Use-Cases. Bruno Blumenthal und Roger Meyer. 17. Juli Zusammenfassung

Transkript

1 Use-Cases Bruno Blumenthal und Roger Meyer 17. Juli 2003 Zusammenfassung Dieses Dokument beschreibt Netzwerk-Szenarios für den Einsatz von NetWACS. Es soll als Grundlage bei der Definition des NetWACS Referenz-Regelwerkes dienen. Dabei wurden folgende Unterscheidungs-Kriterien für den Aufbau der Netzwerke definiert: Public Services, Internal Network Partitioning und Remote Access. 1

2 Inhaltsverzeichnis 1 Zweck dieses Dokuments 4 2 Allgemeine Ausgangslage 4 3 Kriterien Public Services Internal Network Partitioning Remote Access Internet Modem Grössen 5 5 Internet Anbindung 6 6 Szenarien Einleitung Bemerkungen Firewall Internal LAN DMZ Szenario Szenario Szenario Szenario Szenario Szenario Szenario

3 6.10 Szenario Das Referenz-Szenario 13 3

4 1 Zweck dieses Dokuments Dieses Dokument beschreibt verschiedene Szenarios in denen NetWACS eingesetzt werden könnte. Dieses Dokument soll die Grundlage bilden um in einem nächsten Schritt den Referenz-Regelkatalog zu definieren, der die Hauptfunktion, die Analyse, von NetWACS die Basis darstellt. Wir versuchen in diesem Dokument eine möglichst grosse Bandbreite an möglichen Netzwerk-Konfigurationen darzustellen, welche in einem KMU Umfeld möglich sind. Es kann jedoch nur ein sehr kleiner Ausschnitt von unzähligen Denkbaren Netzwerk-Topologien sein. Das Ziel des Projekt NetWACS ist es, ein flexibles Framework für eine individuelle Lösung zu bieten. Aus diesem Grund ist es unerlässlich, das wir uns mit verschiedenen Einsatz Szenarios auseinander setzen und entsprechende Gefahren- Analysen aufstellen. Zum Ende dieses Dokumentes werden wir ein Referenz Szenario definieren, welches uns bei der Realisation als Grundlage der Referenzimplementierung dient. 2 Allgemeine Ausgangslage Als Einsatzgebiet von NetWACS ist das KMU Umfeld vorgesehen. Die möglichen Konfiguration eines solchen Netzwerkes sind so zahlreich wie die Netzwerke selbst, trotzdem haben wir versucht diese in eine Gewisse Ordnung zu bringen und haben einige Rahmenbedingungen und Kriterien definiert, welche diese Netzwerke charakterisiert. 3 Kriterien Für die Erarbeitung der Szenarios haben wir drei Hauptkriterien definiert, welche die Netzwerke unterscheiden. Diese Kriterien können in allen möglichen Kombinationen vorkommen. Public Services Internal Network Partitioning Remote Access 3.1 Public Services Bietet das Netzwerk öffentliche Services an. Dabei sind vornehmlich Web-Server oder öffentliche FTP-Server gemeint, die sich in einer DMZ befinden. Aber auch andere Dienste 4

5 welche für die Öffentlichkeit bestimmt sind bzw. öffentlich zugänglich sind. So gehören vom Internet zugänglichen SMTP- und POP-Server in diese Kategorie, auch wenn sie nur für den Firmen eigenen Mail-Verkehr benutzt werden. 3.2 Internal Network Partitioning Damit ist die interne Netzwerkstruktur gemeint. Dies beinhaltet in erster Linie die Fragen, ob das interne Netz mehrere Sub-Netze enthält welche durch einen Router oder eine Firewall voneinander getrennt sind. 3.3 Remote Access Bietet das Netzwerk eine Möglichkeit für den Remote-Zugriff von aussen. Der Remote- Zugriff kann auf verschiedene Arten erfolgen, dabei sehen wir zwei Gruppen. Den Remote- Zugriff auf das Interne Netzwerk über das Internet, sowie die direkte Einwahl über ein Modem ins Netzwerk Internet Für den Remotezugriff vom Internet her bieten sich zahlreiche Möglichkeiten an. Die gewählte Methode hängt stark vom Einsatz-Zweck des Remote-Zugriffes ab. Wir haben in unseren Szenarios nur die Verbindung über VPN und einen entsprechenden Gateway beachtet. SSH wäre hier noch eine weitere sinnvolle und häufig verwendete Alternative Modem Der Remotezugriff per Modem, findet in unseren Szenarien immer über einen RAS-Server statt, an dem sich die Modems befinden und der als Zugangspunkt zum Netzwerk angeschaut wird. 4 Grössen Unser System soll in erster Linie für KMU-Netzwerke einsetzbar sein, dies bedeutet nicht zwingend, dass NetWACS nicht auch in einem sehr grossen Netzwerk eingesetzt werden könnte. Bei unserem Design werden wir uns jedoch nur mit Mittelgrossen Netzwerken von einer überschaubaren Komplexität auseinander setzen. Dabei gehen wir davon aus, dass 5

