| PC Schrauber
Registriert seit: 20.01.2004
Beiträge: 144
|   AW: künftige Firewall FAQ für Laien
Zusammenfassung aus dem Ursprungsthread: Adressierung in Netzwerken
MAC-Adresse Jede Netzwerkkarte (kurz NIC genannt) hat eine eindeutige, abrufbare Seriennummer, welche man MAC-Adresse, LAN-ID, NIC-Nummer oder physikalische Adresse nennt. Sie setzt sich zusammen aus einer Hersteller-ID und einer angrenzenden, laufenden Nummer. Dadurch lässt sich jede Netzwerkkarte weltweit eindeutig identifizieren.
Geht eine Netzwerkkommunikation über das eigene Subnetz hinaus, so erhalten die Netzwerkpakete die MAC-Adresse des Routers, über den sie geleitet werden. Niemand aus dem Internet kann somit die wahre MAC-Adresse des Kommunikationspartners sehen, da ihm während der Verbindung lediglich die MAC-Adresse des letzten Routers übermittelt wird.
Da die MAC-Adresse nicht über Subnetzgrenzen hinweg übertragen wird, ist sie für eine globale Adressierung in komplexen Netzwerken ungeeignet. Node Die so genannte Node- oder Knoten-Nummer ist ebenfalls eine Seriennummer für Netzwerkkarten, welche abhängig vom System meistens der MAC-Adresse entspricht, manchmal aber auch eine vom System erstellte, verfahrensinterne Nummer darstellt. MAC-Filter Ein MAC-Filter beschränkt den jeweiligen Zugriff auf Netzwerkkarten mit einer bestimmten MAC-Adresse. Allerdings ist es sehr leicht, die MAC-Adresse seiner eigenen Netzwerkkarte zu ändern (MAC-Spoofing). Aus diesem Grund ist ein Filter für MAC-Adressen eines Accesspoints zwar durchaus sinnvoll, da er eine zusätzliche Barriere für einen Skriptkiddie darstellt. Jedoch ist ein MAC-Filter noch lange kein Garant für ein geschlossenes Netz. Adressierung in TCP/IP-Netzen In komplexen Netzwerken bedarf es einer erweiterten Form der Identifikation, um Netzwerkpakete verwaltungstechnisch effizient adressieren zu können. Unter Verwendung des TCP/IP-Protokolls bedient man sich einer IP-Adresse und eines Ports, um eine eindeutige Adresse zu bilden. Damit eine praktikable Zuordnung von IP-Adressen zu einem bestimmten Subnetz möglich wird, unterteilt die Subnetzmaske jede IP-Adresse in zwei Bereiche (Netzwerk-ID und Rechner-ID), was die Konfiguration von Netzwerkkomponenten stark vereinfacht. IP-Adresse Die IP-Adresse ist vergleichbar mit einer Hausadresse, die eine Straßennummer und eine Hausnummer enthält. Nur über die Adresse weiß die Post, zu welchem Haus (zu welcher Netzwerkkarte) die Pakete geliefert werden sollen.
Code: Beispiel einer 32-Bit IP-Adresse: 192.168.1.23 Jeder Ziffernblock einer IP-Adresse (Block1 . Block2 . Block3 . Block4) kann theoretisch einen Wert von 0 bis 255 annehmen. Einer IP-Adresse sollte man aber nur Werte zwischen 1 bis 254 zuweisen, da die Werte 0 und 255 eine besondere Bedeutung haben. Wenn man das eigene Netzwerk irgendwann einmal mit dem Internet verbinden möchte (z.B. per DSL-Router) sollte man in seinem eigenen Netzwerk einen IP-Adressbereich verwenden, der für private (also nicht öffentliche) Netzwerke vorgesehen ist (z.B. 192.168.x.x; die für diesen Adressbereich empfohlene Subnetzmaske lautet 255.255.255.0 und sollte keinesfalls kleiner als 255.248.0.0 sein). Port Der Port, auch Anschlussnummer genannt, funktioniert sinnbildlich gesehen wie ein Namensschild an einem Hauseingang. Das Haus (die Netzwerkkarte) hat eine Adresse (die IP-Adresse). Über die zusätzlich angegebene Port-Nummer weiß das Betriebssystem, für welches Programm im Haus das Netzwerkpaket bestimmt ist.
