Firewallkonzept der GWDG (Einsatz auch für Max-Planck-Institute !?)

Gesellschaft für wissenschaftliche Datenverarbeitung mbH Göttingen

Am Fassberg, 37077 Göttingen

Fon: 0551 201-1510 Fax: 0551 [email protected] www.gwdg.de

von

Firewallkonzept der GWDGFirewallkonzept der GWDG(Einsatz auch für Max-Planck-Institute !?)(Einsatz auch für Max-Planck-Institute !?)

Andreas Ißleiber

2

Firewallkonzept der GWDG Firewallkonzept der GWDG (Notwendigkeiten)(Notwendigkeiten)

Dienstleistungsangebot der GWDG für Institute Schutz des gesamten GÖNET sowie aller Institutsnetze

vor Angriffen von Aussen Absicherung der Institutsnetze untereinander Prävention bei Viren,Trojaner sowie Hacker-Angriffen

aus dem Intra- und Internet Ablösung der bestehenden ACLs der zentralen Router Vereinfachung der ACLs (statefull inspection FW) Ausfallsicherheit: Aufbau von redundanten Systemen

3

Firewallkonzept der GWDG Firewallkonzept der GWDG (Auswahlkriterien)(Auswahlkriterien)

1) Einheitliches Management

2) Mehrmandantenfähigkeit

3) Fähigkeit zur Redundanz, Loadbalacing

4) Hoher Durchsatz

5) Einfache Regelstruktur (leicht erlernbar)

6) Transparenter Mode (Stealth Mode)

7) Einfache Integration in bestehende Netzwerkstruktur

8) Logging (syslog)

9) Kombination mit Viruserkennung

10) Erweiterbarkeit

11) Preis

Fett = Muß-KriterienNormal = Kann-Kriterien

4

Firewallkonzept der GWDG Firewallkonzept der GWDG (Firewallanbieter)(Firewallanbieter)

CISCO FWSM (Firewall Service Modul) gute Integration

CISCO PIX zu wenig Interfaces(VLANs)

Checkpoint Firewall-I sehr hoher Preis

Checkpoint Appliance (NOKIA,SUN) sehr hoher Preis

Fortigate (Fortinet) Probleme im Testbetrieb (GWDG)

Sonicwall zu geringe Performance

5

Firewallkonzept der GWDG Firewallkonzept der GWDG (Auswahl)(Auswahl)

Ergebnis:

Entscheidung für CISCO FWSM (FireWall Service Modul)

Begründung:

1) Gute Integration in bestehenden Struktur 2) Mehrmandantenfähigkeit3) Redundanz4) Transparenz (Stealth Mode)5) (bereits bekanntes) Management

Was ist mit der Grundregel, möglichst zwei unterschiedliche Hersteller von FWs einzusetzen ? (Beispiel: Checkpoint & CISCO FWSM)

Prinzipiell Ja: Im vorliegenden Fall aber nicht sinnvoll, da unterschiedliches Management, mangelnde Integration in Netzumgebung, zu hoher Preis es nicht rechtfertigen

?!

6

Firewallkonzept der GWDG Firewallkonzept der GWDG (Ein zweistufiger Ansatz)

Schutz des gesamten GÖNET sowie aller Institutsnetze vor Angriffen

Absicherung der Institutsnetze untereinanderPrävention bei Viren,Trojaner sowie Hacker-Angriffen aus

dem Intra- und Internet

Zie

l

Die GWDG verfolgt ein zweistufiges, Konzept bestehend aus …

1.) Zentrale Firewall (First Level Firewall, CISCO Firewall Service Modul)

Rea

lisie

run

g

Diese Firewall befindet sich am Übergabepunkt zwischen G-WIN und GÖNET

Bei neuen Angriffsvarianten, kann ein Schutz sehr schnell an zentraler Stelle für alle Institute durch Basisregeln aufgebaut werden

Die Basisregeln haben für das gesamte GÖNET Gültigkeit

7

Firewallkonzept der GWDG Firewallkonzept der GWDG (Ein zweistufiger Ansatz)

Die dezentralen Firewalls befinden sich an den entscheidenden vier Knotenpunkten des GÖNET

Die Firewalls sind als Zusatzmodule direkt in die GÖNET-Router integriert

Die Module können werden an netzwerktechnisch entscheidenden Orten eingesetzt

Vorhandene Infrastruktur der Router (redundante Anbindung, redundante Netzteile, USV) ist gleichzeitig für die Firewalls nutzbar

