Netztrennung (Firma, Gast) und Datenumzug von File-Server auf NAS
Hallo Forum,
ich würde gerne mal eure Meinung zu einer Aufgabenstellung hören, wie Ihr das lösen würdet.
Ist-Zustand:
1 File-Server mit Windows 2008 Server
5 Büro-Clients mit Windows7 Prof.
1 Techniker-Client mit Windows7 Prof.
7 Laptops mit Windows7 Prof. und Windows XP
mind. 4 private Handy´s
1 FritzBox 3272 mit DSL Zugang
48 Port Switch 10/100 mbit ohne VLAN bzw. Http-Konfig
Die Desktop Clients greifen kabelgebunden auf den File-Server über zwei Netzlaufwerke zu. Die privaten Handy´s und die Laptops haben per WLAN eine Anbindung in das Firmennetzwerk. Der Server, die Clients, die Laptops sowie die privaten Handy´s befinden sich im Netz 192.168.100.0. Auf dem File-Server befindet sich eine installation der WaWi mit einer SQL Datenbank. Auf den kabelbebundenen Clients befindet sich ebenfalls eine installation der WaWi. Der Zugriff mit der WaWi erfolgt über ein Netzlaufwerk. Über das gleiche Netzlaufwerk wird auch Datenablage auf den Server realisiert. Auf dem Server läuft KEIN Active Directory, und es sind Benutzerkonten eingerichtet, die auf den Clients gleichlautet eingerichtet sind. Der Techniker Client hat seperate Ordner Freigaben auf dem Server. Über NTFS-Berechtigungen ist dem Techniker Client der Zugriff auf die Ordnerstruktur verwehrt, den die anderen Clients per Netzlaufwerk nutzen.
Kommen wir zum Soll-Zustand bzw. zu dem Zustand, den ich gerne herstellen möchte.
Gastnetz (FritzBox): 192.168.101.0
Im Gastnetz: Der eine Techniker Client, die 7 Laptops, die privaten Handy´s und ein NAS (Synology DS216j)
Fimennetz: 192.168.100.0
Im Firmennetz: Der eine File-Server, die 5 Desktop Clients
Die seperaten Ordner der Techniker wandern auf den NAS, die Laptops der Techniker und der Techniker Client haben ihre Datenablage jetzt auf dem NAS, können das Internet im Gastnetz nutzen und haben keinen Zugriff auf das Firmennetz (gewünscht). Die privaten Handy´s sind ebenfalls vom Firmennetz gekapselt. Haben im Gastnetz aber ebenfalls Zugriff auf das Internet.
Der Zugriff auf den NAS soll mit den Desktop Clients ebenfalls ermöglicht werden. Hierzu wird ein MikroTik Router eingesetzt.
Kleine Zwischenfragen hierzu:
Lässt sich eine Routing Einbahnstraße auch ohne NAT realisieren? Also NUR eine Route von 192.168.100.0 in 192.168.101.0 und nicht von 192.168.101.0 in 192.168.100.0?
Macht das aus reinen Sicherheitsaspketen Designtechnisch Sinn? Falls sich ein kompromittiertes System im Netz 192.168.101.0 befindet bzw. generell der Zugriff auf das Firmennetz unterbunden werden soll. Sicher ist im Firmennetz ein Viren-/Trojanerbefall auch möglich. Weil eMails abgerufen werden und unbeschränkter Internetnutzung möglich ist. Die Nutzer im Firmennetz sind sensiblisiert für dieses Thema. Was bei den Technikern, die Ihren Kompetenzschwerpunkt eher in der Elektrotechnik haben, nicht gegeben ist. Daher der Plan für die grundsätzliche Trennung der Netze.
Wie denkt ihr über diese Lösung? Freue mich über zahlreiche Vorschläge bzw. Anregungen.
ich würde gerne mal eure Meinung zu einer Aufgabenstellung hören, wie Ihr das lösen würdet.
Ist-Zustand:
1 File-Server mit Windows 2008 Server
5 Büro-Clients mit Windows7 Prof.
1 Techniker-Client mit Windows7 Prof.
7 Laptops mit Windows7 Prof. und Windows XP
mind. 4 private Handy´s
1 FritzBox 3272 mit DSL Zugang
48 Port Switch 10/100 mbit ohne VLAN bzw. Http-Konfig
Die Desktop Clients greifen kabelgebunden auf den File-Server über zwei Netzlaufwerke zu. Die privaten Handy´s und die Laptops haben per WLAN eine Anbindung in das Firmennetzwerk. Der Server, die Clients, die Laptops sowie die privaten Handy´s befinden sich im Netz 192.168.100.0. Auf dem File-Server befindet sich eine installation der WaWi mit einer SQL Datenbank. Auf den kabelbebundenen Clients befindet sich ebenfalls eine installation der WaWi. Der Zugriff mit der WaWi erfolgt über ein Netzlaufwerk. Über das gleiche Netzlaufwerk wird auch Datenablage auf den Server realisiert. Auf dem Server läuft KEIN Active Directory, und es sind Benutzerkonten eingerichtet, die auf den Clients gleichlautet eingerichtet sind. Der Techniker Client hat seperate Ordner Freigaben auf dem Server. Über NTFS-Berechtigungen ist dem Techniker Client der Zugriff auf die Ordnerstruktur verwehrt, den die anderen Clients per Netzlaufwerk nutzen.
