VLAN-Konfiguration für Heimnetzwerk

Ich möchte eine gewisse Trennung der Geräte in meinem Heimnetzwerk mithilfe eines verwalteten Switches vornehmen. Ich habe andere verwandte Fragen / Antworten gelesen, aber sie stellen unterschiedliche Anforderungen an VLAN-Router oder andere Geräte, da unterschiedliche VLANs miteinander kommunizieren sollen. Ich möchte nur eine Trennung und möchte wissen, ob ich alles mit einem einzigen verwalteten Switch erledigen kann.

Meine Ziele:
1. Isolieren Sie den über das Internet zugänglichen Server vom restlichen Netzwerk, um zu verhindern, dass der gefährdete Server interne Knoten angreift.
2. Isolieren Sie den für vertrauliche Daten verwendeten Computer vom restlichen Netzwerk.
3. Ermöglichen Sie allen Geräten den Zugriff auf das Internet.
4. Beschränken Sie die Switch-Verwaltung auf einen einzelnen Port.
Meine geplante Switch-Konfiguration:
- VLAN:
  - 10: Ports 1 - 47 (Internetzugang)
  - 20: Ports 1 und 2 (Server)
  - 30: Ports 1 und 3 - 46 (Heimgeräte)
  - 40: Ports 1 und 47 (vertrauliche Datenmaschine)
  - 50: Port 48 (Switch-Verwaltung)
- Hafen:
  - 1: ohne Tag , pvid=10 (verbunden mit dem Internet-Router)
  - 2: ohne Tag , pvid=20(mit dem Server verbunden)
  - 3 - 46: ohne Tag , pvid=30(verbunden mit Heimcomputern)
  - 47: ohne Tag , pvid=40(verbunden mit sensiblen Datenmaschine)
  - 48: ohne Tag , pvid=50(verbunden mit Switch-Verwaltungsmaschine)

Darüber hinaus ist der Router so konfiguriert, dass Port 80 an den Server weitergeleitet wird, der über eine statische IP-Adresse verfügt. Der Router verwendet DHCP, um dem Rest der Computer IP-Adressen zuzuweisen.

Wenn ich den Switch so einstelle, wie es scheint, kann ich von Computern an den Ports 2 bis 47 aus auf das Internet zugreifen. Über die nach außen gerichtete IP-Adresse des Routers kann ich von anderen VLANs aus auf den Server zugreifen. und ich kann scheinbar nicht über VLANs auf andere Computer zugreifen. Ich habe jedoch einige bewährte Methoden wie die folgenden gelesen:

Jedes VLAN ist ein anderes IP-Subnetz
Access Ports (z. B. 2-47) sollten Mitglieder eines einzelnen VLAN sein
Verwenden Sie einen Tagging-fähigen Router, um den Verkehr über VLANs hinweg zu filtern

In meinem Setup verwende ich ein einzelnes IP-Subnetz. Ich habe nur ~ 20 Geräte, es gibt also keine Probleme mit der Größe, aber ich bin gespannt, ob es noch andere Probleme gibt. Können beispielsweise verschiedene Geräte in verschiedenen VLANs dieselbe IP-Adresse erhalten, und wenn ja, ist dies ein Problem? Ich verstehe, dass dies in Ordnung ist, weil sie nicht aufeinander zugreifen können. Wenn sie jedoch beide Internetanfragen senden, können die Antworten verwechselt werden?

In meinem Setup verwende ich außerdem VLAN 10 über fast alle Ports, um den Internetzugang zu ermöglichen. Ist das ein Problem? Es scheint, als könnte jemand dieses VLAN zum Hüpfen von VLANs verwenden (z. B. ein kompromittierter Server für den Zugriff auf Heimcomputer oder Heimcomputer für den Zugriff auf vertrauliche Datencomputer). Verhindert die Kombination von untagged und solchepvid=X Verhaltensweisen? Würde ein VLAN-Tag von 10 bei dieser Konfiguration von einem anderen Port als Port 1 abgelehnt?

Mein Router ist der Standard-Verizon-Router, und ich weiß nicht, wie er mit VLAN-Tagging umgeht (wahrscheinlich überhaupt nicht?). Gibt es ein Problem, wenn Tags tatsächlich verarbeitet werden (z. B. unsichere Standardeinstellungen) oder nicht (z. B. Routing zwischen VLANs aufgrund fehlender Kenntnisse)?

