Dual-Homed Host

Ein Dual-Homed Host ist ein Rechner mit zwei separaten Netzwerkschnittstellen, die zwei unterschiedliche Netzwerke verbinden. Typisch dient er als Bastion Host oder als anwendungsorientierte Firewall, wobei IP-Weiterleitung deaktiviert und der Verkehr nur über streng kontrollierte Dienste vermittelt wird.

Dual-Homed Host: Definition und Zweck

Ein Dual-Homed Host trennt zwei Netzsegmente, indem er Verkehr ausschließlich über kontrollierte Anwendungen vermittelt. Der Zweck liegt darin, Grenzen zwischen vertrauenswürdigen und exponierten Bereichen zu ziehen, ohne dass IP-Pakete unkontrolliert zwischen Zonen fließen können. Im Gegensatz zu einem Router leitet der Host keine IP-Pakete direkt zwischen den Schnittstellen weiter; IP-Forwarding bleibt deaktiviert. Sicherheitsfunktionen entstehen auf Anwendungsebene, etwa durch Proxy- oder Relay-Dienste, die nur definierte Protokolle terminieren. Die Proxy-basierte Architektur minimiert ungewollte Pfade und reduziert die Angriffsfläche. Das zentrale Prinzip lautet: kein IP-Routing, nur wohldefinierte Proxys, ergänzt durch strikte Host-Firewall-Regeln.

Ein mittelständischer Betrieb setzt einen Dual-Homed Host als Linux-Server mit zwei Netzwerkkarten zwischen internes LAN und Demilitarisierte Zone (DMZ) ein. Die interne Karte erreicht Backend-Systeme, die externe Karte nimmt Verbindungen aus der DMZ an, während IP-Weiterleitung dauerhaft deaktiviert bleibt. Ein Reverse-Proxy veröffentlicht nur HTTPS und vermittelt Anfragen zu einer internen Webanwendung. Hostbasierte Firewall-Regeln erlauben ausschließlich die nötigen Ziele und Ports. Ein Härtungsansatz nach „Default Deny“ verhindert Nebentunnel und erleichtert Audits.

Dual-Homed Host: Typische Architektur und Komponenten

Eine typische Architektur für einen Dual-Homed Host beruht auf zwei strikt getrennten Netzpfaden und deaktiviertem IP-Forwarding, während nur Anwendungsdienste übergeben. Konfigurationsdisziplin und Minimierung der Angriffsfläche bestimmen das Design. Hostbasierte Paketfilter blockieren standardmäßig jeden unbekannten Fluss. Protokoll- und Identitätsprüfungen liegen an der Dienstgrenze, damit nur sauber terminierte Sessions passieren. Trennung der Ebenen und minimaler Funktionsumfang begrenzen die Risiken im Vergleich zu vollwertigen Routern.

Kernbausteine

• Zwei Netzwerkkarten in getrennten Subnetzen mit statischen Adressen und klaren Zonenrollen.
• Host-Firewall (z. B. nftables/pf) mit „Default Deny“ und präzisen Ingress-/Egress-Regeln.
• Proxy-/Relay-Dienste (z. B. Reverse-Proxy für HTTP/S, SMTP-Relay, Jump-Host für SSH/RDP).
• Starke Authentisierung, Logging und zentralisierte Auswertung von Ereignissen.
• Systemhärtung, Patch-Management und begrenzte Verwaltungszugänge.

Administrierende Personen verifizieren die Isolation regelmäßig mit Tools wie traceroute und tcpdump, prüfen sysctl-Werte für ip_forward, und automatisieren Compliance-Checks per Konfigurationsmanagement, um Fehlzustände früh zu erkennen.

Dual-Homed Host: Sicherheitsrisiken und Gegenmaßnahmen

Ein Dual-Homed Host birgt vermeidbare Risiken, wenn IP-Forwarding versehentlich aktiv ist oder Dienste unkontrolliert seitwärts kommunizieren. Ein unbeabsichtigtes Routing oder ein zu großzügiges Egress kann Angreifenden laterale Bewegungen ermöglichen. Fehlende Härtung einzelner Anwendungsproxies eröffnet unnötige Angriffsflächen. Fehlkonfiguration verwandelt die Schutzkomponente in eine Brücke und unterläuft damit die Zonentrennung. Systematische Kontrollen und einfache Guardrails reduzieren diese Gefahr spürbar.

• Fehlkonfiguration von Routing/NAT: Gegenmaßnahme sind ip_forward=0, gesperrte sysctl, und wiederkehrende Compliance-Checks.
• Ungefilterter Egress der Dienste: Gegenmaßnahme sind strikte Allow-Lists für ausgehende Ziele und Ports je Dienst.
• Single Point of Failure: Gegenmaßnahme ist Redundanz mit zwei Hosts und Failover-Mechanismen.
• Unzureichende Protokollierung: Gegenmaßnahme ist zentrales Logging mit Alarmierung auf Ablehnungen und Policy-Verstößen.
• Überprivilegierte Prozesse: Gegenmaßnahme sind minimale Dienste, getrennte Konten und Mandatory Access Control.

Ein temporär geöffneter „ANY-OUT“-Egress an einem Proxy erlaubt einem kompromittierten Webdienst, eine Verbindung ins interne Netzwerk aufzubauen. Eine zeitgesteuerte, restriktive Egress-Policy mit Monitoring hätte diesen Pivot unterbunden.

Dual-Homed Host: Einsatzszenarien und Alternativen

Ein Dual-Homed Host eignet sich besonders für gezielte Protokollvermittlung zwischen zwei Zonen, wenn nur wenige, klar definierte Dienste benötigt werden. Kleine Umgebungen oder Außenstellen profitieren, weil eine Host-Lösung überschaubar bleibt und präzise steuerbar ist. DMZ-Segmente lassen sich so kontrolliert an Backend-Systeme anbinden. Produktions- oder Operational-Technology-Netze (OT) können sichere Update- oder Lizenzpfade in die IT-Zone erhalten. Der Nutzen entsteht durch fokussierte, wohldefinierte Übergänge bei gleichzeitiger Flächenreduktion.

Alternativen und Abgrenzung

• Stateful Firewall/Unified Threat Management (UTM): sinnvoll bei vielen Protokollen, IDS/IPS-Bedarf oder komplexem Routing.
• Screened Subnet (DMZ mit zwei Firewalls): höheres Isolationsniveau durch zusätzliche Kontrollschicht.
• VPN-Gateway: geeignet für entfernten Zugriff, aber kein Ersatz für Zonentrennung zwischen LAN und DMZ.
• Routed Multihoming: dient Provider-Redundanz, ist jedoch kein Dual-Homed Host im Sicherheitskontext.

Ein Dual-Homed Host passt für Umgebungen mit wenigen definierten Diensten und hohem Transparenzbedarf; bei steigender Protokollvielfalt oder erhöhten Durchsatz- und Analyseanforderungen empfiehlt sich eine dedizierte Firewall- oder DMZ-Architektur.