Jörg Fritscfo Steffen GurTdeP Firewalls illustriert Netzwerksicherheit durch Paketfilter ADDISON-WESLEY An imprint of Pearson Education München Boston San Francisco Harlow, England Don Mills, Ontario Sydney Mexico City Madrid Amsterdam
Vorwort 9 Preface 11 Danksagungen 13 Einführung 15 Was wir mit diesem Buch erreichen wollen 15 Zielgruppe 16 Der Aufbau dieses Buches 17 Teil 1: Das Testnetzwerk 21 1 Tatort: Das Testnetzwerk 25 1.1 Aufbau des Testnetzwerks 26 1.1.1 Server- und PC-Landschaft 27 1.1.2 Internetanbindung und Webplattform 31 1.1.3 Remote-Access-Zugänge 35 1.2 Layer 3: IP-Adresskonzept 37 1.3 Layer 2: Switches und virtuelle LANs (VLANs) 39 1.4 Wo»genau«fängt das Internet an? 43 2 Technologien und Techniken 47 2.1 Was ist eine Firewall? 47 2.2 Einiges zu TCP/IP 47 2.2.1 Header und Kapselung 48 2.2.2 Fragmentierung 49 2.2.3 Ports und Netzwerkverbindungen 49 2.3 Paketfilter 51 2.3.1 Statische Paketfilter 51 2.3.2 Dynamische Paketfilter 55 2.3.3 Das FTP-Problem 58 2.3.4 Stateful Inspection 59 2.4 Application-Level-Firewalls 63 2.5 Hybrid-Firewalls 67
2.6 Weitere Aufgaben von Firewalls 68 2.6.1 Logging, Alerting und Accounting 68 2.6.2 Authentifizierung 69 2.6.3 Adressübersetzung 71 2.6.4 Verschlüsselung 73 3 IP Forwarding 75 3.1.1 Verarbeitung von Netzwerkverkehr im PC-Router 77 3.1.2 Netzwerkkarten 77 3.1.3 Routing und Forwarding 79 3.1.4 SecureXL API 81 3.1.5 Verarbeitung von Netzwerkverkehr in echten Routern 85 3.1.6 Nortel Networks Alteon Switched Firewall System (ASFS) 87 3.1.7 RapidCore-Technologie 89 Teil 2: Firewalls und Firewall-Management 91 4 Integration von Firewalls in das Unternehmensnetzwerk 93 4.1 Absicherung des Internetzugangs mit einer Firewall 93 4.1.1 Ausgangssituation 93 4.1.2 Das Sicherheitsproblem 96 4.1.3 Netzwerkseitige Integration der Firewall 97 4.1.4 Das Produkt 100 4.1.5 Bildung von DMZs 101 4.1.6 Installation und Konfiguration des Betriebssystems 102 4.1.7 Installation der Check Point FireWall-1 106 4.1.8 Konfiguration der Check Point FireWall-1 108 4.2 Aufbau einer Intranet-Firewall 121 4.2.1 Ausgangssituation 121 4.2.2 Sicherheitsprobleme und Lösungsansätze 126 4.2.3 Modifikation der Ausgangssituation 131 4.2.4 Netzwerkseitige Integration der Firewall 133 4.2.5 Das Produkt 135 4.2.6 Installation der Cisco Fix 136 4.2.7 Konfiguration der Cisco Pix 136 4.2.8 Ausblick 145
5 Management-Architekturen 147 5.1 2-Tier- und 3-Tier-Architekturen 147 5.1.1 2-Tier-Architektur 148 5.1.2 3-Tier-Architektur 148 5.1.3 Vergleich von 2-Tier-und 3-Tier-Architekturen 149 5.2 Meta-Management 151 5.2.1 Anforderungen an eine zentrale Management-Plattform 152 5.2.2 Produkte für zentrales Firewall-Management 153 5.2.3 Provider-l/SiteManager-1 153 5.3 Virtuelle Systeme 157 6 Virtual Private Networks und sichere Verbindungen 161 6.1 VPN-Technologien 164 6.1.1 Layer-2-basierte VPNs: ATM 164 6.1.2 Layer-3-basierte VPNs: MPLS 165 6.1.3 IPSec-VPNs(Layer3undLayer4) 166 6.2 IPSec = AH + ESP + (Ipcomp) + IKE 168 6.2.1 IP Authentication Header (AH) 169 6.2.2 IP Encapsulation Security Payload (ESP; RFC 2604) 169 6.2.3 Internet Key Exchange (IKE) 175 6.2.4 Häufige Missverständnisse in Zusammenhang mit IPSec 177 7 Remote-Access-VPNs 179 7.1 Technologien für Remote-Access-VPNs 181 7.1.1 L2TP/IPSec-Tunnel 181 7.1.2 Reine IPSec-Tunnel 182 7.2 Anforderungen an Remote-Access-VPNs 183 7.2.1 Anforderungen an den VPN-Client 183 7.2.2 Anforderungen an das VPN-Gateway 184 7.3 Check Point VPN-1 und SecuRemote/SecureClient 186 7.3.1 Check Point SecuRemote/SecureClient 186 7.3.2 Check Point FireWall-1/VPN-1 187 7.3.3 Policy Server 188
7A Konfiguration eines Remote-Access-VPNs fürs Firmennetzwerk 7.4.1 Ausgangssituation 7.4.2 7.4.3 7.4.4 Konfiguration der Check Point FireWall-1/VPN-1 Clientseitige Konfiguration Aufbau eines Tunnels zum Firmennetzwerk 188 188 189 198 200 Teil 3: Hochverfügbarkeit 205 8 Redundanz und Loadbalancing 209 8.1 FireWall-1-Status-Synchronisation: Allgemeine Bemerkungen 209 8.2 Hot-Standby-Lösungen 210 8.2.1 Stonebeat HA 212 8.2.2 Nokia HA: VRRP 217 8.3 Lastverteilte Systeme 226 8.3.1 Stonebeat Fullcluster: Multicast-MAC-Adressen 227 8.3.2 Rainfinity RainWdl: gratuitous ARP (garp) 237 8.4 Hardware-Loadbalancing 248 8.4.1 Nortel Networks Alteon Webswitch 249 8.4.2 RadWareFireProof 258 9 Multilink-Anbindungen, Multihoming 269 9.1 Nutzen von Multilink-Anbindungen 270 9.2 Multilink-Anbindungen mit Routing-Protokollen: BGP 273 9.2.1 Implementierung einer Multilink-Anbindung mit BGP-Basiskonf iguration auf zwei Nokia IP 530-Plattformen 275 9.3 Multilink-Anbindungen mittels DNS und NAT 283 9.3.1 Rainfinity RainConnect 286 9.3.2 Radware LinkProof 295 9.3.3 Vergleich der Produkte LinkProof und RainConnect 301 A Die Webseite zum Buch: http://www. firewalls-illustriert.de 303 B Glossar 305 Stichwortverzeichnis 311