Ein Dual-Homed Host ist ein Rechner mit zwei separaten Netzwerkschnittstellen, die zwei unterschiedliche Netzwerke verbinden. Typisch dient er als Bastion Host oder als anwendungsorientierte Firewall, wobei IP-Weiterleitung deaktiviert und der Verkehr nur \u00fcber streng kontrollierte Dienste vermittelt wird.<\/p>\n
Ein Dual-Homed Host trennt zwei Netzsegmente, indem er Verkehr ausschlie\u00dflich \u00fcber kontrollierte Anwendungen vermittelt. Der Zweck liegt darin, Grenzen zwischen vertrauensw\u00fcrdigen und exponierten Bereichen zu ziehen, ohne dass IP-Pakete unkontrolliert zwischen Zonen flie\u00dfen k\u00f6nnen. Im Gegensatz zu einem Router leitet der Host keine IP-Pakete direkt zwischen den Schnittstellen weiter; IP-Forwarding bleibt deaktiviert. Sicherheitsfunktionen entstehen auf Anwendungsebene, etwa durch Proxy- oder Relay-Dienste, die nur definierte Protokolle terminieren. Die Proxy-basierte Architektur minimiert ungewollte Pfade und reduziert die Angriffsfl\u00e4che. Das zentrale Prinzip lautet: kein IP-Routing, nur wohldefinierte Proxys<\/strong>, erg\u00e4nzt durch strikte Host-Firewall-Regeln.<\/p>\n Ein mittelst\u00e4ndischer Betrieb setzt einen Dual-Homed Host als Linux-Server mit zwei Netzwerkkarten zwischen internes LAN und Demilitarisierte Zone (DMZ) ein. Die interne Karte erreicht Backend-Systeme, die externe Karte nimmt Verbindungen aus der DMZ an, w\u00e4hrend IP-Weiterleitung dauerhaft deaktiviert bleibt. Ein Reverse-Proxy ver\u00f6ffentlicht nur HTTPS und vermittelt Anfragen zu einer internen Webanwendung. Hostbasierte Firewall-Regeln erlauben ausschlie\u00dflich die n\u00f6tigen Ziele und Ports. Ein H\u00e4rtungsansatz nach \u201eDefault Deny“ verhindert Nebentunnel und erleichtert Audits.<\/p>\n Eine typische Architektur f\u00fcr einen Dual-Homed Host beruht auf zwei strikt getrennten Netzpfaden und deaktiviertem IP-Forwarding, w\u00e4hrend nur Anwendungsdienste \u00fcbergeben. Konfigurationsdisziplin und Minimierung der Angriffsfl\u00e4che bestimmen das Design. Hostbasierte Paketfilter blockieren standardm\u00e4\u00dfig jeden unbekannten Fluss. Protokoll- und Identit\u00e4tspr\u00fcfungen liegen an der Dienstgrenze, damit nur sauber terminierte Sessions passieren. Trennung der Ebenen und minimaler Funktionsumfang<\/strong> begrenzen die Risiken im Vergleich zu vollwertigen Routern.<\/p>\n Administrierende Personen verifizieren die Isolation regelm\u00e4\u00dfig mit Tools wie traceroute und tcpdump, pr\u00fcfen sysctl-Werte f\u00fcr ip_forward, und automatisieren Compliance-Checks per Konfigurationsmanagement, um Fehlzust\u00e4nde fr\u00fch zu erkennen.<\/p>\n Ein Dual-Homed Host birgt vermeidbare Risiken, wenn IP-Forwarding versehentlich aktiv ist oder Dienste unkontrolliert seitw\u00e4rts kommunizieren. Ein unbeabsichtigtes Routing oder ein zu gro\u00dfz\u00fcgiges Egress kann Angreifenden laterale Bewegungen erm\u00f6glichen. Fehlende H\u00e4rtung einzelner Anwendungsproxies er\u00f6ffnet unn\u00f6tige Angriffsfl\u00e4chen. Fehlkonfiguration verwandelt die Schutzkomponente in eine Br\u00fccke<\/strong> und unterl\u00e4uft damit die Zonentrennung. Systematische Kontrollen und einfache Guardrails reduzieren diese Gefahr sp\u00fcrbar.