Ich möchte eine gewisse Trennung der Geräte in meinem Heimnetzwerk mithilfe eines verwalteten Switches vornehmen. Ich habe andere verwandte Fragen / Antworten gelesen, aber sie stellen unterschiedliche Anforderungen an VLAN-Router oder andere Geräte, da unterschiedliche VLANs miteinander kommunizieren sollen. Ich möchte nur eine Trennung und möchte wissen, ob ich alles mit einem einzigen verwalteten Switch erledigen kann.
- Meine Ziele:
- Isolieren Sie den über das Internet zugänglichen Server vom restlichen Netzwerk, um zu verhindern, dass der gefährdete Server interne Knoten angreift.
- Isolieren Sie den für vertrauliche Daten verwendeten Computer vom restlichen Netzwerk.
- Ermöglichen Sie allen Geräten den Zugriff auf das Internet.
- Beschränken Sie die Switch-Verwaltung auf einen einzelnen Port.
- Isolieren Sie den über das Internet zugänglichen Server vom restlichen Netzwerk, um zu verhindern, dass der gefährdete Server interne Knoten angreift.
- Meine geplante Switch-Konfiguration:
- VLAN:
- 10: Ports 1 - 47 (Internetzugang)
- 20: Ports 1 und 2 (Server)
- 30: Ports 1 und 3 - 46 (Heimgeräte)
- 40: Ports 1 und 47 (vertrauliche Datenmaschine)
- 50: Port 48 (Switch-Verwaltung)
- Hafen:
- 1: ohne Tag ,
pvid=10(verbunden mit dem Internet-Router) - 2: ohne Tag ,
pvid=20(mit dem Server verbunden) - 3 - 46: ohne Tag ,
pvid=30(verbunden mit Heimcomputern) - 47: ohne Tag ,
pvid=40(verbunden mit sensiblen Datenmaschine) - 48: ohne Tag ,
pvid=50(verbunden mit Switch-Verwaltungsmaschine)
- 1: ohne Tag ,
- VLAN:
Darüber hinaus ist der Router so konfiguriert, dass Port 80 an den Server weitergeleitet wird, der über eine statische IP-Adresse verfügt. Der Router verwendet DHCP, um dem Rest der Computer IP-Adressen zuzuweisen.
Wenn ich den Switch so einstelle, wie es scheint, kann ich von Computern an den Ports 2 bis 47 aus auf das Internet zugreifen. Über die nach außen gerichtete IP-Adresse des Routers kann ich von anderen VLANs aus auf den Server zugreifen. und ich kann scheinbar nicht über VLANs auf andere Computer zugreifen. Ich habe jedoch einige bewährte Methoden wie die folgenden gelesen:
- Jedes VLAN ist ein anderes IP-Subnetz
- Access Ports (z. B. 2-47) sollten Mitglieder eines einzelnen VLAN sein
- Verwenden Sie einen Tagging-fähigen Router, um den Verkehr über VLANs hinweg zu filtern
In meinem Setup verwende ich ein einzelnes IP-Subnetz. Ich habe nur ~ 20 Geräte, es gibt also keine Probleme mit der Größe, aber ich bin gespannt, ob es noch andere Probleme gibt. Können beispielsweise verschiedene Geräte in verschiedenen VLANs dieselbe IP-Adresse erhalten, und wenn ja, ist dies ein Problem? Ich verstehe, dass dies in Ordnung ist, weil sie nicht aufeinander zugreifen können. Wenn sie jedoch beide Internetanfragen senden, können die Antworten verwechselt werden?
In meinem Setup verwende ich außerdem VLAN 10 über fast alle Ports, um den Internetzugang zu ermöglichen. Ist das ein Problem? Es scheint, als könnte jemand dieses VLAN zum Hüpfen von VLANs verwenden (z. B. ein kompromittierter Server für den Zugriff auf Heimcomputer oder Heimcomputer für den Zugriff auf vertrauliche Datencomputer). Verhindert die Kombination von untagged und solchepvid=X Verhaltensweisen? Würde ein VLAN-Tag von 10 bei dieser Konfiguration von einem anderen Port als Port 1 abgelehnt?
Mein Router ist der Standard-Verizon-Router, und ich weiß nicht, wie er mit VLAN-Tagging umgeht (wahrscheinlich überhaupt nicht?). Gibt es ein Problem, wenn Tags tatsächlich verarbeitet werden (z. B. unsichere Standardeinstellungen) oder nicht (z. B. Routing zwischen VLANs aufgrund fehlender Kenntnisse)?
Ist dies eine geeignete Konfiguration für meine Ziele, oder muss ich Änderungen vornehmen oder weitere Geräte einführen, um das Netzwerk ordnungsgemäß zu isolieren und zu sichern?
quelle
Antworten:
Dies ist ohne einen VLAN-fähigen Router / eine Firewall nicht möglich. Hierfür gibt es mehrere Gründe. Einer davon ist, dass Ihr Server einen Internetzugang benötigt, während andere Geräte, die ebenfalls einen Internetzugang benötigen, nicht direkt darauf zugreifen können. Dies bedeutet, dass ein Router / eine Firewall zur Verbindung der beiden Gerätetypen erforderlich ist.
Wenn Sie sich jedes VLAN als einen virtuellen, nicht verwalteten Switch vorstellen, sind Sie auf dem besten Weg, das Problem zu verstehen. Entweder sind die Ports verbunden und können frei miteinander übertragen, oder sie sind nicht verbunden und können sich nicht sehen. es gibt keine halben Sachen.
Sie brauchen wirklich Subnetze und Routing. Wenn Sie Computer in verschiedenen Vlans im selben Subnetz unterbringen, können sie nicht miteinander kommunizieren oder diese finden. Selbst wenn Sie einen Router haben, können die Computer nicht mit ihm sprechen, wenn sie versuchen, andere Computer zu erreichen. In den meisten Fällen können sie ihn auch nicht sehen.
Ein nicht getaggter Port kann als Port mit einem "Standard" -Tag betrachtet werden. Wenn Sie einen Port mit mehreren Tags haben, werden die Daten in getaggten Paketen übertragen, sodass der Router wissen muss, wie die Tags für die zu interpretierenden Daten entfernt werden. Dies erfolgt in der Regel über eine separate IP-Adresse pro VLAN auf dem Router, wobei jede Adresse im zugeordneten Subnetz vom VLAN verwendet wird.
(Ich stelle fest, dass ich die Dinge ein wenig vereinfacht habe und ein Experte in einigen Fällen möglicherweise in der Lage ist, einige der oben genannten Regeln zu brechen - aber Sie müssen das alles wirklich verstehen und wissen, wie es zusammenpasst, bevor Sie dies tun können - und die Regeln brechen ist im Allgemeinen auch kein gutes Design.
Während in der Praxis VLANS Sicherheit bieten, ist die Verwendung von VLANS als Sicherheitsmaßnahme für einige Experten ein wenig umstritten.
quelle
Sie benötigen mehr Ausrüstung. Wenn der Router nicht in der Lage ist, mehr als ein VLAN in Ihrem Netzwerk zu haben, können nicht alle VLANs auf das Internet zugreifen, sondern nur eines von ihnen (das eine) VLAN, in das der Router eingesteckt ist).
quelle