Hardwarefirewall mit VPN Funktion oder Router mit VPN Funktion - keine DMZ

[wendigo2k]

Hallöchen

Ich bin noch relativ frisch im IT Bereich und hab eine vielleicht etwas doofe Frage...

Bisher schützen unser Netzwerk eine Monowall die wohl die Funktion einer Hardwarefirewall mit NAT besitzt und gleichzeitig wohl auch noch unser Router ist und auch ne VPN Verbindung zu einem anderem Standort herstellt...

Langsam muss aber ein neuer Internetanschluss her und die Alix Boards auf denen die Monowall läuft sind auch schon in die Jahre gekommen...

Bei meiner Recherche ist mir aufgefallen, dass es wohl Router mit VPN Funktion gibt (ohne Firewall Funktion?) und Hardware-Firewalls mit VPN Funktion (ohne Router)... Ersteres gibt es ab 40€ bis hunderte Euro und die Hardwarefirewalls gibt es so ab 300€ aufwärts...

Was brauche ich denn nun an Hardware, wenn ich das Unternehmensnetz weiterhin so schützen will wie bisher (ohne DMZ) und wenn uns ein VDSL 50 Anschluss für ~ 15 Mitarbeiter genügt? Schön wäre auch, wenn die Hardware L2TP durchlassen kann, damit ich im Netzwerk einen VPN Gateway Windows Server hinstellen kann... (das können heute ja hoffentlich alle Geräte?) Was wäre denn die günstigste Variante?

Mit einem neuem Anschluss (VDSL) bekomme ich ja sicherlich schon ein Modem/Router den ich entweder so einstellen kann, dass er alles durchlässt (dann dahinter eine HW-FW) oder ich nehme einen eigenen Router mit VPN Funktion. Nur was käme dann als Firewall zum Einsatz? Die Windows Firewall?

Gibt es auch Geräte die wieder alles drei können (VPN, FW, Router) oder müsste ich dazu selbst was basteln mit PFsense oder sowas?

Vielen Dank im Voraus für eure Hilfe

 

[desmoule]

Die beste Antwort ist eigentlich: lass das ein Systemhaus machen weil du offenbarst wie wenig Ahnung du hast. Aber da bekomme ich wieder einen "Hinweis". Also schreibe ich das nicht.
Du hast jetzt schon einen Router oder Modem und eine Monowall. Du hast kein AllInOne Gerät sondern eben mind. 2. Bei Umstieg auf VDSL: du hast wieder einen Router mit eingebautem Modem. Der macht auch deine ach so wichtige "Hardware Firewall", egal wo du den kaufst.
Fürs VPN, als Client oder Server, was du ja nicht beschreibst, nutz einfach die Alix PCEngine weiter. Oder wenn die keine 50Mbit/s Durchsatz schafft mit welchem cipher auch immer, dann ersetze diese.

 

[Raijin]

IT-Sicherheit gehört in der Tat in professionelle Hände. Wenn dir selbst die Kenntnisse und/oder die Erfahrung fehlt, wäre ein Systemhaus eine Überlegung wert.

Wie dem auch sei, All-In-One-Geräte haben im professionellen Bereich immer einen faden Beigeschmack. Aber da kommt es natürlich auch darauf an was das für ein Gerät ist. VPN-Gateways gibt es in allen Geschmacksrichtungen und in der Regel sind neben VPN eben auch Firewall und Routing mit dabei. Das ist auch durchaus sinnvoll, um den ein-/ausgehenden VPN-Tunnel direkt mit Regeln zu belegen und eben den Zugriff zwischen VPN und LAN gleich am Eingang zu reglementieren anstatt sich auf eine nachgelagerte Firewall bzw. eine vollwertige DMZ-Umgebung zu verlassen. Die Vorbehalte gegen AIO-Geräte beziehen sich meistens auf Consumer-Produkte. Im Gegensatz zu zB einer Cisco ASA 55xx, die eben auch Firewall, Router und VLAN-Switch sein kann, ist eine Fritzbox für solche Zwecke nämlich völlig ungeeignet, obwohl sie ja auch VPN, Firewall und Routen kann - eine Fritzbox ist eben ein AIO-Gerät für den Heimanwender, während zB pfSense auf entsprechender Hardware auch professionellen Ansprüchen genügt.


Im Topic steht "keine DMZ". Eigentlich ist die DMZ aber genau für solche Zwecke optimal geeignet. Der sicherste, aber auch komplexeste Weg wäre die DMZ. In der DMZ steht der VPN-Server/-Client. Das LAN wiederum ist durch eine separate HW-Firewall von der DMZ getrennt und es werden nur ausgewählte Verbindungen erlaubt. Meistens ist das so, dass man nur vom LAN in die DMZ darf (und die Antwort DMZ-->LAN), aber die DMZ darf nicht selbsttätig mit dem LAN eine Verbindung aufbauen. Das dient dazu, dass ein potentiell gehackter Server in der DMZ den Hacker in der DMZ einschließt, weil die HW-Firewall von der DMZ nichts ins LAN lässt. Bei Wikipedia gibt es dazu mehr, inkl. Bildern.


Prinzipiell spricht nichts gegen Monowall, pfSense bzw. Cisco, EdgeRouter oder MikroTiks. Alle haben ihre Vor- und Nachteile, sind aber explizit für solche Zwecke entwickelt worden und alles andere als 08/15 Consumer-Ware. Wobei Monowall nicht mehr weiterentwickelt wird, wenn ich mich nicht irre. Ein Umstieg auf pfSense, o.ä. wäre daher denkbar.