Wie Client isolieren?

[bart1983]

Hallo,

ich möchte einen Client im Netzwerk isolieren, so das er nur Zugriff auf das Internet hat, aber sonst keinen Zugriff auf andere Netzwerkgeräte.

Normalerweise würde ich das über den Gastzugang (LAN4 bei der Fritzbox) realisieren, leider funktioniert dann aber die PortFreigabe von der Fritzbox auf diesen Client nicht mehr.
Der Client muss nämlich auch VOM Internet aus erreichbar sein und nicht nur das Internet erreichen.

Wie könnte man das realisieren?
Ich habe einen kleinen smart switch mit VLAN-Funktionialität. Hat mir aber auch wenig gebracht, weil ich - damit der Client Internetzugriff hat - den Zuleitungsport der Fritzbox habe in das gleiche VLAN hängen müssen, damit der Client auch Internet hat. Damit waren dann alle anderen Geräte im Netzwerk wieder von dem zu Isolierenden mit "nmap" auffindbar. :\

Jemand einen Tipp?

 

[conf_t]

https://www.heise.de/ratgeber/DMZ-selbst-gebaut-221656.html

 

[Wilhelm14]

Hier mit Bildern, eine Router-Kaskade:
http://heise.de/-1825801

 

[Raijin]

Standardmäßig wird das lokale Netzwerk und alle darin enthaltenen Teilnehmer als vertrauenswürdig eingestuft. Du kannst einen einzelnen Client innerhalb desselben Netzwerks daher nicht so isolieren wie du dir das vorstellst.

Hat man ein potentiell gefährliches Gerät im selben Netzwerk, muss das ganze Netzwerk als potentiell gefährlich eingestuft werden - so wie es zB in einem öffentlichen Netzwerk wie im Hotel-WLAN wäre. Dann gelten aber alle Teilnehmer des Netzwerks als mögliche Gefahr und man stellt zB bei Windows die Firewall auf "öffentlich", was aber natürlich nicht bei allen Geräten möglich ist (zB TV, o.ä.).

Auch die entsprechende Konfiguration der ausgehenden Firewall auf dem fraglichen Gerät ist nicht zielführend, da dein Grundgedanke wohl die feindliche Übernahme von außen ist und sobald ein Angreifer Zugang zu dem System hat, kann er die Firewall außer Kraft setzen.

Bleibt also nur die physische Trennung des gefährdeten Geräts. Das Konzept der DMZ wurde ja bereits verlinkt. Abgesehen davon habe ich in anderen Threads davon gelesen, dass AVM wohl auch Portweiterleitungen in das Gastnetzwerk zulässt. Prinzipiell würde mich das wundern, aber ich kann es nicht widerlegen, weil ich keine Fritzboxxen besitze oder je besessen habe. Du kannst es aber einfach ausprobieren. Gerät ins Gastnetzwerk hängen, IP mittels "ipconfig /all" (Windows) oder zB "ifconfig" (Linux) ermitteln und in der Fritzbox eine Portweiterleitung auf diese IP einrichten. Wenn's klappt, hat sich das Thema erledigt, weil die Gastfunktion für die Trennung vom Hauptnetzwerk sorgt.

 

[norKoeri]

Jemand einen Tipp?

Oder Du gibst Geld aus und nimmst/bastelst Dir einen Internet-Router mit mehreren Zonen. Zum Beispiel

a) einen TP-Link Omada ER605, Lancom 1784VA oder DrayTek Vigor für keine 50 € gebraucht,​

b) einen Router von der Stange und dann OpenWrt installieren oder​

c) einen Computer mit OPNsense.​

Die FRITZ!Box nimmst Du dann für nur noch für WLAN und Telefonie. Allein beim Medien-Zugang müssten wir schauen, also hast Du Fiber, Cable oder DSL? Falls DSL, mehr als DSL 100? Siehe hier …

 

[bart1983]

Danke für Euren ganzen Input.
Ich habe es befürchtet das ich doch ein zweites abgetrenntes Netz (mit einem weiteren Router) brauche.
Ist dann doch einiges an Umbau notwendig...