Kommen wir zum Soll-Zustand bzw. zu dem Zustand, den ich gerne herstellen möchte.
Gastnetz (FritzBox): 192.168.101.0
Im Gastnetz: Der eine Techniker Client, die 7 Laptops, die privaten Handy´s und ein NAS (Synology DS216j)
Fimennetz: 192.168.100.0
Im Firmennetz: Der eine File-Server, die 5 Desktop Clients
Die seperaten Ordner der Techniker wandern auf den NAS, die Laptops der Techniker und der Techniker Client haben ihre Datenablage jetzt auf dem NAS, können das Internet im Gastnetz nutzen und haben keinen Zugriff auf das Firmennetz (gewünscht). Die privaten Handy´s sind ebenfalls vom Firmennetz gekapselt. Haben im Gastnetz aber ebenfalls Zugriff auf das Internet.
Der Zugriff auf den NAS soll mit den Desktop Clients ebenfalls ermöglicht werden. Hierzu wird ein MikroTik Router eingesetzt.
Kleine Zwischenfragen hierzu:
Lässt sich eine Routing Einbahnstraße auch ohne NAT realisieren? Also NUR eine Route von 192.168.100.0 in 192.168.101.0 und nicht von 192.168.101.0 in 192.168.100.0?
Macht das aus reinen Sicherheitsaspketen Designtechnisch Sinn? Falls sich ein kompromittiertes System im Netz 192.168.101.0 befindet bzw. generell der Zugriff auf das Firmennetz unterbunden werden soll. Sicher ist im Firmennetz ein Viren-/Trojanerbefall auch möglich. Weil eMails abgerufen werden und unbeschränkter Internetnutzung möglich ist. Die Nutzer im Firmennetz sind sensiblisiert für dieses Thema. Was bei den Technikern, die Ihren Kompetenzschwerpunkt eher in der Elektrotechnik haben, nicht gegeben ist. Daher der Plan für die grundsätzliche Trennung der Netze.
Wie denkt ihr über diese Lösung? Freue mich über zahlreiche Vorschläge bzw. Anregungen.
Bitte markiere auch die Kommentare, die zur Lösung des Beitrags beigetragen haben
Content-ID: 326887
Url: https://administrator.de/forum/netztrennung-firma-gast-und-datenumzug-von-file-server-auf-nas-326887.html
Ausgedruckt am: 02.05.2025 um 13:05 Uhr
8 Kommentare
Neuester Kommentar
Fritzbox => Tonne
Windows XP verbannen
Bei Windows 7 so langsam mal über eine Aktualisierung nachdenken, Mainstream-Support ist abgelaufen.
Eine ordentliche Firewall besorgen, die mit mehreren Netzen umgehen kann, NAS in eine DMZ (heißt nicht, dass das Ding aus dem Internet erreichbar ist). Vom Gastnetz in die DMZ nur das minimalst nötige erlauben.
Wichtig bei der Konstruktion ist, dass auf dem NAS auf eine saubere Trennung geachtet wird und ein ordentlicher Virenschutz mitläuft. Auf den Clients erwarte ich dieses. Da das NAS die einzige Verbindungsstelle zwischen den Netzen ist, wäre hier die einzige Sicherheitslücke (außer es gibt ein Zbus-Problem bei der Umsetzung, insbesondere der der Firewall)
Wenn man es richtig machen will, nimmt man drei Netze für die Clients. Ein Büronetz, ein Technikernetz und eins für verschissene Privattechnik. Letzteres darf ins Internet, mehr nicht, auch kein NAS.
Windows XP verbannen
Bei Windows 7 so langsam mal über eine Aktualisierung nachdenken, Mainstream-Support ist abgelaufen.
Eine ordentliche Firewall besorgen, die mit mehreren Netzen umgehen kann, NAS in eine DMZ (heißt nicht, dass das Ding aus dem Internet erreichbar ist). Vom Gastnetz in die DMZ nur das minimalst nötige erlauben.
Lässt sich eine Routing Einbahnstraße auch ohne NAT realisieren? Also NUR eine Route von 192.168.100.0 in 192.168.101.0 und nicht von 192.168.101.0 in 192.168.100.0?
Nein. Mit einer richtigen Router/einer richtigen Firewall ist es aber nicht nötig, wenn die das Default-Gateway ist.Wichtig bei der Konstruktion ist, dass auf dem NAS auf eine saubere Trennung geachtet wird und ein ordentlicher Virenschutz mitläuft. Auf den Clients erwarte ich dieses. Da das NAS die einzige Verbindungsstelle zwischen den Netzen ist, wäre hier die einzige Sicherheitslücke (außer es gibt ein Zbus-Problem bei der Umsetzung, insbesondere der der Firewall)
Wenn man es richtig machen will, nimmt man drei Netze für die Clients. Ein Büronetz, ein Technikernetz und eins für verschissene Privattechnik. Letzteres darf ins Internet, mehr nicht, auch kein NAS.
