Was ist eine DMZ?

Hallo Profis,

die im Netz verfügbaren Erklärungen helfen mir überhaupt nicht weiter. Was ist eine DMZ?

Wikipedia beschreibt eine DMZ als ein Netzwerk, mit „sicherheitstechnisch kontrollierten Zugriffmöglichkeiten auf die daran angeschlossenen Server.“ …? Im folgenden stellt es sich so dar, als wären Rechner in einer DMZ besonders geschützt!? Ist das so?

Mein eMule bekommt hingegen nur dann eine hohe ID (= gute Verbindung), wenn ich meinen Rechner im Router als DMZ bestimme, was den Eindruck erweckt, daß die Firewall damit umgangen wäre.

Wer kann mir aus diesem Verständnisdilemma helfen und kurz umreißen, was eine DMZ ist? Was hat sie mit der Firewall zu tun?

Vielen Dank und beste Grüße
Hanno

Hallo Hanno

die im Netz verfügbaren Erklärungen helfen mir überhaupt nicht
weiter. Was ist eine DMZ?

Eine Pufferzone zwischen zwei ‚feindlichen‘ Gebieten. Hier zwischen dem internen LAN und dem Internet.

Wikipedia beschreibt eine DMZ als ein Netzwerk, mit
„sicherheitstechnisch kontrollierten Zugriffmöglichkeiten auf
die daran angeschlossenen Server.“ …? Im folgenden stellt es
sich so dar, als wären Rechner in einer DMZ besonders
geschützt!? Ist das so?

‚Besonders geschützt‘ trifft es recht gut.

Mein eMule bekommt hingegen nur dann eine hohe ID (= gute
Verbindung), wenn ich meinen Rechner im Router als DMZ
bestimme, was den Eindruck erweckt, daß die Firewall damit
umgangen wäre.

Nicht umgangen. Aber anders behandelt. So kann vom Internet her besser auf den betreffenden Server zugegriffen werden, ohne dass gleichzeitig die Gefahr steigt, dass ein eventueller Angreifer, der den Server crackt, gleich im LAN ist.

Du merkst diesen Unterschied natürlich nicht, wenn der ‚DMZ-Server‘ Dein eigener Rechner ist. Sinnvollerweise würdest Du einen anderen Rechner dafür verwenden, denn Dein eigener Rechner sollte nicht in der DMZ stehen. Sonst kannst Du die Firewall-Funktionen auch gleich ganz abschalten.

CU
Peter

Sorry, nix verstanden :frowning:
Hallo Peter,

erst mal vielen Dank für Deine Antwort. Leider aber bin ich nicht klüger als vorher. Ich frag mal nach:

die im Netz verfügbaren Erklärungen helfen mir überhaupt nicht
weiter. Was ist eine DMZ?

Eine Pufferzone zwischen zwei ‚feindlichen‘ Gebieten. Hier
zwischen dem internen LAN und dem Internet.

Ich versuche mal folgende Interpretation: die DMZ ist ein Zugriffspunkt im LAN, der gegenüber dem WAN nicht von der router-eigenen Firewall geschützt ist. Richtig so?

Mein eMule bekommt hingegen nur dann eine hohe ID (= gute
Verbindung), wenn ich meinen Rechner im Router als DMZ
bestimme, was den Eindruck erweckt, daß die Firewall damit
umgangen wäre.

Nicht umgangen. Aber anders behandelt. So kann vom Internet
her besser auf den betreffenden Server zugegriffen werden,
ohne dass gleichzeitig die Gefahr steigt, dass ein eventueller
Angreifer, der den Server crackt, gleich im LAN ist.

Du merkst diesen Unterschied natürlich nicht, wenn der
‚DMZ-Server‘ Dein eigener Rechner ist. Sinnvollerweise würdest
Du einen anderen Rechner dafür verwenden, denn Dein eigener
Rechner sollte nicht in der DMZ stehen. Sonst kannst Du die
Firewall-Funktionen auch gleich ganz abschalten.

Was ist ein DMZ-Server? Ich rate mal wieder: Wenn ich in meinem LAN einen Server betreibe, der im WAN erreichbar ist, dann kann/sollte er in einer DMZ sein, damit man besser auf diesen zugreifen kann?

Wenn ja, was ist genau der Unterschied, weshalb „besser auf den betreffenden Server zugegriffen werden“ kann? Wieso hat das auswirkungen auf eMule?

Danke Dir im voraus :smile:
Hanno

Wie funktioniert Filesharing?
Hallo Hanno,

ich glaube, einiges wird leichter verständlich, wenn Du Dir erst mal Gedanken darüber machst, wie Filesharing funktioniert. Ich versuche mal zu schreiben, wie ich es verstanden habe und hoffe darauf, daß hier meine Fehler korrigiert werden.

