Version vom 27. Juli 2026, 09:19 Uhr

Einfacher Paketfilter

Einfacher Paketfilter: das interne Netz wird mit einem Router an ein öffentliches Netz angebunden. Der Router arbeitet aber selektiv.
Das bedeutet, dass nur bestimmte Arten von Paketen das Passieren erlaubt wird, anderen wird es nicht gewährt.
Paketfilter arbeitet auf den untersten 4 Schichten der TCP/IP-Architektur.
Bis heute die Basis: nftables/iptables und die unterste Schicht jeder modernen Firewall (NGFW) arbeiten nach demselben Prinzip.

Filterbeschreibungen sind nicht perfekt
Router wird belastet
Nicht alle Sicherheitsrichtlinien lassen sich durchsetzen
kein Zustand, keine Anwendungserkennung → siehe Stateful Packet Inspection und NGFW

Auf einem Dual Homed Host liefen früher sogenannte Proxys (Stellvertreter). Ein Proxy arbeitet auf allen 7 Schichten des ISO/OSI-Modells und kommt damit mit dem Anwendungsprotokoll in Berührung.
Es gibt 2 verschiedene Arten:
- Application Level Proxys kennen das Anwendungsprotokoll genau (Beispiel: Squid, ein cache-only Nameserver) — vergleichbar mit einem Dolmetscher.
- Circuit Level Proxys kennen das Anwendungsprotokoll nicht, sie „quatschen“ alles nur nach oder setzen es um (Beispiel: SOCKS, Delegated) — vergleichbar mit einem Übersetzungsprogramm.
Vorteile: gutes Protokollieren, Caching, anwendungsspezifische Filterung, Authentifikation auf Userebene, kein IP-Forwarding notwendig.
Nachteile: neuere Protokolle werden nicht unterstützt, verschiedene Proxyserver für verschiedene Dienste notwendig, Clients müssen ihr Verhalten ändern.
Der Dual Homed Host als eigenständige Architektur ist heute selten — die Idee lebt aber in jedem Forward-/Reverse-Proxy weiter, der heute meist in der DMZ oder als Teil einer NGFW läuft. Interaktive Szenarien (Forward Proxy, Reverse Proxy, SSL-Bump mit ICAP/ClamAV, Application vs. Circuit Level) siehe proxy.html.

Unter Stateful Packet Inspection (SPI; deutsch: zustandsorientierte Paketüberprüfung) versteht man eine dynamische Paketfiltertechnik.
Jedes Datenpaket wird einer bestimmten aktiven Session zugeordnet.
Die Datenpakete werden analysiert und der Verbindungsstatus wird in die Entscheidung einbezogen.
Die Datenpakete werden während der Übertragung auf der Vermittlungsschicht analysiert und in dynamischen Zustandstabellen gespeichert.
SPI ist heute keine eigenständige Technologie mehr, sondern Standardfunktion in praktisch jeder Firewall/NGFW — ohne SPI gilt eine Firewall heute nicht mehr als zeitgemäß.

Exponierte Dienste stehen in einem eigenen Grenznetz (DMZ) zwischen äußerem und innerem Paketfilter.
Das Grenznetz ist ein eigenes Netzsegment — äußerer und innerer Filter sind direkt darüber verbunden. Hosts wie Webserver oder Proxy hängen nur an diesem Segment, sie sind nicht selbst der Übergang zwischen den beiden Filtern.
Äußerer Filter lässt vom Internet nur Traffic zu den Diensten in der DMZ zu (z.B. Webserver), nicht weiter ins interne Netz.
Innerer Filter lässt nur begrenzten, erwarteten Traffic von der DMZ ins interne Netz.
Kompromittierter Dienst in der DMZ hat keinen direkten Zugriff aufs interne Netz.
Die DMZ kann in beide Richtungen genutzt werden: eingehend über einen Webserver/Reverse-Proxy, ausgehend über einen Forward-Proxy für die internen Clients (statt direktem IP-Forwarding — die alte Dual-Homed-Host-Idee lebt hier weiter).
Skaliert auf mehrere Grenznetze, z.B. für ein zusätzliches Partnernetz (Vertriebspartner), das genauso angebunden wird.
Bis heute das Standardmuster für Mailserver, Webserver, VPN-Gateways — nur dass die zwei Filter heute meist Zonen einer einzigen NGFW sind statt zwei getrennter Geräte.

Häufig legen kommerzielle Produkte den inneren und äußeren Paketfilter zusammen — das war schon vor Jahren die übliche Bauform, bevor NGFWs den Namen dafür bekamen.
Eine NGFW bündelt das, was früher mehrere Geräte/Schritte waren, in einer Plattform:
- App-ID: erkennt Anwendungen unabhängig vom Port, statt nur nach IP/Port zu filtern
- TLS/SSL-Inspection, weil praktisch aller Traffic heute verschlüsselt ist
- IPS/Sandboxing gegen bekannte und unbekannte Bedrohungen
- zunehmend KI-gestützte Anomalieerkennung
NGFW ist heute der De-facto-Standard in Unternehmen. Sie ersetzt nicht die Konzepte aus den vorherigen Abschnitten, sondern bündelt sie in einer Plattform.

Der Bruch mit dem klassischen Perimeter-Denken: Es gibt kein pauschal vertrauenswürdiges „internes Netz“ mehr.
Jede Verbindung wird einzeln anhand von Identität, Gerätezustand und Kontext autorisiert — unabhängig davon, wo der Client sitzt.
Deny-by-default: ohne explizite Erlaubnis keine Verbindung.
Zugriff ist immer anwendungsspezifisch, nie netzwerkweit.
Löst zunehmend klassische VPN-Zugänge als Angriffsfläche ab.
ZTNA ist mittlerweile Standardbestandteil in Enterprise-NGFWs — es ersetzt Screened Subnet/DMZ nicht, ergänzt sie aber um eine Prüfung pro Zugriff statt pro Netzzone.

Die Firewall wandert aus dem eigenen Rechenzentrum in die Cloud.
Egal ob Remote-Nutzer oder Zweigstelle: der Traffic läuft über denselben Cloud-Sicherheitsstack, bevor er sein Ziel erreicht.
SASE bündelt Secure Web Gateway (SWG), CASB, Firewall-as-a-Service (FWaaS) und ZTNA.
Ein Enforcement-Punkt für alle Standorte statt Hardware pro Standort — Policy folgt dem Nutzer, nicht dem Netzwerkstandort.
Besonders relevant für Unternehmen mit vielen Standorten oder viel Remote-Arbeit.

@@ Zeile 43: / Zeile 43: @@
 *Skaliert auf mehrere Grenznetze, z.B. für ein zusätzliches Partnernetz (Vertriebspartner), das genauso angebunden wird.
 *Bis heute das Standardmuster für Mailserver, Webserver, VPN-Gateways &mdash; nur dass die zwei Filter heute meist Zonen einer einzigen NGFW sind statt zwei getrennter Geräte.
-[[Datei:dmz_screened_subnet.png]]
 {{#drawio:dmz_screened_subnet}}