Sicheres Heimnetzwerk einrichten?

[Katrin2001]

Hallöchen,

ich würd gerne mein Heimnetzwerk absichern. Nur wie mach ich das am Besten?

Hier erstmal die Situation zuhause (2x PC, 1x Router):

- Im Flur hängt die Vodafone-EasyBox 804 am DSL-Anschluß
- Im Arbeitszimmer steht ein großer Rechner mit Windows 7, der für alles Mögliche verwendet wird (Surfen, Arbeiten, Spielen, Homebanking etc). Ein LAN-Kabel führt zum Router
- Im Wohnzimmer steht ein kleiner Windows7-PC zum Abspielen von Musik und Filmen, der über WLAN verbunden ist

Jetzt soll das Heimnetzwerk sicherer werden, damit nicht so leicht Daten gestohlen werden können.

- auf den großen Wohnzimmer-PC kommt Windows Server 2012 R2 mit Rolle Terminalserver.
- darauf ein virtualisiertes Windows 10 zum Spielen und Surfen, das bei Virenbefall schnell neu aufgesezt wird
- der Terminalserver zum Arbeiten, auch vom Wohnzimmer-PC aus

- der Wohnzimmer-PC bleibt über WLAN angebunden
- zum Arbeiten wird wie gesagt eine RDP-Sitzung am Server aufgebaut

- der Wohnzimmer-PC kommt in ein getrenntes VLAN zur Sicherheit
- Handys bekommen ein eigenes VLAN

Kann man die Sicherheit noch weiter verbessern oder stimmt das so?
Machen die VLANs Sinn oder erfüllen Subnetze die gleiche Funktion?
Brauche ich noch weitere Hardware? Einen TP-Link-Router wäre noch da.

Freue mich auf Feedback von Euch!

 

[ZeroCool12]

wenn da kein VLAN fähiger Switch irgendwo dazwischen geschalten wird kannst die VLANs schon mal vergessen. Dir ist aber bewusst, dass du wenn du einen Terminalserver betreiben willst auch User- oder Gerätelizenzen für den Terminalserver brauchst. Ohne Lizenzen läuft da nix auf dem Terminalserver, du kannst zwar die Rolle installieren, dass bringt dir aber nix.

Wie willst das "virtuelle Windows 10" auf den Terminalserver bringen? Das funktioniert auch nicht.

Die Handys bekommst in kein VLAN weil die Easybox keine VLANs kann. Schon gar nicht per WLAN.

 

[Wilhelm14]

Jetzt soll das Heimnetzwerk sicherer werden, damit nicht so leicht Daten gestohlen werden können.

Wenn jemand Zugang zum Haus hat, kann er die Daten direkt stehlen, egal ob Windows Server, Terminal, RDP, VM, VLAN. Ich wüsste nicht, was das bringen sollte. Was versprichst du dir davon konkret? Von außen aus dem Internet schirmt der Router ab, das sollte Windows Server, Terminal, RDP, VM, VLAN nicht die Sicherheit erhöhen. Falls du von einem Malware-Befall eines Rechners im Heimnetz ausgehst, welche die anderen Rechner ausraubt, würde ich eher auf sauber installierte und mit Updates versorgte Rechner samt Virenscanner setzen. Je komplizierter und gestelzter man etwas einrichtet, desto eher können sich Konfigurationsfehler einschleichen, die man nicht erkennt.

 

[TheNam3less]

Bietet Du irgendwelche Services im Internet (selbst gehostete Webseiten, Gameserver, ...) an oder warum willst Du mehr Aufwand in diese Richtung betreiben?
Ich lasse mich gern eines Besseren belehren. Aber solange ein Zugang von außen nicht ohne weiteres möglich ist, wird Dich jede Maßnahme möglicherweise mehr einschränken als sie von Nutzen ist.

 

[Raijin]

Sehe ich auch so. Maximal ein Gast-WLAN kann sinnvoll sein, wenn man oft Besuch hat und die sich mit ihrem Smartphone einloggen. Dann kann man das Gast-WLAN auf internet only beschränken und der Besuch kann zB nicht ins NAS schauen (wofür er eh einen Login bräuchte - hoffentlich).

