19
Zugriff auf Geräte im verteilten Heimnetzwerk einschränken
Guten Morgen 
Ich habe aktuell 2 Heimnetzwerke mit unterschiedlichen Geräten in 2 Wohnungen, die ich per VPN zu einem Netzwerk verbinden möchte, in dem einzelne Ressourcen (NAS, LDAP, MFP, Internet) gemeinsam genutzt werden können.
Die Topologie des Netzwerkes sähe dann in etwa wie im Anhang "original.drawio.png" aus.
Problem:
Jedes Gerät kann ungehindert auf jedes Gerät zugreifen.
Das möchte ich aber gerne vermeiden, da ich mich sonst bei einer Infektion mit Malware oder Ransomware ausgeliefert fühle.
Was ich mir wünsche:
Kein Gerät soll auf ein anderes zugreifen können.
Ausnahmen:
Ich habe mir nun schon einige Nächte um die Ohren geschlagen, und habe keine Lösung gefunden, die sich richtig anfühlt.
Am Ende kam ich bei einer Lösung raus, die in etwa der Topologie von "idee.drawio.png" entspricht.
Und unter anderem zusätzlich zu den 2 vorhandenen FritzBoxen folgende Hardware erfordert:
Fragen
Liebe Grüße,
Vivien
Ich habe aktuell 2 Heimnetzwerke mit unterschiedlichen Geräten in 2 Wohnungen, die ich per VPN zu einem Netzwerk verbinden möchte, in dem einzelne Ressourcen (NAS, LDAP, MFP, Internet) gemeinsam genutzt werden können.
Die Topologie des Netzwerkes sähe dann in etwa wie im Anhang "original.drawio.png" aus.
Problem:
Jedes Gerät kann ungehindert auf jedes Gerät zugreifen.
Das möchte ich aber gerne vermeiden, da ich mich sonst bei einer Infektion mit Malware oder Ransomware ausgeliefert fühle.
Was ich mir wünsche:
Kein Gerät soll auf ein anderes zugreifen können.
Ausnahmen:
- Alle Geräte können auf das Internet zugreifen.
- Alle Geräte können auf die Multifunktionskopierer (MFP) zugreifen.
- Die MFP's können auf das NAS zugreifen.
- Alle Geräte können auf LDAP und NAS zugreifen.
Ich habe mir nun schon einige Nächte um die Ohren geschlagen, und habe keine Lösung gefunden, die sich richtig anfühlt.
Am Ende kam ich bei einer Lösung raus, die in etwa der Topologie von "idee.drawio.png" entspricht.
Und unter anderem zusätzlich zu den 2 vorhandenen FritzBoxen folgende Hardware erfordert:
- 2x HP ProCurve Switch 2810-24G (da die zumindest einseitig "protected ports" unterstützen)
- 1x IPSec Client
- 1x Router mit IPSec Server
- 2x WLAN Access Points
- 1x transparente NGFW (UTM)
Fragen
- Leide ich an Paranoia und sollte einfach bei der Topologie von "original.drawio.png" bleiben?
- Wenn dem nicht so ist: Wie löse ich das? Klingt für mich nach einer gängigen Aufgabenstellung, nur leider habe ich keine Ahnung von Netzwerkinfrastruktur.
Liebe Grüße,
Vivien
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-Key: 2291596853
Url: https://administrator.de/contentid/2291596853
Printed on: June 20, 2024 at 12:06 o'clock
19 Comments
Latest comment
Zitat von @chri-ri:
Ich habe mir nun schon einige Nächte um die Ohren geschlagen, und habe keine Lösung gefunden, die sich richtig anfühlt.
Moin,Ich habe mir nun schon einige Nächte um die Ohren geschlagen, und habe keine Lösung gefunden, die sich richtig anfühlt.
was du suchst nennt sich Segmentierung, z.B. mit Bildung von VLANs oder ACL.
Falls du einen Rechner mit zwei Netzwerkschnittstellen hast kannst du da OPNsense als Firewall draufpacken (kostenlos), dort ein Regelwerk erstellen welches VLAN über welches Protokoll mit welchem VLAN kommunizieren darf, wenn du feste IP Adressen hast geht es auf auf IP Ebene (das VLAN ist quasi nur eine Gruppe).
Dein Switch kann wohl leider kein ACL, sonst könnte man auch auf der Ebene arbeiten, z.B. der an Port 10 angeschlossene Drucker nimmt nur Pakete von IP-Adresse XYZ an, und auch nur TCP9100 und TCP443,... .
https://support.hpe.com/hpesc/public/docDisplay?docId=emr_na-c02501107
Beispielsweise kann deine Fritzbox über LAN4 ein Gast-LAN ausgeben (optional ohne das die Geräte sich sehen dürfen), was ich u.a. für IOT Geräte (TV,...) nutze.
OPNsense Starthilfe
Moin,
In Ergänzung zu @nachgefragt:
Die OpnSense würde das VPN auch deutlich besser abbilden, als die beiden Fritten. Die IPSec Implementierung von AVM ist furchtbar und langsam.
Dass du dann noch eine echte Firewall hast, ist quasi ein Bonus ;)
Gruß,
Avoton
In Ergänzung zu @nachgefragt:
Die OpnSense würde das VPN auch deutlich besser abbilden, als die beiden Fritten. Die IPSec Implementierung von AVM ist furchtbar und langsam.
Dass du dann noch eine echte Firewall hast, ist quasi ein Bonus ;)
Gruß,
Avoton
Morschen.
Kann mich meinen Vorschreibern nur anschließen.
Zwei Mini PC anschafffen, OPN-/PFSense installieren und die Tunnel entsprechend aufbauen.
Die Wohnungen sind nicht über das Internet, sondern direkt miteinander verbunden, korrekt?
Dann würde es ja auch reichen, wenn die beiden Switches der Wohnungen direkt mit der *-Sense verbunden sind und es würde eine "ordentliche" Firewall reichen.
Malware/Ransomware hat dann leichtes Spiel, wenn SMB Zugriff erlaubt ist. Leider ist das in AD / LDAP Umgebungen ja massiv erforderlich für beispielsweise Login-Skripte und anderweitige Freigaben.
Hier wären andere Maßnahmen, wie Radius und Port Security auf den Switchports Maßnahmen zum Schutz.
