Rat zum Aufbau einer DMZ gesucht

Re(2): Rat zum Aufbau einer DMZ gesucht

thE — Wed, 22 Oct 2014 14:25:35 GMT

Cool.. Ich hab ein DMZ daheim und nichtmal gewusst.. Sachen gibts..

Und ja, ich mache viel mit iptables auf beiden Routern :D

Re: Rat zum Aufbau einer DMZ gesucht

*patrick star* — Tue, 21 Oct 2014 20:08:15 GMT

wozu eine dmz wenn du keine server hast, die von aussen erreichbar sein müssen. normales adsl modem standardinstallation mit inbound traffic closed ist imo genug.
bis die kinder dann alle ports forwarden weil die blöden online spiele nicht gehen

Re(6): Rat zum Aufbau einer DMZ gesucht

Fly — Mon, 20 Oct 2014 16:13:20 GMT

JO was weiss denn ich, hab ich sowas?

Re: Rat zum Aufbau einer DMZ gesucht

nightmare11at — Mon, 20 Oct 2014 13:28:19 GMT

ich verstehe jetzt auch nicht, wozu du eine DMZ haben willst. IMHO ist das was du suchst eine Firewall!

Re(5): Rat zum Aufbau einer DMZ gesucht

_mukl_ — Mon, 20 Oct 2014 11:26:44 GMT

Nein, um den Gedanken weiterzuspinnen, musst du dich fragen *WOGEGEN* du dich schützen willst, und als nächstes, welche Mittel dafür geeignet sind.

Re(5): Rat zum Aufbau einer DMZ gesucht

kaufinator1 — Mon, 20 Oct 2014 08:36:44 GMT

Aber was machst du dann mit diesem Setup? Deine E-Mails von Office 365 abrufen?

Re(7): Rat zum Aufbau einer DMZ gesucht

kaufinator1 — Mon, 20 Oct 2014 06:54:36 GMT

wieso wird openwrt als "Besonderheit" in den Filterkriterien von geizhals
aufgeführt?

Wieso nicht?

Was heißt in dem Fall sich selbst zu helfen wissen?

Selber patchen, kompilieren, was man halt so macht als Linux Nerd.

auch nur ein einziges Firmware update auf der offiziellen Seite von linksys.

Dann kauf dir einen gescheiten Router, von AVM zum Beispiel. Da bekommen auch heute noch 3 Jahre alte Geräte Updates.

Re(6): Rat zum Aufbau einer DMZ gesucht

Fly — Mon, 20 Oct 2014 06:38:07 GMT

Eine DVD ist nicht veränderbar, entsprechend ist ein System darauf spätestens beim nächsten Reboot wieder "sauber". Selbstgebaut natürlich deswegen weil man selbst dann alles genau auditieren konnte und sicherstellen konnte dass nicht irgendwer 'ne Hintertür eingebaut hat.

Das nächstbeste dahinter wäre eine Live-DVD mit einem Image das für sowas vorgesehen ist, wie beispielsweise Tails.

Re(5): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 22:15:13 GMT

In wiefern würde einem in dem Fall die selbstgebaute Linux DVD einen Vorteil verschaffen?
Oder was wäre die "nächstschlechtere Alternative"?

Re(6): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 22:12:06 GMT

Danke für deine Sicht der Dinge!

Re(4): Rat zum Aufbau einer DMZ gesucht

Fly — Sun, 19 Oct 2014 22:10:17 GMT

Deswegen verwendet man auch entweder einen VPN Anbieter in einem Land das dem NSA nicht mal 'n Schluck Wasser anbieten würde wenn die Brüder grad verdursten, oder gleich die ultimative Paranoiavariante und TOR von einer selbstgebauten Linux-DVD durch einen VPN in Russland und einen in Malaysien.

Nicht dass ich wen kennen würde der für irgendwas sowas tun würde...

Re(4): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 22:10:07 GMT

Ich wollte eigentlich in keine Grundsatzdiskussion schlittern, aber natürlich hast du auch irgendwo recht.

Um deinen Gedanken etwas weiterzuspinnen müsste man aber auch aus der Gesellschaft aussteigen und im völligen Einklang mit der Natur leben.

Irgendwo muss man aber einen vernünftigen Kompromiss für sich finden und sich nicht verrückt machen lassen.

