Paket-Filterung

Die Paketfilterung kontrolliert den Zugang zu einem Netzwerk, indem sie die eingehenden und/oder ausgehenden Pakete analysiert und sie auf der Grundlage vorgegebener Kriterien weiterleitet oder verwirft. Die Paketfilterung kann auf Schicht 3 (Layer 3 - Network/Vermittlungsschicht) oder Schicht 4 (Layer 4 - Transport/Transportschicht) erfolgen.

Spezifisch auf Cisco-Router bezogen, unterstützen diese zwei Arten von ACLs (Access Control Lists):

• Standard-ACLs 

ACLs filtern nur auf Layer 3 unter ausschließlicher Verwendung der Quell-IPv4-Adresse.

• Erweiterte ACLs 

ACLs filtern auf Layer 3 unter Verwendung der Quell- und/oder Ziel-IPv4-Adresse. Sie können auch auf Schicht 4 filtern, indem sie TCP-, UDP-Ports und optionale Informationen zum Protokolltyp für eine spezifische Steuerung verwenden.

ACL-Vorgang

ACLs definieren den Regelsatz, der zusätzliche Kontrolle für Pakete gibt, die in eingehende Schnittstellen eingehen, für Pakete, die durch den Router weitergeleitet werden, und für Pakete, die ausgehende Schnittstellen des Routers verlassen. ACLs können so konfiguriert werden, dass sie sowohl auf eingehenden als auch auf ausgehenden Datenverkehr angewendet werden. ACLs werden nicht auf Pakete angewendet, die vom Router selbst stammen.

Eine eingehende ACL filtert Pakete, bevor sie an die ausgehende Schnittstelle weitergeleitet werden. Eine eingehende ACL ist effizient, da sie den Overhead von Routing-Lookups einspart, wenn das Paket verworfen wird. Wenn das Paket von der ACL zugelassen ist, wird es dann für die Weiterleitung verarbeitet. Eingehende ACLs werden am besten zum Filtern von Paketen verwendet, wenn das an eine eingehende Schnittstelle angeschlossene Netzwerk die einzige Quelle für Pakete ist, die untersucht werden müssen.

Eine ausgehende ACL filtert Pakete nach ihrer Weiterleitung, unabhängig von der eingehenden Schnittstelle. Eingehende Pakete werden an die Ausgangsschnittstelle geleitet und dann über die Ausgangs-ACL verarbeitet. Ausgehende ACLs werden am besten verwendet, wenn derselbe Filter auf Pakete angewendet wird, die von mehreren Eingangsschnittstellen kommen, bevor sie dieselbe Ausgangsschnittstelle verlassen.

Beim Anwenden einer ACL auf eine Schnittstelle folgt diese einem bestimmten Verfahrensablauf. Hier sind zum Beispiel die Verfahrensschritte aufgeführt, die verwendet werden, wenn der Verkehr in eine Router-Schnittstelle mit einer konfigurierten eingehenden Standard-IPv4-ACL eingedrungen ist.

1. Der Router extrahiert die Quell-IPv4-Adresse aus dem Paket-Header.
2. Der Router beginnt am Anfang der ACL und vergleicht die IPv4-Quelladresse mit jedem ACE (Access Control Entries/einzelne Zeilen der ACL-Liste) in einer sequentiellen Reihenfolge.
3. Bei einer Übereinstimmung führt der Router die Anweisung aus, das Paket entweder zuzulassen oder zu verweigern, und die verbleibenden ACEs in der ACL werden, falls vorhanden, nicht analysiert.
4. Wenn die IPv4-Quelladresse mit keinem ACE in der ACL übereinstimmt, wird das Paket verworfen, da ein implizites Verweigern des ACE automatisch auf alle ACLs angewendet wird.

Die letzte ACE-Anweisung einer ACL ist immer eine implizite Verweigerung, die den gesamten Datenverkehr blockiert. Standardmäßig wird diese Anweisung automatisch am Ende einer ACL impliziert, obwohl sie versteckt und in der Konfiguration nicht angezeigt wird. Eine ACL muss mindestens eine Permission-Anweisung (Erlaubnis-Anweisung) enthalten, andernfalls wird der gesamte Verkehr aufgrund der impliziten Deny-ACE-Anweisung verweigert.