Ordentliche Endpoint Protection selbstverständlich auch.
Aber der Grad der Komplexität, nimmt mit jedem Bisschen Sicherheit zu und der Komfort kann darunter leiden (z.B. Schwester / Sohn / Mutter bekommen ein neues Smartphone / Laptop).
Daher würde ich bei Heimnetzen auf "Etwas ist besser als gar nichts" und eine gute Datensicherungsstrategie setzen.
Gruß
Marc
Kann mich meinen Vorschreibern nur anschließen.
Zwei Mini PC anschafffen, OPN-/PFSense installieren und die Tunnel entsprechend aufbauen.
Die Wohnungen sind nicht über das Internet, sondern direkt miteinander verbunden, korrekt?
Dann würde es ja auch reichen, wenn die beiden Switches der Wohnungen direkt mit der *-Sense verbunden sind und es würde eine "ordentliche" Firewall reichen.
Malware/Ransomware hat dann leichtes Spiel, wenn SMB Zugriff erlaubt ist. Leider ist das in AD / LDAP Umgebungen ja massiv erforderlich für beispielsweise Login-Skripte und anderweitige Freigaben.
Hier wären andere Maßnahmen, wie Radius und Port Security auf den Switchports Maßnahmen zum Schutz.
Ordentliche Endpoint Protection selbstverständlich auch.
Aber der Grad der Komplexität, nimmt mit jedem Bisschen Sicherheit zu und der Komfort kann darunter leiden (z.B. Schwester / Sohn / Mutter bekommen ein neues Smartphone / Laptop).
Daher würde ich bei Heimnetzen auf "Etwas ist besser als gar nichts" und eine gute Datensicherungsstrategie setzen.
Gruß
Marc
Moin,
es wird um einiges Kostengünstiger wenn du einfach das vorhandene um 2 Mikrotik Router / Switche erweiterst und dann wie schon erwähnt wurde dein Netzwerk mit VLANs segmentierst.
Beste Grüße
Jürgen
es wird um einiges Kostengünstiger wenn du einfach das vorhandene um 2 Mikrotik Router / Switche erweiterst und dann wie schon erwähnt wurde dein Netzwerk mit VLANs segmentierst.
Beste Grüße
Jürgen
Das VPN Setup ist leider nur sehr oberflächlich beschrieben denn zu mindestens ab der Fritzbox Firmware 7.57 hätte man ja IPsec und auch Wireguard als VPN Option zur Auswahl. Es wäre zielführender wenn das zu verwendende VPN Protokoll bekannt wäre. 
Mit Bordmitteln und mt dem o.a. Konzept liesse sich das aber auch erreichen ohne weitere Hardware.
Die Lösung ist das du nur die Geräte bzw. deren IP Adressen in die IPsec Phase 2 SAs der VPN Konfig einträgst die du aus den remoten Netzen nach deiner Vorgabe erreichen möchtest.
Bei Wireguard bestimmt man das dann mit Hostadressen beim Crypto Key Routing in den "AllowedIPs" Definitionen statt mit Netzwerk Masken.
Das erfordert dann aber feste, über die Mac Adresse zugewiesene IP Adressen an diesen Geräten was aber generell problemlos machbar ist im Fritzbox DHCP Server.
So liesse sich auch einfachen Bordmitteln die o.g. Einschränkung realisieren, zu mindestens ansatzweise.
Eine granularere Filterung bzw. Zugangsbeschränkung ist dann nur mit zusätzlicher Hardware möglich zu der oben schon alles gesagt wurde.
Wenn du aber mit dieser etwas einfacheren Variante leben kannst die deine Zugangsbedingungen umsetzt und lediglich etwas Konfig Aufwand in den Fritzboxen erfordert ist das ein ebenso gangbarer Weg.
Mit Bordmitteln und mt dem o.a. Konzept liesse sich das aber auch erreichen ohne weitere Hardware.
Die Lösung ist das du nur die Geräte bzw. deren IP Adressen in die IPsec Phase 2 SAs der VPN Konfig einträgst die du aus den remoten Netzen nach deiner Vorgabe erreichen möchtest.
Bei Wireguard bestimmt man das dann mit Hostadressen beim Crypto Key Routing in den "AllowedIPs" Definitionen statt mit Netzwerk Masken.
Das erfordert dann aber feste, über die Mac Adresse zugewiesene IP Adressen an diesen Geräten was aber generell problemlos machbar ist im Fritzbox DHCP Server.
So liesse sich auch einfachen Bordmitteln die o.g. Einschränkung realisieren, zu mindestens ansatzweise.
Eine granularere Filterung bzw. Zugangsbeschränkung ist dann nur mit zusätzlicher Hardware möglich zu der oben schon alles gesagt wurde.
Wenn du aber mit dieser etwas einfacheren Variante leben kannst die deine Zugangsbedingungen umsetzt und lediglich etwas Konfig Aufwand in den Fritzboxen erfordert ist das ein ebenso gangbarer Weg.
Guten Morgen ☕
Vielen lieben Dank für die vielen Antworten in so kurzer Zeit.
@nachgefragt
Von ACL hatte ich gelesen, nur leider habe ich in jedem Managed-Level2-Switch in dessen Handbuch ich geschaut habe (von 3com, Dell PowerConnect, HP ProCurve, Netgear Plus) dazu nur das Blacklisten bzw. Whitelisten von MAC-Adressen an den Ports gelesen.
Port-Authentifizierung gibt es auch noch aber das ist nicht, was ich suche.
Das was dem noch am nächsten kam sind "protected Ports" beim HP ProCurve Switch 2810-24G (siehe Ausschnitt im Anhang) aber das deckt nur ein Teil des Problems ab, oder?
Also quasi ein Firewall-Router?
Das klingt nach einem naheliegend Ansatz und deckt ziemlich gut meine definierten Regeln ab.
Fast schon zu einfach um wahr zu sein, danke
Das wäre mindestens schon ein Level3-Switch (mit eingebautem rudimentärem Router).
Aber wenn das so läuft, wäre das dann nicht einfach ein Router?
Wie muss ich mir das genau vorstellen?
Kenne bisher nur so, dass man konfiguriert, über welche IP-Adresse ein Gateway in welches Subnetz führt.