<\/p>\n Ein tempor\u00e4r ge\u00f6ffneter \u201eANY-OUT“-Egress an einem Proxy erlaubt einem kompromittierten Webdienst, eine Verbindung ins interne Netzwerk aufzubauen. Eine zeitgesteuerte, restriktive Egress-Policy mit Monitoring h\u00e4tte diesen Pivot unterbunden.<\/p>\n Ein Dual-Homed Host eignet sich besonders f\u00fcr gezielte Protokollvermittlung zwischen zwei Zonen, wenn nur wenige, klar definierte Dienste ben\u00f6tigt werden. Kleine Umgebungen oder Au\u00dfenstellen profitieren, weil eine Host-L\u00f6sung \u00fcberschaubar bleibt und pr\u00e4zise steuerbar ist. DMZ-Segmente lassen sich so kontrolliert an Backend-Systeme anbinden. Produktions- oder Operational-Technology-Netze (OT) k\u00f6nnen sichere Update- oder Lizenzpfade in die IT-Zone erhalten. Der Nutzen entsteht durch fokussierte, wohldefinierte \u00dcberg\u00e4nge bei gleichzeitiger Fl\u00e4chenreduktion<\/strong>.<\/p>\n Ein Dual-Homed Host passt f\u00fcr Umgebungen mit wenigen definierten Diensten und hohem Transparenzbedarf; bei steigender Protokollvielfalt oder erh\u00f6hten Durchsatz- und Analyseanforderungen empfiehlt sich eine dedizierte Firewall- oder DMZ-Architektur.<\/p>\n","protected":false},"featured_media":0,"template":"","glossary_intl_set":[],"glossary_intl_cluster":[392],"glossary_intl_theme":[],"class_list":["post-28925","glossary_intl","type-glossary_intl","status-publish","hentry","glossary_intl_cluster-cybersecurity"],"acf":{"card_description":"Dual-Homed Host ist ein Rechner mit zwei Netzwerkschnittstellen, der zwei Netzsegmente \u00fcber kontrollierte Anwendungsdienste verbindet, wobei IP-Forwarding deaktiviert bleibt. Verkehr flie\u00dft nur \u00fcber Proxys oder Relays auf Anwendungsebene.","nav_theme":"","nav_subtheme":"","dataset_version":"","term_inline":"","term_plural":false,"heading_overrides":null,"synonyms":[{"value":"Zweifach angeschlossener Host"},{"value":"Dual-NIC Host"}],"lead_definition":"Ein Dual-Homed Host ist ein Computer mit zwei separaten Netzwerkschnittstellen, der zwei unterschiedliche Netzsegmente \u00fcber kontrollierte Anwendungsdienste wie Proxys oder Relays verbindet, wobei IP-Forwarding vollst\u00e4ndig deaktiviert bleibt und der Verkehr nur \u00fcber wohldefinierte Protokolle passiert, um eine Sicherheitsschicht auf Anwendungsebene ohne direktes IP-Routing zu schaffen.","at_a_glance":[{"bullet":"IP-Forwarding bleibt stets deaktiviert, sodass keine automatischen Routing-Pfade zwischen den beiden Netzsegmenten entstehen und Verkehr ausschlie\u00dflich \u00fcber streng kontrollierte Anwendungsdienste flie\u00dft."},{"bullet":"Sicherheit entsteht auf Anwendungsebene durch Proxy- oder Relay-Dienste, die nur definierte Protokolle terminieren und jeden Verkehr explizit pr\u00fcfen, bevor er die Zonengrenze passiert."},{"bullet":"Ein Dual-Homed Host trennt vertrauensw\u00fcrdige von exponierten Bereichen und reduziert die Angriffsfl\u00e4che durch minimale Funktionalit\u00e4t und strikte hostbasierte Firewall-Regeln nach \u201eDefault Deny\"."}],"intro_answer":"","steps_answer":"","steps":null,"examples":[{"example":"Ein mittelst\u00e4ndischer Betrieb setzt einen Linux-Server mit zwei Netzwerkkarten zwischen internes LAN und DMZ ein, wobei ein Reverse-Proxy nur HTTPS-Anfragen zu einer internen Webanwendung vermittelt."},{"example":"Eine Produktionsumgebung nutzt einen Dual-Homed Host als SMTP-Relay, der E-Mails aus dem internen Netz annimmt und \u00fcber die externe Schnittstelle an externe Mailserver weiterleitet, ohne direkte IP-Verbindungen zu erm\u00f6glichen."