Routing zwischen VLANs verhindern

Hallo,

danke!
Aber bin ich dann nicht sehr schnell bei vielen Regeln in der Firewall?
Und: wenn Pakete innerhalb eines VLANs reisen, müssen sie dann nicht auch durch die Bridge? Ist jeder Filter da nicht overhead? Ich hätte daher eigentlich gedacht, ich löse das erst auf IP-Ebene, wo nur die Pakete vorbeikommen, die zwischen VLANs geroutet werden müssen? Nur hat mich gewundert, dass auch auf IP-Ebene erstmal alles automatisch mit Routen verbunden wird, die ich nicht löschen kann.

Hallo,

vielen Dank. Ich habe mal
aufgenommen. Und in der Tat kann ich jetzt aus VLAN10 niemanden mehr in VLAN1 anpingen - außer den Router selber, der in diesem VLAN1 als Gateway fungiert. Kann ich das irgendwie noch verhindern? (Dass ich das Gateway aus VLAN10 nicht blocken kann, ist klar, aber VLAN1?)

Sehe ich richtig, dass das sicherste wäre, erstmal ein deny für alles einzurichten, und dann einzelne Routen wieder freizugeben?

War er grundsätzlich, danke!
Ich hab nur noch nicht verstanden, was höhere Prio hat: ohne jegliche Regel lässt die Firewall ja offenbar alles durch - umgekehrt wäre es mir lieber.

Gibt es eigentlich irgendein typisches Regelwerk, das man als Grundlage nutzen könnte - sprich: von WAN wird folgendes immer gesperrt, weil es in der Regel nicht gebraucht wird: X, Y, Z. Wer FunktionY braucht, erlaubt Y. Wer FunktionX braucht, erlaubt X etc.


Mikrotik schlägt ja vor:

Hallo,


Das war weniger mangelndes Nachdenken, sondern das Äußern eines Wunsches


Ich habe ja nicht gesagt, dass die Regeln automatisch implementiert sein müssen, sondern eher an anzupassende (durch Aktivierung/Deaktivierung) Vorlagen gedacht. Beispielsweise wäre ich auf die Vorschläge von Mikrotik bezgl. des WAN-Ports nicht selber gekommen: ich hätte bspw. nicht die Notwendigkeit gesehen, nicht ge-nat-teten Traffic zu verwerfen, denn wo soll der hergekommen sein?


Drücken wir es anders aus: ich komme aus der trivialen Consumer-Welt, und freue mich gerade, welche gigantischen Möglichkeiten ich auf einem Gerät wie den Mikrotik Routern habe. Ich habe erste Erfolge dank Deiner guten Tutorials erzielt und wühle mich durch die umfangreiche Doku. Gleichzeitig realisiere ich immer mehr die Mächtigkeit, und merke, wie schnell ich auch konzeptionell falsch arbeiten kann. Es scheint dann zu laufen, ist aber keineswegs sicher oder stabil.

Derzeit merke ich, wie schnell ich eigentlich einen Großteil der Anforderungen (VLANs aufspannen, teilweise Kommunikation dazwischen zulassen oder verhindern) schon in einem L3-Switch wie dem Cisco SG250 hinkriegen kann - ohne Firewall, aber mit signifikant reduzierter Komplexität.

Andererseits: damit wäre es ja auch langweilig. Ich hab ja auch kein Synology gekauft, sondern mir selber was zusammengebaut Nur sollte das halt am Ende hier kein riesiges Sicherheitsloch auflassen.

Hallo,

danke Euch beiden für die moralische Unterstützung ;)

Bevor ich mich mal an die IP-Firewall mache (was hier derzeit etwas schwieriger ist, da ich mir noch keinen AP zugelegt habe und daher viele Devices noch nicht in meinen Test einbeziehen kann), versuche ich mal, die Konzepte, in die ich mich in den letzten Tagen reingelesen habe, etwas zu sortieren. Damit möchte ich scheinbare „Alternative Vorgehensweisen“, die im Kopf aufgetaucht sind, beiseitelegen.

Abgrenzung Switching/Bridging
Wenn ich keinen Hex, sondern einen CSR326 betreiben würde, wäre es dann nicht sinnvoll, einige Ports, auf denen ausschließlich ein bestimmtes VLAN geswitcht werden soll, aus der Bridge rauszunehmen, und sie stattdessen mit einem Switch untereinander zu verbinden? Aber wie könnte ich dann diesen Switch mit der Bridge verbinden – er bietet mir ja nur physische Ports und die Switch-CPU an, aber kein VLAN-Interface?
Beispiel: Ports 1-3 an Switch10 für VLAN10, Ports 4-6 an Switch20 für VLAN20 etc. Und dann nur noch die Switch-Interfaces an der Bridge erfassen?