Du meldest Dich z.B. bei Emule an und gibst für Emule bestimmte Verzeichnisse auf Deinem Rechner zum lesen frei. Dort werden auf dem Server die Verzeichnisse und Dateien im Verzeichnis gelistet, aber nicht die Inhalte. Wenn nun ein anderer User Deine frei gegebenen Dateien bei Emule findet und haben möchte, wird dem Rechner Deine IP mitgeteilt, der greift dann direkt auf Deinen Rechner zu und holt sich die Datei von Deinem Rechner. Von Emule bekommt er nur die Information, wo welche Datei zu finden ist.

Wir der Ladevorgang unterbrochen, vermittelt Emule eine andere Adresse, die die selbe Datei zur Verfügung stellt und der Ladevorgang wird mit einer anderen Quelle, aber beim selben Block fortgesetzt.

Du musst also Deinen Rechner öffnen und zumindest bestimmte Bereiche öffentlich zugänglich machen. Die Gefahr besteht dabei darin, daß Du potentiellen Angreifern schon mal Leserechte für bestimmte Verzeichnisse einräumen musst. Der Angreifer muß nicht mehr versuchen Zugang zu Deinem Rechner zu bekommen, den hat er schon, er muss nur noch versuchen, seine Rechte auszuweiten, um auch zu anderen Verzeichnissen Zugang zu bekommen und das Recht zu lesen in ein Recht zu schreiben auszuweiten. Gelingt ihm das, hat er Vollzugriff und kann mit Deinem Rechner tun, was er möchte.

Die Schwierigkeit ist dabei nach meiner Meinung, daß Du zum Einen selbst Dateien uns Quellen lädst, die Du nicht kennst, Du gibst ja nur an, welche Datei Du möchtest, die Quelle sucht Emule für Dich. Sobald das ausführbare Dateien sind, kannst Du Dich ziemlich sicher darauf verlassen, daß ein hoher Anteil verseucht ist.

Zum anderen musst Du Deinen Rechner weit öffnen, die Sicherheitseinstellungen auf dem Rechner sollen dann den Lesezugriff auf bestimmte Verzeichnisse nicht behindern, alles andere aber zuverlässig unterbinden. Ob das immer zuverlässig funktioniert?

Mit meinem Windows-Rechner würde ich das nicht riskieren. Ich habe zwar keine schützenswerten Daten auf meinem privaten Rechner, aber das Image einspielen dauert mir schon zu lang. Wenn ich Emule nutzen wollte, würde ich das nur mit Linux tun. Entweder mit einer Live-CD wie Knoppix und jedes mal alles neu einstellen, oder mit einem Wechselplatten-System und die Windows-Platten beim Filesharing komplett aus dem Rechner entfernen. Dateien, die Code enthalten können, der unter Windows ausführbar ist, würde ich gar nicht laden.

Gruß, Rainer

Ich versuchs mal anders:

Internet->|| Datenverkehr
| Firewall
DMZ = DeMilitarisierte Zone

Server die ins Internet senden sollen, können in der DMZ stehen
Im Internet stehen alle anderen Rechner
und im Heimnetzwerk stehen alle deine Rechner AUSSER dem Router (der bildet die DMZ)

Die DMZ ist meist ein Server der dafür sorgt das der Datenverkehr von dem einen NEtz nicht (ohne Erlaubniss) auf das andere Netz geht.
Dadu siehst das vom Internet zu deinem Rechner 2 Firewalls sind, ist es auch klar wieso eMule auch ärger macht wenn es soweit vom I-Net entfernt ist.

Bei fehlern bitte korrigieren ^^’

Hallo Hanno,

Du meldest Dich z.B. bei Emule an und gibst für Emule
bestimmte Verzeichnisse auf Deinem Rechner zum lesen frei.
Dort werden auf dem Server die Verzeichnisse und Dateien im
Verzeichnis gelistet, aber nicht die Inhalte. Wenn nun ein
anderer User Deine frei gegebenen Dateien bei Emule findet und
haben möchte, wird dem Rechner Deine IP mitgeteilt, der greift
dann direkt auf Deinen Rechner zu und holt sich die Datei von
Deinem Rechner. Von Emule bekommt er nur die Information, wo
welche Datei zu finden ist.

Quellen haben einen Hashwert der ebenfalls mitgeteilt wird.

Wird der Ladevorgang unterbrochen, vermittelt Emule eine andere
Adresse, die die selbe Datei zur Verfügung stellt und der
Ladevorgang wird mit einer anderen Quelle, aber beim selben
Block fortgesetzt.

Wenn mehrere Quellen vorhanden sind wird versucht dort anzufragen ob diese diesen Teilabschnitt besitzen

Du musst also Deinen Rechner öffnen und zumindest bestimmte
Bereiche öffentlich zugänglich machen. Die Gefahr besteht
dabei darin, daß Du potentiellen Angreifern schon mal
Leserechte für bestimmte Verzeichnisse einräumen musst. Der
Angreifer muß nicht mehr versuchen Zugang zu Deinem Rechner zu
bekommen, den hat er schon, er muss nur noch versuchen, seine
Rechte auszuweiten, um auch zu anderen Verzeichnissen Zugang
zu bekommen und das Recht zu lesen in ein Recht zu schreiben
auszuweiten. Gelingt ihm das, hat er Vollzugriff und kann mit
Deinem Rechner tun, was er möchte.