},{"example":"Ein Forschungsinstitut betreibt einen Jump-Host f\u00fcr SSH-Zugriffe, der als Dual-Homed Host zwischen Management-LAN und Experimentier-Netz vermittelt und jeden Zugriff protokolliert."}],"misconception":null,"faq":[{"q":"Wann sollte man einen Dual-Homed Host statt einer Firewall einsetzen?","a":"Ein Dual-Homed Host passt, wenn nur wenige, klar definierte Anwendungsprotokolle zwischen zwei Zonen vermittelt werden m\u00fcssen und Transparenz wichtig ist. Bei vielen Protokollen, hohem Durchsatz oder Bedarf an Deep-Packet-Inspection empfiehlt sich eine dedizierte Firewall oder UTM-L\u00f6sung."},{"q":"Wie verhindert man, dass ein Dual-Homed Host versehentlich zum Router wird?","a":"IP-Forwarding wird im Betriebssystem dauerhaft deaktiviert (z. B. ip_forward=0 in Linux sysctl), hostbasierte Firewall-Regeln blockieren standardm\u00e4\u00dfig alle Flows, und automatisierte Compliance-Checks pr\u00fcfen regelm\u00e4\u00dfig die Konfiguration. Nur explizit erlaubte Dienste d\u00fcrfen zwischen den Schnittstellen vermitteln."},{"q":"Welche Dienste laufen typischerweise auf einem Dual-Homed Host?","a":"Typische Dienste umfassen Reverse-Proxys f\u00fcr HTTP\/S, SMTP-Relays f\u00fcr E-Mail, Jump-Hosts f\u00fcr SSH\/RDP oder VPN-Endpoints. Alle Dienste terminieren Verbindungen explizit und bauen neue, kontrollierte Sessions auf, anstatt Pakete durchzureichen."},{"q":"Ist ein Dual-Homed Host ein Single Point of Failure?","a":"Ein einzelner Dual-Homed Host ist ein Single Point of Failure; Redundanz entsteht durch zwei parallele Hosts mit Failover-Mechanismen (z. B. VRRP, Keepalived) oder durch zus\u00e4tzliche Kontrollschichten wie Screened Subnet. Die Architektur muss Verf\u00fcgbarkeitsanforderungen ber\u00fccksichtigen."}],"compare_answer":"","compare":null,"variants":[{"title":"Dual-homed bastion host","inline_description":"A hardened, two-interface host exposed to untrusted networks that enforces policy at the application layer.","description":"Dual-homed bastion host is a form of Dual-Homed Host used as a hardened gateway on the boundary of a trusted network and an untrusted network, where packet forwarding is disabled and only proxied or jump access is allowed through tightly controlled services.","source":"","key":""}],"signals_answer":"","signals":null,"protect_answer":"","prevent":null,"incident":null,"related_terms":null,"pillar_link":null,"sources":[{"publisher":"","name":"NIST SP 800-41 Rev. 1 \u2013 Guidelines on Firewalls and Firewall Policy","url":"https:\/\/csrc.nist.gov\/publications\/sp","doc_type":"","group":"used"},{"publisher":"","name":"RFC 2979 \u2013 Behavior of and Requirements for Internet Firewalls","url":"https:\/\/www.rfc-editor.org\/","doc_type":"","group":"used"}],"reviewer":{"name":"M. Kubascikova","qualification":"SEO director","date":"2026-07-01"},"disclaimer":""},"aioseo_notices":[],"aioseo_head":"\n\t\t\n\t\n\t\n\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\t\n\t\tDual-Homed Host: Typische Architektur und Komponenten<\/h2>\n
Kernbausteine<\/h3>\n
\n
Dual-Homed Host: Sicherheitsrisiken und Gegenma\u00dfnahmen<\/h2>\n
\n
Dual-Homed Host: Einsatzszenarien und Alternativen<\/h2>\n
Alternativen und Abgrenzung<\/h3>\n
\n