[Frage] FB7390 hinter FB7170 hinter Kabel-Modem: NAT oder IP-Client - welcher Mode ist besser

[KunterBunter]

Du bist langjähriger Forumnutzer, um zu wissen, dass das mehrfache Schieben von Beiträgen nicht erlaubt ist. Bitte korrigiere das!

 

[olistudent]

Von den Full-Quotes ganz zu schweigen... (Bitte auch in Zukunft unterlassen)

Gruß
Oliver

 

[MaxMuster]

Vorweg, wie schon von anderen gesagt: Die FB ist jetzt nicht die absolut vollwertige Firewall und je nach "Sicherheitsbedürfnis" muss man entscheiden, ob einem das "reicht". Wobei ich auch die Aussage teile, dass "bewusste Angriffe" auf deinen Server eher unwahrscheinlich sind. Dennoch: Die automatisch laufenden Scans über alle IP Bereiche, die Server auf bekannte Schwachstellen "abklopfen", würde ich nicht unterschätzen. Was man dann letztlich damit erreichen könnte, wenn man deinen Server "hackt", ist wieder eine andere Sache...

Also, um nochmal auf deine Ursprungsfrage einzugehen, kann man das m.E. so aufteilen:
Wenn die 7170 "richtig und sicher" konfiguriert ist, wird dadurch die "DMZ" sicher und es kann die 7390 problemlos als "IP Client" laufen.
Wenn die 7170 im Extremfall "nur Router" ist, würde der Einsatz der 7390 als "NAT-Router" dein LAN trotzdem "ziemlich gut" absichern (damit aber die Konfig dort komplexer machen).

So gesehen ist es die Frage, an welcher Stelle du "viel investieren" möchtest, die andere kann dementsprechend "einfacher" sein ;-).

Je nach der Art und Nutzung des freigegebenen Servers würde ich eher nicht nur auf dessen eigene Abschottung setzen, sondern auch eine "DMZ" vorsehen, aber das ist auch eine "Glaubensfrage" ;-)

Meine persönliche Vorliebe wäre, die 7170 (die noch recht gut iptables kann) als "Firewall mit DMZ" zu etablieren.
Allerdings ist dabei generell zu bedenken, dass prinzipiell immer "alle Last" auf dieser (schwächeren) Box liegt, mit "FW" noch etwas mehr.

Erlaube zuletzt noch eine "ganz andere Idee", wenn du dir wirklich ernste Sorgen um die Sicherheit deines Netzes machst:
Solange du nicht PHP, SQL usw brauchst, bekommst du für unter einen Euro pro Monat die "Webhoster-Einsteiger-Angebote" inklusive eigener Domain "hinterher geschmissen" (und für wenige Euros das ganze sogar mit PHP, SQL usw). Die nehmen dir dann zusätzlich auch keine eigene Internet-Bandbreite weg, wenn dein Server "stark belastet" ist.

 

[cmonty14]

@MaxMuster
Vielen Dank für deine konstruktiven Kommentare.

Ich habe die FB7390 jetzt als NAT-Router konfiguriert, weil damit alle per WLAN verbundenen Clients eine IP-Adresse per DHCP bekommen.
Läuft die FB7390 im Client-Mode, dann bekommen dieselben Clients keine IP-Adresse vom DHCP-Server der FB7170, d.h. unter WinXP sehe ich unendlich lang "Netzwerkadresse beziehen".

Keine Ahnung woran das liegt, aber so ist es leider.

Zusammengefasst kann man sagen, dass bis auf die erhöhte Komplexität der Konfiguration von 2x NAT-Router keine Nachteile hinsichtlich Performance/Bandbreite/... von euch genannt wurden.

Eine Frage habe ich dann noch:
Warum wird einem Windows-Client im Netzwerk der FB7390 (192.168.200.0/24) per DHCP der Standard-Gateway 192.168.200.2 zugewiesen, und die WebUI der FB7390 ist über 192.168.200.1 erreichbar?

THX