Nein nicht völlig, Emule kann mit eingeschränkten Benutzerrechten ausgeführt werden, was man auch tun sollte (optionen schauen!)
Das was du beschreibst wäre, das worst-case was nur gehen würde, wenn er entsprechende berechtigungen auf der ausführenden seite hat, jedoch wenn er wie unter linux nur benutzer oder keine rechte hat, kann er nur blöd guggen, vorrausgesetzt es ist kein fehler vorhanden

Die Schwierigkeit ist dabei nach meiner Meinung, daß Du zum
Einen selbst Dateien uns Quellen lädst, die Du nicht kennst,
Du gibst ja nur an, welche Datei Du möchtest, die Quelle sucht
Emule für Dich. Sobald das ausführbare Dateien sind, kannst Du
Dich ziemlich sicher darauf verlassen, daß ein hoher Anteil
verseucht ist.

Hm, verseucht, denke mal nicht dass wirklich alles verseucht ist :wink:
Du solltest einfach ein gesunden Maß an Misstrauen haben und ein Antiviren Programm. Ebenso nicht alles mit dem Administrator tun :wink:

Zum anderen musst Du Deinen Rechner weit öffnen, die
Sicherheitseinstellungen auf dem Rechner sollen dann den
Lesezugriff auf bestimmte Verzeichnisse nicht behindern, alles
andere aber zuverlässig unterbinden. Ob das immer zuverlässig
funktioniert?

Hm, also, ein Gast kann schreiben und lesen aber keine Änderungen am System machen - reicht doch?

Mit meinem Windows-Rechner würde ich das nicht riskieren.

Ein Linux-Rechner in Windowsbenutzer händen ist schlimmer als Emule auf Windows laufen zu lassen. (Spam, etc)

(…)oder mit einem Wechselplatten-System und die
Windows-Platten beim Filesharing komplett aus dem Rechner
entfernen.

Das ist auch eine Variante, mit 2 Windows-Systemen zu arbeiten.

Dateien, die Code enthalten können, der unter
Windows ausführbar ist, würde ich gar nicht laden.

*Lach* Willst du nur leere datein mit 0byte?
Wenn garkeine datei öffnest die Code enhalten könnte, dann bring dein computer bitte in den dachboden *teuflisch lach*
-Nimms mir bitte nicht übel *grins*-

Scherz Beiseite, mit Alternativen editoren, kann man viele Dateien ersteinmal vom grundauf Studieren ob diese was pöses tun :wink:

Gruß, Rainer

Im Übrigen

bei wiki gibts auch ne super erklärung wie emule funktioniert.

Au weia!
Hallo Hanno!

hier ist irgendwie ziemlich viel Schwachsinn gelaufen . . .

DMZ steht für De Militarisierte Zone.
Bedeutet, das Rechner in der DMZ nicht von der Firewall geschützt werden und i.A. (je nach Router) auch alle Verbindungsversuche aus dem Internet, die der Router nicht anderweitig unterbringen zu diesen Rechnern durchgestellt werden.
Im Klartext: die Dinger hängen nackt im Wind.

Die DMZ ist ein brandgefährlicher Notnagel für Rechner/Server mit Software, die sich nicht vernünftig konfigurieren lässt. Und der Esel gehört definitiv nicht dazu.
Einen eMule-Rechnner in die DMZ zu stellen ist eine Empfehlung von Vollidioten, die zu dämlich sind einen Router zu konfiguieren an andere Vollidioten, die ebenfalls zu dämlich sind einen Router zu konfiguieren.

Je nach verwendeter eMule-Version und den dort getätigten Einstellungen musst du lediglich einen oder mehrere Ports in deinem Router auf den Rechner mit dem Client forwarden. Dazu muss allerdings noch sichergestellt sein, das dieser Rechner immer die gleiche lokale IP hat, d.h. er muss eine Reservierung im DHCP-Server des Routers bekommen.

Wie das im einzelnen gemacht wird musst du dem Handbuch deines Routers entnehmen. Im Zweifelsfalle kann man aber auch einfach mal bei Google mit dem Suchbegriff „+eMule +Routername +Konfiguration“ nach Hilfeseiten suchen. Für fast jeden Router gibt es Seiten, die alles haarklein erklären.

Noch mal ganz deutlich: Finger weg von DMZ. Es ist gefährlich und überflüssig!

Der einzig sinnvolle Einsatzzewck einer DMZ ist ein Honeypot. Das ist ein Rechner mit veralteten oder gefakten Daten, mit denen ein Einbrecher spielen kann, auf das er nicht auf die Idee kommt, das hinter der Firewall vieleicht noch interesantere Daten liegen.
Alles andere kann man mit vernünftiger Software durchaus im sicheren Bereich des Netzes betreiben. Wenn nicht, sollte man die Software austauschen.