FB Gastnetz ist ein Witz und nicht sicher ! Wie man ein Gastnetz aufzieht das den Namen auch verdient kannst du hier nachlesen:
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)
Wenn du ein VLAN Umfeld hast und mit MSSID fähigen Accesspoints arbeitest ist das hier eine Lösung:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
WLAN oder LAN Gastnetz einrichten mit einem Captive Portal (Hotspot Funktion)
Wenn du ein VLAN Umfeld hast und mit MSSID fähigen Accesspoints arbeitest ist das hier eine Lösung:
VLAN Installation und Routing mit pfSense, Mikrotik, DD-WRT oder Cisco RV Routern
Dafür brauche ich dann aber gute Argumente die FritzBox zu ersetzen!
Allein die Frage ist schon peinlich genug. Sorry aber du willst eine Unternehmens und Firmennetz auf einer billigen Plate Elaste Box für Heimanwender aufbauen ??Das muss man wohl nicht mehr weiter kommentieren.
Die Bauteile da drin sind NICHT auf Langlebigkeit ausgelegt, schwaches SoC was nicht skalierbar ist an Firmenanforderungen, Schlechte bzw. nicht anpassbare Firewall, minimales Featureset was dich im Firmenumfeld einschränkt. Die FB supportet nichtmal solche grundlegenden Funktionen wie 802.1q VLAN Support, abschaltbares NAT, Spanning Tree, WLAN nicht MSSID fähig (Gast WLAN), Keine Gäste Einmalpasswort Funktion, Gastnetz vollkommen unsicher usw. usw. Die Liste kann man unendlich fortführen.
Muss sie auch alles nicht supporten denn deren Focus sind ganz klar Heimuser mit minimalsten Anforderungen. Die wenigsten von denen verstehen eh was van IT.
Also ist die Frage doch obsolet und kann man nicht Ernst meinen wenn man seriös was raten will. Nur das die Box bei Oma Grete im Wohnzimmer funktioniert prädestiniert sie nicht automatisch auch für den Firmeneinsatz.
Das Thema Windows XP spricht ja auch schon für sich...
48 Port Switch 10/100 mbit ohne VLAN bzw. Http-Konfig
Gruselig ! Ein absolutes NoGo für ein Firmennetz. Passt aber in die ganze dilettantische Argumentation von oben, sorry.Könnte man diesen Router genauso gut wie ein APU Systemboard mit pfSense in das Netz integrieren?
Klares Nein ! Ist vom Featureset so wie VW Golf und Tretroller...vergiss das.nicht darum rum kommen einen VLAN fähigen Switch anzuschaffen, richtig?
Die ersten weisen und richtigen Worte...Man fragt sich warum du überhaupt so einen sinnfreinen Thread eröffnest wenn so oder so schon feststeht das kein Budget da ist und du damit alles über Bord werfen willst / musst was nur minimalst sinnvoll ist.
Dann eben Plastikrouter und ungemanagter billigst China Switch für die Infrastruktur. Ist ja völlig egal wenn die ausfällt, Internet und NAS kommt ja aus der Steckdose.
Fazit: Geh zum Blödmarkt und kauf dir deinen Kram zusammen. Funktionieren tut das dann mehr oder minder. Ob du damit aber glücklich wirst, es zukunftsträchtig ist ist eine ganz andere Frage. Letztlich wirft es auch auf dich als Beratenden ein mehr als schlechtes Bild.
Moin ...
du sprichst mir aus der Seele ...
Einige mit Level 5 haben diesen nur, weil sie bei "jedem" Thema etwas schreiben. Die Punkte, um ein Level höher zu steigen, errechnen sich NICHT aus Inhalt oder der Mühe die sich gegeben wird, sondern rein weg nur, dass sie was "zu sagen" hatten .
Hab es beobachtet ... immer wenn eine neue Frage gestellt wird ... schwupp mal schnell was schreiben ... aber sich nicht weiter drum kümmern. Daran erkennt man die Qualität der Forenmitglieder ... und das Forum selbst. Leider ! Es sind immer die selben ....
Aber kann ich drüber lachen ... denn, es gibt auch wirklich gute Jungs hier.
Wenn Du soweit bist ... melde Dich einfach!
du sprichst mir aus der Seele ...
Einige mit Level 5 haben diesen nur, weil sie bei "jedem" Thema etwas schreiben. Die Punkte, um ein Level höher zu steigen, errechnen sich NICHT aus Inhalt oder der Mühe die sich gegeben wird, sondern rein weg nur, dass sie was "zu sagen" hatten .
Hab es beobachtet ... immer wenn eine neue Frage gestellt wird ... schwupp mal schnell was schreiben ... aber sich nicht weiter drum kümmern. Daran erkennt man die Qualität der Forenmitglieder ... und das Forum selbst. Leider ! Es sind immer die selben ....
Aber kann ich drüber lachen ... denn, es gibt auch wirklich gute Jungs hier.
Wenn Du soweit bist ... melde Dich einfach!