Das total sichere Netzwerk!

    Hallo Leute.
    Hatte schon lange (ca. 2 Jahre lang?) nach einer guten Lösung zum Absichern des eigenen PC's gesucht, jetzt habe ich was gefunden und ich bin SEHR begeistert.
    Kostet nix, hat Virenscanner für Web und Mail, Spamfilter für Mail, Contentsfilter für Web, IDS, ist auch in deutsch u.a.
    Nur das Beste: Snort, AMaViS, SpamAssassin, ClaimAV, DansGuardian, OpenVPN u.a.
    Und alles auf einem ISO oder in einer VMware-Session. Eingerichtet in einer halben Stunde. (Wenn man weiss, was man tut ;)) Und es funktioniert auf Anhieb.


    Das Ganze nennt sich "Endian Firewall".
    Ist ein Derivat von IPCop, also fast eine "richtige" Firewall.



    Hier meine Tips:
    - VMware-Player oder VMware-Server von "www.vmware.com" runterladen und installieren
    - fertige VMware-Session von "http://www.endian.com/en/community/download/iso/" holen und in einem Verzeichnis ablegen und entpacken.


    Ein PC hat ja normalerweise eine Netzwerkkarte. ;); mit dem er ins Internet geht. Um die Verbindung PC <-> Internet zu schützen, muss man was dazwischen schalten (in Reihe).
    Also wird die "normale" Netzwerkkarte mit dem Firewall-Eingang verbunden und der Firewallausgang mit dem PC.


    Anleitung hier für Windows, ist ja auch gefährdeter ;); für Linux geht das auch!:


    Und das geht so:
    Beim VMware wird die richtige Netzwerkkarte zum Internet (die zum DSL-Router; kann auch WLAN sein) fürs Bridging (vmnet0) eingerichtet, dies ist die Verbindung Firewall <-> Internet
    Damit der PC diese Verbindung nicht nutzen kann (er soll ja die Firewall nehmen), wird das IP-Protokoll in den Netzwerkeinstellungen der Karte entfernt. (Eigenschaften der Netzwerkkarte, Häkchen bei "Internetprotokoll (TCP/IP)" rausnehmen). Und alles andere außer "VMware Bridge Protocol" bitte auch, sonst nutzt das alles hier nicht viel.
    Der PC braucht eine Verbindung zur Firewall, dafür nehmen wir eine "Host-only"-Verbindung, z.B. vmnet2. Müsst etwas probieren, suchen, dann geht das schon. Bei mir hat diese Netzwerkkarte "VMware Virtual Ethernet Adapter for VMnet2" die IP-Adresse 172.20.123.2 / 255.255.255.0, nur TCP/IP aktiviert, als Gateway die 172.20.123.254, als DNS-Server auch die 172.20.123.254 (merkwürdig). Wer jetzt mitgedacht hat, der folgert daraus, dass der LAN-Port der Firewall die 172.20.123.254 hat. Richtig!


    Jetzt kommt das Nächste, die Anpassung der VMware-Session:
    Wir öffnen in VMware eine Session, suchen also die heruntergeladene Datei "EFW_Community_2.1.2.vmx", die vorher entpackt wurde.
    Die hat normalerweise mehrere Netzwerkkarten, wird brauchen nur 2. Also alle anderen entfernen.
    "Ethernet" wird auf "costum", "vmnet0" und "Ethernet 2" auf "costum", "vmnet2" gemappt.
    Da standardmässig das interne Interface der Firewall die IP 192.168.0.15 hat, fügt man bei der Netzwerkkarte "VMware Virtual Ethernet Adapter for VMnet2" z.B. die IP "192.168.0.100" hinzu, ansonsten können wir nicht zugreifen.


    Jetzt starten.
    Das Starten der VMware-Session dauert ca. 1-5 min, je nach Power des PC's. Man sieht ja bei VMware, wie weit das endian ist. Wenn dann ein Console-Fenster mit der Auswahl 0,1 oder 2 erscheint, kann man weiter machen.
    Dazu ein ping auf die 192.168.0.15, wenn das nicht geht, folgendes:
    Ping auf die IP des eigenen PC's, also auf 192.168.0.100, sollte klappen, ansonsten MS-Hilfe. Oder es sind evtl. die Netzwerkkarten der Firewall vertauscht, also VMware-Sitzung beenden, "Ethernet" wird zu vmnet2 und "Ethernet 2" wird zu vmnet0.
    Wenn Ping auf 192.168.0.15 i.O., dann Web-Browser öffnen und "https://192.168.0.15:10443" bzw. "https://192.168.0.15:8110" eingeben (Loginseite wird während der Installation angezeigt)
    Jetzt kann man alle möglichen Einstellungen vornehmen, als erstes natürlich die IP-Einstellungen vom LAN ("grün") und WAN ("rot").


