Firewall, Proxy-Server & Masquerading

[ZockerM]

Hi!

Ich habe mich ein bisschen mit dem Erstellen von Firewalls beschäftigt.
Nun meine Frage:
Eigentlich ist Masquerading doch relativ unsicher, oder? Denn alle Anfragen werden weitergeleitet. Also, wenn ich jetzt auf meinem Win-PC einen Trojaner habe, kann er eine Verbindung aufbauen, ohne dass ich es verhindern kann. Ist das richtig?

Also habe ich mir gedacht:
- Ich mache alle Ports zu (für das ppp-Device)
- Ich starte den Proxy
- Ich schaue, welche Ports benötigt werden (welche dürften das denn sein?)
- Ich öffne die Ports
- Ich leite noch die Ports für POP3, SMTP, ICQ und FTP weiter
- alle anderen Ports schließe ich (für das ppp-Device)

Hm, was haltet ihr davon? Oder hat jemand ein paar gute Ratschläge, wie ich meinen Router sicher machen kann?

Ach ja, ich hab in der FAQ von der deutschen Firewall-NG gelesen, dass es besser wäre, alle Ports mit Reject zuzumachen, weil bei Deny die Performance des Netzes beieinträchtigt wird, da die Anfragen erst einen Timeout bekommen müssen.
Also, wie jetzt? DENY oder REJECT?

Noch eine Frage:
Reicht es, wenn ich nur das ppp-Device schütze, oder muss ich das gleiche auch für eth0 und eth1 machen? Ich gehe mal davon aus, dass nur "Angriffe" von außen kommen werden.

Zu meiner Konfiguration:
- T-DSL Router (mit Masquerading und Proxy-Server)
- Web- und FTP-Server auf dem Router
- 2-3 PC's dahinter (2 Windows, 1 Linux)

Wow, das waren jetzt viele Fragen auf einmal, ich hoffe, es können zumindest ein paar Fragen beantwortet werden.
Ich bin auf jeden Fall für alle Hilfestellungen (auch Links, o.ä.) dankbar. :)

gruß ZockerM

[msi]

wieso soll masquerading unsicher sein?
du kannst ja bei deinem router alle ports auf den router zumachen (die nicht gebraucht werden)
und du kannst bei allem was weitergeleitet wird (iptables -A FORWARD)
auch nicht nötige ports zumachen. du kannst sogar beliebige rechner
nicht ins net lassen, ...

wenn du einen proxy verwendest (am besten kannste dese ja transparent machen, also dass alle anfragen auf port 80 weitergeleitet werden an
den proxy), kannst du manche seiten sperren (bei einem firewall auch) und
es ist halt alles im im cache gespeichert, -> geschwindigkeitsvorteil.
Aber ich glaube nicht, dass Masquerading unsicher ist, wie willst du
es denn sonst machen??