Firewall auf Server oder auf extra Server?

[DerMitSkill]

Hallo,

hier wurde ja schon des öfteren gesagt, dass eine Firewall (mittels iptables) auf einem Server, auf dem noch andere Dienste laufen, sinnfrei ist.

Nun möchte ich das Büro mit einer eigenen Firewall und Router/Switch sowie diversen virtuellen Servern ausstatten, auf denen diverse Dienste zum Test von Entwicklungen laufen.

Folgende Konfigurationen kamen mir in den Sinn:

1 "kleinerer" Server mit LFS und iptables für Firewall und Routing und entsprechend vielen Netzwerkkarten
1 "größerer" Server mit Debian und Xen oder VMware ESXi für die virtuellen Maschinen mit diversen Diensten (HTTP, SQL, DHCP, DNS, SFTP), hinter dem "kleineren"

oder

1 "großer" Server mit Debian und Xen, auf dem Host iptables für Firewall und Routing und dann eben die virtuellen Server

oder

1 "großer" Server mit VMware ESXi für die virtuellen Server und ein LFS mit iptables als ein virtueller Server für Firewall und Routing

Geschütz werden sollen die virtuellen Server sowie die PCs, die an dem Server angeschlossen sind.

Hinsichtlich Sicherheit und Performance wäre die erste Konfiguration sicherleich am besten, nicht wahr?

Die zweite Konfiguration wäre wohl nicht allzuschlecht; die dritte eher schlecht, wenn der ganze Verkehr über den Host und durch einen virtuellen Server laufen muss.

Was meint ihr?

Sorry für die wirre Beschreibung, kann im Moment irgendwie nicht mehr ordentlich formulieren.

 

[Jenstheclown]

Evtl. ist Ipcop oder Edian etwas für dich ;-)

 

[DerMitSkill]

Danke. Da diese auf den Paketfiltern aufbauen, bastel ich mir lieber etwas selber

 

[PapaBaer]

Auch wenn immer wieder behauptet wird, man könnte Firewalls virtualisieren (und VMWare bringt eine Menge "virtuelle" Netzwerkkomponenten mit) bin ich nach wie vor der Meinung, dass einer realen Trennung der Komponenten mehr zu trauen ist als eine virtuellen, die in der Theorie ganz gut funktionieren mag.

Ich baue wenn irgend möglich meine Firewalls nach wie vor auf externen Kisten.

 

[Whistler]

Zumal Firewalls/IDS auch nicht sooo rechenlastig sind.
Ein etwas älteres Board mit passender Anzahl Netzwerkkarten (notfalls Dual oder Quad) reicht oft, vor allem in Richtung Internet.
Ich bevorzuge auch getrennte Systeme, da diese Trennung noch etwas mehr Resistenz gegen Kompromittierung birgt.
Optimal ist ein System, was komplett von einer schreibeschützten Flashdisk bootet.
Bei Bedarf (Logfiles, Proxy-Cache) kann man ja noch eine Daten-Festplatte anschließen.

 

[Ben.]

hier wurde ja schon des öfteren gesagt, dass eine Firewall (mittels iptables) auf einem Server, auf dem noch andere Dienste laufen, sinnfrei ist.

"Sinnfrei" ist der Einsatz einer Firewall/eines Paketfilters AUF dem Server mit Sicherheit nicht. Die Frage ist, wofür man diese/n einsetzt und ob eine Firewall/ein Paketfilter hierfür das probate Mittel ist.

Wer sagt, dass eine Firewall AUF einem Server "sinnfrei" ist, hat vergessen was eine Firewall bzw. ein Paketfilter alles leisten kann.

Wenn du mehrere "sichere" Server über eine Verbindung nach aussen schützen willst, ist eine "dedizierte" Firewall sicherlich zu bevorzugen. Ob du etwas selber baust oder eine der verschiedenen Appliances verwendest (pfSense etc.) ist natürlich dir überlassen. Diese bringen aber auf jeden Fall bereits eine Menge KnowHow und Funktionen mit.

 

[DerMitSkill]

Vielen Dank für die Antworten.

Könnt ihr etwas zu dem Ressourcenbedarf bei der Benutzung von iptables (Filterung und Routing) sagen?

Evtl. eine Formel oder Richtwerte, wie viel Leistung (Prozessor, Arbeitsspeicher) benötigt wird, um einen bestimmten Durchsatz (100 MBit/s, 1 GBit/s, 10 GBit/s) zu erreichen?

Optimal ist ein System, was komplett von einer schreibeschützten Flashdisk bootet.

Daran habe ich auch schon gedacht, danke für die Bestätigung

Wer sagt, dass eine Firewall AUF einem Server "sinnfrei" ist, hat vergessen was eine Firewall bzw. ein Paketfilter alles leisten kann.

Ganz so drastisch habe ich das sinnfrei nicht gemeint
Aber Du kennst ja die Diskussionen hier.

 

[DerMitSkill]

Könnt ihr etwas zu dem Ressourcenbedarf bei der Benutzung von iptables (Filterung und Routing) sagen?

Evtl. eine Formel oder Richtwerte, wie viel Leistung (Prozessor, Arbeitsspeicher) benötigt wird, um einen bestimmten Durchsatz (100 MBit/s, 1 GBit/s, 10 GBit/s) zu erreichen?

Niemand?

 

[d4f]

Die benoetigte Leistung ist in direkter Relation zur Anzahl an durchlaufenen Regeln, den Modulen und deren Rechenbedarf. Ein conntracking bedarf um einiges mehr Rechenleistung und RAM als ein schnoedes droppen aller Pakete einer IP.
Komplett unberechenbar wird es bei Iptables-Hooks (IPQ)

Somit kann man nicht mal annaeherend mit einer Milchmaedchen-Rechnung den Leistungsbedarf bestimmen.