DMZ mit Freetz

[Samsung_Freak]

Hallo,
ich habe mir Freetz auf meine FritzBox installiert. Gibt es für Freetz ein Addon wo ih mir eine DMZ mit bauen kann? Ich will meinen Mailserver und FTP Server in einer DMZ haben, sodass ich alles sauber getrennt habe von meinem Netz. Dann kann ich nämlich ruhigen Gewissens meine Portfreigaben für die Server einrichten

 

[schmatke]

http://trac.freetz.org/wiki/help/howtos/security/router_and_firewall

http://trac.freetz.org/wiki/packages/iptables

 

[Samsung_Freak]

Hallo,
ich habe nur eine 7270 damit kann ich wohl keine mehreren Netzwerke realisieren....jedenfalls habe ich nicht die Punkte wie die in den Screenshots zu sehen sind....

 

[mastertester]

Das ist aber erst seit dem .80er Firmware Updat so...

Zitat AVM:
System: Keine Unterstützung mehr für getrennte IP-Netzwerke (vorhandene Einstellung wird bei Update nicht verändert)
Zitat Ende

Jetzt ist guter Rat teuer... Downgrade machen und die gewünschten Einstellungen vornehmen, oder manuell in der ar7.cfg nachtragen.

Wie und ob das manuell geht kann ich Dir leider nicht sagen, aber das wird sich hier bestimmt jemand finden.

Gruß
mastertester

 

[meiser79]

Schau mal hier.

 

[schmatke]

Und hier.

 

[Samsung_Freak]

[Edit frank_m24: Mehrere Beiträge zusammengefasst. Man kann seine Beiträge auch editieren.]
Ok danke werde mich mal schlau lesen!

[Beitrag 2:]
Hallo,
eine kleine Frage nochmal bezüglich einer DMZ. Also ich habe meherer Server momentan in meinem Netz stehen (Mailserver, FTP-Server, Microsoft WSUS(Updateservice) ). Jetzt Brauche ich für die realisierung ja drei Netze inklusive WLAN. Sprich ein Netz 192.168.1.1 /24 für mein Netz vor der DMZ dann ein Servernetz 192.168.0.1/24 und ein Netz wodrin sich meine Clients drin befinden per LAN und WLAN. So jetzt muss ich ja genau den Verkehr für alle Protokolle bzw. Ports die ich benutzen will in jeweils das andere Netz freigeben oder ist das einfach als wie ich mir das vorstelle?

 

[schmatke]

Das eine Thema ist den Switch zu konfigurieren und das andere heist iptables.

Was ist "mein Netz vor der DMZ"? Wozu brauchst Du das? Reicht nicht ein Netz und eine DMZ?

 

[Samsung_Freak]

Hallo,
also brauche ich quasi nur meine Switch bzw. die Box so konfigurieren das z.B. am Port1 das Netz für die DMZ hängt z.B. 192.168.0.1/24 und am Port2 un WLAN das normale Netz 192.168.1.1/24 . Und dann muss ich über IPtabels definieren was für Ports freigeben sind einmal von WAN zu DMZ und zurück und dann noch die Ports vom normalen Netz zur DMZ und zurück, ist das so richtig?

 

[schmatke]

Erstmal machst Du alles zu und gibst dann explizit die Sachen frei, die gestattet sind. Wie bei jeder vernünftigen Firewall.

Ich hatte das mal mit meinem WLAN gemacht, damit mein Nachbar es benutzen konnte. Hier is ne super Anleitung...

 

[Samsung_Freak]

Das eine Thema ist den Switch zu konfigurieren und das andere heist iptables.

Was ist "mein Netz vor der DMZ"? Wozu brauchst Du das? Reicht nicht ein Netz und eine DMZ?

Gut falsch gedacht von mir. Ich brauche zwei Netze. Verstehe ich das richtig so mit der DMZ.

1. WAN->Normales Netzwerk 192.168.0.1
2. WAN->DMZ-> Normales Netzwerk
3. Normales Netzwerk->DMZ

Sprich das normale Netz bekommt nichts mit von der DMZ nur wenn ich auf den Mailserver drauf zugreife der sich in der DMZ befindet korrekt?

Desweitern muss ich dann die Ports freigeben z.B. für HTTPS 443 für die Richtung Normales Netz zur DMZ....so korrekt?

 

[Samsung_Freak]

[...]


Hallo Gemeinde,

ist das so korrekt von mir verstanden?

 

[cando]

wenn Du über den cpmaccfg in Verbindung mit iptables Redest sieht es so aus:

iptables kennt 2 Arten von Verkehr:

1.) Daten von / zum host (der Fritzbox) - also Dienste, die die Box anbietet oder benötigt - entspricht chains: INPUT / OUTPUT

2.) Daten die von einem Netz ins andere geroutet werden sollen und nicht für die Box bestimmt sind - entspricht chain FORWARD

Es gibt quasi keine DMZ, sondern nur getrennte Netze, die untereinander geroutet werden sollen und auch Dienste der Box brauchen oder für die Box anbieten.

Was eine DMZ ist, ist eine reine "Definition" für Dich.

Du kannst aus jedem Segment durch entsprechende Regeln (Quelle / Ziel in INPUT / OUTPUT) Dienste der Box nutzen. Durch Regeln in der chain FORWARD mit entsprechenden Quelle/Ziel IP Segmenten kannst Du den Verkehr zwischen Deinen LAN-Segmenten und zur Außenwelt steuern.

Also mit Deinen Worten:

CHAIN FORWARD

WAN <-> DMZ
WAN <-> LAN
LAN <-> DMZ
...

CHAIN INPUT / OUTPUT

WAN <-> BOX
LAN <-> BOX
DMZ <-> BOX
...

Wobei DMZ wie gesagt einfach LAN2 ist, Du kannst bis zu 5 unabhängige Segmente verwalten (LAN1..4 + WLAN)

Wenn Du mit festen IP Adressen bei Deinen Servern arbeitest, kannst Du sie auch wenn sie in einer einzigen DMZ sind,
mit unterschiedlichen Regeln sehr fein abgestuft zugänglich machen (dhcp für dieses Segment ausschalten, oder Adressen
außerhalb des dhcp Pools verwenden).

 

[Samsung_Freak]

OK danke! Das werde ich dann mal ausprobieren wenn ich mal wieder richtig Zeit dafür habe