Institutseigene Firewall ist nicht mehr erforderlich

2.) Dezentrale Firewalls (Second Level Firewall, CISCO Firewall Service Modul)

Rea

lisie

run

g

8

5

1Zentrale, schnelle Firewall für den grundlegenden Schutz des gesamten GÖNET (first Level Firewall)

GÖNET-Backbone-Router4

Durch zusätzliche, dezentrale Firewall geschütztesInstitut. Hohe Sicherheitsstufe bestehend aus Kombination von First level & second Level Firewall

5

Institut ist durch die zentrale Firewall mit einem Basisregelsatz geschützt ist.

Dezentrale Firewalls sind in die Backbone-Router integriert (second Level Firewall)

2

Internet

4

GÖNET

zentrales Firewall-Managementbei der GWDG

Institut

Institut

1

Bereich mit hohem Schutz(second Level)

Bereich mit hohem Schutz(second Level)

Bereich mit mittlerem Schutz

(first Level)

Bereich mit mittlerem Schutz

(first Level)

2

7

Zentrale Administration der Firewalls, integriert in ein bestehendes Netzwerkmanagement

3

Internet-Router3

6

7

6

Legende …

Firewallkonzept der GWDG Firewallkonzept der GWDG (Integration im GÖNET)

9

Firewallkonzept der GWDG Firewallkonzept der GWDG ((Virtuelle Firewall & Administration)

GÖNET RouterCISCO 6509

FWSMFireWall Service Modulemit virtuellen Firewalls (FW)

Institut BInstitut A

Virtuelle Firewall mit Regelsatz B

Virtuelle Firewall mit Regelsatz B

Virtuelle Firewall mit Regelsatz A

Virtuelle Firewall mit Regelsatz A Zzgl.

BasisregelnZzgl.

Basisregeln

Zentrale Firewall mit Basisregeln

Zentrale Firewall mit Basisregeln

FirewallAdministrationdes Instituts B

FirewallAdministrationdes Instituts A

Jede institutsspezifische Firewall ist durch eine „virtuelle“ Firewall auf dem FWSM abgebildet

Virtuelle FW´s erlauben eine getrennte, autonome Administration der Firewallregeln für das jeweilige Institut

Komplettschutz• Alles von Innen nach Außen ist erlaubt• Alles von Außen nach Innen ist verboten

Zugriff auf interne Server• Alles von Innen nach Außen ist erlaubt• Zugriffe auf interne Dienste von Außen

sind erlaubt• Alles Andere ist verboten… Weitere Regelsätze …

Die GWDG kann zusätzlich alle virtuellen Instituts-Firewalls zentral administrieren

Realisierung durch CISCO FWSM (FireWallServiceModul), integriert in allen GÖNET CISCO Routern (6509)

Die GWDG stellt vordefinierte Regelsätze für die virtuellen FWs zur Verfügung:

Internet

10

Firewallkonzept der GWDG Firewallkonzept der GWDG ((Failover & Redundanz)

1

Kommunikationsweg bei einer logischen oder physischen Unterbrechung der Strecke zwischen Institut und Die Verbindung läuft hierbei über die redundanten Backbone-Router des GÖNET, wobei der Schutz der Institutedurch die Firewall(s) bestehen bleibt

Kommunikationsweg zwischen Institut und im störungsfreien Betrieb

2

Internet

Institut

Legende …

1

2

A

B

A B

A B

Institut

11

Firewallkonzept der GWDGFirewallkonzept der GWDG (CISCO FWSM, Features)

Als Modul in bestehende CISCO Router integrierbar Nahezu gleiche Konfiguration wie PIX-Firewalls Variable, große Anzahl an Interfaces (VLANs) Hoher Durchsatz <= 6 GBps Management IOS- sowie webbasiert durch PDM Betrieb im transparenten, oder Routed-Mode Multiple security contexts (Mehrmandantenfähig) Special Features:

• ARP Inspection• DNS Guard• Flood Guard• Frag Guard• ICMP Filtering• Mail Guard• TCP Intercept• Unicast Reverse• Path Forwarding

12

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Funktionsprinzip)

FWSM

Internet

InternDMZ

Intern2VLAN20

VLAN30

VLAN10

Switch (65xx)

