Gateway und Bastion-Host

vermittelt IP-Pakete zwischen den zu trennenden Netzen

zwei Varianten Single-Homed Gateway nur eine Netzwerkschnittstelle,  überprüft ein- und ausgehende Daten  günstigere Variante  aber auch unsichere Variante Gateway kann umgangen werden Dual-Homed Gateway mindestens zwei Netzschnittstellen eine für in das Intranet eingehenden Daten und eine für die ausgehenden Daten Gateway kann nicht umgangen werden einzige Vermittlungsstelle zwischen Netzen  IP-Forwarding (direkte Weiterleitung von Paketen) muss deaktiviert sein

	durch speziellen Programmen (Proxy-Servern)
	differenzierte Kriterien zur Paketanalyse,
	für jeden Dienst explizit konfigurier- und wartbar z.B. HTTP und FTP,
	Falls Netzlast zu hoch  auf mehrere Gateways verteilbar (kaskadiert)  Router sorgen für entsprechende Zuordnung der Pakete Einsatz verschiedener Betriebssysteme möglich erschwert implementierungsabhängige Angriffe

Statt Proxys können auch Benutzer-Logins zur Kommunikation über das Gateway eingerichtet sein

	meist vermieden wegen Sicherheitsprobleme  z.B. Aktivierung unsicherer Dienste
	unkomfortablen Anmeldeprozedur

Gateways

	kontrollieren und
	protokollieren

	gesamten  eingehenden IP-Verkehr und  ausgehenden IP-Verkehr
	verbergen interne Netzstruktur vor Internet,
	sind selbst sichtbar  auch wenn durch Paketfilter überwacht
	erstes Ziel von Angreifern  installierte Betriebssystem und  installierten Server  nach Stabilität und  Sicherheit auszuwählen Verarbeitungsprotokolle (Logs) regelmäßig auf Schwächen und Angriffsmuster prüfen
	wegen besonderen Schutzes auch Bastion-Host   Bastion ist besonders befestigter Vorsprung auf Außenmauern mittelalterlicher Burgen

Bewertung der Architektur mit Dual-Homed Bastion Host

	verbessert Protokollierungsmöglichkeiten
	einfach zwischen beide Netzwerke positioniert
	Vermittlung zwischen Netzen auf Anwendungsebene
	Netzschnittstellen (unterschiedliche IP-Adressen) und
	Deaktivierung des IP-Forwarding  verhindert direkte Verbindung zum gewünschten Host des Intranets

Wird Verbindung angefordert

Proxy-Server des Bastion Hosts  überprüft Rechte der Teilnehmer  vermittelt danach die Pakete externe Teilnehmer kommunizieren nur mit Proxy-Server des Bastion Host  sehen nur dessen IP-Adresse Struktur des Intranets verdeckt

Firewall mit einem Bastion Host

	Umfangreiches Protokollieren aller Verbindungen  Möglichkeit Angriffe aufzuspüren
	Keine direkten Verbindungsmöglichkeiten in und aus Intranet
	interne Netzstruktur wird versteckt.

	Jeder Dienst benötigt explizit konfigurierten Proxy-Server nicht für jeden Dienst Implementierung verfügbar
	einzelne Komponente für gesamten Schutz des Netzwerks zuständig erfolgreicher Angriffs auf Proxy-Server macht gesamtes Netzwerk angreifbar
	Das IP-Forwarding muss abgeschaltet bleiben z.B. neuer Kernel oder interner Angriff sonst mittels IP-Spoofing mit Identität des Bastion-Hosts gesamtes Netzwerk angreifbar