Hallo @Wikinger85, hallo @Daniele_Sunrise
Ich finde faszinierend, mit welchen Ausreden Kunden in Bezug auf „Port-Weiterleitung“ abgespeist werden. Vor allem denke ich, dass derjenige, der sich die Ausrede ausgedacht hat, nicht ganz verstanden hat, was bei einer „Verkehrsweiterleitung“ geschieht … 🤔
Grundsätzlich gibt es drei Weiterleitungs-Methoden in einem Internet-Router:
- Bridge-Modus: Mit diesem Modus wird der gesamte Verker zu einem direkt angeschlossenen Gerät (normalerweise ein Router oder eine Firewall). Diese Art der Verbindung ist in den unteren Schichten (Phisical Layer/Data-Link bzw. Layer 1/Layer 2) des OSI Referenzmodell angesiedelt. Ein Sicherheitsmechanismus gibt es in diesem Verfahren nicht, da die ganze Sicherheit von Angeschlossenen Gerät übernommen wird.
- DMZ-Modus: So wie beim Bridge-Modus wird der gesamte Verkehr zu einem „DMZ-Host“ (kann auch ein eigener Router bzw. eigene Firewall sein) weitergeleitet und es gibt auch kein Sicherheitsmechnismus, da der DMZ-Host die Sicherheit übernimmt. Allerdings gibt es einige Unterschiede. Da diese Weiterleitung im Network Layer (Layer 3) stattfindet, ist es nicht notwendig, das Zielsystem direkt anzuschliessen, weil die Datenpakete „geroutet“ werden
- Port-Weiterleitung: Wie beim DMZ-Modus wird der Verkehr zu einem Zielsystem (kann auch ein eigener Router bzw. eigene Firewall sein) weitergeleitet. Allerdings geschieht dies im Transport Layer (Layer 4) aufgrund von benutzerdefinierten Regeln ( z. B. „wenn TCP Port 443, dann Ziel-Host XY“). Diese Methode ist flexibler (sie erlaubt mehrere Zielsysteme zu definieren) und verwendet das integrierte Sicherheitsmechanismus des Internet-Routers. D. h., alle Anfragen, welche die definierten Regeln nicht entsprechen, werden geblockt. Die Sicherheit für die zugelassenen Ports übernehmen dann die eingetragenen Zielsysteme
Wenn diese Fakten berücksichtigt werden, stellt sich die Frage, warum die Port-Weiterleitung vom Sunrise-Support als Risiko für die Kundensicherheit betrachtet und stattdessen den Bridge-Modus als alternative empfohlen wird, wenn die Port-Weiterleitung einen besseren Schutz anbieten würde (nur einzelne Ports werden zugelassen im Gegensatz zum Bridge-Mode bzw. DMZ-Mode). Wie gesagt, faszinierend … 🙄
