Eine externe Firewall (auch Netzwerk- oder Hardwarefirewall genannt) kontrolliert die Verbindung zwischen zwei Netzen und dient dazu, den Netzwerkzugriff zu beschränken, basierend auf Absender- oder Zieladresse und genutzten Diensten. Sie überwacht den durch die Firewall laufenden Datenverkehr und entscheidet anhand festgelegter Regeln, ob bestimmte Netzwerkpakete durchgelassen werden oder nicht. Auf diese Weise versucht sie, unerlaubte Netzwerkzugriffe zu unterbinden.
Die Netze könnten beispielsweise ein privates Netz (LAN) und das Internet (WAN) sein; möglich ist aber auch eine Verbindung unterschiedlicher Netzwerksegmente ein und desselben Netzwerks.
In Abgrenzung zur Personal Firewall arbeitet die Software einer externen Firewall nicht auf den zu schützenden Systemen selbst, sondern auf einem separaten Gerät, welches Netzwerke oder Netzsegmente miteinander verbindet und dank der darauf laufenden Firewall-Software gleichzeitig den Zugriff zwischen den Netzen beschränkt. Ein derart spezialisiertes Gerät bietet vorwiegend ein sicherheitsoptimiertes und netzwerkseitig stabiles System, welches dank der physischen Trennung zu den zu schützenden Computersystemen nicht so einfach manipuliert werden kann.
Eine externe Firewall besteht somit aus Soft- und Hardwarekomponenten. Hardwarekomponenten sind Geräte mit Netzwerkschnittstellen, die die Netze miteinander verbinden, wie Bridge, Router oder Proxy; Softwarekomponenten sind deren Betriebssystem sowie die Firewall-Software, die auf diesen Geräten installiert wurde (inklusive deren Paket- oder Proxyfilter).
mini|hochkant=2|Die externe Firewall befindet sich zwischen verschiedenen Rechnernetzen und beschränkt den Zugriff zwischen diesen Netzen, in diesem Beispiel zwischen dem Local Area Network (LAN) und dem Wide Area Network (WAN). Grundlagen Firewalltypen Neben der Möglichkeit, auf einer geeigneten Maschine eine Firewall-Software (beispielsweise Check-Point-Firewall 1 oder IPFire) zu installieren und das Betriebssystem selber zu härten, gibt es die Möglichkeit, eine Firewall-Appliance zu benutzen: Sie bieten eine aufeinander abgestimmte Kombination aus Hardware, gehärtetem Betriebssystem und Firewall-Software (z. B. Cisco ASA oder Astaro Security Gateway).
Man unterscheidet zwischen den folgenden Typen:
Bridging-Firewall Hier sind die Netzwerkschnittstellen wie bei einer Bridge (heute meist durch einen Switch ersetzt) gekoppelt. Eine Bridge ist dafür gedacht, zwei physisch getrennte Netzsegmente miteinander auf OSI-Schicht 2 zu verbinden. Sie zeichnet sich dadurch aus, dass sie nur dann Daten (Frames) in das jeweils andere Segment durchreicht, wenn sich der adressierte Teilnehmer auch in dem betreffenden Segment befindet. Grundlage für diese Filterung bilden die OSI-Schicht-2-Adressen (MAC) der Daten-Rahmen.
Um ihre Arbeit zu verrichten, benötigt eine Bridge für sich selbst also keine höheren (IP-)Adressen (anders als bei einem Router wird sie auf dieser Ebene von keinem Kommunikationspartner direkt adressiert) und ist daher im Netz praktisch unsichtbar und auf dieser Ebene auch nicht angreifbar („Bump in the wire“). Allerdings lässt sich der Bridging-Firewall per entsprechender Konfiguration meist eine höhere (IP-)Adresse zuordnen, damit sie nicht nur lokal, sondern auch vom Netz aus administriert werden kann. Dies erfolgt in der Regel auf einer dediziert für Firewall-Verwaltungszwecke vorgesehenen Management-Schnittstelle.
Damit ihre Filterung nicht auf Low-Level-Adressen beschränkt bleibt, unterscheidet sich die Bridging-Firewall von einer typischen Bridge dahingehend, dass sie intern auch auf höhere Protokollebenen zugreift und damit in der Lage ist, IP-Adressen und Ports zu filtern, mitunter inklusive Stateful Packet Inspection. Darüber hinaus kann sie auch Adressen umleiten (IP- und Port-Forwarding), sobald die Bridging-Firewall Teil des Kommunikationswegs ist. Realisiert werden kann eine solche Firewall beispielsweise mit dem Netfilter-Framework.
