Hostsystem ebenfalls. Bildet so ein einziges, per Portforwarding der FB aus dem Internet erreichbares Segment.

[bluestar]

Wenn du eine DMZ aufbauen willst, dann würde ich wie folgt vorgehen
1) einen IP Bereich für die DMZ auswählen, z.B. 192.168.23.0/24
2) in deiner Fritzbox konfigurierst du nun eine statische IPv4 Route mit der IP deines Servers als Ziel für das zuvor genannte Netz
3) auf deinem Server legst du ein Bridge-Device an, ohne physikalischen Port und mit der IP 192.168.23.1
4) Du aktivierst IP-Routing auf deinem Server
5) jetzt konfigurierst du deine VMs, so das jede eine IP aus dem 192.268.23.0/24 Netz bekommt, Standrdgateway für die VMs ist dein Server
6) nun baust du eine Firewall auf deinem Server auf, damit die DMZ Vms nicht auf dein LAN zugreifen können
7) jetzt kannst du in der Fritzbox Port-Weiterleitungen zu den VMs konfigurieren

Grüße
Jens