Verständnisfrage Firewall

[Boity]

Hi,

folgendes Szenarion stellt sich dar :

Firewall - Verkabelung


eth0 -> WAN, Uplink (feste IP vom Provider)
eth1 -> LAN, zum Switch1 (interne IP, für Geräte lokal im Netz)
eth2 -> DMZ, zum Switch1 (feste IP-Adressen vom Provider)


Gibt es hier Probleme wenn LAN und DMZ auf dem gleichen Switch laufen?
Zielsetzung ist es u.a. beim DMZ nur gewisse Dienste freizugeben z.B. Webserver, Mailserver.

Als Firewall würde ich gerne Endian oder pfsense einsetzen.


Habe ich was vergessen oder verstehe ich da etwas komplett falsch?

[orcape]

Hi,

Als Firewall würde ich gerne Endian oder pfsense einsetzen.

Was soll Dich daran hindern, aber...
...wenn Du an einer pfSense oder Endian 3 NIC´s hast....
WAN; LAN und DMZ
...dann kann ich nicht wirklich nachvollziehen, wieso Du dann LAN- und DMZ-Interface wieder mit Hilfe eines Switches zusammenführen willst.
In der Regel hat man einen Switch am LAN hängen, um damit die Möglichkeit zu haben, mehrere Geräte anzuschließen.
Die DMZ ist ein vollkommen getrenntes Interface, welches auf der FW entsprechend zu konfigurieren ist und wo in der Regel ein Server oder NAS angeschlossen ist.
Selbstverständlich kannst Du auch an die DMZ einen Switch hängen, um mehrere Geräte anschließen zu können.
Dann aber einen separaten Switch.
Gruß orcape

[Boity]

Hi,
danke für die Antwort!

...dann kann ich nicht wirklich nachvollziehen, wieso Du dann LAN- und DMZ-Interface wieder mit Hilfe eines Switches zusammenführen willst.

Da hast du eigentlich recht,alelerding sind ja die Maschinen meistens virtualisiert.

Funktioniert das vom Prinzip gar nicht DMZ und LAN auf einem Switch? Zur Not kann man ja eine Unterteilung in VLANs machen oder nicht?

[orcape]

Da hast du eigentlich recht,alelerding sind ja die Maschinen meistens virtualisiert.

...schön das Du das jetzt auch mal postest.
Ich hatte das aber eigentlich schon vermutet.
Denn, wer kommt sonst auf so eine "sinnfreie" Konfiguration seines Netzwerkes.
Wenn Du schon die Vorraussetzungen für eine Virtualisierung hast, dann kannst Du Dir theoretisch auch die DMZ ersparen.
Da die physikalischen Interfaces aber einmal vorhanden sind....
...mach die Virtualisierung am LAN und richte Dir am anderen Interface eine DMZ ein.
Sollten da mehrere Rechner nötig werden, tut es da auch ein einfacher 5 Port unmanaged Switch ohne VLAN´s.
Gruß orcape

[Boity]

Klar,

LAN -> die Geräte lokal
jetzt habe ich aber eine Maschine Webserver mit einer festen IP, die sollte ja nichts im LAN zu suchen haben,deswegen DMZ.

[orcape]

die sollte ja nichts im LAN zu suchen haben,deswegen DMZ.

...genau, Du hast ja alle Vorraussetzungen dazu.
Dürfte also kein Problem werden.

[dufty2]

Was ist denn dieser "Switch1" für ein Teil?

[Boity]

48 Port Switch mit VLAN Unterstützung