Einrichtung DMZ mit DSL/I-10+

[ccs-ronny]

Hallo, ich bin ein Neuling auf dem DMZ Sektor und könnte eine kleine Unterstützung/Hilfestellung bei der Einrichtung gebrauchen.

Webserver für internen und externen Zugriff mit 2 Netzwerkkarten und getrenntem IP-Bereich. z.B. intern 172.23.56.x mit Gateway ins lokale netz und extern mit 172.23.58.x mit gateway (IP-Adresse des Lancom Routers)
Das Internet wird mit DSL und festen Adressen bereitgestellt. Company-Connect.

wie muss ich nun die DMZ konfigurieren (privaten Adressen) damit ich meinen Webserver über NAT ansprechen kann.
Muss ich für die im Lancom abgefragte DMZ-Adresse einen neuen IP-Bereich verwenden ? Ist das Falsch das ich auf dem Server 2 getrennte Adressbereiche verwende ?

Vielleicht kann einem Neuling jemand auf die Sprünge helfen.

Danke im vorraus
Ronny

[eddia]

Hallo Ronny,

Webserver für internen und externen Zugriff mit 2 Netzwerkkarten und getrenntem IP-Bereich. z.B. intern 172.23.56.x mit Gateway ins lokale netz und extern mit 172.23.58.x mit gateway (IP-Adresse des Lancom Routers)
Das Internet wird mit DSL und festen Adressen bereitgestellt. Company-Connect.

wie muss ich nun die DMZ konfigurieren (privaten Adressen) damit ich meinen Webserver über NAT ansprechen kann.

warum willst Du den Webserver von aussen per NAT ansprechen? Bei einem Company-Connect bekommst Du 8 öffentliche IPs in einem /29 Netz, welches Du sogar in zwei /30 Netze unterteilen kannst, um WAN und DMZ 'sauber' zu definieren.

Aber eigentlich benötigst Du keine DMZ. Die wäre nur sinnvoll, wenn Du zwei Webserver betreibst (den öffentlichen in der DMZ und den internen im LAN). Ein Webserver, der mit je einem Bein in der DMZ und im LAN steht ist unsinnig.

Falls Du Dich über die Risiken hinweg setzen willst, gibt es zwei Varianten:

1. Du hängst den Webserver mit einem Interface (öffentliche IP) an den Lancom und mit dem anderen Interface ins LAN. Der Lancom muss dann WAN- und LAN-seitig auf die beiden /30 Netze ohne Maskierung konfiguriert werden und wissen, dass er Dein internes Netz über den Webserver erreicht. Der Webserver muss dann NAT für das LAN durchführen.

2. Man konfiguriert am Lancom LAN-IP (privat) und DMZ-IP (öffentlich) und stellt als Interface DMZ-1 ein. Dann weist man die DMZ einem Switchport zu und setzt den Privat-Mode für diesen Port. Danach klemmt man den Webserver mit seinem 'öffentlichen' Interface an den DMZ-Switchport und mit seinem 'privaten' Interface an einen LAN-Port. Am Lancom muss im IP-Router für die default-Route 'nur Intranet maskieren' gewählt werden.

Die zweite Variante hat den Vorteil, dass der Webserver nicht routen oder NATen muss.

Gruß

Mario

[ccs-ronny]

Erst mal danke für die Antwort !

Ich habe von den 8 öffentlichen leider nur noch 2 übrig, und die hängen leider nicht zusammen. z.B. x.x.x.26 und 30.
Wenn ich dich richtig verstanden habe, dann ist mein Plan, das externe Interface mit einem getrennten Privaten IP-Bereich zu versehen unsinnig. Ich soll nun also 2 öffentliche Adressen für den Lancom und das externe Interface verwenden.
Eigentlich wollte ich nur eine Öffentliche IP für die DMZ verwenden, ich kann doch theroretisch auch eine Private IP als DMZ IP verwenden, natürlich muss ich dann jede Menge routen.
Mal angenommen ich mache auf dem Server nur 1 Ip-Bereich 172.23.56.x und y für die Interfaces und mache eine Private DMZ-IP 172.23.58.x ist das den nicht sicher ? Ich brauche doch dann nur eine Öffentliche IP um den Webserver zu erreichen. Ich habe mich eigentlich an die Lancom Vorschäge gehalten, ist aber nicht ganz eindeutig für einen Laien.
Ich hoffe ich habe es nicht zu umständlich erklärt.