Das würde aber noch nicht die Möglichkeit bieten, selektiv einzelne IP-Adressen oder Subnetze in eine bestimmte Richtung zu blocken.
Gibt es für das ACL, was du meinst noch andere Begriffe?
Dort könnte ich über einen Switch bzw. VLAN die lokalen Clients rein stecken aber dann könnten Sie nicht mehr auf MFP, NAS und LDAP zugreifen. Reicht also leider nicht aus.
@Avoton
Danke für den Hinweis
@radiogugu
Gibt es - abgesehen von AES-256-Hardware-Implementierung und den empfohlenen allgemeinen Anforderungen in den Tabellen unter https://opnsense.org/users/get-started/ - noch irgendwelche anderen Anforderungen an die Hardware?
Aktuell sind die Wohnungen gar nicht verbunden.
Sie sollen über das Internet per VPN verbunden werden.
Da geografisch betrachtet mehrere Kilometer dazwischen liegen.
Es sollen sämtliche Nutzerkonten für die Windows- und Linux-Clients zentral im LDAP verwaltet werden mit samt Home-Verzeichnissen.
In diesem Server befindet sich ein RAID1 und da die SSD keine eigene PLP besitzen, wird bei einem Stromausfall ein Herunterfahren mit einer APC Back-Ups RS 800 USV (mit frischen Akkus und getauschten Elkos) gesichert.
In regelmäßigen Abständen werden doppelte Offline-Backups im DAR-Format erfolgen die in den beiden Wohnungen gelagert werden um die 3-2-1-Regel einzuhalten.
Das heißt ich mache mir in Bezug auf Ransomware sogar wenig Sorgen um den Server, da es Backups gibt.
Aber so ein Server ist halt fast ein Honeypot und sobald der erst einmal kompromittiert ist, verliere ich unter Umständen alle Clients.
Heißt dass ich dann in 2 Wohnungen alles neu einrichten kann.. und genau das möchte ich nicht riskieren.
Also geht es mir mehr darum die Clients zu schützen und frühzeitig Angriffe erkennen und eindämmen zu können.
Stelle mir also tendenziell auch etwas in Richtung IDS und IPS mit Alert vor.
Das ist nicht der Ansatz den ich suche, sonst würde ich einfach für die Workstation-Clients jeweils eine proprietäre Personal-Firewall kaufen.
Ich suche eine Möglichkeit der Schadensbegrenzung bei einer Infektion des Netzwerkes.
Dazu würde ich gerne mehr wissen.
Habe dazu in den Handbüchern einiger Level2-Switches gelesen und verstehe es so, dass sich ein Client am Switch erst gegen einen Radius-Server authentifizieren muss, um Zugriff zu dem Port und damit zu dem Netzwerk zu erhalten.
Aber ich bin mir nicht sicher, ob ich das Prinzip richtig verstehe.
Für mich sieht das so aus als ob das darauf ausgelegt ist, die Ports zu einem als "vertrauenswürdig" betrachteten Netzwerk (in dem jedes Gerät mit jedem Gerät kommunizieren darf) gegen unerlaubten physischen Zugriff an der Hardware abzusichern.
Das ist aber nicht das was ich suche, da in beiden Wohnungen nur vertrauenswürdige Personen anwesend sind.
Wieso sollte der Komfort darunter leiden?
An den Clients selbst ändert sich doch gar nichts.
Warum andere Endgeräte?
Die Endgeräte selbst können nicht zwangsläufig als vertrauenswürdig betrachtet werden.
Meine Eltern zum Beispiel nutzen Linux-Notebooks und es gibt einen Windows-Gäste-PC.
In der anderen Wohnung steht eine Windows-Workstation, ein Windows-Notebook und ein Windows-Gaming-PC auf dem viele Spiele mit administrativen Rechten ausgeführt werden MÜSSEN, dank zwielichtiger Anti-Cheat-Engine..
Zusätzlich diverse andere Clients, die aber nur Zugriff auf Internet und NAS benötigen wie zum Beispiel die 2 MFP.
Das heißt ich kalkuliere den Verlust mindestens eines Clients und des Servers schon fest mit ein.
Ich möchte nur nicht alle Clients ständig neu einrichten müssen.
@jmueller
Was ist der Unterschied bei Mikrotik-Routern zu normalen Routern?
Das habe ich schon oft gelesen aber verstehe es scheinbar nicht so richtig.
Ich dachte immer, dass ein VLAN bloß die Aufteilung eines physischen Switches auf 2 oder mehr logische Switches bedeutet.
Das wären dann getrennte Subnetze, die ich über einen Router verbinden kann.
Broadcast-Packete würden dann auf das jeweilige Netzwerksegment begrenzt, was die Performance steigern kann.
Aber dann kann doch trotzdem jedes Gerät auf jedes zugreifen, oder nicht?
@aqui
Es soll IPSec werden.
Für Wireguard habe ich bisher einfach zu wenige Hardware-Clients gefunden.
Habe schon gelesen, dass man über den Import einer VPN-Konfiguration bei der Fritzbox auch ein Subnetz festlegen kann, in dem der VPN-Tunnel enden soll.
Aber wenn das auch feingranular geht, so dass ich sogar den Zugriff auf einzelne IP-Adressen einseitig einschränken kann, dann klingt das echt zielführend.
Danke, das schaue ich mir nochmal genauer an
Ich melde mich später nochmal, sobald entweder weitere Fragen auftauchen oder ich irgendwelche Ergebnisse zu berichten habe.
Ganz liebe Grüße,
Vivien
Vielen lieben Dank für die vielen Antworten in so kurzer Zeit.
@nachgefragt
was du suchst nennt sich Segmentierung, z.B. mit Bildung von VLAN oder ACL.
Von ACL hatte ich gelesen, nur leider habe ich in jedem Managed-Level2-Switch in dessen Handbuch ich geschaut habe (von 3com, Dell PowerConnect, HP ProCurve, Netgear Plus) dazu nur das Blacklisten bzw. Whitelisten von MAC-Adressen an den Ports gelesen.
Port-Authentifizierung gibt es auch noch aber das ist nicht, was ich suche.
Das was dem noch am nächsten kam sind "protected Ports" beim HP ProCurve Switch 2810-24G (siehe Ausschnitt im Anhang) aber das deckt nur ein Teil des Problems ab, oder?
