Neuaufbau Heimnetzwerk - Bitte um Tipps beim Aufteilung/HW-Kauf

eehm schrieb:
Wenn die Kamera 1 im Subnetz wäre und man davon ausgeht, dass die Ports von außen zugänglich sind, dann würde das heißen, dass man einfach vom Subnetz ins Hauptnetz kommt.
Nein.
Alle Geräte an Router 2 bekommen IPs aus dem Subnetz und können deshalb erstmal nur untereinander kommunizieren.
Das Hauptnetz ist das "böse" Netz am WAN Anschluss von Router 2. Dorthin sind in Standardkonfiguration in der Regel nur ausgehende Verbindungen erlaubt.
Zusätzlich ist dazwischen noch die Firewall von Router 2. Mit der Du je nach Modell noch die Kommunikation noch weiter reglementieren kannst.
Willst Du aus dem Hauptnetz ein Gerät im Subnetz erreichen, musst Du eine statische Router dorthin öffnen.
 
  • Gefällt mir
Reaktionen: hildefeuer
Die Sache ist die: Es gibt keine 100%ige Sicherheit, egal wie man es macht. Kameras schrecken so oder so nur Gelegenheitsdiebe/-einbrecher ab und denen reicht das bloße Vorhandensein der Kameras.

Jene, die das nicht abschreckt, teilen sich in zwei Gruppen auf: Die Gruppe mit dem Motto "Egal, rein, mitnehmen und schnell wieder raus" und die Gruppe der tatsächlich versierten Einbrecher. Bei ersteren sind sämtliche Sicherheitsmaßnahmen hinfällig, weil sie einfach komplett vermummt die Scheibe einschlagen und nach <2 Minuten wieder weg sind. Letztere haben wiederum ein bestimmtes Ziel und genug Kenntnisse, um diverse Sicherheitsmaßnahmen zu umgehen. MAC-Spoofing ist da noch die leichteste Übung, wenn sie sich überhaupt mit digitalen Hürden an den Kameras auseinandersetzen.

Es ist fraglich ob Sicherheit auf Firmenniveau gerechtfertigt ist, ob man diese mit den zur Verfügung stehenden Mitteln (Hardware, Software und KnowHow) gewährleisten kann und ob es realistisch ist, dass tatsächlich entsprechend versierte Einbrecher auftauchen. Solche verüben nämlich tendenziell keine Gelegenheitseinbrüche und im Zweifelsfalle haben sie auch mehr Kenntnisse und/oder entsprechende Tools als jemand, der sich die Schutzmaßnahmen ergoogelt oder erforumt (?) hat ;)


Ich will damit ganz bestimmt nicht sagen, dass man sich keine Gedanken darüber machen sollte, aber man darf eben auch nicht dem Irrtum erliegen, dass man nicht trotzdem eines Tages nach Hause kommt, die Terassentür in Scherben daliegt und die Schmuckschatulle im Schlafzimmer ausgeräumt wurde - und auf den Bildern der Kameras sieht man 2 Gestalten in Hoodies und Guy Fawkes Masken, wenn nicht gar das ganze NAS mit den Aufnahmen geklaut wurde.... Letzteres könnte man natürlich mit einem Upload in eine Cloud umgehen, aber dann sind wir wieder bei 2 gesichtslosen Gestalten.
 
  • Gefällt mir
Reaktionen: ulrich_v
bender_ schrieb:
Das Hauptnetz ist das "böse" Netz am WAN Anschluss von Router 2. Dorthin sind in Standardkonfiguration in der Regel nur ausgehende Verbindungen erlaubt.
Ja und genau das ist ja eigentlich meiner Meinung nach das Problem.
Da ausgehende Verbindungen erlaubt sind komme ich einfach vom Subnetz ins Hauptnetz und komme auf die anderen Geräte wie z.B. die Fritzbox. Der Router des Hauptnetzes routet die Anfrage ja logischerweise, weil er sie als "gut" einstuft, da sie am LAN-Port eingeht und somit ist man auch schon im anderen Subnetz.
Die von mir gestern ausgeführten Tests bestätigen dies.
Außer eine OPNsense mit aktiven NAT verhält sich wirklich anders als eine Fritzbox oder ähnliches.
Glaube ich allerdings fast nicht, weil NAT eben NAT ist und heißt: "Alles darf raus und nichts darf rein"
Und der Test von der anderen Seite her war negativ. Hier kommt man nicht in das andere Netz. Heißt die NAT-Firewall der Sense scheint ihren Dienst zu tun.

