Nefilter vs. Policy Routing

S

Serow

0
Hi, ich habe gerade ueber Policy Routing (verschiedene Routing Tables in Abhaengigkeit von bestimmten Regeln zB Quell-Adresse). Es scheint also 2 Moeglichkeiten zu geben um User aus einem Netz nicht in ein anderes zu lassen:

1. Der Router kennt die Route garnicht
2. Der Router kennt sie aber Firewall Regeln verbieten es

Wo liegt der Unterschied bzgl Sicherheit und Performance?

Gruesse
serow
 
Ich bin gerade etwas verwirrt. PBR wird normalerweise verwendet um bestimmte Netzwerk-Topologien abzubilden oder Szenarien umzusetzen, die zu komplex für statisches Routing sind, aber zu einfach für eine Lösung mit dynamischen Routingprotokollen oder es von vornherein mit normalen Routing-Lösung gar nicht geht (z.B. wenn anhand eines Anwendungsprotokolls geroutet werden soll).

Du willst z.B. den Traffic einer VPN-Domäne über ein bestimmtes Gateway schicken und den übrigen Traffic über ein anderes Gateway, oder du willst nur den HTTP-/FTP-/SMTP-Traffic wo anders hinlenken, etc. Für solche Fälle wird PBR für gewöhnlich verwendet.

Theoretisch könnte man damit wohl auch die Sicherheit erhöhen. Nur dafür ins Routing eingreifen? Ich weiß nicht. Je komplexer die Infrastruktur, desto mehr Policies müssten da gepflegt werden und irgendwann führt das dann auch zu Seiteneffekten wie man sie nicht haben will. Zumal das Debugging von Routingproblemen auch meist alles andere als trivial ist (ich spreche nun nicht von einem LAN mit 10 Rechnern).
Ich kann dir nun leider keinen wirklichen Grund nennen, der gegen deine Idee mit PBR sprechen würde, aber es hat wohl seine Gründe, dass sich flächendeckend das Prinzip der Firewalls durchgesetzt hat. PBR ist nämlich auch nicht seit gestern bekannt. :)
 
*Klick*,

danke Dresko, nun hab ich es auch "richtig" gerafft, was eigtl. gemeint war :D
 
Zuletzt bearbeitet:
Wenn sowieso schon eine Firewall läuft, sollte man auch hier die Verbindungen
verbieten die man nicht will. Zum einen dürfte dort die Analyse von unerwünschtem Traffic
leichter zu handeln sein zum anderen wird das PBR entlastet, da unbekannte Pakete
ja die gesamte Tabelle durchlaufen würden, um bei einer Defaultregel zu landen.
Der Sinn von PBR ist nicht keine Route vorzuhalten, sondern dafür zu sorgen
das bestimmte Protokolle sichere/schnellere Routen nehmen. Eine Anwendung wäre zum
Beispiel unverschlüsselte Daten über ein VPN zu routen und zum Beispiel https
"normal" ins Internet zu lassen.

Gruss
 
Um antworten zu können musst du eingeloggt sein.
Zurück
Oben