[..] Firewall [..] dort ein Regelwerk erstellen welches VLAN über welches Protokoll mit welchem VLAN kommunizieren darf [..]
Also quasi ein Firewall-Router?
Das klingt nach einem naheliegend Ansatz und deckt ziemlich gut meine definierten Regeln ab.
Fast schon zu einfach um wahr zu sein, danke
[..] nimmt nur Pakete von IP-Adresse XYZ an [..]
Das wäre mindestens schon ein Level3-Switch (mit eingebautem rudimentärem Router).
Aber wenn das so läuft, wäre das dann nicht einfach ein Router?
Wie muss ich mir das genau vorstellen?
Kenne bisher nur so, dass man konfiguriert, über welche IP-Adresse ein Gateway in welches Subnetz führt.
Das würde aber noch nicht die Möglichkeit bieten, selektiv einzelne IP-Adressen oder Subnetze in eine bestimmte Richtung zu blocken.
Gibt es für das ACL, was du meinst noch andere Begriffe?
[..] Fritzbox über LAN4 ein Gast-LAN ausgeben (optional ohne das die Geräte sich sehen dürfen) [..]
Dort könnte ich über einen Switch bzw. VLAN die lokalen Clients rein stecken aber dann könnten Sie nicht mehr auf MFP, NAS und LDAP zugreifen. Reicht also leider nicht aus.
@Avoton
[..] OpnSense würde das VPN auch deutlich besser abbilden, als die beiden Fritten [..]
Danke für den Hinweis
@radiogugu
Zwei Mini PC anschafffen, OPN-/PFSense installieren und die Tunnel entsprechend aufbauen.
Gibt es - abgesehen von AES-256-Hardware-Implementierung und den empfohlenen allgemeinen Anforderungen in den Tabellen unter https://opnsense.org/users/get-started/ - noch irgendwelche anderen Anforderungen an die Hardware?
Die Wohnungen sind nicht über das Internet, sondern direkt miteinander verbunden, korrekt?
Aktuell sind die Wohnungen gar nicht verbunden.
Sie sollen über das Internet per VPN verbunden werden.
Da geografisch betrachtet mehrere Kilometer dazwischen liegen.
Malware/Ransomware hat dann leichtes Spiel, wenn SMB Zugriff erlaubt ist. Leider ist das in AD / LDAP Umgebungen ja massiv erforderlich für beispielsweise Login-Skripte und anderweitige Freigaben.
Es sollen sämtliche Nutzerkonten für die Windows- und Linux-Clients zentral im LDAP verwaltet werden mit samt Home-Verzeichnissen.
In diesem Server befindet sich ein RAID1 und da die SSD keine eigene PLP besitzen, wird bei einem Stromausfall ein Herunterfahren mit einer APC Back-Ups RS 800 USV (mit frischen Akkus und getauschten Elkos) gesichert.
In regelmäßigen Abständen werden doppelte Offline-Backups im DAR-Format erfolgen die in den beiden Wohnungen gelagert werden um die 3-2-1-Regel einzuhalten.
Das heißt ich mache mir in Bezug auf Ransomware sogar wenig Sorgen um den Server, da es Backups gibt.
Aber so ein Server ist halt fast ein Honeypot und sobald der erst einmal kompromittiert ist, verliere ich unter Umständen alle Clients.
Heißt dass ich dann in 2 Wohnungen alles neu einrichten kann.. und genau das möchte ich nicht riskieren.
Also geht es mir mehr darum die Clients zu schützen und frühzeitig Angriffe erkennen und eindämmen zu können.
Stelle mir also tendenziell auch etwas in Richtung IDS und IPS mit Alert vor.
[..] Etwas ist besser als gar nichts [..]
Das ist nicht der Ansatz den ich suche, sonst würde ich einfach für die Workstation-Clients jeweils eine proprietäre Personal-Firewall kaufen.
Ich suche eine Möglichkeit der Schadensbegrenzung bei einer Infektion des Netzwerkes.
[..] Radius und Port Security auf den Switchports [..]
Dazu würde ich gerne mehr wissen.
Habe dazu in den Handbüchern einiger Level2-Switches gelesen und verstehe es so, dass sich ein Client am Switch erst gegen einen Radius-Server authentifizieren muss, um Zugriff zu dem Port und damit zu dem Netzwerk zu erhalten.
Aber ich bin mir nicht sicher, ob ich das Prinzip richtig verstehe.
Für mich sieht das so aus als ob das darauf ausgelegt ist, die Ports zu einem als "vertrauenswürdig" betrachteten Netzwerk (in dem jedes Gerät mit jedem Gerät kommunizieren darf) gegen unerlaubten physischen Zugriff an der Hardware abzusichern.
Das ist aber nicht das was ich suche, da in beiden Wohnungen nur vertrauenswürdige Personen anwesend sind.
[..] der Komfort kann darunter leiden [..]
Wieso sollte der Komfort darunter leiden?
An den Clients selbst ändert sich doch gar nichts.
[..] z.B. Schwester / Sohn / Mutter bekommen ein neues Smartphone / Laptop [..]
Warum andere Endgeräte?
Die Endgeräte selbst können nicht zwangsläufig als vertrauenswürdig betrachtet werden.
Meine Eltern zum Beispiel nutzen Linux-Notebooks und es gibt einen Windows-Gäste-PC.
In der anderen Wohnung steht eine Windows-Workstation, ein Windows-Notebook und ein Windows-Gaming-PC auf dem viele Spiele mit administrativen Rechten ausgeführt werden MÜSSEN, dank zwielichtiger Anti-Cheat-Engine..
Zusätzlich diverse andere Clients, die aber nur Zugriff auf Internet und NAS benötigen wie zum Beispiel die 2 MFP.
Das heißt ich kalkuliere den Verlust mindestens eines Clients und des Servers schon fest mit ein.
Ich möchte nur nicht alle Clients ständig neu einrichten müssen.
@jmueller
[..] Mikrotik Router [..]
Was ist der Unterschied bei Mikrotik-Routern zu normalen Routern?
[..] dein Netzwerk mit VLANs segmentierst [..]
Das habe ich schon oft gelesen aber verstehe es scheinbar nicht so richtig.