Mein derzeitiges Verständnis: dann müsste ich „außenrum“ einen der physikalischen Ports aus jedem Switch zu einem Port der Bridge führen, richtig? Oder genau einen Switch einrichten, der VLAN-aware wäre, und den dann „außenrum“ über einen Trunk mit der Bridge verbinden, die dann fast nur virtuelle Interfaces hätte.

Der CSR326 hat ja entsprechende Switch-Chips – vermutlich lohnt sich so eine Krücke aber nicht, da die Bridge den VLAN-internen Traffic nebenbei miterledigen kann?

Abgrenzung Bridge-Filter <> Firewall
Ist es nicht sinnvoll, den InterVLAN-Verkehr, falls ich ihn verhindern möchte, möglichst „tief“ abzufangen?
Angenommen, an der Bridge kommen Pakete in VLAN10 an, die für einen Host in VLAN20 gedacht sind. Erkannt werden kann das natürlich nur an der IP-Adresse - auf L2 ist ja nur VLAN10 zu erkennen. Das Paket geht daher ans L3-Gateway, der als Router anhand der IP-Adresse das Routing in VLAN20 vornimmt, es zuvor aber durch die IP-Firewall jagt. Könnte ich nicht schon im Bridge-Filter anhand der IP-Adresse das Paket ausfiltern und gar nicht erst die IP-Firewall damit belästigen?

Mein derzeitiges Verständnis: könnte ich, bringt aber vermutlich wenig Vorteile, sondern führt nur dazu, dass ich an mehreren Stellen Regelwerke pflegen muss?


Bezüglich der Firewall-Regeln bin ich auch wieder etwas entspannter: derzeit lebe ich gut hinter einer Fritzbox, die ein einziges LAN aufspannt. In Zukunft wird da noch ein Hex (oder ein CSR326) hinter sitzen, der eben verschiedene VLANs aufspannt. Schlechter kann es dadurch erstmal nicht werden, selbst wenn ich in der Mikrotik-Firewall Mist verzapfe. Ein Thema könnte noch sein, dass die Fritzbox demnächst durch Medienwechsel durch eine „Vodafone Station“ ersetzt werden wird, über die ich leider nichts Gutes lese…. Das wird spannend, wenn ich mich irgendwann mal mit dem Thema VPN beschäftigen möchte. Das sollte dann aber besser in separater Thread werden…

Hallo,


ich glaube, da hab ich mich missverständlich ausgedrückt: die Grundarchitektur mit Router, Switch, ggf. LAG ist mir schon klar, hier stehen ein Mikrotik Hex und ein Cisco SG250, die das so in etwa (ohne LAG) machen. @aqui 's Tutorial hab ich erfolgreich verarbeitet.

Mir ging es in meinem Beitrag eher um die "Komponenten" innerhalb des Mikrotik Hex, also die verschiedenen Module, die ich dort konfigurieren kann. Deren Einsatzzweck und Abgrenzung möchte ich gerne vertiefen - nicht nur das Tutorial durcharbeiten, sondern verstehen, was sonst da ist, warum ich es nutze und wann nicht.

Wann filtere ich bei der Bridge, wann in der IP-Firewall? Wenn der Hex nicht nur 5, sondern 24 Ports hätte (wie der CSR326), würde ich dann alle 24 Ports in eine Bridge packen, oder wäre es dann sinnvoller, ihn in einen Bridge-Teil und einen Switch-Teil zu unterteilen?



Das Diagramm ist sehr hilfreich, danke!
Im Abschnitt "Vlan Untagging/Tagging in the bridge interface" beschreibt es anschaulich den Datenfluss. Was mich nur wundert: die beiden VLANs werden doch eigentlich auf IP-Ebene verbunden - in dem Diagramm taucht aber das IP-Routing gar nicht auf - ich hätte erwartet, dass nach Schritt 9 ein erneuter Durchlauf beginnt, der dann wg. "IP-Traffic" in Weg "I" verzweigt.


Die pfsense habe ich ja quasi mit dem Mikrotik mit erschlagen, hoffe ich. Das wäre sonst die Routing/Firewalling-Alternative zum Mikrotik gewesen. Die Vodafone-Box lässt sich lt. verschiedener Berichte nicht als Modem/Bridge verwenden, sondern nur als Router. Aber das lasse ich zu meinem Problem werden, wenn sie hier steht