Firewall für VPNs mit IPv6 einrichten
Bei Kombinationen aus IPv6, VPN und DMZ kann ein Sicherheitsproblem entstehen. Wir zeigen, welche Firewall-Einstellungen dagegen helfen.
- Johannes Weber
IPv6 verbreitet sich immer mehr, allerdings sind Firmen dadurch einem unterschätzten Sicherheitsrisiko ausgesetzt, wenn sie über das VPN auf Server in der DMZ zugreifen: Anwendungen wie IP-Telefonie oder Mail-Verkehr könnten plötzlich blank übers Internet laufen, sollten sie nicht von sich aus verschlüsseln. Denn die Netzwerkgeräte eines lokalen Standorts können die Server, die in der Demilitarisierten Zone (DMZ) des entfernten Standorts stehen, nicht nur über eine, sondern über zwei IPv6-Routen erreichen. Bricht die IPv6-VPN-Verbindung ab, schickt die Firewall die IPv6-Pakete fröhlich per Default Route übers Internet zum Ziel.
Das widerspricht dem Sicherheitsgedanken, ist aus Routing-Sicht aber völlig korrekt, denn die global gültigen IPv6-Quelladressen dürfen im Internet geroutet werden, und sowohl Quelle als auch Ziel haben solche IPv6-Adressen. Der Security-Admin merkt davon nichts, wenn er seine Systeme nicht für diesen Fall vorbereitet hat. Und die Nutzer beklagen sich nicht, denn ihre Anwendungen laufen ja bis auf eine kurze Unterbrechung reibungslos weiter.
Bei Zugriffen auf Server über das veraltete IPv4 tritt dieses Problem nicht auf, denn die Netzwerkgeräte und die Firewall kennen nur eine Route dorthin, und die führt über das VPN-Gateway.
Das war die Leseprobe unseres heise-Plus-Artikels "Firewall für VPNs mit IPv6 einrichten". Mit einem heise-Plus-Abo können sie den ganzen Artikel lesen und anhören.Immer mehr Wissen. Das digitale Abo für IT und Technik.
Linux-Workstation mit 96-Kern-ARM-Prozessor im Test
Akkubrände: Zwischen Panikmache und Fakten – ein Überblick
So abhängig ist Deutschland vom Strom aus dem Ausland
Gehälter 2024: Das verdienen SAP-Berater in Deutschland
Wie Sie macOS auf dem iPad nutzen