Wunder mich: Es muss doch auch irgendwie mit VLANs (802.1q) funktionieren. Kenne mich damit aber leider nur zu wenig aus.

@Raijin
Eine Portweiterleitung in das Gastnetz (in meinem Fall auf die IP 192.168.179.3) habe ich gestern probiert, leider ging das nicht, weil dann die Fehlermeldung kam "Für eine Weiterleitung muss das Gerät im Heimnetz sein" (FritzOS 7.50)

Schade, dass das AVM blockiert. Wäre recht easy gewesen.

@norKoeri
OPNsense klingt nach einer guten Idee. Einen Raspi hätte ich dafür sogar noch rumliegen. lese mich da die Tage ein.

 

[norKoeri]

Es muss doch auch irgendwie

Die FRITZ!Box bietet (bisher) nur zwei Netzsegmente. Du brauchst drei.

 

[conf_t]

Wunder mich: Es muss doch auch irgendwie mit VLANs (802.1q) funktionieren. Kenne mich damit aber leider nur zu wenig aus.

VLAN alleine reicht nicht aus, du brauchst dann auch etwas, was die VLANs trennt und gewünschten Traffic durchlässt. Üblicherweise eine Firewall. Ohne Firewall sind das einfach nur getrennte Broadcastdomänen, mehr nicht.

 

[bart1983]

Die FRITZ!Box bietet (bisher) nur zwei Netzsegmente. Du brauchst drei.

Dass das mit der FB nicht geht, ist mir klar. Habe aber auch noch einen kleinen Smart-Switch mti rudimentären VLAN Funktionen.

 

[conf_t]

Wie gesagt. Alleine nutzt das nix. VLAN ist einer von vielen Bestandteilen von Netztrennung, aber nicht der einzige und funktioniert alleine nicht so wie du es dir denkst. Ohne eine Layer3 Trennung ist VLAN für seine. Zweck für die Füße.

 

[Wilhelm14]

Hallo. Ich frage mal wieder quer rein. Wenn man bei einer Fritzbox den LAN4 auf Gastnetz stellt, ist dass "nur" VLAN oder wird LAN4 dann zum "echten" DMZ Port? Kann ich das mit nmap testen? "Problem" bei AVM ist nur die mangelnde Portweiterleitung?

Edit: Oder wie könnte man am besten einen Firmen-Laptop zu Hause betreiben?

 

[conf_t]

nur" VLAN oder wird LAN4 dann zum "echten" DMZ Port

Weder noch.
Am Port 4 kommt dann ein eigenes, getrenntes IP Netz. Ohne VLAN, ohne DMZ. Die FB kann keine DMZ. Man kann das GastLAN dann an einen VLAN Switch hängen und dort einer anderen VLAN-ID zuordnen und somit das GastLAN als VLAN.

 

[bart1983]

Edit: Oder wie könnte man am besten einen Firmen-Laptop zu Hause betreiben?

Die Gästezugänge (Egal ob Lan oder WLAN) bei der Fritzbox haben ein eigenes Netz
Das "normale" Fritz-Heimnetz hat by default 192.168.178.0/24, das Gästenetz ist 192.168.179.0

Heißt zwischen Gäste und "normale" Clients ist eine Trennung vorhanden und somit sicher.
Als ich homeoffice hatte habe ich den Laptop einfach per Gäste-WLAN verbunden und dann via VPN ins Firmennetz eingewählt.

 

[Raijin]

Eine Portweiterleitung in das Gastnetz (in meinem Fall auf die IP 192.168.179.3) habe ich gestern probiert, leider ging das nicht, weil dann die Fehlermeldung kam "Für eine Weiterleitung muss das Gerät im Heimnetz sein" (FritzOS 7.50)

Das ist schade, hätte mich aber sowieso gewundert, wenn das funktioniert hätte. Aber wie gesagt, ich habe hier sporadisch gelesen, dass das angeblich gehen sollte.