[eddia]

Hallo Ronny,

Ich habe von den 8 öffentlichen leider nur noch 2 übrig, und die hängen leider nicht zusammen. z.B. x.x.x.26 und 30.

das hättest Du auch gleich sagen können. Dann bleibt Dir nur die Variante mit identischer WAN- und DMZ-IP, wie es hier beschrieben ist:

http://www.lancom-forum.de/topic,1447,.html

Wenn ich dich richtig verstanden habe, dann ist mein Plan, das externe Interface mit einem getrennten Privaten IP-Bereich zu versehen unsinnig.

Nö - ich habe gesagt, dass es sicherheitstechnisch unsinnig ist, einem Host in der DMZ auch noch eine direkte Verbindung ins Intranet zu geben.

Eigentlich wollte ich nur eine Öffentliche IP für die DMZ verwenden, ich kann doch theroretisch auch eine Private IP als DMZ IP verwenden, natürlich muss ich dann jede Menge routen.

Nur eine öffentliche IP ist witzlos. Du hättest dann zwar eine DMZ mit öffentlicher IP, aber keinen Host, der in der DMZ adressiert werden könnte. Aber natürlich kannst Du die DMZ auch mit privaten IPs betreiben. Dann benötigst Du ein Portforwarding oder ein N:N Mapping wie hier beschrieben:

http://www.lancom-forum.de/topic,2311,.html

Mal angenommen ich mache auf dem Server nur 1 Ip-Bereich 172.23.56.x und y für die Interfaces und mache eine Private DMZ-IP 172.23.58.x ist das den nicht sicher ?

Nein, weil jeder, der Deinen Webserver kapern kann, sofort in Deinem Intranet steht.

Gruß

Mario

[ccs-ronny]

Hallo Mario,

erstmal danke für deine Unterstützung !!


Es hat nun auch schon Ansatzweise geklappt. Leider macht ist es so, das ich zum Bespiel mit der Webseite verbunden war und 2 Minuten später ist sie nicht mehr erreichbar. Ist das noch ein Problem auf dem Router ?
Welche Einstellungen gilt es hier zu prüfen ?

Benötige ich eigentlich die Einträge für die Interface Geschwindigkeitsrate ?

Danke für deine Hilfe

[eddia]

Hallo Ronny,

Es hat nun auch schon Ansatzweise geklappt. Leider macht ist es so, das ich zum Bespiel mit der Webseite verbunden war und 2 Minuten später ist sie nicht mehr erreichbar. Ist das noch ein Problem auf dem Router ?

da ich nicht weiss, was Du überhaupt konfiguriert hast...

Benötige ich eigentlich die Einträge für die Interface Geschwindigkeitsrate ?

Nein - falls es keinen zwingenden Grund gibt, sind die auf automatisch zu belassen.

Gruß

Mario

[ccs-ronny]

na zum Beispiel:

server auf 172.23.58.2
die Intranet-IP des LanCom auf die 172.23.58.1

Die Wan und DMZ-IP auf eine öffentliche IP z.B. 195.145.89.10

Portweiterleitung von Port 80 auf die Server-IP und
Nat von der Server IP 172.23.58.2 auf die WAN umgesetzt

wie gesagt hat einmal funktioniert, danach war Sendepause
Habe auch schon die Firewall überprüft, aber nichts gefunden



der Server selbst hat 2 Identitäten im IIS

[backslash]

Hi ccs-ronny

Portweiterleitung von Port 80 auf die Server-IP und
Nat von der Server IP 172.23.58.2 auf die WAN umgesetzt

Da ist einer von beiden zuviel. Entweder du machst ein Portforwarding oder du macht ein N:N-NAT, aber nicht beides

wie gesagt hat einmal funktioniert, danach war Sendepause

in der Form kann das nicht funktioniert haben, da die Anfrage zunächst über das Portforwarding zwar an den Server weitergeleitet wird, die Antwort jedoch zunächst über das N:N-NAT umgemappt und danach maskiert wird - das Paket nimmt der Anfragende gar nicht erst an (weil der Quellport nicht mehr 80 ist, sondern auf irgendetwas um 58000 gemappt wird).

Gruß
Backslash