Ist dies eine geeignete Konfiguration für meine Ziele, oder muss ich Änderungen vornehmen oder weitere Geräte einführen, um das Netzwerk ordnungsgemäß zu isolieren und zu sichern?

— Juhraffe
quelle

Was ist die Marke und das Modell des Schalters?

— Acejavelin

Der Switch ist ein Avaya 5520-48T-PWR.

— Juhraffe

Erwägen Sie, OpenWRT auf Ihrem Router zu installieren (falls dies mit dem Standard-Verizon-Router möglich ist), um ihn VLAN-fähig zu machen.

— Dirkt

Antworten:

Dies ist ohne einen VLAN-fähigen Router / eine Firewall nicht möglich. Hierfür gibt es mehrere Gründe. Einer davon ist, dass Ihr Server einen Internetzugang benötigt, während andere Geräte, die ebenfalls einen Internetzugang benötigen, nicht direkt darauf zugreifen können. Dies bedeutet, dass ein Router / eine Firewall zur Verbindung der beiden Gerätetypen erforderlich ist.

Wenn Sie sich jedes VLAN als einen virtuellen, nicht verwalteten Switch vorstellen, sind Sie auf dem besten Weg, das Problem zu verstehen. Entweder sind die Ports verbunden und können frei miteinander übertragen, oder sie sind nicht verbunden und können sich nicht sehen. es gibt keine halben Sachen.

Sie brauchen wirklich Subnetze und Routing. Wenn Sie Computer in verschiedenen Vlans im selben Subnetz unterbringen, können sie nicht miteinander kommunizieren oder diese finden. Selbst wenn Sie einen Router haben, können die Computer nicht mit ihm sprechen, wenn sie versuchen, andere Computer zu erreichen. In den meisten Fällen können sie ihn auch nicht sehen.

Ein nicht getaggter Port kann als Port mit einem "Standard" -Tag betrachtet werden. Wenn Sie einen Port mit mehreren Tags haben, werden die Daten in getaggten Paketen übertragen, sodass der Router wissen muss, wie die Tags für die zu interpretierenden Daten entfernt werden. Dies erfolgt in der Regel über eine separate IP-Adresse pro VLAN auf dem Router, wobei jede Adresse im zugeordneten Subnetz vom VLAN verwendet wird.

(Ich stelle fest, dass ich die Dinge ein wenig vereinfacht habe und ein Experte in einigen Fällen möglicherweise in der Lage ist, einige der oben genannten Regeln zu brechen - aber Sie müssen das alles wirklich verstehen und wissen, wie es zusammenpasst, bevor Sie dies tun können - und die Regeln brechen ist im Allgemeinen auch kein gutes Design.

Während in der Praxis VLANS Sicherheit bieten, ist die Verwendung von VLANS als Sicherheitsmaßnahme für einige Experten ein wenig umstritten.

— Davidgo
quelle

Davidgo, Sie erwähnen, dass es alles oder nichts ist (keine halben Sachen), aber ich denke, das ist genau das, was ich will. Ich möchte nicht, dass die VLANs 20, 30 oder 40 miteinander kommunizieren können. Ich möchte nur allen einen Internetzugang bieten. Dies funktioniert bei meiner Konfiguration wie beschrieben, scheint jedoch gegen einige bewährte Methoden zu verstoßen, sodass ich befürchte, dass es einige versteckte Fallstricke gibt.

— Juhraffe

@juhraffe, das ist eine anständige Antwort. Die einzige andere Möglichkeit wäre ein Router mit mehreren konfigurierbaren physischen Schnittstellen. Oder gehen Sie einfach die ol pfsense / opensense Route. Ein Router mit ACLs gibt Ihnen in beiden Fällen eine viel bessere Kontrolle über jedes Netzwerk

— Tim_Stewart

@juhraffe - Ich bin skeptisch, dass Sie dies mit einem halben Maß tun können, und ich bin sehr skeptisch, dass Ihre VLANs korrekt eingerichtet sind, wenn dies in Ihrem Setup funktioniert "Wie Sie glauben, geschieht dies über Ihre VLANS. Wenn Sie etwas irgendwie verdorben haben (wenn es funktioniert und kein Zufall, würden Sie hier keine Frage stellen), und es wird zurückkommen und Sie / wer auch immer hart nach Ihnen kommt, beißen. Sie wollen wirklich, wirklich keine halben Sachen machen, um diese Ziele zu erreichen.

