Hallo Marcel,
Post by Marcel NoeOh, vorsicht: VLANs sind ein Management-Feature, KEIN Sicherheits-
Feature,
das wird dir jeder Switch-Hersteller bestätigen. Gerade beim Booten des
Switches ist nicht gewährleistet, dass der Switch die Vlans sicher trennt.
Davon abgesehen ist die Defaulteinstellung aller mit bekannten
Switche ein
ungetrenntes Netz, d.h. bei Verlust der Switchkonfiguration durch Schäden
am NVRAM* wären die Netze verbunden.
Stimmt, daher meine e-Mail GANZ GENAU lesen! Das ist nur sicher, wenn
der Router auch in der Konfiguration sicher ist!
Daher die Zertifizierung. Man bekommt die Zertifizierung NICHT wenn
genau das der Fall ist, den Du oben beschreibst!
Die Diskussion hier ist ein bisschen wie beim Jugendschutzfilter.
Keiner kann sich sicher sein, dass der Jugendschutzfilter auch
wirklich alles filtert. Aber man setzt ihn ein und tut somit der
Vorschrift genüge. Beim Jugendschutz gibt es diese tolle Liste vom
Bundesamt oder einen Hersteller, der glaubhaft macht richtig zu
filtern. Bei Routern mit Sicherheitsanforderungen gibt es
Zertifizierungsstellen. Hier trennt man die Netze nachweislich und
sichert die Konfiguration ab und tut damit auch der Vorschrift
genüge. Meine Meinung. Man kann halt immer alles noch besser und
perfekter machen, darin sind wir Deutsche ja eh spitze.
Natürlich kann auch jeder zu irgendwas immer eine Horrorstory
erzählen. Man kann aber auch Argumentieren: wer garantiert mir, dass
in der Verbindungsstelle der Telekom (bei der ja beide DSL Leitungen
zusammentreffen!!) das dann auch wirklich physikalisch weiter
getrennt wird? Keiner! Was soll da auch für andere Technik eingesetzt
werden? Irgendwann treffen alle Leitungen aufeinander. Dort wird auch
nur mit Wasser gekocht. Wirklich sicher ist es, wenn ich Punkt zu
Punkt habe und zwischen den Endgeräte keine Netzwerkverbindung
existiert. Dann kann ich das Internet auch gleich nicht nutzen.
Post by Marcel NoeOh. Ich dachte die Begriffe Sicherheit und Black-Box wären zueinander
orthogonal? Beachte bitte, dass in der Firewalling Software des Routers mit
absoluter Sicherheit Programmierfehler enthalten sind, und du
zumindest
in der Lage sein musst, Sicherheitsupdates einzuspielen.
Ja, gut, "Black Box" lässt sich auch negativ belegen. Hier hatte ich
damit: keiner kann so einfach daran rumspielen. Beispielsweise: " Hey
ich brauch AIM, schalt doch mal schnell Ports X+Y frei". War der
falsche Begriff, sorry.
Post by Marcel NoePost by Maximilian S.Das reicht um physikalische Trennung auf allen
OSI Ebenen zu gewährleisten.
Physikalische Trennung auf allen OSI Layern? ;-) Eine Physikalische Trennung
wäre eine Trennung auf Layer 1 und ich behauptet, dass du diese gerade nicht
hast. :)
Ja, stimmt. Ich hatte das mit VLAN Layer 1 vermischt :-( Mist :-)
Meine schöne Argumentation! :-)
Switches sind immer auf OSI Layer-2 and up.
Post by Marcel NoeDas ist auch eine Kostenfrage. VLAN fähige Switches sind immer noch deutlich
teurer, als ihre dummen Artverwandten. Irgendwie finde ich den
Gedanken
unattraktiv, mehr Geld für weniger Sicherheit auszugeben. Bei komplett
getrennter Netzwerkhardware hast du wenigstens die Sicherheit, dass bei einem
Fehlverhalten der Hardware die Netze trotzdem getrennt bleiben. Und von dem
Geld, dass du an den Switches sparst kannst du mindestens 2 Jahre lang eine
DSL Flatrate finanzieren.
Nanana. Also den Switch den wir damals im Angebot hatten ware ein
netopia 3xxxer Cayman. Die Software kontrolliert Traffic bis auf
Layer-2 in der Firewall. Der hat WLAN + 4 Ports als gemanagten
Switch. Kosten ca 200 Euro. Davon kann man keine Flatrate + separaten
Anschluss bezahlen.
Es ging jetzt auch nicht darum, dass ich das einfacher oder besser
finde. Sondern nur, dass es technisch möglich wäre.
Die Schule kann sich dadurch ca. 150 Euro für einen zweiten (guten)
Router sparen + zweite DSL Flat also irgendwas unter 1000 Euro /
Jahr. Ich habe nie gesagt, dass das den Aufwand und die bei dem ein
oder anderen entstehenden unruhigen Nächte wegen mangelnden
Vertrauens wert ist.
Einfacher ist es natürlich mit zwei physikalisch getrennten Geräten.
In den hier zitierten Verordnungen aber,wird das NIRGENDS gefordert!
Es wird immer nur von Trennung gesprochen. Es wird immer nur die
phyiskalische Trennung INTERPRETIERT von der nächste Einrichtung die
die Umsetzung betreut. Es wird m.M durchgesetzt weil es die
EINFACHSTE Art ist der Verordnung gerecht zu tun und weil das jeder
versteht und jeder weiss, was man dafür braucht :-)
Also meine Kurzzusammenfassung:
Es geht technisch und wäre damit m.M. nach auch verordnungstechnisch
völlig ausreichend und es spart Betriebskosten.
Ich empfehle es NICHT, denn die Kosten für die phyiskalische Trennung
stehen nicht im Verhältnis zu dem, was ein Beschaffer wissen muss und
dem Aufwand mit dem der Router eingerichtet werden muss. Es ist
einfach (heute noch) zu kompliziert das passende Gerät zu finden,
auch gerade dann wenn Consumergeräte um die Ecke oder vom Händler
einfacher zu bedienen sind und scheller integriert sind.
viele Grüße, Maximilian.
-------------------------------------------------------------------------
Schul Netzwerk Admin Liste (SCHUL-NETZ-0lvw86wZMd/***@public.gmane.org)
Info, Archiv & FAQ und Abmelden unter: http://www.schul-netz.de