Sie benötigen schnelle und kompetente Lösungen? 

Als prädestiniertes und erfolgreiches IT-Systemhaus in München sind wir der richtige Ansprechpartner für Sie, wenn es sich um die Themen Netzwerk, Sicherheit, IT-Infrastruktur und Co. handelt. 

Wir freuen uns auf Ihren Anruf unter der Rufnummer 0176 75 19 18 18 oder via E-Mail an: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!. 

Was ist eine ACL?

Router treffen Routing-Entscheidungen auf der Grundlage von Informationen im Paket-Header. Datenverkehr, der in eine Router-Schnittstelle gelangt, wird ausschließlich auf der Grundlage von Informationen innerhalb der Routing-Tabelle weitergeleitet. Der Router vergleicht die Ziel-IP-Adresse mit den Routen in der Routing-Tabelle, um die beste Übereinstimmung zu finden, und leitet das Paket dann auf der Grundlage der Route mit der besten Übereinstimmung weiter. Der gleiche Prozess kann verwendet werden, um den Datenverkehr mit Hilfe einer Zugriffskontrollliste (ACL) zu filtern.

Eine ACL ist eine Reihe von IOS-Befehlen, die zum Filtern von Paketen auf der Grundlage der im Paket-Header gefundenen Informationen verwendet werden. Standardmäßig sind bei einem Router keine ACLs konfiguriert. Wenn jedoch eine ACL auf eine Schnittstelle angewendet wird, führt der Router die zusätzliche Aufgabe aus, alle Netzwerkpakete beim Durchlaufen der Schnittstelle zu bewerten, um festzustellen, ob das Paket weitergeleitet werden kann.

Eine ACL verwendet eine sequentielle Liste von Permission- oder Deny-Anweisungen, die als Access Control Entries (ACEs) bezeichnet werden.

ACEs werden allgemein auch als ACL-Anweisungen bezeichnet.

Wenn Netzwerkverkehr eine mit einer ACL konfigurierte Schnittstelle durchläuft, vergleicht der Router die Informationen innerhalb des Pakets mit jedem ACE in sequentieller Reihenfolge, um festzustellen, ob das Paket mit einem der ACEs übereinstimmt. Dieser Vorgang wird als Paketfilterung bezeichnet.

Mehrere von Routern ausgeführte Aufgaben erfordern die Verwendung von ACLs, um den Verkehr zu identifizieren. Die Tabelle listet einige dieser Aufgaben mit Beispielen auf.

Sie haben Fragen oder benötigen eine schnelle Lösung? 

Als kompetenter und erfolgreicher IT-Service in München sind wir der richtige Ansprechpartner für Sie, wenn es rund um das Thema IT Fragen geht oder Sie Hilfestellung benötigen.  

Wir freuen uns auf Ihren Anruf unter der Rufnummer 0176 75 19 18 18 oder via E-Mail an: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!.

Einleitung

Zusammen mit der ständig wachsenden Zahl von Cyber-Angriffen müssen Organisationen Maßnahmen zum Schutz ihrer Vermögenswerte, Daten und letztendlich auch Reputation ergreifen. Eines der Instrumente, die sie dabei einsetzen, sind DMZs oder Netzwerke entmilitarisierter Zonen.

In diesem Artikel vermitteln wir Ihnen einen Überblick über demilitarisierte Zonen: was sie sind, welche Vorteile sie bieten und wie sie konfiguriert werden können.

Was ist ein Demilitarisierte Zone?

In der Computersicherheit wird für kleine und mittlere Netzwerke häufig eine Firewall verwendet, die alle Anfragen aus dem internen Netzwerk (LAN) an das Internet und vom Internet an das LAN abwickelt.

Diese Firewall ist der einzige Schutz, den das interne Netzwerk in diesen Konfigurationen hat; sie handhabt jedes NAT (Network Address Translation), indem sie Anfragen weiterleitet und filtert, wie sie es für notwendig erachtet.

Für kleine Unternehmen ist dies normalerweise eine gute Einrichtung. Aber für große Unternehmen ist es nicht so effektiv, alle Server hinter eine Firewall zu positionieren.