Fangen wir vielleicht mal ganz von vorne an: Was genau ist das denn für ein Gerät, dem du nicht traust, welches du aber aus dem Internet erreichbar machen willst? Eventuell gibt es ja eine ganz andere, sinnvollere Lösung.

 

[bart1983]

Fangen wir vielleicht mal ganz von vorne an: Was genau ist das denn für ein Gerät, dem du nicht traust, welches du aber aus dem Internet erreichbar machen willst? Eventuell gibt es ja eine ganz andere, sinnvollere Lösung.

Dabei handelt es sich um einen Cloud- und Webserver. Mir fehlt die Phantasie, wie ich diese anders als oben beschrieben sicher ins Netz stellen kann.

Ich habe noch eine ungenutzte Fritzbox 6490cable hier rumliegen, ich werde mit der versuchen die oben erwähnte 2 netzlösung zu bauen

 

[phylanx]

Hi, ich stehe vor einem ähnlichen Problem. @bart1983 hast du dein Projekt umgesetzt und wenn ja, was ist dein Set-up?

 

[norKoeri]

@phylanx willst Du wie @bart1983 ebenfalls einen Internet-Server in Dein Heimnetz setzen? Welchen Internet-Anbieter nutzt Du? Manche Internet-Anbieter erlauben die Mehrfach-Einwahl, das bedeutet, Du könntest mittels PPPoE-Passthrough dem Server quasi seinen eigenen Netz-Zugang verpassen und hättest noch den Vorteil, dass Du keine NAT mehr hast.

die oben erwähnte 2 netzlösung zu bauen

Bitte, Finger weg von Router-Kaskaden. Das war ein Konzept von vor 12 Jahren, das damals schon ein Workaround war und was heute mit IPv6 und UPnP-IGD/PCP nur noch Mist ist. Wenn man trennen will, aber der Gastzugang nicht ausreicht, dann ein Router mit Multi-LAN.

FRITZ!Box 6490 Cable

@phylanx hast Du ebenfalls eine zweite FRITZ!Box?
Damit kann man das versuchen: fritz.box → Heimnetz → Netzwerk → (Reiter) Netzwerkeinstellungen → (Taste) weitere Einstellungen → (Taste) IPv6-Adressen → DHCPv6-Server in der FRITZ!Box für das Heimnetz aktivieren: DNS-Server und IPv6-Präfix (IA_PD) zuweisen.

 

[bart1983]

Hi, ich stehe vor einem ähnlichen Problem. @bart1983 hast du dein Projekt umgesetzt und wenn ja, was ist dein Set-up?

Ja, habe es gelöst. Habe mein Netzwerk umgebaut.

Dafür muss ich aber meine Gedanken im Vorfeld erörtern:
Ich wollte relativ geringe Kosten bei maximaler Flexibilität, Stromersparnis und Sicherheit.

Meine eigene Fritzbox 6690 samt deren Funktionen (also als Modem, wifi6, Wireguard-VPN, Smarthome-Zentrale, DVB-C Streaming, Telefonie, NAS) sollte weiterhin der zentrale Punkt sein. War damit zufrieden & musste jetzt auch nicht verkompliziert werden. Die alte Fritzbox 6490 habe ich nicht genutzt, da die Firmware zu wenig Optionen bietet & es ein Providergerät ist.

Wegen Wartung und Problemanalyse - auch durch andere Familienmitglieder - wollte ich dazu eine einfache und normale SOHO-Konfiguration behalten.
Dh der Weg des normalen Heimnetzes sollte weiterhin der Standard: "Kabelinternet-coax -> Fritzbox -> Heimnetz" sein.

Also nix crazy mit einem neuen Modem, samt Hardwarefirewall. Okay, nutze pihole als DNS mit einem RaspberryPi, aber mehr "Spielerei" ist nicht.