6 wir nur ein physikalisches Netzwerk haben, es bestehen keine Links zu anderen Standorten oder Partnerfirmen. Es ist jedoch möglich das sich Heimarbeiter und/oder Aussendienstmitarbeiter ins Netzwerk von extern einloggen. 5 Internet Anbindung Für die Internetanbindung sehen wir zwei Varianten vor. Bei der einen wird die On- Demand Dial-Up Verbindung eines Clients/Servers die vom Netzwerk verwendet wird. Diese Variante ist vor allem in kleinen Unternehmen die vornehmlich benutzen immer noch verbreitet. Da in solchen Fällen meist keine speziellen Sicherungsmassnahmen( z.b. Firewall) getroffen werden, haben wir diese Variante in unseren Szenarien nicht berücksichtigt. Bei der anderen Variante gehen wir von einer Fixen Anbindung aus. Wie bei allen Elementen des Netzwerkes bieten sich hier wieder Verschiedene Varianten (xdsl, Cable-Modem, Leased Lines...) an, bei der Definition der Szenarien werden wir auch hier nicht auf die genaue Art diese Verbindung ein gehen. 6 Szenarien 6.1 Einleitung Wie bereits oben erwähnt ist die Zahl möglicher Szenarien schier unbegrenzt. Wir haben hier 8 Szenarien erarbeitet bei denen wir die verschiedenen möglichen Elemente eingesetzt haben. Im Prinzip sind alle diese Elemente in jeglicher Kombination vorstellbar. Bei einigen Szenarien sind wir explizit auf Variationen eingegangen. Wenn eine Variation nicht explizit erwähnt ist, soll dies nicht heissen, dass dies keine Möglichkeit ist. Die Szenarien stellen abstrakte Netzwerktopologien dar, die im realen Fall noch genauere Spezifizierung benötigen. Dieses Dokument soll nur einen Überblick bieten welche Szenarien vorstellbar sind und keine Anleitung bieten, wie diese im konkreten Fall implementiert werden. 6

7 6.2 Bemerkungen Firewall Bei den als Firewall bezeichneten Elementen in unseren Szenarien handelt es sich im minimum um einen Router mit Paket-Filter. Es können aber auch komplexe Systeme mit Stateful Inspection und Application Level Filtering sein. Die genauen Policies der Firewall werden nicht im Detail spezifiziert, da diese stark von den verwendeten Applikationen und Diensten abhängen die wir auch nicht im Detail spezifizieren Internal LAN Das Internal LAN beinhaltet sowohl alle Arbeitsplatzrechner, Netzwerk-Drucker sowie auch die internen Server. Alle Elemente einer Netzwerk-Wolke befinden sich im selben logischen Netzwerksegment und sind nicht durch irgendwelche Router oder ähnliches getrennt DMZ Die DMZ kann alle denkbaren öffentlichen Dienste beinhalten. (Web, FTP, IRC...) Diese werden nicht speziell aufgeführt. Die Szenarien gehen davon aus, dass es sich um alle erdenklichen Kombinationen handeln kann. 6.3 Szenario 1 Dies ist das einfachste Szenario mit einer fixen Internet-Anbindung und einer Firewall die das interne Netzwerk schützt. 7