Es ging mir nur darum etwas mehr Aufmerksamkeit auf die Sicherheit meines privaten Heimnetzwerks zu legen, ob sich das summa summarum wirklich auszahlt ist eine anderes Thema.

Re(5): Rat zum Aufbau einer DMZ gesucht

Fly — Sun, 19 Oct 2014 22:07:53 GMT

Die Firmware ist dabei fast schon wieder wurscht. Bis da mal relevante Updates passieren ist ohnehin schon alles egal. Wobei tatsächlich die Open Source Systeme relativ gesehen öfter 'n Update bekommen. Also halt schon kurz nachdem es zu spät ist statt noch später...

Wobei, der Treppenwitz dabei ist dass im Fall von Heartbleed die Original-Firmware vieler Router sicherer war weil sie SO alte OpenSSL Versionen verwendet haben, dass sie das anfällige Feature nicht mal unterstützt haben.

Insgesamt gesehen gewinnst Du hier wie dort nix. Wenn Du weder in der Lage bist zeitnahe Informationen aktuelle Sicherheitsprobleme zu erhalten noch diese sinnvoll zu bewerten und entsprechend zu reagieren ist es im Endeffekt relativ wurscht. Stell 'n Router zwischen Dich und das Internet, halte Deinen Virenkiller aktuell und ... tja, das ist ziemlich das was Du hier an Sicherheit erreichen kannst wenn Du Dich nicht intensiv damit beschäftigen willst.

Re(6): Rat zum Aufbau einer DMZ gesucht

Fly — Sun, 19 Oct 2014 22:00:57 GMT

Bei einem DOS geht jeder Router in die Knie, angesichts der consumer grade Leitungen von Chello ist der Router dabei wurscht, da wird einfach die Leitung dichtgemüllt und gut is, da musst noch nicht mal 'n Service dahinter umbringen.

Re(6): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 21:54:35 GMT

Den Erfahrungswert habe ich zwar nicht weil ich noch nie openwrt firmware in Verwendung hatte, aber wenn dem wirklich so ist, wieso wird openwrt als "Besonderheit" in den Filterkriterien von geizhals aufgeführt?

Was heißt in dem Fall sich selbst zu helfen wissen?

Eigene Firmware schreiben?

Wenn ich mir die Updatehistorie meines E3200 so ansehe, gibts seit Anfang der Listung hier auf geizhals vor über 3 Jahren auch nur ein einziges Firmware update auf der offiziellen Seite von linksys.

Re(3): Rat zum Aufbau einer DMZ gesucht

kaufinator1 — Sun, 19 Oct 2014 21:15:31 GMT

Die outbound defense ist ein Blödsinn, weil: wer garantiert dir, dass niemand an deinem gemieteten VPN Endpoint mithört? Wäre ich die NSA, würde ich gerade bei Anbietern von VPN Diensten/Servern meine Lauschangriffe starten. Es ist ja allgemein bekannt, dass die ganzen Paranoiker diese Dienste gern verwenden.

Abgesehen davon hilft dir eine komplett unabhörbare Verbindung zu Gmail auch nichts, wenn die NSA Mails direkt bei Google abgreift (wie es ja geschehen ist). Das trifft natürlich nicht nur auf Google zu, sondern auf alle Online Dienste, die du verwendest.

Wenn du also wirklich auf Nummer Sicher gehen willst, darfst du einfach keine Computer mehr verwenden. Und selbst dann: Wer versichert dir, dass dein bester Freund nicht ein Spion ist?

Re(5): Rat zum Aufbau einer DMZ gesucht

kaufinator1 — Sun, 19 Oct 2014 21:00:45 GMT

Würdest du auch sagen, dass ein Router auf openwrt Basis für einen relativen
Laien ein Schritt in die falsche Richtung, nämlich die, sich etwas bewusster
abzusichern wäre?

Ja! Denn: Die neuesten OpenWRT Releases laufen immer nur auf den neuesten Routern. Ältere Geräte werden ignoriert. Nach spätestens etwa 2 Jahren gibts also keine Updates für deinen Router mehr. Sicherheitslücken werden nicht mehr geschlossen.

Wenn du dir dann nicht selber zu helfen weisst, bist du damit ziemlich schlecht dran.

Re(2): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 17:53:05 GMT

Danke für den Link.

Habe den Artikel gleich am Anfang meiner Recherchen gefunden, aber wegen seines Alters nur kurz überflogen- ist die Information also noch nicht veraltet?

