Die Südtiroler Firma Endian stattet ihre grasgrün lackierte Firewall-Appliance mit allerlei Sicherheitstechniken aus. Wie gut sie sich in der Praxis bewähren, zeigt dieser Test.

Highend-Feature

Endians Zonen-Ansatz ist im Highend-Bereich zum Beispiel in den ISG-Firewalls von Juniper zu finden. Er macht es möglich, Regeln an logische Gruppen zu binden (etwa Personal, Verkauf, Lager) und nicht zwingend an IP-Adressen. Zusammen mit dem VLAN-Tagging und Routing ist es zum Beispiel möglich, drei Netzwerkinterfaces der gleichen Zone zuzuordnen, aber jedem Interface eine andere IP-Adresse, Netzmaske und einen virtuellen Router zu geben.

Die Endian-Firewall unterstützt zwar keine virtuellen Router, kann in der Topologie in Abbildung 2 aber folgende Funktionen erfüllen:

• Kommunikation innerhalb der einzelnen Zonen kontrollieren
• Kommunikation von und zu einer Zone (etwa DMZ ins Internet) mit
  den gleichen Regeln kontrollieren
• Zusätzliche Kontrollen auf Basis der IP-Adresse und
  gegebenenfalls Netzwerkmaske durchführen

Die Firewall benutzt intern IPtables. Zurzeit gibt es kein Repository mit Objekten und Gruppen, die der Admin in mehreren Regeln erneut verwenden könnte. Laut Auskunft des Herstellers stehen Objekte und Gruppen auf der Roadmap für Version 3.0.

Abbildung 2: Diese typische Topologie beim Einsatz der Endian-Firewall zeigt, wie flexibel sich Interfaces den Zonen zuordnen lassen. Die orangefarbene Zone besteht aus zwei VLANs und in der blauen Zone erlaubt der WLAN-Hotspot beliebige IPs, die er per NAT zusammenführt.

Beim HTTPS-Login in das Admin-Interface benutzt Endian ein selbst signiertes Zertifikat. Außer über die Kommandozeile gibt es keine Möglichkeit, einen korrekten Certificate Signing Request (CSR) zu generieren und ihn von einer externen oder internen CA (Certificate Authority) signieren zu lassen.

Die beiden VPN-Varianten OpenVPN und IPsec hat Endian schlecht aufeinander abgestimmt, was vor allem beim Umgang mit Zertifikaten stört. Zwar kann das OpenVPN-Modul ein Root-CA-Zertifikat generieren, das IPsec-Modul weiß davon aber nichts. Wer unter IPsec mit Zertifikaten arbeiten will, muss sie von einer externen CA ausstellen lassen und als PKCS#12-Datei importieren. Die Unterschiede erklären sich daraus, dass das IPsec-Modul im Gegensatz zu OpenVPN noch auf IPcop basiert.

Laufzeit der Zertifikate

Endian setzt die Laufzeit seiner Zertifikate pauschal auf 16 Jahre. Für ein CA-Zertifikat liegt das im Rahmen des Üblichen, bei den damit ausgestellten Zertifikaten jedoch nicht. Je länger ein Schlüssel gilt, desto höher die Wahrscheinlichkeit, dass er kompromittiert wird. Zertifikate haben im Gegensatz zu Preshared Keys eine definierte Lebensdauer, diesen Vorteil sollte Endian auch nutzen.

Während die Masken zum Einrichten eines IPsec-VPN unnötig kompliziert und unverständlich ausfallen, ist die OpenVPN-Implementierung deutlich übersichtlicher. Im einfachsten Fall erhalten die Clients ein selbst signiertes Zertifikat, das mit Username/Passwort-Authentifizierung arbeitet. Im Test war die Konfiguration in einer halben Minute erledigt. Endian hat sogar ein eigens Client-GUI entwickelt für Ubuntu (».deb«), Fedora 7 (».rpm«), Mac OS X Tiger (».dmg«, Abbildung 4) und Windows (».exe«). Das Programm ist in Python und Wx-Windows implementiert und kontrolliert ein OpenVPN-Binary ab Version 2.0.

Die Südtiroler Firma Endian stattet ihre grasgrün lackierte Firewall-Appliance mit allerlei Sicherheitstechniken aus. Wie gut sie sich in der Praxis bewähren, zeigt dieser Test.