    Habe gerade erst mit dem Teil angefangen, von daher evtl. noch ein paar Fehler u.a. in der Anleitung; aber Fragen erwünscht.

    MfG X-Men2
    Wer nicht die richtigen Fragen stellt, bekommt nicht die richtigen Antworten.

    Einmal editiert, zuletzt von X-Men2 ()

    hmm, hört sich kompliziert an....


    ich dachte, ich hätte auch ein sicheres netzwerk....


    router mit firewall, keine ports geroutet, wlan über wpa verschlüsselt,
    mac-adressenliste drauf, administration nur vom läppi aus möglich
    wenn ich meinen server administriere, mach ich das über ssl,
    samba aus, ftp aus, nfs an aber ohne norootsquash, sudo gibts nicht,
    ein paar kritische dienste sind aus, zugriffsrechte für den nfs-bereich sind generell auf ro (wenn ich was schreiben will, bin ich ja root),
    webinterfac nur über läppi möglich (https)
    ach ja läuft mit nem raid....
    auf meinem läppi ist der rootaccount secret.....
    sudo über die sudoers eingeschränkt
    meine dream mountet die ro-verzeichnisse und gibt über nfs die hdd fürs lesen frei
    wenn ich meine 2. dream habe, werde ich diese ohne festplatte betreiben und die platte meiner 1. dream zum schreiben freigeben (o.k., geringes risiko, das jemand intern meine filme löscht aber die wichtigen liegen eh geschnitten auf dem server)


    also selbst wenn mein weibchen eine verseuchte mail öffnet und es soolte wider erwartens ein linux-wurm drin sein, wird das für den wurm sehr schwierig, auf was anderes als home zu schreiben....
    und ich krieg ne email, wenn da was versucht wird.....

    Das denke ich auch. Allerdings gibt es sowas wie ein total sicheres Netzwerk nicht. Man kommt immer rein, ein wenig Zeit und ein Großangriff über mehrer (verdeckte) Rechner. Nur die Frage ob sich der Aufwand in ein privates Netzwerk überhaupt lohnt. Am Ende reicht ein Router mit NAT und ein vernünftiger Umgang mit dem web, AntiVir Programme und ner Software Firewall vollkommen aus um 98% der Privatanwender zu schützen. Ich hatte seit 6 Jahren keinerlei Probleme mit Würmer oder sonstiges. Viren gibt es eh kaum noch...

    Ich mein ja auch nicht die Angriffe von draussen, das funktioniert ja auch meistens. Obwohl es da Möglichkeiten gibt... Machen sich aber nur die Wenigsten den Aufwand.
    Es geht mir hier um Spam-Mails, Viren und Trojaner. DAS ist heutzutage das Problem.
    Lasst mal über eure Windows-PC's (für Linux gibt es auch etwas) einen Trojan-Scanner, root-Kit-Scanner o.ä. laufen. Ein Virenscanner findet meistens keine Trojaner/Würmer o.ä. Daneben landen die Viren erst einmal auf dem PC und werden erst beim Zugriff auf die Festplatte (!!!, da sind sie aber dann auch schon!) gefunden.
    Und haben euch nie die Werbe-Banner, Popups u.a. gestört?


    Ich glaube so langsam, das ist vielen hier egal, Hauptsache Filme glotzen. Da verschwende ich hier wohl meine Zeit...

    MfG X-Men2
    Wer nicht die richtigen Fragen stellt, bekommt nicht die richtigen Antworten.

    schön und gut . aber das zieht an den ressourcen des pc´s ..


    da is ne hardwarelösung 10mal gscheiter ..


    fli4l kann ich auch sehr empfehlen ..

    Natürlich ist eine externe Hardwarelösung besser. Frist aber Strom und erzeugt Geräusche. Und fli4l hat bestimmt nicht Dansguardian und einen Virenscanner für Web, FTP und Mail. Geschweige denn Snort. Proxy auch nicht. Höchstens mit Festplatte. Fli4l ist nicht gescheit! Das kann jeder Baumarkt-Router besser.

