Hi Leute,

ich möchte mein Heimnetz durch eine isa 2004 Firewall absichern.
Ich möchte auf einem Rechner eine DMZ erstellen indem sich Exchange und web Server befindet.

Ein Tipp habe ich bereits bekommen....ich soll im Rechner 3 Netzwerkkarten einbauen danach könne ich das problemlos realisieren.
Ok, ich habe mir Gedanken gemacht...1 Netzwerkkarte (internet), 1 (Intranet) und ev 1 für die DMZ !?!

Wie weit bin ich daneben? weiss ich nicht. Kann mir jemand auf die Sprünge helfen?

besten dank

Flavio

PS. das ganze brauche ich als Übung zum MCSA 2003 und persönliche Neugier

Mit drei netzwerkkraten wie Du es beschrieben hast, kannst Du eine DMZ realisieren.

Wenn keine dritte Karte zuverfügung steht, kannst Du auch auf dem ISA die Exchangedienste in LAN weiterleiten und halt alle andere Dienste gegen aussen welche Exchange nicht braucht dicht machen.

Aber die schönere Lösung ist sicherlich mit einer DMZ Ist es das was Du wissen willst oder benötigst Du für ein Thema mehr Info??

Also den Tip würde ich an deiner Stelle umsetzen. Eine DMZ macht auf jedenfall Sinn. Das ganze bringt Dir einiges an Übung im Umgang mit Routing und den "well known ports". Das auseinandersetzen mit "welcher Port brauch ich für was" kann an den Prüfungen auch hilfreich sein. Also kauf Dir eine dritte Karte. Lohnt sich!

Hi

Mit ISA kannst Du eine physisch abgetrennte DMZ mit 3 NIC's einrichten. Bei deinem Projekt solltest Du dir noch einige weitere Punkte überlegen:

EXCHANGE SERVER
Exchange Server gehören nicht in eine DMZ, auch wenn das Konzept der DMZ diese Plazierung aufdrängt. Exchange-Postfächer enthalten sensitive Daten und gehören immer in den LAN-Abschnitt. Die Kommunikation mit dem Internet kann mit verschiedenen Methoden realisiert werden.
1) Exchange Frontend-Server in die DMZ (eine Lösung von Microsoft, aus meiner Sicht aber eine schlechte Lösung welche die Sicherheit des Netzwerks beeinträchtigen kann). Ich plaziere Frontend Servers jeweils auch im LAN-Abschnitt).
2) ISA Server in die DMZ (z.B. wenn eine andere Firewall eingesetzt wird). Diese Variante ist ein bisschen besser.
3) SMTP Relay auf dem ISA Server
4) SMTP Relay auf einem Relay Server in der DMZ
5) Direktes ISA Server-Publishing ohne Relay

Welche Methode die Beste ist, ist abhängig von Anforderungen an Sicherheit und Funktionalität.

WEB
Webserver werden normalerweise in der DMZ betrieben. Dabei ist darauf zu achten, dass keine anderen, unnötigen Dienste ausgeführt werden und der Server entsprechend abgesichert ist.

INFORMATIONEN
Weitere Informationen zur Implementierung findest du hier:
1) http://www.amazon.de/exec/obidos/ASI...878677-8060804
2) Dieter's msisafaq --> www.msisafaq.de
3) Tom's isaserver site --> www.isaserver.org

Gruss Marcel

Moin Jungs,

juhu, prima, mein Lieblingsthema: Sinn einer DMZ ;-)

Es gibt noch einen wesentlich schwerwiegenderen Grund, den Exchange Server NICHT in die DMZ zu verlagern:

ActiveDirectory-Kommunikation
Wenn Du einen MSX in der DMZ hast, wirst Du sicherlich im LAN noch einen DC stehen haben. Damit diese beiden miteinander
kommunizieren können, müssen sehr viele Protokolle (z.B. DNS, LDAP, Kerboros, RPC, Exchange-RPC etc.) zwischen MSX und DC
durch die Firewall geöffnet werden. Das ist ein erhöhtes Sicherheitsrisiko - im Fall der Kompromitierung des MSX gehört
dann auch der DC dem Angreifer. Selbst wenn man den Traffic zusätzlich per IPSec verschlüsselt, halte ich das nicht für
besonders sinnvoll.