Ich dachte immer, dass ein VLAN bloß die Aufteilung eines physischen Switches auf 2 oder mehr logische Switches bedeutet.
Das wären dann getrennte Subnetze, die ich über einen Router verbinden kann.
Broadcast-Packete würden dann auf das jeweilige Netzwerksegment begrenzt, was die Performance steigern kann.
Aber dann kann doch trotzdem jedes Gerät auf jedes zugreifen, oder nicht?
@aqui
[..] Es wäre zielführender wenn das zu verwendende VPN Protokoll bekannt wär [..]
Es soll IPSec werden.
Für Wireguard habe ich bisher einfach zu wenige Hardware-Clients gefunden.
[..] nur die Geräte bzw. deren IP Adressen in die IPsec Phase 2 SAs der VPN Konfig einträgst die du aus den remoten Netzen nach deiner Vorgabe erreichen möchtest.
Habe schon gelesen, dass man über den Import einer VPN-Konfiguration bei der Fritzbox auch ein Subnetz festlegen kann, in dem der VPN-Tunnel enden soll.
Aber wenn das auch feingranular geht, so dass ich sogar den Zugriff auf einzelne IP-Adressen einseitig einschränken kann, dann klingt das echt zielführend.
Danke, das schaue ich mir nochmal genauer an
Ich melde mich später nochmal, sobald entweder weitere Fragen auftauchen oder ich irgendwelche Ergebnisse zu berichten habe.
Ganz liebe Grüße,
Vivien
Zitat von @chri-ri:
Das was dem noch am nächsten kam sind "protected Ports" beim HP ProCurve Switch 2810-24G (siehe Ausschnitt im Anhang) aber das deckt nur ein Teil des Problems ab, oder?
Du hast das Gerät, du kannst du es testen.Das was dem noch am nächsten kam sind "protected Ports" beim HP ProCurve Switch 2810-24G (siehe Ausschnitt im Anhang) aber das deckt nur ein Teil des Problems ab, oder?
Also quasi ein Firewall-Router?
Wenn du weißt was es macht ist's quasi egal wie du es nennst 
Nicht selten nimmt man einen Begriff in den Mund, meint aber etwas anderes, so meine Erfahrung.Wie muss ich mir das genau vorstellen?
Kenne bisher nur so, dass man konfiguriert, über welche IP-Adresse ein Gateway in welches Subnetz führt.
Der Klassiker, verschiedene Netzwerke bilden und diese dann doch am Ende wieder ungefiltert zusammenführen, bringt eben 0 Mehrwert an Sicherheit, schaut aber in der IP Tabelle schöner aus. In der Segmentierung/ACL schränkt man weiter ein, eben ob VLAN, einzelne IPs, Protokoll,... .Kenne bisher nur so, dass man konfiguriert, über welche IP-Adresse ein Gateway in welches Subnetz führt.
@nachgefragf
Aktuell besitze ich keinen dieser Switches, da ich nicht blind irgendwas kaufen wollte.
Lediglich die 2 FritzBoxen und eben die Clients und MFP's usw..
Wenn ich das "protected port" Feature mal Stück für Stück durchdenke..
Sähe das Netzwerk wie folgt aus (zunächst ohne zusätzliche UTM Firewall gedacht):
Dann wäre folgendes Möglich:
Verstehe ich das richtig so? 🙂
Aktuell besitze ich keinen dieser Switches, da ich nicht blind irgendwas kaufen wollte.
Lediglich die 2 FritzBoxen und eben die Clients und MFP's usw..
Wenn ich das "protected port" Feature mal Stück für Stück durchdenke..
Sähe das Netzwerk wie folgt aus (zunächst ohne zusätzliche UTM Firewall gedacht):
- in der Wohnung mit dem Server existieren 2 Segmente (VLAN).
- In dem einen Segment befinden sich dortiger MFP, Server
- In dem anderen Segment befinden sich alle Clients (dass WLAN dazu noch einen extra AP getrennt zur Fritzbox erfordern könnte, ignorieren wir hier erstmal)
- Die Fritzbox dient wie vorgeschlagen als VPN-Server und ist per manuellem Config-Import so eingestellt, dass VPN-Clients in das Subnetz mit den lokalen Clients kommen.
Dann wäre folgendes Möglich:
- Die lokalen Clients können auf Server und MFP zugreifen
- Die lokalen Clients können nicht auf sich untereinander zugreifen (GUT).
- Server und MFP können auf die lokalen Clients zugreifen (SCHLECHT).
- Clients welche über das VPN im selben Subnetz wie die lokalen Clients landen, können trotzdem auf alles Zugreifen, auch andere Clients, da sie sich physisch nicht am Switch befindet, sondern nur logisch und das "protected Ports" Feature nur auf OSI Level 2 arbeitet (SCHLECHT)
- Lokale Clients können trotzdem auf die fremden Clients welche über VPN kamen zugreifen, da die per VPN verbundenen Clients sich physisch nicht am Switch befindet, sondern nur logisch und das "protected Ports" Feature nur auf OSI Level 2 arbeitet (SCHLECHT)
Verstehe ich das richtig so? 🙂
dazu nur das Blacklisten bzw. Whitelisten von MAC-Adressen an den Ports gelesen.
Bei den Switch Billigheimern die du genannt hast werden L3 Accesslisten in der Regel auch nicht supportet weil deren einfach ASIC Hardware oft nicht bis in den Layer 3 "sehen" kann.Andere Hersteller können das aber sehr wohl! Du musst dann evtl. das Datenblatt genauer lesen.
Auch das wäre natürlich eine Option sollte deine Switch HW Layer 3 Accesslisten dann supporten.
Port Authentisierung oder Port Security ist generell eine ganz andere Baustelle und hat mit deinen Anforderungen so erstmal nichts zu tun.
Es gibt .1x Port Authentisierung von Usern wo der Radius Server diesen Ports dann userbezogene Accesslisten mitgibt was zwar passt aber immer nur in Verbindung mit einer User Zugangskontrolle per 802.1x. Bei dir aber ja nicht gegeben und so scheided das ebenso wie die Mac basierte Port Security generell aus als Lösung aus bei dir.