8 6.4 Szenario 2 Bei diesem Szenario kommt zum internen Netzwerk noch eine DMZ hinzu. Die DMZ kann diverse öffentliche Dienste anbieten, so etwa einen Web-Server, FTP oder auch Mail. Die genaue Funktion der Firewall in erster Linie durch die vorhandenen Dienste bestimmt. 6.5 Szenario 3 8

9 In diesem Szenario kommt noch eine RAS-Server hinzu der den Remote-Zugriff per Modem ermöglicht. Die Modems sind über die Firewall am LAN und dem Internet angeschlossen, so dass hier noch Restriktionen für den Remote-Zugriff implementiert werden können. 6.6 Szenario 4 Hier wurde der Remote-Zugriff durch einen VPN-Gateway ersetzt. Der VPN-Gateway wurde parallel zur Firewall eingesetzt. Auch hier wäre eine Anbindung des VPN-Gateways über die Firewall oder mit einer zusätzlichen Firewall denkbar. Auch eine Kombination von RAS-Server und VPN ist denkbar. 9

10 6.7 Szenario 5 Bei diesem Aufbau haben wir vier Zonen an der Firewall, welche unterschiedliche gegenseitige Zugriffsrechte erhalten. Zum einen sind die drei bisherigen Elemente, Internet, DMZ, internes LAN. Als neues Element kommt ein DB-Server hinzu, welcher sowohl von der DMZ her (z.b. vom Web-Server) wie auch vom Internen-Netz (CMS) her erreichbar sein muss, allerdings soll er von aussen nicht sichtbar sein. Dieses Szenario könnte man leicht ausbauen und noch mehr Elemente hinzufügen. Beispielsweise könnte sich zwischen dem Web-Server und der DB noch eine Applikationsserver befinden. Es ist auch vorstellbar, das man nicht nur eine Firewall einsetzt um diese Trennung zu erreichen. 6.8 Szenario 6 In diesem Fall wurde die DMZ und das interne LAN in serie geschaltet. Mit zwei getrennten Firewalls kann hier eine Schrittweise Sicherung des Netzwerkes erreicht werden. Der Zugang von und zum internen Netz kann so nie offener sein als derjenige der DMZ. 10

11 6.9 Szenario 7 Hier wurde die RAS-Modem-Bank an der DMZ angeschlossen. Dadurch Ist wieder eine zusätzliche Trennung zwischen dem internen Netz und den Remote-Usern geschaffen. Hier könnte der Remote-Zugriff auch durch ein VPN-Gateway ersetzt werden. Ebenso ist die Anbindung auch direkt am internen LAN denkbar. 11

12 6.10 Szenario 8 Dieses Szenario zeigt ein etwas komplexeren Aufbau. Wir haben zwei DMZ die erste beinhaltet die öffentlichen Dienste wie Web-Server und FTP. Die zweite DMZ beinhaltet einen Application-Proxy welcher den Zugang zum Internet fürs interne Netz bietet, sowie die von intern genutzten Mail-Dienste. Das Interne Netz wiederum ist noch einmal separiert. Wir haben zwei getrennte interne Netzwerke welche gegenseitig durch eine weitere Firewall geschützt sind. Hier könnte es sich zum Beispiel um ein Netz der Administation (Buchhaltung, Kundendienst..) und eines für die Entwicklung handeln. Der VPN-Gateway bietet nur Zugang zu einem der beiden internen Netzwerke. Die interne Partitionierung könnte man noch erweitern. Es wäre auch möglich die VPN-Anbindung auf alle Netze zu 12

13 ermöglichen oder mehrere VPN-Gateways einzusetzen. 7 Das Referenz-Szenario Für das Referenz-Szenario sehen wir ein Szenario von der Form wie Szenario 6 vor: Die genaue Definition und die Implementierung an der HTA-Biel muss noch abgeklärt werden. Da wir uns entschieden haben wenn möglich bestehende Infrastruktur mit einzubeziehen. Für das Referenz-Szenario sind dann auch die genaue Policy und die verfügbaren Dienste wichtig. Wir werden dieses Szenario noch genau ausarbeiten und in einem separaten Dokument festhalten. 13