Routing-Firewall Hier sind die Netzwerkschnittstellen wie bei einem Router gekoppelt. Das ist die am weitesten verbreitete Art; sie kommt bei praktisch allen SoHo-Geräten (für den privaten Gebrauch und kleinere Unternehmen), aber mitunter auch bei größeren Systemen zum Einsatz. Im Vergleich zur Bridge arbeitet ein Router auf einer höheren Abstraktionsebene, indem er zwischen unterschiedlichen IP-Domänen (Subnetze) vermittelt (sämtliche Wege, die ein Netzwerkpaket in vermaschten Netzen nehmen soll, verwaltet der klassische Router anhand der IP-Adresse). Ein Nachteil ist, dass eine darauf aufgesetzte Firewall daher im Netz sichtbar ist und direkt angegriffen werden kann (entweder erscheint sie als Verbindungsglied zwischen den Subnetzen – Router ohne NAT – oder aber sie wird gar als vermeintlicher Kommunikationspartner angesprochen – Router im NAT-Modus).
Der NAT-Modus ist eine mögliche Eigenschaft des Routers. Er beeinflusst das Verhalten der Firewall, wenn sie auf einem solchen Gerät aufgesetzt wird: Im NAT-Modus, aus dem privaten Bereich vor allem durch DSL-Router bekannt, bildet diese Firewall ihre eigene externe Adresse auf den jeweiligen internen Client ab, der eine Verbindung zum externen Netz (Internet) hergestellt hat. Bildlich gesehen funktioniert sie dann wie ein automatisiertes Postfach, welches alle ausgehenden Pakete, die die Firewall passieren, mit der eigenen Absenderadresse versieht. Dadurch stellt sie sicher, dass das Zielsystem die Antwortpakete auch wieder an das „Postfach“ schicken wird. Dank einer speziellen NAT-Verwaltung (PAT) erkennt sie, zu welchem internen Gerät ein aus dem Internet eingehendes Antwortpaket gehört. Dorthin leitet sie das Paket weiter, ohne dass der Versender aus dem Internet die wirkliche (interne) Adresse seines Kommunikationspartners kennt. Dieses Verhalten ist auf einer Bridging-Firewall nicht möglich. In diesem Modus verdeckt die Routing-Firewall – genau wie eine Proxy-Firewall – die Struktur des internen Netzes, ist im Unterschied dazu aber nicht in der Lage, die Kommunikation zu beeinflussen.
Proxy-Firewall Hier arbeitet die Firewall als Proxy zwischen dem Quell- und Zielsystem.
Als transparenter Proxy verhält sich die Proxy-Firewall ähnlich wie unter der Routing-Firewall im NAT-Modus beschrieben. Durch eine entsprechend konfigurierte Infrastruktur des Netzes wird die Anfrage des Clients automatisch über die Proxy-Firewall geleitet, ohne dass der Absender dies bemerkt oder gar beeinflussen kann. Im Unterschied zu NAT leitet eine Proxy-Firewall die Kommunikation nicht einfach weiter. Vielmehr baut sie eine eigene Verbindung zum Zielsystem auf. Sie führt die Kommunikation also selbst, stellvertretend für den anfragenden Client. Daher kann eine Proxy-Firewall den Inhalt der Netzwerkpakete zusammenhängend analysieren, Anfragen filtern und bei Bedarf beliebige Anpassungen vornehmen, aber auch entscheiden, ob und in welcher Form die Antwort des Ziels an den tatsächlichen Client weitergereicht wird.
Daneben gibt es den konventionellen Proxy, der ebenfalls die Kommunikation selbst führt, dabei aber beiden Seiten als direkter Kommunikationspartner gegenübertritt. Er wird von ihnen also bewusst angesprochen (adressiert). Hier bittet der Client den Proxy, stellvertretend für ihn die Kommunikation mit dem Zielsystem zu übernehmen. So wird z. B. der Webbrowser derart konfiguriert, dass er sämtliche Internetanfragen nicht direkt zur Zieladresse schickt, sondern als Anforderung formuliert zur Proxy-Firewall sendet.