Zitat:

Die Kommunikation mit dem Internet kann mit verschiedenen Methoden realisiert werden. 1) Exchange Frontend-Server in die DMZ (eine Lösung von Microsoft, aus meiner Sicht aber eine schlechte Lösung welche die Sicherheit des Netzwerks beeinträchtigen kann). Ich plaziere Frontend Servers jeweils auch im LAN-Abschnitt).

Exakt. MS positioniert IMHO mittlerweile seit ISA 2000 keinen FE mehr in die DMZ. Nur noch in gut überlegten Szenarien
wie z.B. Lastverteilung über mehrere Standorte oder ähnlichem. Dabei zu beachten gilt, dass durch E2k3 sicherlich weniger FE/BE Szenarien benötigt werden, wenn es um Lastverteilung ging.

Zitat:

2) ISA Server in die DMZ (z.B. wenn eine andere Firewall eingesetzt wird). Diese Variante ist ein bisschen besser.

Diese Lösung begegnet mir immer wieder in Vorträgen etc. Dabei ist mir der eigentliche Sinn noch nicht klar geworden. Weil ich dadurch meiner bescheidenen Meinung nach kein Stück Sicherheit mehr bekomme (gilt nicht für ausschließliches Reverse-Caching/Webveröffentlichen). Man müsste ja dann wieder den ganzen Auth-Traffic durch irgendeine Firewall leiten.

Zitat:

3) SMTP Relay auf dem ISA Server 4) SMTP Relay auf einem Relay Server in der DMZ

Da kommen wir genau auf den Punkt. Das wäre für mich die sicherste Lösung. Denn dabei kann der SMTP-Applikationsfilter
des ISA den Traffic inspiziern (wobei ich an dieser Stelle für gewöhnlich nur den Command-Filter verwende). OWA wird über SLL und Basicauthentifizierungsdelegation veröffentlicht. Gerne auch mit FBA.

Zitat:

5) Direktes ISA Server-Publishing ohne Relay

Auch diese Lösung ist praktikabel. Ich verwende dies z.B. bei uns um einen internen SMTP-Relay-Server zu veröffentlichen. Mein MSX ist ausschließlich per OWA "direkt" nach aussen veröffentlicht.

Zitat:

Welche Methode die Beste ist, ist abhängig von Anforderungen an Sicherheit und Funktionalität.

Genau. Man muss immer eine Balance finden.

Zitat:

WEB Webserver werden normalerweise in der DMZ betrieben. Dabei ist darauf zu achten, dass keine anderen, unnötigen Dienste ausgeführt werden und der Server entsprechend abgesichert ist.

Für die Webserververöffentlichung gilt ebenfalls die Auth-Problematik wie beim FE zu beachten. Wenn der Webserver Benutzer gegen das AD authentifizieren muss, gehört er in den meisten Fällen nicht in die DMZ.

Neben der ganzen Thematik der Veröffentlichung von internen Diensten zum Internet muss Flavio auch den ausgehenden Traffic berücksichtigen. Zu einem Firewallkonzept gehört auch dieser nicht unwesentliche Teil. Dabei gilt: Nur zulassen, was zwingend benötigt wird. So gibt es z.B. absolut keinen Grund, warum ein DC per HTTP ins Internet gehen darf. Und vieles mehr.

Viele Grüße
Dieter

Also den Tip würde ich an deiner Stelle umsetzen. Eine DMZ macht auf jedenfall Sinn. Das ganze bringt Dir einiges an Übung im Umgang mit Routing und den "well known ports". Das auseinandersetzen mit "welcher Port brauch ich für was" kann an den Prüfungen auch hilfreich sein. Also kauf Dir eine dritte Karte. Lohnt sich!

OK, ich Danke Euch für die Security Tipps (ich habe sie mir notiert).
könnt Ihr mir erklären wie ich eine DMZ überhaupt einrichten kann auf einem Server 2003 mit isa 2004? 3 Karten habe ich bereits im Server eingerichtet.
Ok ich weiss bin spät dran aber ich habe meine Väterliche Verpflichtungen (12 Monatiges Kind)
Ich danke Euch schon im Voraus für eure Anleitungen

Merci

Flavio