    MfG X-Men2
    Wer nicht die richtigen Fragen stellt, bekommt nicht die richtigen Antworten.

    es gibt zig opts für fli4l .. config ist easy cheesy .. extremst kleines system .. was will man mehr? . .



    edit:
    natürlich kannst auch fli4l in ner vm laufen lassen :winking_face:

    Was ich will?
    CD einlegen, Enter drücken, und nach einer Weile ist alles richtig eingerichtet. Und nicht monatelang nach Plugins suchen, danach feststellen, dass man einen PC mit viel Speicher und Platte braucht und und und.
    Und dann immer noch einiges fehlt. Die meistens Firewall-Distries bieten nicht alles, was man gebrauchen kann. Habe schließlich einige Zeit (!!!) x verschiedene Sachen getestet. Und nebenbei, ich arbeite in der Branche.

    MfG X-Men2
    Wer nicht die richtigen Fragen stellt, bekommt nicht die richtigen Antworten.

    Einmal editiert, zuletzt von X-Men2 ()

    Zitat

    Original von X-Men2
    Was ich will?
    CD einlegen, Enter drücken, und nach einer Weile ist alles richtig eingerichtet.


    Zitat

    Original von X-Men2
    Und nebenbei, ich arbeite in der Branche.



    widerspricht sich -- nebenbei .. ich auch

    Das wollen aber die meisten!
    Klar, wenn es sicher sein soll, ist viel Handarbeit nötig (einige Stunden/Tage und mehr), aber fli4l ist garantiert nicht für Firmen und unbedarfte (also keine Linux-Freaks) machbar.
    Kann auch nicht annähernd dem Endian-Komplett-Paket das Wasser reichen.
    Welcher Windows-Admin soll beim fli4l eine Paket-Regel ändern können? Keiner. Wie einen transparenten Pop3-Proxy mit Spam-Schutz und Virenscanner einrichten? Die wollen alle Web-Zugriff über IE. Deshalb die Infos zur Endian-Firewall. Damit jeder, der wenigstens etwas von der Materie versteht, ein sicheres System aufbauen kann. Was nutzt den meisten ein sicheres System, dass sie nicht bedienen können? Nichts, da sie das Teil sowieso falsch konfigurieren und damit nur eine vorgetäuschte Sicherheit haben.

    MfG X-Men2
    Wer nicht die richtigen Fragen stellt, bekommt nicht die richtigen Antworten.

    Einmal editiert, zuletzt von X-Men2 ()

    wenn du angst vor rootkits und troyanern hast, installier dir linux,
    richte dir nen mail bzw. internetuser ein, beschränke die zugriffsrechte und gut ist


    je nach dem wie paranoid man ist, kann man auch ne chrot-umgebung einrichten


    gibts ein wiki-how-to zu und gut ist.


    aber ein beschnittener user reicht m.e. aus

    ah, da isser ja wieder, diesen beitrag hatte ich tatsächlich erfolglos gesucht und dachte schon, dass hier vielleicht von zeit zu Zeit was verschwindet.
    Weil ich ihn nicht gefunden hatte, habe ich damit einen neuen Thread aufgemacht, obwohl ich eigentlich hier sehen wollte, denn hier passt es.


    bundestrojaner


    grundsätzlich denke ich auch, dass Nutzer Unixoider Betriebssysteme im Vorteil sind, besonders wenn sie sich die SW die sie nutzen auch noch ansehen. Das werden die wenigsten tun, trotzdem gibt es Mittel und Wege, sehr einfach ein System aufzubauen, das Richtung Internet und ausführbarer SW recht sicher ist. Feindliche Angriffe können dann immer noch stattfinden, meist werden Szenarien entworfen, wo Programmfehler es Angreifern erlauben, sich als Systembekannter User, vielleicht sogar SuperUser zu maskieren. Sollche Fehler werden aber in der regel sehr schnell gefunden und sind meiner Ansicht nach nur interessant, wenn der PC auch offen genug ist. Schon das Begrenzen auf die wirklich beötigten Ports dürfte hier sehr gut helfen.

    In meinen Beiträgen gehe ich grundsätzlich davon aus, dass ein unixoides Betriebssystem genutzt wird und alles, was ich zur Funktion von Boxen sage, bezieht sich stets auf die DM 7000 und gibt nur meinen derzeitigen Wissenstand wieder!

