Netzwerksicherheit und Übergang zum Internet: Paketfilterung, Stateful Packet Inspection, Demilitarisierte Zonen (DMZ) und Network Address Translation (SNAT vs. DNAT/Port-Forwarding).
📖 Fachtheorie & KMK-Prüfungswissen
1. Firewall-Generationen
- Paketfilter (Stateless): Prüft Pakete isoliert nur anhand von Header-Daten (Quell-/Ziel-IP, Quell-/Ziel-Port). Kann keine Antwortpakete legitimer Verbindungen erkennen.
- Stateful Inspection (Zustandsorientiert): Führt eine Zustandstabelle (State Table) aller aktiven TCP/UDP-Verbindungen. Eingehende Antwortpakete auf intern initiierte Anfragen werden automatisch zugelassen.
- Next-Generation Firewall (NGFW / Layer 7): Deep Packet Inspection (DPI), Intrusion Prevention System (IPS), Erkennung von Anwendungen unabhängig vom Port.
2. Die Demilitarisierte Zone (DMZ)
Ein separates Subnetz zwischen unsicherem Internet und geschütztem internen LAN. Öffentliche Dienste (Webserver, Mailserver, VPN-Gateway) werden in der DMZ platziert:
- Verkehr aus dem Internet darf NUR in die DMZ.
- Verkehr aus der DMZ in das interne LAN ist strikt untersagt! Falls der Webserver gehackt wird, hat der Angreifer keinen Zugriff auf interne Firmendaten.
3. NAT (Network Address Translation) & PAT
- Source NAT / PAT (Masquerading): Ermöglicht vielen privaten Clients (RFC 1918) den Internetzugang über eine einzige öffentliche IP-Adresse. Die Firewall unterscheidet die Verbindungen anhand dynamisch vergebener Quell-Ports (Port Address Translation).
- Destination NAT / Port Forwarding: Leitet eingehenden Datenverkehr von der öffentlichen IP auf einen internen Server weiter (z. B. öffentliche IP Port 443 -> interner Webserver 192.168.1.10 Port 443).
✍️ Authentische IHK-Prüfungsaufgaben mit Erwartungshorizont
DMZ-Architektur & Firewall-Regelwerk
8 Punkte
Ein Unternehmen betreibt ein internes LAN (192.168.1.0/24) und richtet eine DMZ (10.0.0.0/24) für einen Webserver (10.0.0.10) und einen Mailserver (10.0.0.20) ein. Die Verbindung wird durch eine Firewall gesteuert.
1. Erläutern Sie das fundamentale Sicherheitsprinzip für den Datenverkehr zwischen DMZ und internem LAN.
2. Formulieren Sie die Firewall-Regel (Quell-IP, Quell-Port, Ziel-IP, Ziel-Port, Protokoll, Aktion), um HTTPS-Zugriff aus dem Internet auf den Webserver zu erlauben.
💡 Didaktischer Erwartungshorizont & Punkteverteilung (nach KMK-Kriterien)
1. Sicherheitsprinzip DMZ zum internen LAN:
Verbindungen, die von Systemen aus der DMZ initiiert werden und in das interne LAN zielen, müssen von der Firewall strikt blockiert werden (Default Deny).
Begründung: Server in der DMZ sind aus dem Internet erreichbar und somit primäres Angriffsziel. Wird ein DMZ-Server kompromittiert, darf der Angreifer nicht als Sprungbrett in das interne Firmennetz gelangen. (4 Pkt.)
2. Firewall-Regel für HTTPS:
- Richtung: Inbound (Internet -> DMZ)
- Quell-IP: Any (Beliebig)
- Quell-Port: Any (Ephemeral Ports > 1023)
- Ziel-IP: 10.0.0.10 (Webserver)
- Ziel-Port: 443
- Protokoll: TCP
- Aktion: Permit / Allow. (4 Pkt.)