firewall back to back

[Metallica]

allora se ricordo ancora qualcosa....
sono due firewall all'interno c'è la DMZ, all'esterno da un lato la wan, dall'altro la lat.
La lat può comunicare con la dmz? Se è no, come fanno i pc della lat a uscire sulla wan? Cosa ci và effettivamente nella DMZ?

Qualcuno conosce un sito (anche in inglese và bene) dove c'è una spiegazione + o - approfondita????

grazie.

[Habanero]

Nella DMZ (tra i due firewall) ci sono le macchine che espongono servizi su internet (server web, server ftp, server di posta etc...). La DMZ serve a far si che se le macchine in questione vengono compromesse un attaccante non le possa usare per penetrare la LAN.

WAN <--->firewall 1<--->DMZ<--->Firewall 2<--->LAN
                         |
                         |
                         V
                    Server WWW

Il firewall 1 imposta le classiche regole periferiche.
Il firewall 2 deve:
-inoltrare verso firewall 1 le richieste della LAN verso la WAN
-inoltrare verso la LAN le RISPOSTE provenienti dalla WAN
-inoltrare verso il server WWW le opportune richieste fatte dalla LAN
-inoltrare verso la LAN le RISPOSTE provenienti dal server WWW
-bloccare i tentativi di connessioni iniziati dal server WWW verso la LAN

Il punto chiave è l'ultimo. Se un pirata informatico riesce a bucare il server WWW si trova gia dentro la rete interna e da qui potrebbe attaccare altre risorse godendo di uno status privilegiato. Tramite la DMZ si evita tutto questo perchè non è possibile far partire delle connessioni dalla DMZ verso la rete interna.

[Metallica]

ovviamente gli utenti interni possono accedere alla DMZ tranquillamente...

e la three-homed come funziona?

[Habanero]

nella topologia three-homed lo scopo è sempre quello ma si usa un solo firewall con tre schede di rete

WAN <--->firewall <--->LAN
            |
            |
            V
         Server WWW
           (DMZ)

LA DMZ e la LAN devono avere IP su subnet differenti. Lo smistamento del traffico e le regole di filtro sono tuttte sulla stessa macchina.
Il vantaggio è che hai un solo sistema da gestire. Lo svantaggio è che se l'unico firewall viene compromesso viene meno tutta la sicurezza della rete. Con una topologia back to back, essendo il firewall interno e quello esterno separati, la cosa risulta molto più difficile.