Firewalls & Netzwerksicherheit

Firewall-Typen

Eine Firewall kontrolliert den Datenverkehr zwischen zwei Netzen (z. B. Internet und internem LAN) anhand von Regeln. Je nach Prüftiefe unterscheidet man drei Generationen:

Ein reiner Paketfilter kennt keinen Zusammenhang zwischen Hin- und Rückantwort — für jede Richtung muss eine eigene Regel existieren. Die Stateful-Firewall erlaubt Rückantworten automatisch, solange eine passende Verbindung in der State-Tabelle steht, das reduziert den Regelaufwand deutlich. Die NGFW geht noch weiter: Sie erkennt Applikationen unabhängig vom Port und kann z. B. Skype auf Port 443 blockieren, obwohl der Port für HTTPS freigegeben ist.

DMZ — Demilitarisierte Zone

Die DMZ ist ein eigenes, abgeschottetes Netzsegment für Server, die von außen (aus dem Internet) erreichbar sein müssen — z. B. Webserver, Mailserver oder VPN-Gateway. Zweck: Wird ein Server in der DMZ kompromittiert, hat der Angreifer trotzdem keinen direkten Zugriff auf das interne LAN mit den schützenswerten Daten.

Typische Aufbauten

• Zwei Firewalls (gestaffelt): Internet → Firewall 1 → DMZ → Firewall 2 → internes LAN. Ein Angreifer müsste beide Firewalls überwinden, um ins LAN zu gelangen.
• Eine Firewall mit drei Interfaces (Three-Legged-Firewall): Ein Interface zum Internet, eines zur DMZ, eines zum internen LAN. Die Firewall steuert über getrennte Regelsätze, welcher Verkehr zwischen den drei Zonen erlaubt ist.

Wichtige Regel für die Firewall-Konfiguration: Verkehr aus dem Internet in die DMZ ist erlaubt (nur auf die benötigten Dienste), Verkehr aus dem Internet direkt ins interne LAN wird geblockt, und auch aus der DMZ ins interne LAN sollte kein Zugriff erlaubt sein — nur umgekehrt bei Bedarf kontrolliert.

NAT und PAT

NAT (Network Address Translation) übersetzt private IP-Adressen (z. B. aus dem Bereich 192.168.0.0/16) in öffentliche IP-Adressen, damit Geräte im internen Netz mit dem Internet kommunizieren können, ohne dass jedes Gerät eine eigene öffentliche IP benötigt.

PAT ist der in der Praxis mit Abstand häufigste Fall: Ein Router/Firewall übersetzt alle internen Clients auf eine einzige öffentliche IP und merkt sich pro Verbindung die Zuordnung (interne IP + interner Port ↔ externer Port), damit Antwortpakete korrekt zurückgeleitet werden können. Das spart öffentliche IPv4-Adressen, die knapp und teuer sind.

VPN-Grundlagen

Ein VPN (Virtual Private Network) baut einen verschlüsselten Tunnel über ein unsicheres Netz (meist das Internet) auf, sodass zwei Standorte oder ein einzelner Rechner sicher auf ein entferntes Netz zugreifen können, als wären sie lokal angeschlossen.

• Site-to-Site-VPN: Verbindet zwei Standorte dauerhaft über ihre VPN-Gateways (z. B. Firewalls), z. B. Firmenzentrale und Filiale. Die Nutzer merken davon nichts, der Tunnel besteht permanent zwischen den Netzen.
• Client-to-Site-VPN (Remote-Access-VPN): Ein einzelner Client (z. B. Notebook im Homeoffice) baut bei Bedarf eine Verbindung zum Firmennetz auf, meist über eine VPN-Client-Software.

Wichtige Protokolle

• IPsec: Arbeitet auf Layer 3, verschlüsselt und authentifiziert IP-Pakete. Gängig für Site-to-Site-VPNs zwischen Standorten, oft im Tunnel-Modus.
• SSL/TLS-VPN: Nutzt TLS (wie bei HTTPS), meist auf Anwendungsebene bzw. per Browser oder schlankem Client. Beliebt für Client-to-Site-VPNs, da es einfacher durch Firewalls/Proxys kommt (Port 443).

Im Firmenkontext ermöglichen VPNs den sicheren Zugriff auf interne Ressourcen (Fileserver, Intranet, Anwendungen) von außen, die Anbindung von Filialen ohne teure Standleitungen sowie die Absicherung sensibler Daten bei der Übertragung über öffentliche Netze.

Hochverfügbarkeit

Hochverfügbarkeit (HA) sorgt dafür, dass ein Dienst auch bei Ausfall einzelner Komponenten weiter erreichbar bleibt. Grundprinzip ist Redundanz: kritische Komponenten (Server, Netzteile, Leitungen, Internetanbindungen) werden mehrfach vorgehalten, damit ein Single Point of Failure vermieden wird.

Failover-Cluster (Aktiv/Passiv)

Zwei (oder mehr) Server bilden einen Cluster. Im Normalbetrieb übernimmt der aktive Knoten den Dienst, der passive Knoten steht bereit und überwacht den aktiven per Heartbeat. Fällt der aktive Knoten aus, übernimmt der passive automatisch (Failover) — im Idealfall ohne merklichen Ausfall für die Nutzer.

Load Balancing

Ein Load Balancer verteilt eingehende Anfragen auf mehrere gleichwertige Server (z. B. mehrere Webserver-Instanzen). Ziele sind sowohl Ausfallsicherheit (fällt ein Server aus, übernehmen die übrigen) als auch bessere Performance durch Lastverteilung. Anders als beim reinen Aktiv/Passiv-Failover arbeiten hier meist mehrere Server gleichzeitig aktiv.

Zusammenspiel im Gesamtbild

In einer sicheren Netzwerkarchitektur greifen alle Bausteine ineinander: Switching sorgt für die strukturierte, oft per VLAN segmentierte Verbindung innerhalb der Standorte, Routing verbindet diese Segmente und externe Netze miteinander. Die Firewall sitzt an den Übergängen (z. B. zwischen LAN, DMZ und Internet) und kontrolliert, welcher Verkehr zwischen den Zonen erlaubt ist. NAT/PAT ermöglicht dabei effizient den Internetzugriff aus dem privat adressierten LAN heraus. VPNs erweitern dieses geschützte Netz über unsichere Strecken hinweg auf externe Standorte und mobile Mitarbeiter, ohne die Sicherheitsgrenzen aufzuweichen. Hochverfügbarkeitskonzepte wie Failover-Cluster und Load Balancing stellen sicher, dass diese kritische Infrastruktur — insbesondere Firewalls und VPN-Gateways als zentrale Übergangspunkte — auch bei Teilausfällen verfügbar bleibt. Für die AP2 ist wichtig, dieses Zusammenspiel als Gesamtkonzept erklären zu können, nicht nur die Einzeltechnologien isoliert zu kennen.