Hallo,
ich habe hier bei mir zu Hause immer wieder die Situation, dass
Rechner/Geräte an unser Internet angeschlossen werden müssen, die
Sicherheitstechnisch nicht immer von mir kontrolliert werden können.
Mal ist es der Rechner eines Bekannten oder Verwandten, dem ich bei
Problemen helfe oder ab und zu sogar bei Viren-Befall helfe...mal ist es
ein Freund, der mir eine App vorführt, die Internet-Zugriff benötigt.
Das sind jetzt nur 2 Beispiele...der Zugriff erfolgt aber sowohl per
WLAN als auch per LAN.
Ich suche nach einer günstigen Lösung, diese Geräte von unserem eigenen
Netzwerk zu trennen. Ich denke mal, dass man da mit VLANs arbeiten
könnte, allerdings verstehe ich das Ganze noch nicht so richtig. Von der
Theorie her werden bei einem VLAN-Switch glaube ich die Datenpakete
immer nur an die passenden "getaggten" Ports geroutet. In Foren habe ich
dann gelesen, dass man z.B. alle Kabel(inklusive den DSL-Router) in
einen VLAN-Switch steckt und dann die jeweiligen Ports vom VLAN-Switch
immer mit dem Router-Port zusammen "taggt", damit alle gemeinsam ins
Internet gehen können.
Was ich nicht verstehe ist, wie bei einem VLAN-Switch dieses gemeinsame
"taggen" des Ports für den DSL-Router funktioniert. Also wie alle Geräte
auf den an diesem einen Port angeschlossenen Router zugreifen, sich aber
gegenseitig nicht sehen können.
Und müssen die IP-Adressen dann auch alle im selben Subnetz liegen? Also
wenn ich z.B. dem Router die 192.168.2.1 mit 24-Bit-Subnetz-Maske
verpasse, müssen dann alle VLANs im Switch Adressen zwischen 192.168.2.2
und 192.168.2.254 haben?
Wie lässt sich das mit dem WLAN-Zugriff regeln? Muss man dann das WLAN
im Router ausschalten und 2 Ports vom VLAN-Switch mit Access-Points
versehen, die separate WLAN-Netze bereitstellen(eines für unsere eigenen
Rechner und eines für die "Gäste")?
Wie sicher ist so eine Lösung überhaupt? Also wenn ich z.B.
versehentlich eine total virenverseuchte Kiste von einem Kumpel
anschließen würde. Kann es ein Schädling trotz VLAN womöglich doch
schaffen, unsere Heim-Rechner zu infizieren?
Eventuell hat hier ja auch jemand eine Empfehlung für ein günstiges
Gerät. Es muss nur die Netze abschotten, ein Routing zwischen den VLANs
ist nicht nötig.
Viele Grüße,
Leo
Leo schrieb:> Theorie her werden bei einem VLAN-Switch glaube ich die Datenpakete> immer nur an die passenden "getaggten" Ports geroutet.
Korrekt.
> einen VLAN-Switch steckt und dann die jeweiligen Ports vom VLAN-Switch> immer mit dem Router-Port zusammen "taggt", damit alle gemeinsam ins> Internet gehen können.
Es gibt zwei Arten angeschlossener Geräte: tagged und untagged. Manche
Geräte beherrschen tagged Ethernet, d.h. die VLAN-ID ist Teil des
Ethernet-Frames. Solche Geräte können über einen Port in mehreren
verschieden VLANs sitzen. Bei untagged devices definiert der Switch, in
welchem VLAN das Gerät zu liegen kommt. Wenn der Access-Router kein
VLAN-tagging kann, dann sieht es für dich mau aus.
> "taggen" des Ports für den DSL-Router funktioniert. Also wie alle Geräte> auf den an diesem einen Port angeschlossenen Router zugreifen, sich aber> gegenseitig nicht sehen können.
Der einfachste und unsicherste Fall: Der Switch macht das als Teil der
Broadcasts in Software. D.h. ARPs und andere Broadcasts landen in der
Switch-Software und werden dort forwarded und ggf. in die
Switch-Tabellen umgesetzt, d.h. die Hardware-Tabellen, die aus der
Ziel-Mac den Port ableiten. Hat die Tabelle mal eine Mac-Port-Umsetzung
drin, dann interessiert in dieser Variante das VLAN nicht mehr.
Solche zu kurz gedachten Teile erkennt man daran, dass man mit etwas
Glück die VLAN-Grenzen überschreiten kann, indem man manuell die ARP
Tabelle mit einem Ziel im anderen VLAN füllt.