Irgendwie kommt es mir so vor als wenn irgendwas vorgefallen ist und du willst jetzt panisch auf Nummer sicher gehen. Blind das eigene Netzwerk in VLANs teilen, mit Firewall und allem drum und dran, bringt rein gar nichts, wenn man kein konkretes Anwendungsszenario hat. Eine geteilte Internetleitung mit einem Untermieter oder der Nachbarwohnung (zB Bruder/Schwester nebenan) wäre solch ein Szenario. Aber Terminalserver als Sicherheitsfeature?

Subnetze und VLANs sind übrigens zwei Paar Schuhe. Wenn du zB auf derselben Infrastruktur - also denselben Kabeln/Switches - einfach nur zwei Subnetze laufen lässt, dann hat das mit Sicherheit nichts zu tun. Jeder, der an dem Switch hängt kann binnen Sekunden seine IP ändern und ist im anderen Subnetz unterwegs. Zudem kann es ohne Router, der mit mehreren Subnetzen umgehen kann, problematisch werden. Consumer-Geräte wie Easyboxxen und Co können sowas in der Regel nicht, weil sie nur für 1x WAN + 1x LAN konzipiert sind.

VLANs hingegen laufen zwar auch auf derselben Infrastruktur, aber sie sind datentechnisch gegeneinander isoliert. Hängt man an einem VLAN-fähigen Switch zB an Port 4, der für VLAN1 konfiguriert ist, geht da keinerlei Traffic für VLAN2 durch, ein IP-Wechsel bringt also rein gar nichts - außer, dass der PC dann kein Gerät in seinem VLAN1 mehr sehen könne


Beschreib uns also erstmal genau was dein Sicherheitsgedanke ist. Wieso, weshalb, warum.. Was ist dein Ziel? Wen willst du vor wem schützen? "Sicherheit erhöhen" ist nicht wirklich hilfreich. Du kannst ja alle Switches in Stahlkisten mit Vorhängeschloß packen, das ist .. .. mechanische Sicherheit...

*edit
Möchtest du zB einen Server, der Dienste im Internet bereitstellt, absichern, dann kannst du ihn in eine DMZ packen. Mit einer Easybox kommst du dann aber nicht weit. Bei einer DMZ wird dann vom Router der Traffic zwischen Internet und DMZ, Internet und LAN bzw. DMZ und LAN reglementiert, um zB einen gekaperten Server in der DMZ zu isolieren und nicht das komplette LAN zu kompromittieren.

 

[Katrin2001]

Hey,

danke für das Feedback

wenn da kein VLAN fähiger Switch irgendwo dazwischen geschalten wird kannst die VLANs schon mal vergessen. Dir ist aber bewusst, dass du wenn du einen Terminalserver betreiben willst auch User- oder Gerätelizenzen für den Terminalserver brauchst. Ohne Lizenzen läuft da nix auf dem Terminalserver, du kannst zwar die Rolle installieren, dass bringt dir aber nix.

Ein kleiner VLAN-Switch wäre kein Problem, die kosten nicht mehr viel.

Wie willst das "virtuelle Windows 10" auf den Terminalserver bringen? Das funktioniert auch nicht.

Wieso? Die virtuelle Maschine wird ganz normal installiert und in der RDP-Sitzung gestartet?

Die Handys bekommst in kein VLAN weil die Easybox keine VLANs kann. Schon gar nicht per WLAN.

Echt? Handys werden zunehmend zu einer Bedrohung. Welches Sicherheitskonzept wäre die Antwort?

@ Wilhelm
Auf Updates und Virenscanner alleine möchte ich mich nicht verlassen - das ist ja quasi Standard und somit "nichts"
Was im Unternehmensumfeld Sinn macht kann auf einer kleinen Skala ja nicht verkehrt sein. Und ich geh einfach mal davon aus, daß das Heimnetzwerk optimal konfiguriert ist ^^

Bietet Du irgendwelche Services im Internet (selbst gehostete Webseiten, Gameserver, ...) an oder warum willst Du mehr Aufwand in diese Richtung betreiben?

