DMZ - innere Firewall - Maskierung abschalten

[DooM]

Hallo zusammen,

ich habe hier ein Netz, mit externer FW, DMZ [93.x] (in der DMZ befinden sich: SquidProxyserver, Mailserver, Webserver...) eine innere Firewall und dahinter 2 Subnetze [92.x, 91.x]. Die innere Firewall maskiert die in die DMZ weitergeleiteten Pakete.

Da ich nun die Funktionalität der DMZ etwas erweitern möchte (Norton Antivirus Corporate Edition für beide Subnetze, sowie eine "Rechteverwaltung" am Squid) komme ich zu dem Problem, dass die Rechner aus den Subnetzen in der DMZ natürlich nur mit der Firewall IP auftauchen.

Da NAVCE mit Maskierung aber scheinbar garnicht funktioniert und squid mit rechteverwaltung, soweit ich das bisher gelesen habe, am einfachsten über die IP Adressen geht, überlege ich nun die DMZ Server mit den entsprechenden Routen zu versehen und die Maskierung an der innerern Firewall abzuschalten.

Ich persönlich sehe da kein Problem drin, bräuchte aber Expertenrat, vor allem was die Sicherheitsaspekte angeht, da ich auf dem Gebiet noch recht neu bin.

MfG
DooM

ps: Danke an dieser Stelle nochmal an Harry, der mir bei einigen Fragen bzgl. iptables weitergeholfen hat

[HangLoose]

moin moin

wenn ich das richtig sehe, sind das doch private ip-adressen die du verwendest, dann brauchst du auch kein masquerading. ein sicherheitsproblem sehe ich nicht.


ps: harry die alte *pflaume* läßt sich hier fast gar nicht mehr blicken .


Gruß HL

[DooM]

Jo, sind alles Adressen aus dem privaten Addressbereich. Von der Technik und IP Vergabe steht da nichts im Wege, nur ist halt die Frage, ob ein Angreifer, der die eine (bald 2 Firewalls) vor der DMZ überwunden hat, einen Vorteil hat, wennn das maskieren aus ist.

Ich denke halt nein, denn wer die beiden anderen FWs schon geschafft hat, für den is die dritte dann auch kein Problem mehr

Also schonmal 2 Stimmen, die nichts dagegen einzuwenden haben

Ich hätt aber gern noch mehr Positionen, also haltet euch ran

MfG
DooM

ps: jo ich hab den Harry auch schon lang nicht mehr hier posten bzw im icq online gesehen, wird wohl was besseres zu tun haben