Firewall mit einer Netzwerkkarte?

[Jan S. (Gast)]

Hi,

theoretisch sollte das funktionieren wenn man die Firewall und das LAN 
virtualisiert (vm, tagged vlan switch) .. funktioniert das aber auch 
brauchbar in der Praxis?

[ukt (Gast)]

Eine Firewall mit mehreren VLANs pro LAN-Schnittstelle ist absolut 
üblich und natürlich funktioniert das. Ob man das nun virtualisiert oder 
nicht, ist dafür auch erstmal egal. Es gibt jedoch durchaus den 
Standpunkt, dass man Firewalls nicht virtualisieren sollte, weil der 
Netzwerk-Stack der Virtualisierungslösung eine zusätzliche Schwachstelle 
bedeuten kann.

[Horst (Gast)]

Ja, das geht.
Mit VMs sogar ganz ohne physikalische Netzwerkkarten.

[Andre (Gast)]

Ja das geht. Dann hängt aber alles davon ab ob der Switch dahinter 
sauber konfiguriert ist. Ich würde immer mindestens zwei Karten 
einsetzen und LAN & WAN sauber getrennt halten. Im internen Netz dann 
gerne mit VLAN & Co weiter.
Falls das in einer VM laufen soll, Intel hat preiswerte dual oder Quad 
Port Gigabit Karten. Die kann man als ganzes (PCI Passtrough) an die VM 
durchreichen, dann ist das auch gut vom Host getrennt.

[(prx) A. K. (prx)]

Verwendet man nur einen Switch und trennt LAN/WAN darin mit VLANs, ist 
man völlig von der Sicherheit des Switches abhängig. Und von Netgear bis 
Cisco gibts immer mal Löcher, nicht immer zeitnah gestopft. Deshalb 
trennen.

Ich hatte mal mit einem Switch zu tun, von einem der Big Names, der zwar 
ARP in den VLANs trennte, nicht aber das MAC Forwarding. Kannte man die 
MAC Adresse, kam man in alle VLANs.