Netzwerkkonzepte: Frame-Tagging, DMZ und ISA Server

Grundlagen des Frame-Taggings

Frame-Tagging bezeichnet das Hinzufügen eines Etiketts (Tags) zum Frame-Header auf der Sicherungsschicht (Link Layer). Dieser Tag wird durch das Backbone-Netzwerk über verschiedene Router und Switches übertragen. Bevor der Frame das Backbone verlässt, entfernt der Switch dieses Label. Ziel ist es, den Frame korrekt dem VLAN zuzuweisen, zu dem er gehört, bevor er die Zielstation erreicht.

ISA Server und Adressübersetzung

Zwischen externen Schnittstellen (DMZ, Internet) und internen Schnittstellen (private Netze) führt der ISA Server eine Adressübersetzung (NAT) durch. Dies geschieht, wenn Regeln für Veröffentlichungen erstellt werden. Das private Netzwerk wird dabei über eine Proxy-Funktion an externe Netze angebunden. Gegenüber externen Netzwerken fungiert der Server als Reverse-Proxy für das private Netzwerk.

Netzwerktopologien: DMZ und Bastion

DMZ-Topologie (Angesicht zu Angesicht)

In dieser Topologie (Back-to-Back) befindet sich die DMZ zwischen zwei Firewalls. Eine Firewall schützt das private Netzwerk vor der DMZ, während die andere die DMZ gegenüber dem Internet absichert. Die Firewall zwischen dem privaten Netzwerk und der DMZ enthält spezifische Regeln, damit DMZ-Server mit Servern im privaten Netzwerk kommunizieren können.

Bastion-Topologie

Dies ist die einfachste Topologie, bei der keine DMZ implementiert wird. Es werden lediglich zwei Netzwerkschnittstellen benötigt: eine für das private Netzwerk und eine für das Internet. Soll ein Server aus dem internen Netzwerk über das Internet zugänglich sein, müssen entsprechende Regeln zur Veröffentlichung erstellt werden.

Client-Typen und Konnektivität

Web-Proxy-Client

Dieser Client wird genutzt, wenn die verwendeten Protokolle HTTP, HTTPS, FTP oder Gopher sind. Der Web-Service-Client sendet eine Anfrage an den TCP-Abhörport des ISA-Servers (Port 8080). Es muss keine zusätzliche Software auf dem Client-Computer installiert werden. Der Internetzugang ist plattformunabhängig; es wird lediglich ein kompatibler Browser benötigt. Zudem wird die Benutzer-Authentifizierung unterstützt.

Firewall-Client

Der Firewall-Client bietet Internet-Konnektivität für alle Winsock-Anwendungen, die auf TCP oder UDP basieren. Auch dieser Client-Typ unterstützt die Authentifizierung der Benutzer.

SecureNAT-Client

Dieser Client ist plattformunabhängig und erfordert keine Softwareinstallation. SecureNAT wird bevorzugt gewählt, wenn es wichtig ist, dass der Client mit jedem beliebigen Protokoll arbeiten kann.