Op het forum van Tweakers (gathering.tweakers.net) wordt dit vast wel ergens besproken.
Het stukje "DMZ --> firewall -->" snap ik niet helemaal. Wat moet de 2e firewall doen wanneer de 1e faalt? Of wat doet 'ie extra wat niet in de 1e firewall afgehandeld kan worden? Firewall én de server/cloud goed instellen moet voldoende zijn lijkt me.
Met hoeveel personen ga je de data delen? Als jij de enige bent die er bij moet kunnen dan is een up-to-date VPN prima.

Waarschijnlijk wil de TS de gebruikers in huis via verschillende firewalls laten verlopen, zodat de gebruikers andere policies ervaren.

Met een Astaro firewall heb ik het thuis als volgt ingericht:

Internet
¦
modem
¦
Astaro
<--> DMZ
<--> thuisnetwerk

dus het thuisnetwerk en de DMZ zitten allebei op hun eigen interface op de firewall. Op het thuisnetwerk zitten de laptops, tablets en smartphones, in de DMZ staat nu een NAS. Voor noodgevallen kan op het modem een laptop aangesloten of een WLAN aangezet worden.

Voorheen was dit

Internet <--> modem <--> Openwall <--> DMZ <--> Openwall <--> thuisnetwerk

Er gaat ander verkeer tussen internet en de DMZ dan tussen internet en het thuisnetwerk, en tussen DMZ en thuisnetwerk loopt ook nog iets. De 2 Openwalls hadden hier dus niet dezelfde instellingen. De 2e firewall dient uiteraard om nog enige bescherming te bieden tegen al dan niet gecompromitteerde systemen in de DMZ. Met de Astaro was dit eenvoudiger en fijnmaziger te beheren. Veel discussie is er niet over.

http://nl.wikipedia.org/wiki/DMZ_(informatica)

De term DMZ is nogal verwarrend en niet goed te vergelijken met bijv. het grensgebied tussen Noord en Zuid Korea.

Als servers in een DMZ geplaatst worden waarvan het risico bestaat dat deze gecompromitteerd raken, dan wil je niet dat deze al het netwerkverkeer tussen internet en jouw LAN kunnen "zien" (laat staan kapen). En als je meerdere servers in de "DMZ" hebt, wil je ook niet dat ze elkaar kunnen zien.

De moosite oplossing is daarom meestal een vork: de steel naar internet, 1 poot naar LAN en de overige poorten naar individuele servers. Met de Astaro (tegenwoordig Sophos) software gaat dat prima. Je hebt dan, naast een netwerk interface voor Internet/WAN, wel meerdere netwerkinterfaces nodig aan de "schone" zijde. Als redelijk alternatief kun je een switch inzetten die VLAN's ondersteunt (VLAN's vormen geen echte security boundary, maar het is beter dan alles aan elkaar knopen).

Heb je maar 1 servertje, dan volstaat een firewall/router met 3 poorten. Voorbeeld: http://www.applianceshop.eu/index.php/boards-parts/pc-engines-alix-2d13.html met pFsense. Sneller is waarschijnlijk http://www.informatique.nl/461194/draytek-vigor-2130-gigabit-router.html (zie http://draytek.com/.upload/Demo/Vigor2130/v1.5.1/ voor een live demo van zo'n device).

Meer over firewalls thuis lees je o.a. hier: https://www.security.nl/artikel/38734/1/Consumenten_router_met_configureerbare_firewall.html.

Overigens is security.nl m.i. een prima forum om dit soort zaken te bespreken!

@AA_CS
In een dergelijk Back-to-Back oplossing zet je meestal servers waar je gefilterd een aantal poorten op toestaat. De tweede firewall zet je helemaal dicht zodat er enkel uitgaande verkeer doorheen kan. Prima oplossing. Om het nóg veiliger te maken zou je 2 verschillende type firewalls neer kunnen zetten maar ook al zijn het 2 dezelfde dan wordt het een taaie klus om daar wat mee te doen.

Erik v. S. en ano@12.54 bedankt voor de uitleg. Stomgenoeg zie ik dat we het hier op het werk ook zo hebben ingericht (back-to-back), nooit over nagedacht. Ik vermoed overigens dat TS Paskal de data alleen met zichzelf wil delen, dan lijkt VPN me op zich voldoende.
TS, waarom ben je eigenlijk niet gerust op de huidige beveiliging?

Dan voor alle reacties!

@AA_CS: Doel van 2e firewall is inderdaad een extra beveiliging voor als de server in de DMZ gecompromitteerd wordt.

@sjonniev: Ik ga Astaro (Sophos) bekijken. Dank voor de tip. Had inderdaad zelf al redelijk rondgesurft en zie weinig discussie over dit topic. Blijkbaar niet interessant voor de thuisgebruikers.

@Erik van Straten: vork is inderdaad ook mooie oplossing. Uiteraard heeft mijn wifi-router ook een ingebouwde firewall.

@AA_CS: ik ben niet gerust op de huidige beveiliging omdat achter de firewall van de router (die aan Ziggo hangt) alles aan elkaar zit in een netwerk. Ik wil met name mijn NAS beschermen en die niet zomaar aan het Internet hangen.

Zelf zit ik nog te denken aan het inzetten van een (oude) laptop:
- Naast de ingebouwde ethernetpoort ook nog via PCMCIA twee ethernetpoorten toevoegen.
- Ubuntu Server als basis
- Daarop 2 of 3 LXC-containers die de functionaliteit van Firewall(s) en DMZ faciliteren.

Heb Astaro (Sophos) geinstalleerd. Ziet er goed uit.
Er is alleen geen PCMCIA support in het systeem gecompileerd. Jammer.
Dan maar terug naar Ubuntu Sever :-)