— Davidgo

@ Tim und Davidgo, ich stimme zu, dass Davidgos Lösung eine gute ist. Die Verwendung eines VLAN-fähigen Routers bietet nicht nur die gewünschten Funktionen, sondern auch die Möglichkeit, den Datenverkehr zwischen VLANs zu filtern. Ich versuche jedoch immer noch herauszufinden, wo meine vorgeschlagene Lösung versagt. Meine eingeschränkten Tests zeigen, dass jeder Zugang zum Internet hat und niemand VLANs ansteuern kann. Gibt es einen einfachen Test, der bestätigt, dass die VLANs nicht isoliert sind?

— Juhraffe

@Tim, mit nmap aus den VLANs 20, 30 und 40 Ich sehe den Router und die Maschine (n) im selben VLAN, aber nicht die Maschinen in den anderen VLANs. Ich sehe jedoch auch Maschinen, die über WLAN direkt mit dem Router verbunden sind. Das bricht definitiv meine Isolationsziele. Es scheint jedoch, als könnte ich das beheben, indem ich das WLAN des Routers deaktiviere und APs mit dem Switch in VLAN 30 verbinde. Ich bin immer noch nicht davon überzeugt, dass es keine Möglichkeit gibt, VLANs zu kreuzen, aber die nmap-Scans, die ich sehe entsprechen den gewünschten VLAN-Isolationszielen.

— Juhraffe

Sie benötigen mehr Ausrüstung. Wenn der Router nicht in der Lage ist, mehr als ein VLAN in Ihrem Netzwerk zu haben, können nicht alle VLANs auf das Internet zugreifen, sondern nur eines von ihnen (das eine) VLAN, in das der Router eingesteckt ist).

— Abu Zaid
quelle

Abu Zaid, was Sie sagen, ist wahr, wenn ich VLAN 10 eliminiere und den Router an eines von VLAN 20, 30 oder 40 anschließe. Da VLAN 10 jedoch alle Ports überspannt, kann ich gleichzeitig von VLAN 20, 30 auf das Internet zugreifen und 40, wenn ich den Router in VLAN 10

— stecke

Es konnte nur einer von beiden sein. Wenn Sie von allen VLANs aus auf das Internet zugreifen können, sind sie überhaupt nicht isoliert. Ich gehe davon aus, dass Sie nur eine Verbindung vom Router zurück zum Switch haben, sodass der Router in Ihrem Fall nur Teil eines VLAN sein kann. 10.

— Abu Zaid

Es gibt nur eine Verbindung zum Router über Port 1 (VLANs 10, 20, 30 und 40), und ich befürchte, Sie haben Recht mit der fehlenden Isolation. Können Sie mir helfen, zu sehen, wie die VLANs nicht isoliert sind? Ping-Anfragen und HTTP-Anfragen über VLANs hinweg schlagen jetzt fehl. Gibt es eine anderen einfachen Test, der zeigen würde, zum Beispiel, dass eine Maschine auf Port 3 (VLANs 10 und 30) ist von dem Server auf Port erreichbar 2 (VLANs 10 und 20)?

— Juhraffe

Wenn Sie den Router von jedem VLAN aus anpingen können, sind sie nicht isoliert. Jetzt bin ich mir nicht sicher, was Sie meinen, wenn Sie "Port 3 (VLANs 10 und 30)" sagen. Gehört der Port zu VLAN 10 oder VLAN 30?

— Abu Zaid,

VLAN 10 umfasst die Ports 1 bis 47 und VLAN 30 umfasst die Ports 3 bis 46, sodass Port 3 sowohl Mitglied von VLAN 10 als auch von VLAN 30 ist. Die pvid auf Port 3 ist auf 30 festgelegt wird an VLAN 30 gesendet, das den Router erreicht (der sich an Port 1 befindet und ebenfalls Mitglied von VLAN 30 ist). Die Antworten des Routers gehen an Port 1 mit der Pvid 10 ein und können an Port 3, der ebenfalls Mitglied von VLAN 10 ist, an den Anforderer zurückgesandt werden.

— Uhraffe