Firewall auf Linux-Fileserver?
 

Hi,

ich hab' schon wo die Bemerkung gelesen, dass man Fileserver & Firewall aus Sicherheitsgründen nicht auf einem Rechner laufen lassen sollte - bei mir läuft's aber so seit vielen Jahren zur vollsten Zufriedenheit: mein Linux-Server spielt Fileserver, Firewall (daher 2 NICs), Printerserver, ...

Nachdem ich über den Bau eines neuen Linux-Servers nachdenke - wieder so? Alternative? D.h. wie groß ist die Gefahr, dass ungebetene Besucher über das Speedtouch der Telekom und die Shorewall am Centos-Server rein kommen?

Thx
Quintus

sagen wir mal so: grundsätzlich könnte man ja domain controller, fileserver und firewall auf einem gemeinsamen system zusammen-virtualisieren oder auch betreiben.

aus gründen einerseits der sicherheit und andererseits der betriebssicherheit mag es sinn machen, das aufzutrennen.

dazu mehr: bei einem config-fehler oder fehlerhaften update hängt der fileserver "plain" im internet - was meist als suboptimal empfunden wird.
desweiteren bedeutet ein reboot des fileservers automatisch auch, dass internet nicht geht - auch nicht gerade toll.

wenn für den einsatzzweck niedrige verfügbarkeit und die option, was falsch zu machen, akzeptabel sind, spricht nix dagegen.

es ist die Gefahr, dass jemand über das Speedtouch hereinkommt schon sehr gering

das Problem ist imho mehr, dass man selbst Lücken öffnet und da helfen auch mehrere Firewalls dann nicht

> sagen wir mal so: grundsätzlich könnte man ja domain controller, fileserver und firewall auf einem gemeinsamen system zusammen-virtualisieren oder auch betreiben.

SBS2000?
;)

@OP
> wie groß ist die Gefahr, dass ungebetene Besucher über das Speedtouch der Telekom und die Shorewall am Centos-Server rein kommen?

lässt sich so nicht sagen. wenn das speedtouch auf "single-user" ist, ist es quasi gar nicht da, also kann jeder "angreifer" direkt auf die shorewall
ist es auf "multiuser", ist es erst mal ziemlich dicht, so dicht, dass niemand "aus versehen" auf deine kiste kommt. auch erscheinst du den scriptkiddies nicht als "interessant"...

alles ändert sich, wenn du der welt dienste in deinem netz anbietest;)

das wär dann der punkt, wo ich persönlich meine daten (fileserver) von der firewall fernhalten würde...

Das ist genau der Punkt - Dienst stellt man "hinter" der Firewall zur Verfügung und ned "auf" der Firewall - daher wird das immer getrennt und jeder Experte wird dir dringend davon abraten, sowas auf einem Kombirechner mit integrierter Firewall laufen zu lassen. ;)

Ich stell' ja keinen Dienst nach außen zur Verfügung - also wär's doch OK. Oder?

Quintus

hai,

nur zur Überlegung, hackt jemand deine Firewall ist er sofort auf deinem Fileserver also auf deinen Daten.
Bei uns gibt es keine einzige Lösung bei der Firewall und Fileserver auf einem einzigen Rechner laufen.

lg

Eine gute Firewall lässt sich nicht Hacken :)

Macht das so viel Unterschied, wenn die Daten dann einen Rechner weiter im Netz liegen? Bringt da die interne "Arbeitsgruppe" noch was?

@Philipp: die Shorewall ist sicher besser als ich sie bedienen kann - Ihr habt mir da ja damals dankenswerterweise bei der Konfiguration geholfen (seither hab' ich da nicht mehr dran gerührt). Ob es das Optimum ist - keine Ahnung, ich hoffe.

Quintus

Nein, ich würde sagen das Optimum heutzutage ist:
http://www.configserver.com/cp/csf.html

CSF ist allerdings viel mehr als nur eine normale Firewall. Unter anderen erkennt es auch Veränderungen am System und verdächtige Prozesse.