Grundsätzlich zum Netzwerk:
VLANs hab ich für:
- Server + Konfig --> Vollzugriff aufs gesamte Netzwerk
- GästeVLAN --> nur Internet --> Arbeitsrechner
- Streaming --> nur Internet
- IOT --> Zugriff nur innerhalb vom Subnet
URL: https://www.overclockers.at/netzwerktechnik/v-lans-zuhause-einrichten_263113/page_3 - zur Vollversion wechseln!
Zitat aus einem Post von b_dda wo ich nicht weiter weiß ist, wie ich die VLANs voneinander trenne. WORK soll zB nur ins internet können und sonst das restliche netzwerk nicht "sehen". wie mach ich das?
Ich häng mich hier gleich an. Meine Frau braucht jetzt als Lehrerin einen Arbeitslaptop. Den würde ich dann ins Gäste-VLAN geben, das per OpenWRT Software Firewall vom Rest des Netzwerks getrennt ist. Da im schulischen Umfeld Viren usw. rumgeistern, die ich keinesfalls im Heimnetzwerk haben will, möchte ich den Laptop soweit vom Netzwerk trennen wie möglich. Reicht das beschriebene Setup mit VLAN oder muss ich da stärkere Geschütze aufziehen?
Grundsätzlich zum Netzwerk:
VLANs hab ich für:
- Server + Konfig --> Vollzugriff aufs gesamte Netzwerk
- GästeVLAN --> nur Internet --> Arbeitsrechner
- Streaming --> nur Internet
- IOT --> Zugriff nur innerhalb vom Subnet
Ist das Gäste VLan ein reines WLan, oder sind dort auch verkabelte Geräte drin?
Falls ersteres: AP Isolation aktivieren, damit die Geräte nicht untereinander reden können und es passt.
Falls auch verkabelte Geräte vorhanden sind ist der Zugriff auf diese möglich und diese sollten in getrennten VLans (jeweils /30) angesiedelt werden um den Zugriff auf diese zu unterbinden.
Im GästeVLAN sind WLAN und verkabelte Geräte vorhanden. Ich könnte aber einfach auch 3 seperate VLANs aufspannen. Eins für meine Arbeitsgeräte, eins für die von meiner Frau und eins als alleiniges GästeVLAN für Gäste.
wieso nicht einfach ins guest vlan / wifi?
denke auch der Fall dass der Laptop deiner Frau dann innerhalb vom Gäste VLAN noch andere Gäste Geräte infiziert ist für home use zu vernachlässigen. aber jeder wie er/sie meint
Das sollte gar nicht möglich sein, zumindest ist das bei mir Internet only. Die Clients sehen sich nicht untereinander.Zitat aus einem Post von davebastarddenke auch der Fall dass der Laptop deiner Frau dann innerhalb vom Gäste VLAN noch andere Gäste Geräte infiziert ist für home use zu vernachlässigen. aber jeder wie er/sie meint
das kommt natürlich auf die Konfiguration drauf an... wenns im selben vlan und netz sind und von den regeln her z.B. ping erlaubt ist würden sie sich schon sehen
Zitat aus einem Post von davebastarddenke auch der Fall dass der Laptop deiner Frau dann innerhalb vom Gäste VLAN noch andere Gäste Geräte infiziert ist für home use zu vernachlässigen. aber jeder wie er/sie meint
"Client Isolation" ist das gesuchte Setting.
Zitat aus einem Post von b_dja danke viper, so ein bsp. aus einer echtumgebung würde helfen.
Hatte ich nicht gelesen. Dann machst eine Regel wo die nicht-öffentlichen Bereiche drinsind, 10.0.0.0/8 und co., und erlaubst Zugriff nicht in diese.
Edit: korrigiert
Die Kommunikation innerhalb des Subnetz es geht aber nicht über den Gateway, daher bringt hier eine Firewall Regel nichts.
stimmtZitatDie Kommunikation innerhalb des Subnetz es geht aber nicht über den Gateway, daher bringt hier eine Firewall Regel nichts.
ZitatInfiziert dann eh den Firmenlaptop..
Bei Enterprise Switches gibt's dafür Port Isolation, um die L2 Kommunikation der Clients untereinander zu unterbinden und sämtliche Pakete über den Gateway zu schleifen.
Im Prosumer Bereich müssten aber wie ursprünglich erwähnt eben /30er Subnetze konfiguriert werden.
Sehe das jetzt allerdings nicht als besonders großen Aufwand, so ein VLan ist ja schnell angelegt, insbesondere wenn gleich ein paar auf einmal konfiguriert werden.
Im Gegensatz dazu ist der Aufwand der Bereinigung bei einer 0day wesentlich größer.
overclockers.at v4.thecommunity
© all rights reserved by overclockers.at 2000-2024