> Und müssen die IP-Adressen dann auch alle im selben Subnetz liegen?
Die VLANs sind im Prinzip völlig unabhängig. Allerdings muss der Router,
der in mehreren davon sitzt und den Internet-Zugang für alle
bereitstellt, die Netze unterscheiden können. D.h. die diversen VLANs
müssen dann auch verschieden sein.
> wenn ich z.B. dem Router die 192.168.2.1 mit 24-Bit-Subnetz-Maske> verpasse, müssen dann alle VLANs im Switch Adressen zwischen 192.168.2.2> und 192.168.2.254 haben?
Nein, umgekehrt. Sie müssen verschieden sein.
> Wie lässt sich das mit dem WLAN-Zugriff regeln?
Es gibt WLAN-APs, die mehrere verschiedene WLANs auf jeweils
unterschiedliche VLANs abbilden. Solche APs haben naturgemäss
VLAN-tagged Ethernet.
> Wie sicher ist so eine Lösung überhaupt? Also wenn ich z.B.> versehentlich eine total virenverseuchte Kiste von einem Kumpel> anschließen würde. Kann es ein Schädling trotz VLAN womöglich doch> schaffen, unsere Heim-Rechner zu infizieren?
Bei richtiger Konfiguration ist das ziemlich unwahrscheinlich.
Man kann das ganz simpel lösen. Einfach die Firewall auf den heimischen
Rechnern aktivieren und "keine Ausnahmen zulassen". Fertig.
Wenn es unbedingt VLAN UND günstig (sprich billig) sein soll, gehts auch
mit DD-WRT.
Hallo,
ok, das Ganze scheint doch etwas schwieriger zu sein, als ich mir das
vorgestellt habe. Die Firewall kann ich schlecht zu machen, weil die
Rechner hier schon noch untereinander kommunizieren können sollen.
Danke für Deine ausführlichen Erklärungen, A. K., ich weiß jetzt
ungefähr wie das funktioniert bzw. warum ich VLANs mit günstigen
Consumer-Routern vermutlich knicken kann...
Wie wäre es mit folgender Lösung für Arme? Ein einfacher alter
kabelgebundener Router(son DLINK-Teil habe ich noch hier), an dessen
LAN-Ports 2 WLAN-Router hängen? Dann könnte ich unsere Heim-Rechner mit
unserem WLAN-Router verbinden und die fremden Rechner mit dem anderen.
Ist so ein Kaskadieren von Routern in irgendeiner Form problematisch,
oder könnte man das so machen?
Viele Grüße,
Leo
Leo schrieb:> Hallo,>> ok, das Ganze scheint doch etwas schwieriger zu sein, als ich mir das> vorgestellt habe. Die Firewall kann ich schlecht zu machen, weil die> Rechner hier schon noch untereinander kommunizieren können sollen.>> Danke für Deine ausführlichen Erklärungen, A. K., ich weiß jetzt> ungefähr wie das funktioniert bzw. warum ich VLANs mit günstigen> Consumer-Routern vermutlich knicken kann...>> Wie wäre es mit folgender Lösung für Arme? Ein einfacher alter> kabelgebundener Router(son DLINK-Teil habe ich noch hier), an dessen> LAN-Ports 2 WLAN-Router hängen? Dann könnte ich unsere Heim-Rechner mit> unserem WLAN-Router verbinden und die fremden Rechner mit dem anderen.> Ist so ein Kaskadieren von Routern in irgendeiner Form problematisch,> oder könnte man das so machen?>> Viele Grüße,> Leo
Hab das noch nicht so gemacht, aber so würde ich es machen, hätte ich
noch einen alten Router da. Da ich ne Fritz 7390 hab, ist das bei mir
nicht notwendig. Wenn die Kids hier sind, kriegen die den Gastzugang.
Funktioniert toll.
Dazu lassen sich dann auch sicher noch ein paar Links ergooglen.
Mal ganz ehrlich: Du hast keine Ahnung von Netzwerken was einige Deiner
Fragen im Eingangsposting deutlich belegen aber möchtest Dein Heimnetz
sicher machen!? Zunächst ein guter Gedanke aber ob das so gut
funktioniert ...
Nur mit einer reinen Trennung der Netze ist es ja nicht getan, das ist
doch Augenwischerei ...
Dds einfachste wäre wohl ein acesspoint/bzw wlanrouter mit Gastzugang.
Wenn pcs kein wlan haben besorg dir einen stick dazu dass wäre wohl am
günstigsten.
solche gäste wlans lassen sich recht leicht einrichten je nach router
