seppy hat geschrieben: ↑19. Feb 2020 13:11
Code: Alles auswählen
Router --> Managed Switch --> WLAN AP [SSID:SMARTHOME VLAN4] --> WLAN für Smarthome und Admin
--> WLAN AP [SSID:GAST VLAN3] --> WLAN Ap für Kids und ggf Gast
--> WLAN AP [SSID:BEWOHNER VLAN1] --> WLAN für Bewohner
--> LAN [VLAN1] --> Standard Netz
--> LAN [VLAN4] --> Admin LAN
Man sollte folgende 3 Angriffsvektoren vermeiden:
- WLAN für ADMIN, da werden zu oft Passworte und Schlüssel (ssh, https) übertragen
- VLAN1, das VLAN1 ist eben standardmässig überhall wo VLANs konfiguriert sind, vorhanden - sofern nicht der Admin...
- administrativer Traffic und potentiell gefährlicher Traffic im gleichen Netz, unbedingt SmartHome Admin trennen
IT Security by Obscurity
IT Security by Paranoia
Unabhängig von den Aspekten der IT Security gibt es noch paar Stolpersteine:
Ich unterstelle mal dass alle 4 VALNs ins Internet können sollen.
Möglichkeit 1 mit L3 Switch:
- der Switch übernimmt das Routing zwischen den VLANs und zur Default Gateway (dem Router)
- der Switch sollte (muss) die Zugriffsbeschränkungen unterneinander der VLANs managen (Firewall Funktionalität auf Level Quell-IP, Ziel-IP, Ziel-Port)
- der Switch ist DHCP Server für die einzelnen VLANs
- Router übernimmt das Routing ins Internet
- Router kann NAT für 4 verschiedene interne Netze realisieren (entweder automatisch oder konfigurativ)
- Router muss pro VLAN eine statische Router zum L3 Switch konfiguriert bekommen
Möglichkeit 2 mit VLAN-fähigem Router
- der Router muss mit VLANs umgehen können
. der Router übernimmt das Routing unter den VLANs und ins Internet
- der Router ist DHCP Server für die einzelnen VLANS
- der Router sollte (muss) die Zugriffsbeschränkungen unterneinander der VLANs managen (Firewall Funktionalität auf Level Quell-IP, Ziel-IP, Ziel-Port)
- zwischen Router und Switch muss ein VLAN Trunk konfiguriert werden
... und dann noch all die Punkte, die ich vergessen habe...
Viele Grüsse
Uwe