    Zitat

    Original von X-Men2
    , aber fli4l ist garantiert nicht für Firmen und unbedarfte (also keine Linux-Freaks) machbar.


    Nein? Bei einem Kunden habe ich damit 5 Filialen an den Hauptsitz angebunden. Und zwar als Bridge. Paketfilter hält, die Dinger laufen 24/7.


    Wo ist das Problem?

    Ja, ist schon ne Philosophiefrage, welche Firewall die Beste ist.
    Meiner Meinung nach kann das jeder für sich selbst entscheiden :)


    Interessant finde ich an der hier besprochenen Lösung die Integration mit VMware. Hier hab ich ne Firewall, die auf meinem Rechner mitläuft, meine Resourcen kaum belastet, auch in der Lage ist, mehrere Rechner anzubinden und die sich einfach auf weitere Maschinen übertragen läßt.

    DM7000, DM5620, DM500S, DM500C
    Gemini 4.20,

    toppi
    Ich habe auch mal für eine Firma einen fli4l genommen, da ich kurzfristig was besseres wie Windows brauchte.
    Das Problem liegt doch im Support. Wenn du nicht mehr willst, wer soll dann die Firma betreuen? Die sind dermaßen auf dich angewiesen, dass du (fast) jeden Preis verlangen kannst. Was machen die, wenn mal etwas konfiguriert werden soll und du bist nicht erreichbar? Die meisten Admins von Firmen können doch nicht mal das Wort "Linux" schreiben. Also steht die Firma still, wenn es Toppis Hand so will!



    Antwort an die anderen:
    Tatsache ist doch aber, dass die meisten Windows/IE/Outlook nutzen, nicht wissen, wie man unnötige/gefährdete Dienste abschaltet und deshalb gefährdet sind.


    Da bietet sich doch so eine flexible Lösung Endian/VMware geradezu an. Einmal eingerichtet, kann sie als VMware-Image auf jedem Windows/Linux-Rechner importiert und genutzt werden, bei dem man VMware installieren kann.


    Und vergesst bitte nicht, das das Teil einen Spam-Filter und Virenscanner für Web und Mail schon inklusive hat!
    Klar, wenn jemand 100 oder mehr Stunden Zeit hat (geh mal davon aus, dass man davor noch keine Ahnung davon hatte), kann er sich ein sicheres System einrichten. Aber gibt es hier jemanden, der was sicheres wie IPcop programmieren kann??? Und mal ehrlich, 1/2 Jahr Urlaub und ihr wisst noch, wie was in welcher Konfig-Datei eingerichtet war? Wer jetzt ja sagt, der lügt.

    MfG X-Men2
    Wer nicht die richtigen Fragen stellt, bekommt nicht die richtigen Antworten.

    Hi,


    X-Men2


    Du siehst das zu kompliziert. Fli4l wird über eine realtiv einfache Konfigurationsschicht konfiguriert. Jeder der Grundkenntnisse hat, sollte damit zu recht kommen. Der Fli4l ist kein Geheimnis. Der ist super dokumentiert. Die lokalen Admins vor Ort kommen auf jeden Fall sehr gut damit zu recht :winking_face:

    Guten Morgen zusammen!


    Der Fli4l ist doch diese Linux Firewall, die auf eine Diskette passt, oder? ich bin normaler Windows User, nutze bis jetzt ne Softwarefirewall und Virenprogramm.


    Ich fand den Thread sehr interessant, aber für die Fli4l Lösung brauche ich doch nen eigenen PC mit 2 Netzwerkkarten den ich dann vor den Windows PC stelle, oder?

    Ja,


    brauchst Du. Es reicht aber ein steinaltes Teil. Geht sogar ein 486er :winking_face:


    Allerdings sollte man dann über den Stromverbrauch nach denken. Ich selbst lasse hier den Fli4l auf einem Thinclient laufen. Verbraucht ca. 14 Watt. Das ist so gut wie nix, denn dafür tut er aber auch ne ganze Menge, wie z.B. Faxe empfangen, ne Capi fürs ganze Netz bereit stellen und alle Anrufe am Fernseher über die Dreamboxen anzeigen. Solte DSL aus fallen, kann ich immer noch über ISDN ins Netz. Es gibt sogar die Möglichkeit, dann UMTS zu nutzen, das hab ich mir aber noch ned angeschaut.


    Es ist ähnlich wie bei der Dream. Es kümmert sich ne supergute Community drum und wenn man will, hat man immer was zum basteln :)