Bezugnehmend auf das OSI-Schichtenmodell wird eine Proxy-Firewall auch Application Level Firewall genannt. Jeder ihrer Proxy-Filter baut stellvertretend für die Clients die Verbindung zum Zielsystem auf. Für jedes höhere Kommunikationsprotokoll (wie HTTP, FTP, DNS, SMTP, POP3, MS-RPC usw.) gibt es einen eigenen Filter, dedicated proxy genannt. Auf einem einzigen Gerät können mehrere ‚dedicated proxies’ gleichzeitig laufen, um unterschiedliche Protokolle bedienen zu können. Sie können unter anderem unerwünschte Protokolloptionen verbieten, etwa in einer SMTP-Transaktion kein BDAT, VRFY o. Ä. zulassen.
Hardwarefirewall Es gibt in der Praxis keine Firewalls, die ausschließlich auf Hardware basieren. Eine Firewall kann zwar auf einem eigenen Betriebssystem laufen und auf unterschiedliche Netzwerkebenen zugreifen, jedoch wird sie dadurch nicht Bestandteil der Hardware. Eine Firewall enthält immer als wesentlichen Bestandteil eine Software.
Der Begriff „Hardware-Firewall“ wird vielmehr als Synonym für externe Firewalls verwendet. Er soll zum Ausdruck bringen, dass es sich hierbei um eine separate Hardware handelt, auf der die Firewall-Software läuft. Dabei gibt es allerdings Hardware, die für die Verwendung der Firewall-Software optimiert wurde, zum Beispiel indem ein entsprechender Hardware-Entwurf dabei hilft, Teile der Ent- und Verschlüsselung bestimmter Protokolle zu beschleunigen.
Netzwerkzonen (Schnittstellen) Die Hardwarekomponente einer externen Firewall besitzt mehrere Netzwerkschnittstellen (üblicherweise zwischen 2 und 20), an denen jeweils die zu trennenden Netzbereiche angeschlossen sind. Je nach Produkt können diese in folgende Netzwerk- und Vertrauenszonen unterteilt sein: Das externe Netz (meist als WAN-Port betitelt) Meist das Internet, aber auch ein weiteres Kundennetz. Diese gelten als unsicher (kein Vertrauen).
Das interne Netz (meist als LAN-Port betitelt) Aus Sicht der Firewall handelt es sich hierbei um das eigene Netz, welches es zu schützen und der Firewall gegenüber als vertrauenswürdig gilt (hohes Vertrauen).
Das Management-Netz Dieser Netzwerkanschluss ist optional. Von hier aus erfolgen alle Zugriffe zur Konfiguration des Firewallsystems, zum Einspielen der Regeln und andere Verwaltungsfunktionen (absolutes Vertrauen). Mit Hilfe dieses Netzes wird erreicht, dass sich die Firewall nicht einfach aus dem internen Netz heraus anpassen lässt.
Die demilitarisierte Zone (DMZ)
An diesem (ebenfalls optionalen) Netzwerkanschluss werden die vom externen Netz aus erreichbaren Server beherbergt (wenig Vertrauen). Diese Server können von sich aus keine eigenen oder nur beschränkte Verbindungen zum internen Netz aufbauen, wohingegen die internen Clients in der Regel auf diese Server genauso zugreifen können, wie auf Server aus dem Internet. Das hat den Vorteil, dass – sollte ein solcher Server aus dem externen Netz heraus eingenommen werden – von dort aus kein direkter Zugriff des Eindringlings auf das interne Netz möglich wird.
Größere Firmen besitzen oft mehrere Firewalls und DMZs mit jeweils unterschiedlichen Rechten, z. B. um die leichter angreifbaren Web- und Mailserver von den Servern mit den Daten für die Außendienstmitarbeiter zu trennen.
Die exposed DMZ (auch kurz DMZ) und der exposed Host Die Bezeichnung ‚exposed DMZ’ („freiliegende demilitarisierte Zone“) lässt die Vermutung zu, dass es sich hierbei um ein separates Netz handeln könnte, obgleich man deren virtuellen Netzwerkanschluss nur einem einzigen internen Computer zuordnen kann. Diese „Zone“ wird je nach Hersteller manchmal sogar kurz „DMZ“ (ohne „exposed“) genannt, hat aber weder etwas mit einer echten DMZ, noch mit einer separaten Netzwerkzone gemein. Vielmehr gebrauchen einige Hersteller die Bezeichnung „DMZ“ für eine andere Funktionalität, die in Fachkreisen als exposed Host bezeichnet wird. Obgleich viele Geräte aus Kostengründen nicht die technischen Voraussetzungen für eine echte DMZ bieten, wird ihr Produkt also mit einem falschen Fachbegriff beworben.