Router und extra MacOSX Firewall?

[gebbi]

Ich habe ein FritzBoxSL DSL Modem als Router laufen. In dem Gerät ist eine Firewall integriert, die ich auch schon konfiguriert habe. Jetzt kann ich doch eigentlich die interne Firewall von MacOSX Tiger deaktivieren, sonst laufen doch zwei?

 

[mrelan]

ja kannst du.

 

[starwarp]

die Hauseigene FW von OS X hab ich trotzdem am laufen, da ja die auf den Routern evtl. auch nicht immer alles abfangen

 

[gebbi]

Das sind zwei verschiedene Meinungen und ich weiß nicht was nun richtig ist. Naja, ich hab sie erstmal ausgeschaltet.

 

[mrelan]

hm? wie die fangen nicht alles ab? das heißt man kann Sachen runterladen?
Der Router fängt (wenn er sinnvoll konfiguriert ist) alles ab, was du nicht ausdrücklich angefordert hast, also z.B. Hacker-Angriffe. Was soll denn noch abgefangen werden?

 

[mrelan]

Das sind zwei verschiedene Meinungen und ich weiß nicht was nun richtig ist. Naja, ich hab sie erstmal ausgeschaltet.

OK, dann fangen wir jetzt mal an unsere Aussagen zu untermauern. Ich berufe mich mal auf die c't, die in einer ihrer letzten Ausgaben (ich glaube es war die 19/2006) einen ausführlichen Artikel über den Sinn und Unsinn von personal Firewalls geschrieben hat.
Fazit war: Eine personal Firewall würde theoretisch nur Sinn machen, wenn sie perfekt wäre. Das heißt: alles abweist, was nicht durch soll, und alles durchlässt was durch soll. Woher weiß sie aber, was durch soll und was nicht? Da liegt das Problem, daß in der Praxis die personal firewalls nicht alles blocken, was geblockt werden sollte, aber dafür sachen blocken, die eigentlich nicht geblockt werden sollen, und deshalb machen sie eigentlich keinen Sinn.
Der Router macht das so: Er kriegt von dir ne anfrage, leitet die weiter an einen server, kriegt ne antwort, sieht daß es eine antwort auf ein paket von dir ist, und schickt es zu dir. Kriegt er ein nicht angefordertes paket (z.B. hackerangriff), lässt er es einfach fallen.

 

[gebbi]

Also eindeutig besser als die eigene Firewall von MacOSX, weil sich alles auf dem Router abspielt. Dann kann sie auch aus bleiben. Sonst komme ich ja mit dem Konfigurieren durcheinander. Einmal auf Tiger und dann im Router.

 

[Swallowtail]

Fraglos ist eine Hardwar-Firewall besser. Oft sind diese aber nicht richtig konfiguriert.

Ich lasse jedenfalls die internen Firewalls von MacOS und WinXP immer mitlaufen. Erstens habe ich dadurch nie einen Nachteil festgestellt (Geschwindigkeit), und zweitens ist man ja auch mal in nem anderen LAN zu besuch (Internet-Café).

 

[Darii]

Die meisten Router „schützen“ einen ja meist schon dadurch, dass die ports nicht weitergeleitet werden auch ohne Firewall

 

[Sophokles]

Yo, chicos!

Eine "firewall" (meistens ist damit ein Paketfilter gemeint), die auf dem zu schützenden Rechner selbst läuft, ist meiner Ansicht nach sowieso Augenwischerei.

Sowas gehört auf ein separates Gerät, das nichts anderes macht (im Optimalfall).

Sophokles

 

[SirSalomon]

Ich gebe mal einen anderen Gedankengang:

Die Firewall im Router ist i.d.R. für den auswertigen Netzverkehr gut geeignet, die Firewall im OSX (wenn sie denn richtig konfiguriert ist) blockt das interne Netzwerktraffic.

Vorteil aus der Situation: Die interne Firewall verhindern zum einen das Programme ungefragt "nach Hause anrufen". Weiterhin kann damit der ausgehende Datentransfer bei Bedarf unterbunden werden.

Grundsätzlich gilt jedoch: Eine Firewall ist ein lebendes Objekt, dass ständig gepflegt, behütet und begutachtet werden will. Also ein einfaches aktivieren und gut ist's, geht definitv nicht.

 

[mrelan]

Die interne Firewall verhindern zum einen das Programme ungefragt "nach Hause anrufen". Weiterhin kann damit der ausgehende Datentransfer bei Bedarf unterbunden werden.

Da genau liegt ja das Problem: unter Windows hat dann jeder Zone Alarm und freut sich, wenn er in der statistik sieht, daß schon wieder 2000 "Angriffe" abgewiesen wurden. Das vermittelt ihm eine trügerische Sicherheit. Er weiß ja nicht, daß das gar keine Angriffe waren, sondern irgendwelcher normaler Netzwerkverkehr. Aber hauptsache die Anschaffung hat sich gelohnt. Daß Programme nach hause telefonieren, kann diese Firewall auch nicht verhindern, weil sie immer irgendwelche Hintertüren, z.B. über andere Programme, finden.

 

[SirSalomon]

Da genau liegt ja das Problem: unter Windows hat dann jeder Zone Alarm und freut sich, wenn er in der statistik sieht, daß schon wieder 2000 "Angriffe" abgewiesen wurden. Das vermittelt ihm eine trügerische Sicherheit. Er weiß ja nicht, daß das gar keine Angriffe waren, sondern irgendwelcher normaler Netzwerkverkehr. Aber hauptsache die Anschaffung hat sich gelohnt. Daß Programme nach hause telefonieren, kann diese Firewall auch nicht verhindern, weil sie immer irgendwelche Hintertüren, z.B. über andere Programme, finden.

Die Sicht- und Verständnisweisen mancher User möchte ich gar nicht beurteilen. Es ging um die sinnvolle Verwendung von Router- & OSX-Firewall.

Übrigens, wenn ich nicht möchte, dass ein Programm nach Hause telefoniert, verwende ich als Windows-User erstmal nicht ZoneAlarm oder Symantex-Pröddel...

Zu guter letzt. Wenn ich einer sauber eingestellen Firewall sage, dass der Safari auf Port 80 raus darf, aber sonst kein anderes Programm auf dem Port, dürfte es erstmal schwer werden für eben das andere Programm.

Erlebe ich fast jeden Tag bei Adobe-Update und ähnlichen Programmen...