Wo liegt denn dein Problem mit der Lösung ohne Gateway?
Der Pc/die Pc's kommen ohne Standardgatway nicht ins netz sind aber innerhalb des Netzwerkes erreichbar.

Nun ich weiß ja nicht, was für FBI-Berichte du da hast, die du beschützen willst, weil du natürlich ein System soweit zuschotten kannst, dass du gar nicht mehr damit arbeiten kannst (Rechenr in einen Safe sperren und diesen unter keinen Umständen öffnen, sollte in vielen Fällen helfen, solange dieser rund um die Uhr bewacht wird)

Aber wenn die Rechner mit den sensiblen Daten, keine Dateien ausführen, die Schadcode enthalten können und das Netzwerk so konfiguriert ist, dass die Rechner, die am Internet hängen keine Zugriffsrechte auf die anderen Rechner haben, kann eigentlich nicht so viel passieren.

Hinzu könnte man nun auch noch vermeiden, von den am Internet hängenden Computern auf die FB konfiguration zuzugreifen. Und natürlich die FB Firmware immer auf den aktuellen Stand halten, den wir haben ja brav in den Nachrichten von der neusten FB Sicherheitslücke gelesen.

Muss man halt immer abwegen, wie weit man gehen will. :-)

Soweit ist alles gesagt.
Was man auch in Zeiten preisgünstiger Speichersystem für das LAN unbedingt vermeiden sollte, ist die Freigabe von Ordnern auf einzelnen PCs und Zugriffe von anderen Rechnern aus.

Zitat von painfulsmile

Hinzu könnte man nun auch noch vermeiden, von den am Internet hängenden Computern auf die FB konfiguration zuzugreifen. Und natürlich die FB Firmware immer auf den aktuellen Stand halten, den wir haben ja brav in den Nachrichten von der neusten FB Sicherheitslücke gelesen.

Muss man halt immer abwegen, wie weit man gehen will. :-)

Aber nur wenn die Telefonie angeschlossen ist (ISDN an FB) ^^ beim VoIP anschluss besteht da natürlich auch die Problematik -> KD einer 3170 dürfen sich hier freuen haha

Das Problem ist ganz einfach, auf den Rechnern befinden sich Lohnabrechnungen diverser Firmen. Diese und deren Mitarbeiter würden es sicher nicht toll finden wenn diese Info nach außen dringt.

Zitat von painfulsmile

Aber wenn die Rechner mit den sensiblen Daten, keine Dateien ausführen, die Schadcode enthalten können und das Netzwerk so konfiguriert ist, dass die Rechner, die am Internet hängen keine Zugriffsrechte auf die anderen Rechner haben, kann eigentlich nicht so viel passieren.

Hinzu könnte man nun auch noch vermeiden, von den am Internet hängenden Computern auf die FB konfiguration zuzugreifen. Und natürlich die FB Firmware immer auf den aktuellen Stand halten, den wir haben ja brav in den Nachrichten von der neusten FB Sicherheitslücke gelesen.

Wenn mir jemand bitte diese 2 Themen erkären könnte wie ich sie am PC umsetzt wäre mit sehr geholfen.

An der FB hängen auch Telefone und Voip wird auch genutzt ist aber keine 3170.
Stellte die Telefonie ein Problem mit der Sicherheit der Rechner dar, kann ich mir jetzt nur schwer vorstellen?!?

Zusätzlich habe ich nochmals geschaut auf der FB sind keiner Nutzer angelgt, auch ist unter System FB Benutzer so lesen, dass die Box nicht aus dem Inet erreichbar ist. Reicht diese Info aus oder muss man noch speziell etwas einstellen?

Ordnerfreigaben auf den Rechnern gibt es nicht, jedoch ist ein NAS als Netzlaufwerk eingebunden, es wird aber nur zur Sicherung ans Stromnetz genommen und dann getrennt.

Die NAS hängt an der Fritzbox?
Werden dort auch die sensiblen Daten gesichert?

Weil es bringt nichts, wenn du die beiden Rechner mit den sensiblen Daten abschottest von denen, die auf das Internet zugreifen aber dann alle sensiblen Daten auf der NAS sicherst, wo alle dann freien Zugriff haben.

Das NAS hängt nur dann dran wenn die FB keinen Zugriff auf das INET hat, DSL Kabel abgezogen.
Wenn die Sicherung vorbei ist wird das NAS abgeschaltet und die FB bekommt wieder ihr INET.

Naja angenommen du hättest einen Trojaner drauf der Daten abgreifen will, dann tut er das auch ohne Internet und sobald das I-Net wieder da ist, verschickt er diese.

Somit sollten auch der/die PC/s vom NAS getrennt laufen welche Zugriff auf das Internet haben.

Wenn es dir mit dem PC nur um Surfen geht, dann kannst du den einen Rechner der ins Internet möchte auch am LAN 4 als Gastcomputer einrichten, dieser hat dann KEINE Verbindung zur FB und auf das lokale Netz. Wäre dann aber auch nicht mehr aus deinem Netz erreichbar.

Hier ein Link wie man den LAN Gastzugang einrichtet:
hxxp://service.avm.de/support/de/skb/FRITZ-Box-7390/949:LAN-Gastzugang-in-FRITZ-Box-einrichten

Vielen Dank für diese Info, dann werde ich das sofort ändern müssen.

Hatte heute ein Gespräch mit einem Admin einer größeren Firma, der meinte nur mit der festen IP und keine Gateway das wäre ihm zu heiß.
Er hat mal erlebt wie sich so ein PC irgendwann mal über DHCP diese fehlende IP geholt hatte, allerdings war das unter Vista und munter Windows-Updates gezogen hat.

Das mit dem Gastzugang ist zumindest super das zu wissen, leider ist das durch die räumliche Verteilung der PC ohne Zusatzaufwand nicht machbar.

Kann eigentlich ein PC mit einer 172.xxx IP mit anderen die im 192.xxx Adressbereich sind kommunizieren?

Zitat von +jens+

Das mit dem Gastzugang ist zumindest super das zu wissen, leider ist das durch die räumliche Verteilung der PC ohne Zusatzaufwand nicht machbar.

Die FB hat auch einen Gastzugang für W-Lan
Link:
hxxp://service.avm.de/support/de/skb/FRITZ-Box-7390/294:WLAN-Gastzugang-privater-Hotspot-einrichten

Zitat von +jens+

Kann eigentlich ein PC mit einer 172.xxx IP mit anderen die im 192.xxx Adressbereich sind kommunizieren?

Nein, da anderer IP-Bereich