Nein, aber wenn das Netzwerk erstmal steht spricht eigentlich nichts dagegen einen Mail- und Fileserver aufzusetzen.

Ich lasse mich gern eines Besseren belehren. Aber solange ein Zugang von außen nicht ohne weiteres möglich ist, wird Dich jede Maßnahme möglicherweise mehr einschränken als sie von Nutzen ist.

Da lasse ich mich auch gerne Belehren ^^

Sehe ich auch so. Maximal ein Gast-WLAN kann sinnvoll sein, wenn man oft Besuch hat und die sich mit ihrem Smartphone einloggen. Dann kann man das Gast-WLAN auf internet only beschränken und der Besuch kann zB nicht ins NAS schauen (wofür er eh einen Login bräuchte - hoffentlich).

Das Gast-Wlan ist eine gute Idee und werd ich übernehmen
Für unsere Handys wäre eine größere Sicherheit wünshenswert. Wie oben schon geschrieben, was sind denn da die gängigen Lösungen?

Beschreib uns also erstmal genau was dein Sicherheitsgedanke ist. Wieso, weshalb, warum.. Was ist dein Ziel? Wen willst du vor wem schützen? "Sicherheit erhöhen" ist nicht wirklich hilfreich. Du kannst ja alle Switches in Stahlkisten mit Vorhängeschloß packen, das ist .. .. mechanische Sicherheit...

Eigentlich möchte ich es einem Angreifer nur schwer machen an meine Daten zu kommen
Kerngedanke ist ein Offline-PC, der als Hinterfrau aus einem gesicherten Intranet heraus andere Maschinen ins Internet schickt.
Vielleicht kann man das auch einfacher realisieren?

Mal angenommen, auf einem Host wird Server 2012 installiert, darauf nochmal Server 2012 als Guest und auf diesem Guest nochmal ein Win10-Guest. Auf welchem Operating-System sind die Daten denn am schwierigsten zu erreichen?

 

[TheNam3less]

Nein, aber wenn das Netzwerk erstmal steht spricht eigentlich nichts dagegen einen Mail- und Fileserver aufzusetzen.

Sollen diese Server von nur außen oder nur von innen erreichbar sein? Oder beides? Wenn die Server von außen erreichbar sein sollen, bietet sich tatsächlich eine DMZ an. Schau mal hier: Klick
Gut, der Artikel ist nicht allzu üppig, aber er gibt einen Einstieg. Das Entkoppeln von extern erreichbaren Rechnern ist aber eine IMO sinnvolle Maßnahme. Wie es dann aber mit der Erreichbarkeit von innen aussieht - ich weiß nicht, das wird bestimmt einige Arbeit bei der Feinabstimmung des Routings in Anspruch nehmen.

Für unsere Handys wäre eine größere Sicherheit wünshenswert. Wie oben schon geschrieben, was sind denn da die gängigen Lösungen?

Hier ist auch wieder die Frage, was die Handys im Netz machen sollen. Nur Internetzugriff? Dann das Routing für das Handy-Gastnetz so einrichten, dass ein Zugriff auf das interne Netzwerk nicht möglich ist, jedoch der Zugriff auf das Internet.
Je nachdem, welcher Aufwand betrieben werden kann, kann man auch über den Einsatz über IDS / IPS nachdenken. Hier schmeiße ich auch nur die Begriffe ein.

Eigentlich möchte ich es einem Angreifer nur schwer machen an meine Daten zu kommen

Welche Daten? Die Daten, die auf dem PC / Server liegen? Daten, die Du quasi beim Surfen erzeugst? Außerdem denke ich nicht, dass "geschachtelte" VMs allein ein Plus an "Sicherheit" bringt, welche Sicherheit das auch sein soll.

Meine Ausführungen sind zugegebenermaßen nicht sehr konkret. Die Fragestellung ist hier doch sehr offen, von daher

 

[Raijin]

Sorry, ich komme bei dir nicht mehr mit. Du hast einen Drang, die Sicherheit zu erhöhen, weißt aber irgendwie gar nicht genau was das heißt oder kannst es zumindest nicht näher beschreiben.