Code: Beispieladresse mit Portangabe (hier http-Port 80): 192.168.1.23:80 Subnetzmaske Damit Netzwerkkomponenten, die mehrere Subnetze miteinander verbinden, ihre Arbeit verrichten können, müssen sie wissen, welche Netzwerkpakete zu welchem Netz gehören. Um dies zu realisieren, hat man nach einem Weg gesucht, wie man die Netzwerkzugehörigkeit anhand der IP-Adresse erkennen kann. So wurde festgelegt, dass die ersten Ziffern der IP-Adresse den Namen des Netzwerkes bilden, während der zweite Teil der Zahl die eindeutige ID eines Rechners (genauer einer Netzwerkkarte) in diesem Netzwerk umfasst.
Die Subnetzmaske, auch Netzmaske genannt, legt fest, welcher Bereich der IP-Adresse zum Netzwerkbereich gehört. Der Rest der IP-Adresse bildet den Rechnerbereich, welchen man auch Hostbereich nennt.
Somit ist sichergestellt, dass keine IP-Adresse aus dem einen Subnetz einen Adresskonflikt mit einer IP-Adresse eines anderen Subnetzes auslöst. Zudem müssen die Netzwerkkomponenten nun lediglich die Netzwerknamen aus der IP-Adresse ermitteln, um die Netzwerkpakete dem jeweiligen Subnetz zuordnen zu können. Auf diese Weise lassen sich Regeln für Netzwerkkomponenten ganz einfach formulieren.
Ein kleines Beispiel anhand einer typische IP-Adresse: 192.168.1.23:80
Eine Subnetzmaske von „255.255.255.0“ bestimmt nun, dass die ersten drei Byte (also die ersten drei Ziffernblöcke) komplett den Netzwerkbereich bilden. Bildlich gesehen handelt es sich hierbei also um die 192.168.1'te Straße (Netzwerk-ID), Hausnummer 23 (Rechner-ID), Raum 80 (Portnummer). Hätte man in dem Netz eine Subnetzmaske von „255.255.0.0“ festgelegt, so würde die Straßennummer 192.168 lauten und die Hausnummer wäre nun 1.23
Je größer die Subnetzmaske ist, umso weniger Rechner lassen sich pro Subnetz erfassen (bei 255.255.255.0 sind es „nur“ 254 Rechner pro Subnetz, was in der Regel aber ausreichen sollte; bei 255.255.0.0 sind es immerhin schon 64.516 mögliche Rechner pro Subnetz). Und je kleiner die Subnetzmaske ist, desto weniger Subnetze lassen sich definieren. Der Unterschied zwischen dem Anfrage- und Rückgabe-Port Ein Internetdienst, welcher z.B. Webseiten bereitstellt, wird durch ein Programm realisiert, welches auf dem jeweiligen Internetserver läuft. Bei dem Programm handelt es sich um einen Netzwerkdienst (auch Service oder D*aemon genannt), welcher an einem bestimmten Port lauscht. So bindet sich z.B. ein http-Dienst an den Port 80, über den er Anfragen eines beliebigen Clients entgegennimmt.
Wenn es um Portregeln geht, gibt es ein weit verbreitetes Missverständnis: Auf das Beispiel bezogen, läuft auf dem Client ein beliebiger Internetbrowser, welcher seine Anfrage an den Server:Port80 stellt. Entgegen dem, was oftmals vermutet wird, bindet sich der Internetbrowser jedoch nicht ebenfalls an den Port 80 des PCs, um die Antwortpakete entgegenzunehmen. Sobald mehrere Internetbrowser auf dem PC gestartet werden, würde das auch nicht mehr funktionieren, da sich so mehrere Prozesse ein und denselben Rückgabeport teilen müssten. Welchem Prozess aber sollte das Betriebssystem die dort eingehenden Netzwerkpakete übergeben? Eine eindeutige Zuordnung wäre so nicht möglich.
Deshalb bindet sich jeder gestartete Browserprozess an einen anderen, dynamisch erzeugten Rückgabeport, welcher in einem Bereich zwischen 1024 und 65535 liegt. So startet der Browser seine Anfrage an den Server:Port80 und teilt ihm gleichzeitig mit, dass die Antwort zurück an die IP-Adresse des PCs auf Port xyz zu schicken ist (xyz=Rückgabeport des jeweiligen Browserprozesses). Genau genommen erhält sogar jedes autonome Browserfenster seinen eigenen Rückgabeport, selbst wenn die Fenster zu ein und demselben Prozess gehören. Auf diese Weise bleibt die Zuordnung der Antwortpakete jederzeit eindeutig.
Bezogen auf eine Firewall bedeutet dies, dass man die Übermittlung der Antwortpakete nicht unterbinden kann, indem man eingehende Pakete auf Port 80 blockiert. Werden hingegen ausgehende Pakete unterbunden, die sich an den Port 80 richten, so ist keine http-Anfrage mehr möglich, was den Zugriff der internen Rechner auf Webseiten verhindert. Bye, Ronald |