Hallo Gemeinde,
ich habe ein Problem mit der conf meines Servers (Debian Etch 4).
Der Server hat 2 NIC’s, eine ist i.M. aktiv und für das “externe” (Webserver)
zuständig.
Nun möchte ich die 2. NIC in mein lokales Netz einbinden (schnellerer Zugriff
von Büro aus).
Zur Frage:
wie muss ich das einrichten damit ALLE services des Servers die “externe” NIC
benutzen, und NIC “intern” nur fürs LAN zusändig ist ?
Die Config die ich bisher habe (die Probleme u.a. mit Postfix macht):
#route:
Kernel IP Routentabelle
Ziel Router Genmask Flags Metric Ref Use Iface
localnet * 255.255.255.240 U 0 0 0 eth0
192.168.0.0 * 255.255.255.0 U 0 0 0 eth1
default port-87-193-155 0.0.0.0 UG 0 0 0 eth0
/etc/network/interfaces:
# The primary network interface
allow-hotplug eth0
iface eth0 inet static
address 87.193.155.X
netmask 255.255.255.240
network 87.193.155.X
broadcast 87.193.155.X
gateway 87.193.155.X
# dns-* options are implemented by the resolvconf package, if installed
dns-nameservers 213.148.129.10
dns-search xxx.de
allow-hotplug eth1
iface eth1 inet static
address 192.168.0.200
netmask 255.255.255.0
network 192.168.0.0
broadcast 192.168.0.255
danke für die Hilfe
Slacki
Hi!
Es gibt mind 2 Möglichkeiten:
– zum ersten kannst du alle Dienste umkonfigurieren, dass sie nur eth0 verwenden. Dies ist aber relativ aufwändig und du könntest einen oder mehrere Dienste “vergessen” Deshalb müsstest du also vom LAN aus nachsehen, ob alle Ports geschlossen sind.
– zum zweiten kannst du eine IP-tables-Regel setzen, die alle Zugriffe aus dem LAN auf den Server unterbinden.
Zweitere Variante ist definitiv schneller und auf lange Sicht, bei Nachinstallation von Diensten, besser geeignet.
Du kannst natürlich auch beide Varianten einsetzen. :-)
MfG
Christian
Weiterhin wäre noch zu bedenken, dass mit so einer Konstruktion die Möglichkeit besteht, eine hoffentlich vorhandene Firewall zwischen Internet und LAN zu umgehen. Bei einem erfolgreichen Angriff auf einen der Dienste des Servers besteht für den Angreifer freier Zugriff über die 2. NIC ins LAN. Ist die Bequemlichkeit dieses Risiko wert? Gibt es vielleicht schon Sicherheits-Richtlinien, die so etwas bereits untersagen?
nur so als Denkanstoss…
Günter