VLAN1

Switching-engine

VLAN1: Kommunikation zwischen FWSM und Switch

VLAN10,20,30: Interne Netze durch VLANs getrennt

…

VLAN10,20,30: VLANs können, … müssen aber nicht an physikalische Interfaces gebunden sein

VLANxx

13

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Funktionsprinzip)

Position des FWSM und der MSFC (Multilayer Switch Feature Card)

Routing zwischen VLANs 301,302,303 ohne

Nutzung des FWSM

ACLs zwischen VLANs 201,202,203 bestimmen

den Verkehr

14

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Modes)

Zwei grundlegend unterschiedliche Modi für das FWSM möglich

1.) Routed Mode FWSM übernimmt das Routing ACLs zwischen VLANs FWSM-Interfaces bekommen

IP-Adresse VLAN1=SVI

(Switched VLAN Interfaces) i.d.R. NAT nach Außen FWSM

Internet

VLAN1

IP: 192.168.10.1Mask: 255.255.255.0Default GW: 192.168.10.254


192.168.10.0/24 192.168.20.0/24

192.168.30.253

192.168.30.254

192.168.20.254(VLAN 3)192.168.10.254

(VLAN 2)

Default route des FWSM

192.168.30.254

15

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Modes)

2.) Transparent Mode Stealth mode Gleiches Netz hinter und! vor

der Firewall Vorteil: wenig Änderungen an

bestehender Struktur IP-Adressen werden nicht

verändert (kein NAT) Eine IP für das Management

der Firewall Nur ein inside & ein outside

Interface

FWSM

Internet

VLAN1



192.168.10.0/24 192.168.20.0/24

192.168.20.254(VLAN 3)

192.168.10.254(VLAN 2)

VLAN 2

VLA

N 3

192.168.20.253(Management IP)

inside

outside

16

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Context)

Context erlaubt die Unterteilung in virtuelle Firewalls Jeder Context kann eigenständig administriert werden Voneinander getrennte, eigene Konfigurationsdatei pro Context Jeder Context

bekommteigenes VLAN

Zuweisung von Ressourcen proContext möglich

per default, zweiContexts verfügbar

17

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, NAT)

Unterschiedliche NAT/PAT Verfahren:

• Dynamic NAT• PAT• Static NAT• Static PAT• Bypassing NAT, Exemption

18

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Dynamic NATDynamic NAT)

Dynamisches NAT IP Pool mit ext. Adressen local pool global pool

Internet

192.168.20.1

192.168.20.0/24

192.168.20.254

NAT Pool: 134.76.10.1-20

192.168.20.2

dyn. NAT

134.76.20.55

192.168.20.1

134.76.10.1 134.76.10.2

192.168.20.2

19

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, PATPAT)

PAT n 1 Lokaler IP-Pool (n)

nach Außen mit z.B.einer externen IP-Adressesichtbar

Internet

192.168.20.1

192.168.20.0/24

Single IP 134.76.10.1

192.168.20.2

PAT

134.76.20.55

192.168.20.1

134.76.10.1 134.76.10.1

192.168.20.2

20

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Static NATStatic NAT)

Statisches NAT n n, 11 Jede lokale Adresse mit

exakt einer globalen Adresse sichtbar

Internet

192.168.20.1

192.168.20.0/24

NAT Tabelle:192.168.20.1 134.76.30.56192.168.20.2 134.76.30.78

…

192.168.20.2

Static NAT

134.76.20.55

192.168.20.1

134.76.30.56 134.76.30.78

192.168.20.2

21

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Port Redirect)

Port Redirection Bsp: Umleitung

zu einem Web-Proxy

Internet

192.168.20.1

192.168.20.0/24

192.168.20.2WWW Proxy Server

redirect

134.76.20.55

WWW zu 134.76.20.55

redirect zu 192.168.20.2

Verbindung zu 192.168.20.2

22

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, bypassing NATbypassing NAT)

Kein NAT Quell- & Zieladresse

bleiben unverändert Quell- & Zielport

bleiben unverändert Bsp.: PC baut direkte

Verbindung zu PC aufACLs bleiben aktiv

Internet

192.168.20.1255.255.0.0

Inside192.168.20.0/24

192.168.30.50255.255.0.0

134.76.20.55

DMZ192.168.30.0/24

1

1

2

2

NAT

23

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Management)

Management der Firewall durch: IOS

• commandline• ssh• telnet (nur inside)• console (seriell)• Über den Catalyst (Switch)

Web-basiert• PDM Pix Device Manager• mittlerweile gute Alternative zur Commandline

https://134.76.105.253/

24

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Beispielkonfig.)