Re(4): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 17:48:29 GMT

Würdest du auch sagen, dass ein Router auf openwrt Basis für einen relativen Laien ein Schritt in die falsche Richtung, nämlich die, sich etwas bewusster abzusichern wäre?

P.S.: Danke dafür, dass du mir nicht zu nahe treten willst, der MOM2005 hats nicht kapiert mit seinen provokanten Gegenfragen, obwohl ich ja gesagt habe, dass ich ein relativer Laie bin

Re(4): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 17:41:45 GMT

was es sicherer gegenüber anderen machen soll bleibt mal aussen vor.

Genau das ist aber das Interessante an dem Ganzen, finde ich zumindest!

nur weils opensource ist heisst es noch lange nicht, dass es sicher ist. -> siehe heartbleed.

Wenn wir so zu argumentieren anfangen bringt uns das recht wenig, meinst nicht?
Mir ist schon klar, dass eine intakte inbound defense trotzdem offen wie ein Scheunentor ist, es ist aber sicher ein Schritt in die richtige Richtung!

Ich habe das im Übrigen zu keinem Zeitpunkt in meinen postings behauptet, dass open source "besser" oder "sicher" ist

die ganzen bildchen sind mehr oder minder FUD.

FUD im Sinne von gezielter Verunsicherung?
Ich interpretiers nicht so, weil im PDF aus dem die Bildchen stammen auch konkrete Beispiele genannt werden, die sogar ich als relativer Laie auf dem Gebiet teilweise nachvollziehen kann.
Es liest sich sonst auch nicht wie eine Werbezeitschrift für Hersteller XY...

du machst dir über inbound defense gedanken? outbound scheint dir ziemlich
egal zu sein. welches OS verwendest du dann anstatt windows oder mac os x? wie
willst du verifizieren was alles rausgesendet wird vor allem wenns
verschlüsselt ist?

Wie gesagt, diese Art von Argumentationstil empfinde ich als kontraproduktiv.

Re(5): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 17:15:53 GMT

Re(5): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 17:15:53 GMT

P.S.: Danke für die Idee mit den weiteren zwei Routern, hatte ich vorher gar nicht im Sinn

Re(5): Rat zum Aufbau einer DMZ gesucht

Kottani — Sun, 19 Oct 2014 16:50:55 GMT

Wie hoch ist eigentlich bei Chello die Wahrscheinlichkeit von DOS-Attacken? Da geht dann sein erster Router in die Knie und aus die Maus.

Re(5): Rat zum Aufbau einer DMZ gesucht

hackenbush — Sun, 19 Oct 2014 16:33:54 GMT

die gelben sind ganz schlecht

Kommen ja auch aus China

Re(4): Rat zum Aufbau einer DMZ gesucht

user96106 — Sun, 19 Oct 2014 16:22:58 GMT

ja ja so a doppelNAT hat schon was..i würd an seiner stelle noch einen dritten und vierten hinten ranklemmen und dann hoffen, dass i von chello ganz vorn noch ds lite drauf bekomm. dann kann inbound nichts mehr schief gehen.

die besten firewalls sind sowieso die roten. die gelben sind ganz schlecht

Re(3): Rat zum Aufbau einer DMZ gesucht

Kottani — Sun, 19 Oct 2014 16:20:27 GMT

Bin ich die Herold?

Er traut halt den Routern nicht und deswegen will er zwei hintereinander haben, bevor die Packerl sein LAN erreichen, soll sein.

Re(2): Rat zum Aufbau einer DMZ gesucht

user96106 — Sun, 19 Oct 2014 16:13:14 GMT

wozu eine dmz bauen wenn nach aussen hin keine dienste angeboten werden wollen?

Re: Rat zum Aufbau einer DMZ gesucht

Kottani — Sun, 19 Oct 2014 16:10:17 GMT

Macht man so: http://www.heise.de/netze/artikel/DMZ-selbst-gebaut-221656.html

Nimmst halt den E3200 als sekundären Router und einen anderen als externen (gemäß Link).
Den externen hängst ans Modem. Und ja, die Router mit Kabel verbinden.