Sobald ein Angreifer lokal in deinem Netzwerk ist - Einbrecher mit Laptop - kann er beliebig viel Unsinn treiben, egal was du machst. Da hilft dann maximal die Verschlüsselung sämtlicher Daten auf den Festplatten und natürlich starke Logins.

Wenn ein Angreifer von außen kommt, also über das Internet, ist der Router die erste Hürde. Ist dort keine Portweiterleitung in dein Netzwerk konfiguriert, blockt der Router alles ab was von außen kommt. Solltest du an dieser Stelle einem Consumer-Router wie Easybox und Co nicht über den Weg trauen (Stichwort: Sicherheitslücken und Backdoors), dann musst du dir eben einen (semi)professionellen Router anschaffen wie zB einen MikroTik oder EdgeRouter. Allerdings brauchst du dafür KnowHow, sonst baust du noch mehr Lücken ein als im Consumer-Zeug..

Wild irgendwelche Terminalserver mit VMs, in denen VMs laufen, zu installieren, halte ich mit Verlaub für kompletten Unsinn. Auch eine VM in einer VM kann dir nicht helfen, wenn diese VM Internetzugang hat und sich nen Virus einfängt. Es ist ja nicht so, dass man einen Virus in einer VM schneller bemerkt als auf dem Hostsystem... Das klingt alles ein wenig paranoid

Machst du dir solche Sorgen um deine Daten, dann lagere sie offline in einem Bankschließfach - am besten aber auf einem Festspeicher mit langer Haltbarkeit, also keine HDD/SDD/CD/DVD/BD ......


Je komplizierter du dein Netzwerk gestaltest, umso komplizierter wird auch die Wartung. Sicherheit wie "NAS aus dem WLAN nicht erreichbar" ist zwar nicht per Definition schlecht, aber was wenn du dann doch mal via WLAN ran musst? Sicherheit und Komfort entlaufen entgegengesetzt. Jedes Fünkchen Sicherheit kostet etwas Komfort.

 

[Katrin2001]

@TheNam3less
Das Thema DMZ werde ich mal vertiefen, danke für den Link!
Mit Daten sind einfach alle Festplattendaten gemeint, Texte, Dokumente, etc.

@ Rajin
Sorry wenn ich es geschafft habe dich zu verwirren :3
Es gibt ja einige Wege Angreifer "reinzulassen" zB Mailanhänge, ActiveX, Phishing, Skripte, getarnte .exe usw - ich kenn sie nicht alle
Mir gehts eigentlich darum ein Operating-System vorzuschieben, auf dem keine brisanten Daten liegen. Die brisanten Daten (Dokumente) liegen entfernt auf einem anderen nutzbaren System. Wenn sich ein Angreifer Lese- und Schreib-Zugang zu einer virtuellen Maschine verschafft hat, dann ist nur dieses System kompromitiert und er kann aus diesem nicht auf den Host oder andere Maschinen ausbrechen - so der Gedanke. Ist der fehlgeleitet?

Für mehr Sicherheit würde ich auf ein erträgliches Maß an Komfort verzichten können - die Daten wären es mir Wert.
Wie gesagt, mir schwebt ein PC ohne Internet-Zugang vor, der aber über andere Maschinen eine Internetverbindung herstellt.
Vielen Dank nochmal an das großartige Feedback!

 

[iSight2TheBlind]

Wichtigster Punkt: Verwendest du für Onlinedienste einzigartige Passwörter?
Wo sich jetzt alle naselang große Firmen wie LinkedIn und Yahoo ihre Datenbanken klauen lassen ist es viel wahrscheinlicher das Kriminelle auf dem Weg mehrfach verwendeter Passwörter in dein Mailpostfach oder Facebook kommen als dass sie die Passwörter von deinem eigenen PC klauen.

 

[Raijin]

Das heißt du willst jeden PC nur per VM bedienen, um die Daten im Hostsystem zu "schützen"? Aber irgendwann wirst du ja aus der VM oder dem Host auch mal mit dem Internet und/oder deinem NAS/Server verbinden und das reicht im Falle eines Virusbefalls schon aus... VMs sind kein (permanenter) Schutz vor Viren.