Wie habe ich aber die Client-Isolierung und mein IoT-Netz neu aufgebaut?
Ganz vereinfacht gesagt:
Fritzbox -> ethernetkabel -> OpenWRT Router -> Ehternetkabel -> Proxmox-Rechner -> virtueller Server

Habe also einen OpenWRT-Router genommen, dann ein Proxmox-cluster mit drei stromsparenden MiniPCs (11W pro PC) aufgebaut. Die Webserver/Server sind also virtuelle Rechner.
Die MiniPCs haben 2 Netzwerkkarten. Eine für die Administration und Zugriff über das Fritzbox-Netz und die andere NUR für die virtuellen Server/clients. So das die virtuellen Server keinen Zugriff auf das FB-Netz haben.

Kommt eine 443er Anfrage über die DynDNS-url, landet sie zuerst bei der Fritzbox, dort gibt es natürlich eine Portfreigabe und leitet es dann an den OpenWRT-Router weiter.

Der OpenWRT-Router schaut, welcher Port angefragt ist & leitet die Anfrage je nach Port an den entsprechenden virtuellen Server (der ja nur auf einem Proxmox-Nods läuft) weiter.

Im OpenWRT-Router habe ich 2 getrennte Netze eingerichten. Beide haben ihre eigenen DHCP-Adressbereich.
Das schon erwähnte für die virtuellen Rechner ist rein Ethernetkabel-basiert (daran sind die drei Proxmox-Nodes angeschlossen) und das OpenWRT-Wifi ist nur für IoT-Geräte reserviert. Alle Netze sind natürlich von einander per OpenWRT Firewall getrennt ("alle Packages werden gedropt")

Zugriff von den virtuellen Server auf den OpenWRT-Router selbst ist - je nach Einsatzgebiet der virtuellen Server - per Proxmox-firewall geblockt, so das diese virtuellen Server absolut keine Chance haben auf den OpenWRT-Router (auch nicht per Telnet, SSH und sogar nicht mal per ping) zuzugreifen.

Das Positive mit Proxmox: Es kostet absolut nichts, ist sehr flexibel, man hat die Vorteile von virtuellen Maschinen wie Sicherung, Duplizieren und kann HA (high availability: Die virtuelle Maschine kann bei Hardwaredefekt auch von einem anderen Proxmox-Node bereitgestellt werden & das automatisch).

Klar geht es sicherlich professioneller. Mit der Lösung bin ich aber sehr zufrieden.
Sie ist sicher, recht flexibel (Hypervisor Proxmox kann man für vieles andere auch nutzen), ich habe damit mein IoT-Netz gebändigt und dadurch das der ganze Proxmox-Kladderadatsch "hinter" der Fritzbox liegt (also es ist ja nur ein Ethernetkabel), ist es für den Betrieb des Hauptnetzes absolut nicht relevant und kann von Jedem gewartet werden, selbst wenn ich mal nicht da bin.

Es ist auch relativ kostengünstig.
Habe mir einen TP-Links Router der die neueste OpenWRT-Firmware erlaubt für 10€ über Kleinanzeigen geholt.
Dazu zwei Mini-PCs (einen hatte ich schon) für jeweils 90€ und drei 2,5Gbit Netzwerkkarten für jeweils 23€.
Das war es.

Wenn du kein HA brauchst, reicht auch nur ein Mini-PC oder eben irgendwein altes Gerät.
Proxmox basiert aud Debian, dh anders als VMWare ist es nicht zickig & läuft beinahe überall.

Ein anderer positiver Effekt von dieser Lösung: Wenn ich mal einen anderes Gerät (zB. RaspberryPi) in ein sichere Netz hauen muss, einfach an eines der beiden OpenWRT-Netze anschließen. Kein große Konfiguration im Router, kein Gäste-WLAN. Anscluss und schon ist man in einem sicheren/isolierten Netz.

Oh, sehe gerade, viel zu viel geschrieben. Wenn noch Fragen sind, einfach anhauen.


@norKoeri
Du hast sicherlich recht mit deiner Router-Kaskaden Bemerkung. Dieses Vorgehen löste aber am besten die von mir gewünschten Vorgaben. Geht sicherlich schlauer/besser, aber für meine Belange reicht es.