Re(3): Rat zum Aufbau einer DMZ gesucht

Fly — Sun, 19 Oct 2014 15:57:27 GMT

Ohne Dir zu nahe treten zu wollen, aber wenn Du von Security keinen Plan hast ist es im Endeffekt egal ob Du unsicher bist weil Du einem closed-source Router vertraust oder deswegen weil Du nicht weisst wie Du die Routing-Regeln richtig setzt. Im Endeffekt dürfte da der CSS Router sicherer sein, da hier zumindest die (für Leute mit Securitybackground) offensichtlichen Sicherheitslücken nicht existieren...

Re(3): Rat zum Aufbau einer DMZ gesucht

user96106 — Sun, 19 Oct 2014 14:44:14 GMT

Ich möchte eine effektivere inbound defense als im Moment haben.

die inbound defense hast im prinzip mit jedem soho router. da brauch ich kein linux kisterl mit iptables. aber auch letzteres kann das. was es sicherer gegenüber anderen machen soll bleibt mal aussen vor. nur weils opensource ist heisst es noch lange nicht, dass es sicher ist. -> siehe heartbleed.

die ganzen bildchen sind mehr oder minder FUD.

du machst dir über inbound defense gedanken? outbound scheint dir ziemlich egal zu sein. welches OS verwendest du dann anstatt windows oder mac os x? wie willst du verifizieren was alles rausgesendet wird vor allem wenns verschlüsselt ist?

Re(2): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 13:49:15 GMT

https://forum.geizhals.at/t854335,7366610.html#7366610

Re(2): Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 13:48:59 GMT

Ich möchte eine effektivere inbound defense als im Moment haben.

IMHO spielt es da keine Rolle ob ich home user oder corporate user bin.

Worauf ich mich beziehe

https://forum.geizhals.at/files/123652/Full-Disclosure-NSA-GCHQ-Hacks_Seite_30.jpg
https://forum.geizhals.at/files/123652/Full-Disclosure-NSA-GCHQ-Hacks_Seite_31.jpg
https://forum.geizhals.at/files/123652/Full-Disclosure-NSA-GCHQ-Hacks_Seite_32.jpg
https://forum.geizhals.at/files/123652/Full-Disclosure-NSA-GCHQ-Hacks_Seite_33.jpg

Re: Rat zum Aufbau einer DMZ gesucht

TuxTux — Sun, 19 Oct 2014 13:16:05 GMT

Ziel: Ich will mein Home LAN & WLAN Geräte mittels Linux Firewall (Router)
absichern.

Dann steck halt einen Router ans Modem an. Wo ist das Problem und was hat das mit DMZ zu tun?

Re: Rat zum Aufbau einer DMZ gesucht

user96106 — Sun, 19 Oct 2014 13:05:22 GMT

wozu brauchst du denn überhaupt eine DMZ selbst mit NAS braucht man so noch keine DMZ. willst du dienste im internet anbieten?

was erwartest du dir von der aufteilung LAN - DMZ? Im endeffekt macht das wenig sinn für einen homeuser.

Rat zum Aufbau einer DMZ gesucht

KiLL0R — Sun, 19 Oct 2014 12:21:59 GMT

Hallo liebe Leute!

Vorab: Ich bin relativer Netzwerk Laie, also ist DAU-talk very welcome
Habe mich zum Thema DMZ aber ein wenig eingelesen, also weiß ich worum es grob gesagt geht.

Status quo: Internet wird über UPC Kabelmodem (Motorola SBV6120E) bezogen.

Ein E3200 (kein offizieller openwrt support) seinen Dienst als Router.

Ebenfalls vorhanden ein TL-WA850RE (offizieller openwrt support).

Ziel: Ich will mein Home LAN & WLAN Geräte mittels Linux Firewall (Router) absichern.

Jetzt die Fragen:
Welche Lösung/Konfiguration wäre für meine Zwecke am zielführendsten?

Würde es genügen das Modem zu behalten und nur einen openwrt Router zu kaufen und E3200 in die Pense zu schicken?

Zwei openwrt Router dazukaufen (habe im Moment keine Server in Betrieb, könnte sich in Zukunft aber ändern, weil NAS im LAN vorhanden) oder mein jetziges Modem gegen das "WLAN Modem" tauschen und dieses dann in die MZ stellen?

Wenn der Kauf zweier Router in meinem Fall zu empfehlen ist, müssen beide Router zwangsweise via Ethernet Kabel verbunden sein um den Zweck der Firewall zu erfüllen oder hätte ich dann eine Pseudo-DMZ?

Danke vorab für alle zielführenden Ratschläge!