Mit IPsec und deinen Bordmitteln wäre es dann zu mindestens IP Adressbezogen einfach über die FritzBox VPN Konfig Datei möglich. Die Einstellungen macht man dann im Bereich der Definition der Phase 2 SAs.
phase2ss = "esp-all-all/ah-none/comp-all/pfs";
accesslist = "permit ip any 10.100.1.0 255.255.255.0"; Siehe dazu auch HIER und HIER.
Für Wireguard habe ich bisher einfach zu wenige Hardware-Clients gefunden.
Hardware Clients??? Was soll das sein. 🤔WG rennt so ziemlich auf allen bekannten Clients oder meinst du mit "Hardware" entsprechende HW Router die WG fähig sind wie z.B. HIER oder HIER??
@aqui
Achso verstehe, also sind damit dann bereits L3-Switches gemeint, das ergibt natürlich Sinn.
Aber wenn wir bereits bei L3-Switches sind, warum dann nicht gleich ein Router?
Wo ist da dann noch der Unterschied?
Danke, dann habe ich das schon richtig vermutet.
Das sieht schon mal gut aus, habe aber nun in der Zwischenzeit nochmals nachgedacht und neue Impulse erhalten, wodurch mir eines klar wurde:
Selbst wenn ich die Fritzbox passend einrichten kann, dann benötige ich trotzdem noch mindestens ein weiteres Gerät für OpenLDAP, NAS, HomeBox usw..
Warum also nicht gleich alles auf diesem Gerät lösen. Inklusive VPN Server und Firewall.
Also ein System auf dem Proxmox Virtual Environment (PVE) läuft und darin OPNsense, VPN Server, OpenLDAP, usw..
Vielleicht einfach alles auf einer alten Sophos UTM 220 installieren um erstmal zu testen was Sinn macht?
Zumindest Intel VT unterstützen die ja.
Ist mir bewusst aber genau das möchte ich nicht.
Auf dem Clients als den eigentlichen Endgeräten beim Nutzer soll keine VPN-Konfiguration stattfinden.
[..] L3 Accesslisten in der Regel auch nicht supportet weil deren einfach ASIC Hardware oft nicht bis in den Layer 3 "sehen" kann.
Achso verstehe, also sind damit dann bereits L3-Switches gemeint, das ergibt natürlich Sinn.
Aber wenn wir bereits bei L3-Switches sind, warum dann nicht gleich ein Router?
Wo ist da dann noch der Unterschied?
Port Authentisierung [..] ist generell eine ganz andere Baustelle [..]
Danke, dann habe ich das schon richtig vermutet.
Mit IPsec und deinen Bordmitteln wäre es dann zu mindestens IP Adressbezogen einfach über die FritzBox VPN Konfig Datei möglich.
Das sieht schon mal gut aus, habe aber nun in der Zwischenzeit nochmals nachgedacht und neue Impulse erhalten, wodurch mir eines klar wurde:
Selbst wenn ich die Fritzbox passend einrichten kann, dann benötige ich trotzdem noch mindestens ein weiteres Gerät für OpenLDAP, NAS, HomeBox usw..
Warum also nicht gleich alles auf diesem Gerät lösen. Inklusive VPN Server und Firewall.
Also ein System auf dem Proxmox Virtual Environment (PVE) läuft und darin OPNsense, VPN Server, OpenLDAP, usw..
Vielleicht einfach alles auf einer alten Sophos UTM 220 installieren um erstmal zu testen was Sinn macht?
Zumindest Intel VT unterstützen die ja.
WG rennt so ziemlich auf allen bekannten Clients [..]
Ist mir bewusst aber genau das möchte ich nicht.
Auf dem Clients als den eigentlichen Endgeräten beim Nutzer soll keine VPN-Konfiguration stattfinden.
Wo ist da dann noch der Unterschied?
Da gibts dann keinen Unterschied mehr. Ein L3 Switch ist natürlich immer auch ein Router.
Wenn es das denn nun war bitte deinen Thread dann hier auch als erledigt schliessen!
How can I mark a post as solved?
How can I mark a post as solved?
@aqui
Danke für den Hinweis, wird gemacht, wenn es endlich soweit ist
Vorher melde ich mich aber mit einer Lösung.
Aktuell bin ich immer noch nicht so weit.
Das Thema wird sich ziemlich sicher noch einige Wochen hin ziehen, bis ich eine Lösung weiß.
Wenn es das denn nun war [..] Thread [..] als erledigt schliessen!
Danke für den Hinweis, wird gemacht, wenn es endlich soweit ist
Vorher melde ich mich aber mit einer Lösung.
Aktuell bin ich immer noch nicht so weit.
Das Thema wird sich ziemlich sicher noch einige Wochen hin ziehen, bis ich eine Lösung weiß.
Ich hätte zu dem Thema übrigens noch eine grundlegende Frage:
Sowohl in L2-Switches mit DHCP-Server als auch bei VPN-Servern/Clients (z.B. FritzBox) habe ich die Möglichkeit, einzelen Geräten IP-Adressen zu vergeben.
Im Falle des L2-Switches werden aber scheinbar nur die IP-Adressen vergeben, was mir eine manuelle Zuweisung erspart.
Ein Routing findet scheinbar nicht statt.
Wie sieht das im Falle der Verwendung einer FritzBox als VPN-Client/Server aus?
Routet diese Funktion dann auch zwischen den Subnetzen oder findet hier genau wie beim L2-Switch nur die Adressvergabe statt, wenn ich die FritzBox an einem Router angeschlossen habe?
In so einem Fall fungieren ihre LAN-Anschlüsse doch nur noch als Switch, oder?
Ihr VPN dann auch?
Oder kann man das nicht so betrachten?
Ich beziehe mich dabei auf diese Anleitung:
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-6591-Cable/1627_IP ...
Speziell den Teil mit der Zuweisung einzelner Subnetze.
Sowohl in L2-Switches mit DHCP-Server als auch bei VPN-Servern/Clients (z.B. FritzBox) habe ich die Möglichkeit, einzelen Geräten IP-Adressen zu vergeben.
Im Falle des L2-Switches werden aber scheinbar nur die IP-Adressen vergeben, was mir eine manuelle Zuweisung erspart.
Ein Routing findet scheinbar nicht statt.
Wie sieht das im Falle der Verwendung einer FritzBox als VPN-Client/Server aus?