Aus diesem Grund werden Sicherheitsnetzwerke mit einem Perimeter (auch entmilitarisierte Zonennetzwerke oder DMZs genannt) verwendet, um das interne Netzwerk von der Außenwelt zu trennen. Auf diese Weise können Außenstehende auf die öffentlichen Informationen in der DMZ zugreifen, während die privaten, proprietären Informationen sicher hinter der DMZ im internen Netzwerk aufbewahrt werden.

Auf diese Weise können die Angreifer im Falle einer Sicherheitsverletzung nur auf die Server im DMZ-Netzwerk zugreifen. Dies kann sehr lästig sein und zu Ausfallzeiten führen, aber zumindest die sensiblen Informationen werden sicher verwahrt.

Hier sind einige Beispiele für Dienste, die Sie im Netzwerk der demilitarisierten Zone aufbewahren können:

• Anwendungs-Gateways
• Authentifizierungsdienste
• das Front-End Ihrer Anwendung (das Back-End sollte sicher hinter der DMZ aufbewahrt werden)
• Dienste wie HTTP für die allgemeine öffentliche Nutzung, sicheres SMTP, sicheres FTP und sicheres Telnet
• Mail-Server
• Test- und Staging-Server
• VoIP-Server
• VPN-Endpunkte
• Webserver mit öffentlichen Informationen
  

   

Sinn und Zweck ein DMZ für das Netzwerk zu verwenden

Ein DMZ-Server schützt Ihr internes Netzwerk vor externen Zugriffen. Es tut dies, indem er die öffentlichen Dienste (für die jede Einheit aus dem Internet eine Verbindung zu Ihren Servern herstellen muss) von den lokalen, privaten LAN-Rechnern in Ihrem Netzwerk isoliert.

Die gebräuchlichste Methode zur Implementierung einer solchen Teilung ist die Einrichtung einer Firewall mit 3 installierten Netzwerkschnittstellen. Die erste wird für die Internetverbindung, die zweite für das DMZ-Netzwerk und die dritte für das private LAN verwendet.

Alle eingehenden Verbindungen werden automatisch an den DMZ-Server weitergeleitet, da im privaten LAN keine Dienste laufen und keine Verbindung hergestellt werden kann. Auf diese Weise trägt die Konfiguration eines entmilitarisierten Zonennetzwerks dazu bei, das LAN von jeglichen Internetangriffen zu isolieren.

Wie konfiguriert man eine demilitarisierter Zonen?

Zuerst müssen Sie entscheiden, welche Dienste auf jedem Rechner laufen sollen. Der DMZ-Server befindet sich normalerweise in einem anderen Netzwerksegment, sowohl physisch als auch logisch. Das bedeutet, dass Sie eine separate Maschine benutzen müssen, um die Dienste zu hosten, die Sie öffentlich machen wollen (wie DNS, Web, Mail etc.).

Brauchen Sie eine eigene App für iOS & Android?

Gerne helfen wir Ihnen als App Agentur in allen Belangen Rund um das Thema App-Entwicklung für die Plattformen iOS, iPadOS & Android. Ob Sie nun eine App mit Netzwerk-Features benötigen oder um bestimmte Tätigkeiten an das mobile Arbeiten anzupassen, bei uns sind Sie richtig! Wir entwickeln Apps sowohl für kleine als auch für größere Unternehmen an.  Rufen Sie uns bitte unter 0176 75191818 an oder senden Sie uns eine E-Mail an Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!. Gerne unterbreiten wir Ihnen ein individuelles Angebot!

Einleitung

Was sind Ihre ersten Gedanken, wenn Sie das Wort "USV" hören? Sollten es bei Ihnen die Assoziation "Datensicherheit" wecken, liegen Sie vollkommen richtig. 

Hierbei fungiert die USV als eine Alternative im Kontext von Datensicherheit insofern, dass Komplikationen nicht nur den LAN Bereich tangieren, sondern eben auch die Stromversorgung. 

