LAN gegenüber Heimserver absichern

[Pat]

Hiho,

Ich würde gerne zuhause einen kleinen Server für Kalender, Mini-Homepage, etc betreiben. Im Moment habe ich das alles auf dem NAS, welches eine interne IP hat wie alle anderen LAN-Rechner auch, und dann leite ich auf dem Router so 2-3 Ports ans NAS weiter.

Das ist mir aber für meine Daten zu unsicher, v.a. da ich gerne nun auch HTTP und Mail ins Inet exponieren würde. Ich werde also mein NAS als Datenspeicher intern verwenden und einen zweiten kleinen Server mit HTTP, Mail etc laufen lassen. Dieser soll getrennt vom restlichen internen Netzwerk sein! Sprich, wenn einer meinen HTTP-Server hacken würde, soll er unter keinen Umständen Zugriff in mein internes Netz erlangen können.

Variante #1 wäre wohl, den HTTP-Server in eine DMZ zu packen. Nun hat mein Router NBG-419N wohl nur eine "Exposed Host" Funktion, auch wenn sich das DMZ schimpft (siehe zB http://www.heise.de/netze/artikel/DMZ-selbst-gebaut-221656.html). Ein Router mit "richtigem" DMZ-Port ist wohl teuer, und die CT Lösung mit 2 Routern gefällt mir irgendwie nicht bzw ist mir mit den Firewall-Regeln + doppeltes NAT bissl zu kompliziert.

Variante #2: Ich habe entdeckt, dass mir mein Kabel-Provider (Cablecom) 2 (dynamische) IPs zur Verfügung stellt, nicht nur eine. Stelle mir das so vor:

Cablemodem --> Switch1 port1 --> Router mit WAN-IP1  --> Switch2  --> Alle LAN-Rechner+NAS.
                       port2 --> HTTP Server mit IP2

Wäre die Lösung sicher, oder würdet ihr etwas anderes empfehlen?

Edit: Hab nochn Bild angehängt, da sieht mans besser.

 

[HighTech-Freak]

Variante #2 ist gut, hat aber zwei Haken: Du musst den HTTP-Server irgendwie absichern. Entweder über eine dedizierte Firewall oder einen Router mit NAT & Firewall oder eben über eine vernünftige software-firewall (was bei *nix ja kein Problem darstellen sollte). Der zweite Schwachpunkt ist die langsamere Kommunikation (FTP-BackUp oder so) zwischen NAS und dem HTTP-Server, da dieser über Switch 1 läuft, und damit über den Router mit IP1 (je nach Router-Performance kommt dann weniger oder mehr durch die Leitung...).

MfG, Thomas

 

[Pat]

Sollte beides kein Problem sein, super. Dass beide hinter der selben MAC vom Modem ist kein Problem?

Ist das generell zu empfehlen was ich vor hab, also sprich kommen dann irgendwelche russischen DOS attacken und legen mein Internet lahm oder so wenn ich pech hab? Also lieber einen Server mieten, oder ist mein Vorhaben unproblematisch?

Danke,
Lg

 

[HighTech-Freak]

Nein, die MAC-Adresse vom Modem interessiert im WWW niemanden.
Bezüglich Sicherheit: Also ich hab eine Static-IP hier zu Hause und habe auch diverse Serverdienste laufen. Bis auf gelegentliche Port-Scans und -vermutlich automatisierte- Brute-Force Attacken auf den FTP gab's eigentlich nie was (und dafür gibt's Auto-IP-Ban).
Die Sache is die, wer "Consumer"-IP-Ranges scannt, ist meist ein Script-Kiddy und macht das idR zum Spaß bzw. sucht nach irgendwelchen Rechnern bei denen Port 443 offen is. Gezielte Attacken auf solche IP-Adressen sind extrem selten. Keine Scene interessiert sich für irgendwas mit <=5Mbit/s Upload. Da lohnt sich die Mühe nicht, den Server zu hacken, solange es genug schwach (oder garnicht) gesicherte Roots gibt mit 100Mbit/s symmetrisch, die von irgendwelchen "Spezialisten" (zB bei hetzner & Co) angemietet werden. Lediglich ein Mail-Server ist auch bei niedriger Bandbreite interessant. Der sollte halt vernünftig konfiguriert sein und softwaremäßig up2date. Mail-Server sollte allerdings nicht an einer dynamischen IP betrieben werden, wie es bei Dir der Fall ist. Da läufst Du leicht Gefahr, dass Dir Mails nicht zugestellt werden.
Was den HTTP-Server betrifft: Bei dem würde ich noch am ehesten vorsichtig sein. Die meisten Attacken im Web sind SQL-Injections, d.h. falls Du vor hast ein HTTP/PHP/SQL-Setup aufzuziehen solltest Du das auf jeden Fall entsprechend konfigurieren. Wenn Public-Access nicht unbedingt nötig ist, würde ich empfehlen die ganze Site mit einem Passwort zu schützen, bevor man überhaupt irgendwas angezeigt bekommt. Bei nginx geht das zB besonders leicht... kA wie's beim Apachen aussieht.

MfG, Thomas

 

[Pat]

Och super! Langen Post geschrieben, und dann

Dein Seitenaufruf konnte nicht verarbeitet werden, da das Securitytoken nicht mehr gültig war.

Bitte klicke auf "Zurück" und lade die vorherige Seite neu, bevor du fortfährst.

Alles weg..........................................

kurzform... :\

Hi Thomas,

Vielen vielen Dank für deine Mühe, super hilfreich für mich !

Meine dynamische IP ändert sich irgendwie so gut wie nie. Wie lange dauert es denn, wenn die IP mal ändern würde, bis das update von dyndns, den DNS server, dem Domain-Provider etc übernommen ist und ich wieder "live" wäre?

Erinnere mich gerade wehmütig an die Zeit vor 12 Jahren, wo man noch nach Ports 135-139 scannen konnte und bei jeglichen Firmennetzen Tür und Tor offen war

Lg
Pat

 

[HighTech-Freak]

Ja, das mit dem Security-Token kenne ich... ^^ Hat nicht erst einmal zu einem verbitterten Alt+F4 geführt.

Wenn sich deine IP selten ändert is egal. Nur unter dynamischer IP verstehe ich disconnect = neue IP. Wenn Du Kabel-Internet hast solltest Du aber eigentlich quasi eine fixe IP-Adresse haben. Die Kabel-Betreiber weisen die zwar per DHCP zu, man kriegt aber normal immer wieder die selbe. Nur wenn man was am Vertrag ändert und was umgestellt wird, muss ich meine DNS-Einträge ändern. (Ich habe UPC Austria aka Chello)

Naja, die Zeiten in denen die genannten Ports offen waren, sind vorbei... Die Netzwerkfreigaben mancher Leute... Noch besser, wenn der Drucker freigegeben war.

MfG, Thomas

 

[Pat]

Ja, genau so wie bei dir ist es bei mir auch. Ok, dann brauche ich ja eigentlich gar keine statische. Danke