Firewall-Konzepte

Konzept Firewall
Als Firewall wird eine zwischen zwei Netzen hergestellte, kontrollierte Verbindung bezeichnet, welche beispielsweise das Internet (WAN) oder auch ein sogenanntes LAN, ein privates Netz, sein kann. Ferner besteht die Möglichkeit, unterschiedliche Netzwerksegmente herzustellen, wobei die Segmente Teil des gleichen Netzwerkes sind. Die Aufgabe der Firewall besteht in der Überwachung des Datenverkehrs und der Entscheidung auf Grundlage zuvor durch den Benutzer festgelegten Regeln, ob Netzwerkpakete den Rechner erreichen sollen oder nicht. Durch eine Firewall sollen Netzwerke vor nicht erlaubten Zugriffen geschützt werden.

Firewalls werden von ihrem Konzept her durch drei Zugangsarten unterschieden in:

• den Application Gateway
• Circuit Relay
• Datenpacketfilterung

Zudem bestehen auch aus oben genannten unterschiedlichen Komponenten zusammen gesetzte so genannte High-Level-Security-Systeme.

Die Firewall-Konzepte sollen nun näher erläutert werden:

Application Gateway
Ein Application-Gateway ist zwar die sicherste, jedoch auch die aufwändigste Art der Firewall. Der Application-Gateway realisiert über unterschiedliche Schichten ausreichende Sicherheitsmechanismen. Der Application-Gateway ist zur physikalischen Entkoppelung von Netzen im Stande und verlangt zudem von jedem User eine Authentifikation sowie Identifikation. Bei diesem Firewall-Konzept werden an entsprechenden Ports Datenpakete empfangen. Wenn lediglich ein Dienst über den betreffenden Port möglich sein soll, setzt der Application Server automatisch eine installierte Software ein, durch welche das Datenpaket von der einen Netzwerkseite auf die andere übertragen wird, also auf einen so genannten Proxy.

Der auf den Rechner zugreifende Benutzer hat den Eindruck, dass die Kommunikation zwischen ihm und dem Serverprozess auf einem Zielrechner stattfindet. Die Kommunikation findet jedoch über einen Proxy statt. Der Proxy fungiert als Stellvertreter, welcher als Vermittler zwischen beiden Seiten agiert, so dass real keine Verbindung zwischen dem Besucher und dem Zielrechner stattfindet. Jeder sich auf dem „Application Gateway“ befindende Proxy kann für den Dienst, für welchen er zuständig ist, dem Benutzer noch weitere Sicherheitsdienste zur Verfügung stellen. Auf Grundlage des Wissens um den Zusammenhang eines besonderen Dienstes sowie den jeweiligen eingesetzten Proxy können sich zudem zahlreiche Protokollierungs- und Sicherungsmöglichkeiten ergeben.

Der Vielzahl angebotener Dienste entsprechend stehen anwendungsspezifische Gateways zur Verfügung wie zum Beispiel für http und e-Mail.

Ein Höchstmaß an Sicherheit garantiert ein aus mehreren Firewall-Konzepten zusammen gestelltes High Level Firewall System.

Circuit Relay
Beim dem Konzept des Circuit Relay wird mit zwei Routern, einem Subnetz, einem als Verbindungspartner dienender Host sowie einem internen und externen Router die Kommunikation abgewickelt. Zwar ist dieses Konzept mit dem Konzept Packet Filter durchaus vergleichbar, jedoch findet die Arbeit auf höherer Ebene des Protokollstacks statt. Sobald ein Rechner eine Verbindung aufbauen möchte, muss beim Host eine Anmeldung erfolgen. Ferner muss die Zugriffsberechtigung nachgewiesen werden, wodurch über einen externen Anwender keinerlei Rückschlüsse auf Netzstrukturen möglich sind.

Datenpaketfilterung
Bei der Datenpaketfilterung handelt es sich um das einfachste Firewall-Konzept. Bei dieser Konfiguration erfolgt sowohl für ein- als auch ausgehende Datenpakete auf der Netzwerkschicht, der Sicherungsschicht sowie auf der Transportschicht eine Kontrolle und Analyse auf Grundlage einer Tabelle. Durch den Paketfilter erfolgt eine Interpretation der Datenpaket-Inhalte sowie eine Verifizierung dahingehend, ob die in den Headern enthaltenen Daten auch den festgelegten Regeln entsprechen. Packet Filter werden in die Leitung transparent eingefügt.

[ Zurück zum Anfang ]