Um auf das Thema "Schutzziele der Informationssicherheit und IT" zurückzukommen, benennen wir hier nochmal das folgende Kriterium, welches auf die USV zutrifft: 

• Verfügbarkeit/Availability: Die Daten und Systeme müssen zur definierten Zeiten verfügbar bzw. abrufbar sein, daher ist es notwendig, diese mit Backups zu sichern, eine USV (Unterbrechungsfreie Stromversorgung) zu besitzen und Systeme regelmäßig zu warten. Dies sind nur ein paar der Beispiele, um dieses Ziel zu erreichen.

Bezüglich Datenverluste und Ausfälle von Rechnern wegen Netzspannungsprobleme, ist hier die Statistik eindeutig: 

• nahezu 50% sind darauf zurückzuführen
• bei Unterspannung ca. 60%
• bei Überspannung ca. 30%
• bei Hochspannungspulsen ca. 8%

Dies bringt uns zum Thema, welche Konditionen eine USV (Unterbrechungsfreie Stromversorgung) zu effektuieren hat: 

• Protektion von Spannungsverlust sowie Unterspannung
• Protektion vor Netzüberspannung
• Protektion vor energiereichen Störimpulsen 

Die drei Typen der USV

1. VFD (Voltage Frequency Dependent from Mains Supply) - Standby- oder Offline-USV.
2. VI (Voltage Independent from Mains Supply) - Line Interactive-USV oder Netzinteraktive-USV.
3. VFI (Voltage and Frequency Independent from Mains Supply) - online-USV.

1. Die VFD/OFF-Line (Standby) USV

Protektion:

• Stromausfall / Netzausfall
• Spannungseinbruch / Spannungsabfall
• Spannungsstösse

Im Normalfall wird der Strom durch die USV ohne Spannungswandlung an die angeschlossenen Geräte (Rechner) weitergeleitet. Treten Spannungsschwankungen oder Spannungsausfälle auf, schaltet die Offline - USV automatisch auf Batteriebetrieb um. Die Umschaltung auf Akkubetrieb erfolgt innerhalb von ca. 2 - 6 ms.

2. Die VI (Voltage Independent from Mains Supply) USV

Die "Line Interactive-USV oder Netzinteraktive-USV" schützt gegen:

• totalen Netzausfall
• Netzspannungen 
• Schwankungen

Ein Spannungsregler, der zwischen dem Netzeingang und dem Verbraucher geschalten ist, ermöglicht dies. Als Folge dessen fungiert diese Art von USV vor allem in Peripherien mit zahlreich auftretenden Spannungsschwankungen.  Des Weiteren liegt der „Wirkungsgrad“ bzw. die Effizienz zwischen 95% und 98%, was wiederum für eine hohe Absicherung für Computersysteme, TK-(Telefon-)Anlagen oder Netzwerke spricht, aber für Systeme und Anwendungen, welche hochsensibel sind, eher nicht geeignet sind.

3. VFI (Voltage and Frequency Independent from Mains Supply) - online USV

Die VFI-USV alias "Online-USV“, garantiert den höchsten Schutz. Diese kompensiert die so genannten Schwankungen der Netzspannung, aber auch der Netzfrequenz. Der Vorteil liegt darin begründet, dass bei einem Netzausfall nicht wie bei anderen Arten der USV umgeschalten werden muss und in Relation dazu keine Latenz entsteht. Dieses Prinzip äußert sich darin, dass es die Wandlung von Wechsel- in Gleichspannung und von Gleich- in Wechselspannung realisiert. Diese Art von USV findet Verwendung in der Daten- und Serverkommunikation, ist jedoch vom Wirkungsgrad bzw. Effizienz nur bei 90% und geht mit einer hohen Belastung der Akkus einher. Daraus resultiert eine Lebensdauer von  3-4 Jahren. 

Sie haben Fragen in Bezug auf Ihr Netzwerk oder der IT im Allgmeinen?

Als professionelles und prädestiniertes IT-Systemhaus in München sind wir exakt der richtige Ansprechpartner für Sie, wenn es um die Frage des Netzwerkes oder der geeigneten IT-Infrastruktur bei Ihnen geht. 

Wir freuen uns auf Ihren Anruf unter der Rufnummer 0176 75 19 18 18 oder via E-Mail an: Diese E-Mail-Adresse ist vor Spambots geschützt! Zur Anzeige muss JavaScript eingeschaltet sein!.