Konfigurationsbeispiele:

Internet

192.168.100.1255.255.0.0

(Inside)192.168.100.0/24

192.168.200.1255.255.0.0

134.76.10.47 (www.gwdg.de)

(DMZ)192.168.200.0/24

(1)

NAT

RDP-Server WebServer

Servernetz

134.76.20.0/24

192.168.100.254(inside)

134.76.105.253(outside)

134.76.105.254

192.168.200.254(DMZ)

1) Server (1) soll vom Servernetz viaRDP erreichbar sein (ext.IP:134.76.106.1)

(2)

2) Server (1) soll von überall als Webservererreichbar sein

3) Server (1) soll lediglich eMails verschicken könnensowie den Webserver (www.gwdg.de, Port 80) erreichen

4) Server (2) soll Server (1) als DNS Server„befragen“ können

5) Server (1) soll sonst keine weiteren Verbindungen nach Außen aufbauen können

RDP (3389)SMTP(25)

http,80

DNS,53(udp)

http,80

deny

http://www.gwdg.de/

25

Firewallkonzept der GWDGFirewallkonzept der GWDG (FWSM, Beispielkonfig.)

Konfigurationsbeispiele:

1) Server (1) soll vom Servernetz viaRDP erreichbar sein (ext.IP:134.76.106.1)

2) Server (1) soll von überall als Webservererreichbar sein

3) Server (1) soll lediglich eMails verschicken können sowie den Webserver (www.gwdg.de, Port 80) erreichen

4) Server (2) soll Server (1) als DNS Server„befragen“ können

5) Server (1) soll sonst keine weiteren Verbindungen nach Außen aufbauen können

1) names2) name 134.76.20.0 Servernetz3) name 192.168.100.1 server14) name 134.76.10.47 webserver5) name 192.168.200.1 Server2

6) pdm location server1 255.255.255.255 inside7) pdm location Servernetz 255.255.255.0 outside8) pdm location webserver 255.255.255.255 outside9) pdm location Server2 255.255.255.255 dmz

10) nat (dmz) 0 access-list dmz_nat0_inbound outside11) nat (inside) 0 access-list inside_nat0_outbound12) static (inside,outside) 134.76.106.1 server1 netmask

255.255.255.255 13) access-group dmz_access_in in interface dmz14) access-group inside_access_in in interface inside15) access-group outside_access_in in interface outside

16) access-list inside_access_in extended permit tcp host server1 Servernetz 255.255.255.0 eq 3389

17) access-list inside_access_in extended permit tcp host server1 any eq smtp

18) access-list inside_access_in extended permit tcp host server1 host webserver eq www

19) access-list outside_access_in extended permit tcp any host 134.76.106.1 eq www

20) access-list dmz_nat0_inbound extended permit ip host Server2 host server1

21) access-list inside_nat0_outbound extended permit ip host server1 host Server2

22) access-list dmz_access_in extended permit udp host Server2 host server1

http://www.gwdg.de/

26

Firewallkonzept der GWDGFirewallkonzept der GWDG (Erfahrungen)

Erfahrungen: Teilweise unterschiedliche Sichtweise einer Firewall im Vgl. zu anderen

Herstellern Längere Einarbeitungszeit erforderlich Bei Vorhandensein von CISCO Routern, fast keine Alternative zum FWSM

auf dem Markt Sehr gutes Commandline Interface (… klar => IOS) schwerwiegender Fehler in Firmware (SMTP Fixup „bug“)

Fazit:

Trotz einiger „Contra“ ist das FWSM als Firewall die richtige Wahl Bei größeren MPIs kann das CISCO FWSM eine geeignete Firewall sein GWDG kann hierbei entsprechende Dienstleitung geben (Planung,

Installation)

27

S

… Fragen… Fragen

Vielen Dank!Vielen Dank!

und Diskussionen!und Diskussionen!

Vortrag ist unter: …http://www.gwdg.de/forschung/veranstaltungen/workshops/security_ws_2004/index.html… zu finden

??

http://www.gwdg.de/forschung/veranstaltungen/workshops/security_ws_2004/index.html

Documents

Firewallkonzept der GWDG (Einsatz auch für Max-Planck-Institute !?)