Internet LUFA. Topologiebeschreibung LUFA Speyer Gesamtübersicht. Co Location in einem RZ. LUFA Speyer Topologiebeschreibung Projekt Nr.

Transkript

1 Gesamtübersicht Server Intranet Wir empfehlen, aus Stabilitäts und Sicherheitsgründen die LAN Anwendungen auf zwei Server aufzuteilen: internetorientierte Anwendungen LAN orientierte Anwendungen. Seite 1

2 Wege Der Server arbeitet als uucp Sammelserver und als POP3/IMAP Server. Alle Mails an lufa speyer.de werden in einem uucp Spooler gesammelt und vom abgeholt. Es sollen einige Anti SPAM Filterungen durchgeführt werden (SPAM Assassin). Gewisse s steuern Robots auf dem System (). Auf dem System werden Mailinglisten gepflegt. Server Intranet Der holt die gespoolten s per uucp vom Server ab und stellt sie im LAN per IMAP bereit. Der Server sammelt s, die vom LAN aus unternehmensextern versendet werden, und überträgt diese an den Server. Von dort aus werden diese Mails ins versendet. In regelmäßigen Abständen werden die für lufa speyer.de bestimmten Domains per uucp vom Server abgeholt. Mail wird per smtp an server zugestellt MX Fallback bei nwe Fremder User Seite 2

3 Wege: Webmail Der Server bietet ein Webmail Tool an, welches Mitarbeitern per https den Zugriff auf die Unternehmens Mail ermöglicht. Server Intranet Per IMAP greift der Server auf das Intranet System zu und ermöglicht somit den Mailtransfer. User können über ein Webmail tool auf die s zugreifen. Hierbei können alle Mails (empfangene und gesendete Objekte) eingesehen werden. User Seite 3

4 Server Intranet Der stellt interne Seiten der im LAN zur Verfügung. Per FTP werden die Webseiten gepflegt. Ggf. könnte auch eine rsync Synchronisation mit einem Laufwerk des s aufgebaut werden. Der Server stellt öffentliche Webseiten zur Verfügung. Ggf. sind einige Bereiche durch Zugangsberechtigungen geschützt. Fremder User Seite 4

5 ing: LAN Anbindung Workstations Server LAN Systeme haben keine Verbindung ins. Alle Zugriffe werden über das Application Gateway (Proxy) des Intranet Servers abgewickelt. Intranet Die Clients haben keine Möglichkeit, externe DNS Namen aufzulösen. X NAT Fremder (http/ftp) Seite 5

6 ing: Anbindung Systeme Um die Sicherheit des Gesamtsystems zu erhöhen, schlagen wir eine feste IP der anbindung "" vor. Ggf. soll auf dem Server eine Intrusion Detection (z.b. snort) eingeführt werden. Intranet X Alle externen Zugriffsversuche werden im Paketfilter geblockt. Der Server kann per ssh und per IMAP auf den zugreifen. Der kann per uucp, ssh und rsync auf den Server zugreifen. Der primäre und die sekondären DNS Server für die Domains können einen Zone Transfer mit dem Server anregen (Hidden Primary Prinzip). X? Alle Zugriffe außer smpt, ssh, http(s) werden geblockt (interner Paketfilter) Server Fremder User DNS bei nwe Seite 6

7 ing: Virenschutz Das Mailrelay transportiert sämtlichen Verkehr der. An dieser Stelle kann der smtp Verkehr durch eine Viruswall Instanz auf Malware gefiltert werden. Server Intranet Das Application Gateway vermittels http und ftp Traffic. Eine Instanz der Viruswall kann an dieser Stelle den Traffic auf Malware hin untersuchen. Als Viruswall schlagen wir TrendMicro Interscan Viruswall vor, die sowohl auf dem Intra als auch auf dem Server installiert werden kann (eine Lizenz, zwei Instanzen). Somit sind alle Datenübertragungen gesichert (http/ftp/smtp). Seite 7

8 Backup Server Eine Datensicherung des Servers kann über rsync über den realisiert werden. Dies ist noch zu klären. Intranet Der Mailspace der wird auf ein zentrales Backup System gesichert. Seite 8

9 Wege "Nicht " Gewisse Domains werden in Mailpostfächer einsortiert und per POP3/IMAP bereitgestellt. Hierzu ist auf dem Server ein Mailserver installiert. Es sollen einige Anti SPAM Filterungen durchgeführt werden (SPAM Assassin). Auf dem System werden Mailinglisten gepflegt. Server Mail wird per smtp an server zugestellt MX Fallback bei nwe Für gewisse Domains werden s vom Server für den Abruf per POP3/IMAP bereitgestellt. Das Versenden von s ist per smtp (authorisiert) möglich. Fremder User "Nicht " User Seite 9

10 Wege: Webmail "Nicht " Der Server bietet ein Webmail Tool an, welches "Nicht " Mitarbeitern per https den Zugriff auf die ermöglicht. Server "Nicht " User können über ein Webmail tool auf die s zugreifen. User Seite 1 0

11 "Nicht " Server Der Server stellt öffentliche Webseiten zur Verfügung. Ggf. sind einige Bereiche durch Zugangsberechtigungen geschützt. Per FTP werden die Webseiten gepflegt. Fremder User "Nicht " User Seite 1 1

12 ing: Anbindung "Nicht " X? Server Zusätzlich zu den auf Seite 6 beschriebenen Diensten müssen ftp, POP3, und IMAP freigegeben werden. "Nicht " User Fremder User Seite 1 2

13 Alternativlösung (z.b. "HighP Secure") Alternativ können Sie alle Systeme bei der aufbauen ("klassischer" Aufbau). Vorteile: alle Systeme stehen im eigenen Haus und sind somit kontrollierbar" und rasch wartbar. Durch Vorhandensein einer DMZ können weitere Anwendungen eingeführt werden (z.b. VPN für Heimarbeit) Nachteile: Eine Standleitung ist relativ teuer Der Traffic des s belastet die Standleitung, welche üblicher Weise "nur" ca. 2 MBit/s transportieren kann. Das System ist auch zu einem späteren Zeitpunkt auf diese Alternativlösung migrierbar. DMZ Application Gateway Demilitarisierte Zone (DMZ) Paketfilter Router Standleitung Intranet Seite 1 3