Routet diese Funktion dann auch zwischen den Subnetzen oder findet hier genau wie beim L2-Switch nur die Adressvergabe statt, wenn ich die FritzBox an einem Router angeschlossen habe?
In so einem Fall fungieren ihre LAN-Anschlüsse doch nur noch als Switch, oder?
Ihr VPN dann auch?
Oder kann man das nicht so betrachten?
Ich beziehe mich dabei auf diese Anleitung:
https://avm.de/service/wissensdatenbank/dok/FRITZ-Box-6591-Cable/1627_IP ...
Speziell den Teil mit der Zuweisung einzelner Subnetze.
Noch eine andere, sicher banale Frage:
Wie zum Teufel finde ich eine Switch, der VLAN und IP-basierte ACL kann?
Ich suche jetzt schon seit Tagen nach 2 passenden Switches und kann die vielen Datenblätter kaum noch sehen.
Habe letztens durch Zufall einen gebrauchten sehr alten Switch auf Kleinanzeigen gefunden, bei dem im Datenblatt etwas von "ACL MAC/IP Erlauben/Verbieten" stand.
Aber ich benötige davon noch einen Zweiten und im Idealfall kein Uraltgerät.
Nach was muss ich suchen?
Ich gehe mal davon aus, dass ich bei L3-Switches IP ACL vorraussetzen kann.
Aber die sind dann auch gleich mal deutlich teuerer, lauter, komplizierter und deutlich stromhungriger.
Zuletzt zwei alte Quanta Switches mit redundanten Netzteilen gefunden.
Aber das fühlt sich an, wie mit Kanonen auf Spatzen zu schießen.
Wie zum Teufel finde ich eine Switch, der VLAN und IP-basierte ACL kann?
Ich suche jetzt schon seit Tagen nach 2 passenden Switches und kann die vielen Datenblätter kaum noch sehen.
Habe letztens durch Zufall einen gebrauchten sehr alten Switch auf Kleinanzeigen gefunden, bei dem im Datenblatt etwas von "ACL MAC/IP Erlauben/Verbieten" stand.
Aber ich benötige davon noch einen Zweiten und im Idealfall kein Uraltgerät.
Nach was muss ich suchen?
Ich gehe mal davon aus, dass ich bei L3-Switches IP ACL vorraussetzen kann.
Aber die sind dann auch gleich mal deutlich teuerer, lauter, komplizierter und deutlich stromhungriger.
Zuletzt zwei alte Quanta Switches mit redundanten Netzteilen gefunden.
Aber das fühlt sich an, wie mit Kanonen auf Spatzen zu schießen.
Wenn ich es ganz einfach und billig haben will, könnte ich doch einfach folgendes tun:
Sämtlicher Verkehr im Netzwerk wird dann einfach per Port Aggregation zu dem Server geleitet.
Dort läuft dann das Routing, die Firewall, ACL per IP und alle Dienste die benötigt werden.
Ist das richtig und eine gute Idee?
Weiß mir langsam einfach nicht mehr anders zu helfen.
Muss aber sagen, dass ich keine Ahnung von Proxmox habe.
- billigen Level 2 Switch kaufen der kein ACL, Routing oder VLAN aber zumindest Port Aggretation kann.
- Server kaufen, der 4 Ports und Proxmox VE installiert hat
Sämtlicher Verkehr im Netzwerk wird dann einfach per Port Aggregation zu dem Server geleitet.
Dort läuft dann das Routing, die Firewall, ACL per IP und alle Dienste die benötigt werden.
Ist das richtig und eine gute Idee?
Weiß mir langsam einfach nicht mehr anders zu helfen.
Muss aber sagen, dass ich keine Ahnung von Proxmox habe.
Sowohl in L2-Switches mit DHCP-Server
Es gibt keine Layer 2 VLAN Switches mit DHCP Server Funktion am Markt! Sowas ist nur L3 Switches vorbehalten was ja auch Sinn macht, da L2 Switches niemals routen können!Hier begehst du vermutlich aus Unkenntnis einen fatalen Denkfehler!
Wie sieht das im Falle der Verwendung einer FritzBox als VPN-Client/Server aus? Routet diese Funktion dann auch zwischen den Subnetzen
Ja.VPN ist in der Regel immer ein Routing zwischen den jeweiligen IP Netzen. Natürlich auch bei einer Fritzbox die ja primär ein Router ist!
oder findet hier genau wie beim L2-Switch nur die Adressvergabe statt
Ein L2 only Switch kann, wie oben schon mehrfach gesagt, KEINE IP Adressen "vergeben"! Weder per DHCP noch per sonstwas!!In so einem Fall fungieren ihre LAN-Anschlüsse doch nur noch als Switch, oder?
Richtig!Wie bei vielen einfachen Billo Routern hat auch die Fritzbox fürs LAN mit dem Ports 1 bis 4 einen rudimentären, embeddeten Miniswitch an Bord. Der tiefere Sinn davon ist eine Handvoll lokaler Geräte direkt am Router anschliessen zu können ohne einen weiteren lokalen Switch verwenden zu müssen.
Im Vergleich z.B. zu einem Mikrotik Router lässt der onboard Fritzbox Switch sich aber wenig bis gar nicht konfigurieren.
Wie zum Teufel finde ich eine Switch, der VLAN und IP-basierte ACL kann?
Ganz einfach: Indem du bei den üblichen Verdächtigen die sowas herstellen einfach einmal ins Datenblatt siehst ob dort L3 ACL Support aufgelistet ist. Die etwas besseren Hersteller supporten das oftmals. Ein Blick ins Datenblatt ist aber immer anzuraten BEVOR man kauft um keine böse Überraschung zu erleben! Nach was muss ich suchen?
"Layer 3 oder IP Access Listen"!Ich gehe mal davon aus, dass ich bei L3-Switches IP ACL vorraussetzen kann.
Ja, bei denen ist das immer Standard. Oftmals auch bei den Billo Herstellern die so ein Unsinn wie "Layer 2+" schreiben also einen L2 Switch mit sehr rudimentären L3 Funktionen. Aber auch hier gilt immer das Datenblatt als sichere Quelle ob ja oder nein.Zuletzt zwei alte Quanta Switches mit redundanten Netzteilen gefunden.