Raijin schrieb:
Ich will damit ganz bestimmt nicht sagen, dass man sich keine Gedanken darüber machen sollte, aber man darf eben auch nicht dem Irrtum erliegen, dass man nicht trotzdem eines Tages nach Hause kommt, die Terassentür in Scherben daliegt und die Schmuckschatulle im Schlafzimmer ausgeräumt wurde - und auf den Bildern der Kameras sieht man 2 Gestalten in Hoodies und Guy Fawkes Masken, wenn nicht gar das ganze NAS mit den Aufnahmen geklaut wurde.... Letzteres könnte man natürlich mit einem Upload in eine Cloud umgehen, aber dann sind wir wieder bei 2 gesichtslosen Gestalten.
Das stimmt natürlich.
Am Ende werden es wohl Türen und Fenster sein die aufgebrochen werden und nicht der Einbruch ins Netzwerk.
Wohlgemerkt in Privathäusern. Da hast du vollkommen recht!
 
eehm schrieb:
Da ausgehende Verbindungen erlaubt sind komme ich einfach vom Subnetz ins Hauptnetz und komme auf die anderen Geräte wie z.B. die Fritzbox.
Wohin kommst Du denn?
Du bist doch dann weder Teil des Hauptnetzes noch werden Daten Abseits von Standardports ins Subnetz geroutet.
Man erreicht die GUI der Fritze - die erreicht man unter Umständen auch aus dem Internet. Das birgt per se nur dann ein erhöhtes Sicherheitsrisiko, wenn der Login schwach gesichert ist.
 
bender_ schrieb:
Wohin kommst Du denn?
Auf jedes Gerät das nicht im Gastnetz der Fritz Box ist.
Und klar sind die Geräte wie die Fritzbox, NAS, usw. durch ein Passwort gesichert, aber ich finde die Möglichkeit des Zugriffs äußerst unschön um es sehr wohlwollend auszudrücken. :)
Aber wie ihr gesagt habt, am Ende muss man selbst dafür gerade stehen was man macht und es davor testen.
Mein Test ergibt somit, dass das für mich keine Lösung sein kann!
Und ich möchte damit auch andere Mitleser hier darauf hinweisen, dass sie für sich selbst bewerten, ob solch ein Lösung für sie eine gute sein könnte!
 
eehm schrieb:
finde die Möglichkeit des Zugriffs äußerst unschön um es sehr wohlwollend auszudrücken
Der beschränkt sich wie gesagt auf Standardports die halt immer offen sind, damit WWW wie vom Anwender gewohnt funktioniert. Der empfohlene ASUS würde das ja auch noch unterdrücken. Ich hatte bei der Empfehlung in #27 bereits darauf hingewiesen.
bender_ schrieb:
Du würdest jetzt alle LAN-zu-WAN Verbindungen blockieren und nur die IP Adressen der Kameras und deren benötigte Ports durchlassen.

Je nach dem, für welches Gerät Du dich entscheidest sieht die Konfiguration ein wenig anders aus. Bei manchen ist es nicht möglich, das Routing von Port 80/443 ins WAN zu unterbinden, was aber immer noch einen reichlich kleinen Angriffsvektor darstellt. Das Prinzip ist aber immer das selbe.

Willst Du das auch noch unterbinden, kannst Du auch mit 2 stinknormalen Routern arbeiten: https://www.computerbase.de/forum/threads/wlan-router-mit-multi-lan.2073841/post-26661087
 
Zuletzt bearbeitet:
  • Gefällt mir
Reaktionen: Raijin
Zurück
Oben