Klar, super. Das sind im Netzwerkbereich ja auch super bekannte Marken die Kompetenz und Funktionalität ausstrahlen...! Gute Wahl! billigen Level 2 Switch
Es scheitert bei dir schon an der technischen Ausdrucksweise! Wenn dann "Layer" (es geht, wie alle wissen, um das OSI Netzwerkmodell!) Ein Level ist bekanntlich etwas anderes.Sämtlicher Verkehr im Netzwerk wird dann einfach per Port Aggregation zu dem Server geleitet.
Ja das würde klappen. Sogar mit nur einem oder 2 Ports am Server! Guckst du z.B. auch HIER!Ist das richtig und eine gute Idee?
Ja. Ob sowas gut ist kommt, wie immer, auf dein Anwendungsprofil an. Entspricht ja einem "one armed Router / Firewall" wie es im o.a. Thread bzw. auch HIER prinzipiell beschrieben ist.
@aqui
Wenn ich aber zum Beispiel in das Datenblatt und Handbuch des Dell PowerConnect 2824 schaue, dann sehe ich dort "DHCP Server" aber keine "IP ACL" und auch kein "Statisches Routing".
Das ist nicht der einzige Switch, den ich fand.
Darum gestaltet sich die Suche auch so schwierig.
Stimmt, so offensichtlich, tut mir leid.
Genau so mache ich es nun auch.
Dachte es gibt vielleicht irgendwelche Suchbegriffe, mit denen ich explizit nach geeigneten Switches googlen kann.
Denn aktuell die entsprechenden Switches der Hersteller Modell für Modell durchzugehen ist echt mühselig und dauert lange.
Ja, leider schon oft gelesen.
So ein Marketing-Bullshit.
Ich weiß, eher Billig-Kram.
Aber die Ausstattung war gut.
Allerdings habe ich von denen gelesen, dass sie ziemlich kompliziert seien und 4 Lüfter + 2 Netzteile (mit jeweils auch nochmal 2 Lüftern) sind einfach zu viel für zu Hause.
Da hilft dann auch kein Fan-Mod mehr.
Ich bin mit dem OSI-Refernzmodell vertraut.
Dachte Level und Layer sind hier Synonyme?
Was definierst du denn als "Level"?
Benötige übrigens mindestens 4Gbit/s, sonst habe ich einen Flaschenhals, also 4 Ports.
Cool, dann ist das also durchaus eine mögliche Lösung, danke
Das hilft mir erstmal bei meinen weiteren Überlegungen.
Es gibt keine Layer 2 VLAN Switches mit DHCP Server Funktion am Markt! Sowas ist nur L3 Switches vorbehalten was ja auch Sinn macht, da L2 Switches niemals routen können!
Wenn ich aber zum Beispiel in das Datenblatt und Handbuch des Dell PowerConnect 2824 schaue, dann sehe ich dort "DHCP Server" aber keine "IP ACL" und auch kein "Statisches Routing".
Das ist nicht der einzige Switch, den ich fand.
Darum gestaltet sich die Suche auch so schwierig.
VPN ist [..] Routing zwischen den jeweiligen IP Netzen.
Stimmt, so offensichtlich, tut mir leid.
Indem du [..] ins Datenblatt siehst ob dort L3 ACL Support aufgelistet ist.
Genau so mache ich es nun auch.
Dachte es gibt vielleicht irgendwelche Suchbegriffe, mit denen ich explizit nach geeigneten Switches googlen kann.
Denn aktuell die entsprechenden Switches der Hersteller Modell für Modell durchzugehen ist echt mühselig und dauert lange.
[..] so ein Unsinn wie "Layer 2+" [..]
Ja, leider schon oft gelesen.
So ein Marketing-Bullshit.
Das sind im Netzwerkbereich ja auch super bekannte Marken die Kompetenz und Funktionalität ausstrahlen...!
Ich weiß, eher Billig-Kram.
Aber die Ausstattung war gut.
Allerdings habe ich von denen gelesen, dass sie ziemlich kompliziert seien und 4 Lüfter + 2 Netzteile (mit jeweils auch nochmal 2 Lüftern) sind einfach zu viel für zu Hause.
Da hilft dann auch kein Fan-Mod mehr.
Es scheitert bei dir schon an der technischen Ausdrucksweise! [..] Wenn dann "Layer" (es geht, wie alle wissen, um das OSI Netzwerkmodell!) Ein Level ist bekanntlich etwas anderes.
Ich bin mit dem OSI-Refernzmodell vertraut.
Dachte Level und Layer sind hier Synonyme?
Was definierst du denn als "Level"?
[..] 2 Ports am Server [..]
Benötige übrigens mindestens 4Gbit/s, sonst habe ich einen Flaschenhals, also 4 Ports.
[..] "one armed Router / Firewall" [..]
Cool, dann ist das also durchaus eine mögliche Lösung, danke
Das hilft mir erstmal bei meinen weiteren Überlegungen.
dann sehe ich dort "DHCP Server"
Aber einzig nur für das VLAN in dem der Dell seine Management IP hat. https://dl.dell.com/manuals/all-products/esuprt_ser_stor_net/esuprt_netw ...
Seite 83 ff.
Layer 3 ACLs und auch Layer 2 ACL supportet der Switch gar nicht. Ist eigentlich auch kein Dell sondern ein Billo Barebone den Dell vom Massenfertiger Accton zukauft und da nur "Dell" draufbäppelt. Darf ja nix Kosten wenn man sowas mit den Servern verschenkt. Entsprechend mies ist das Featureset. Kommt noch vor den Gruselteilen von oben...
Ich bin mit dem OSI-Refernzmodell vertraut.
Wirklich? Wieso redest dann von irgendwelchen Leveln ?? 🧐Was definierst du denn als "Level"?
Wenn du z.B. eine Kiste Bier geleert hast dann hast du einen entsprechenden Alkohol "Level" intus.Bitte den o.a. Wiki Artikel lesen und verstehen!
Benötige übrigens mindestens 4Gbit/s, sonst habe ich einen Flaschenhals, also 4 Ports.
Ahhsoo... OK, dann natürlich einen 4er LACP LAG. Näheres zu der LAG Thematik findest du, wie immer, HIER!dann ist das also durchaus eine mögliche Lösung
Das ist sie in der Tat!