Nein, das meinte ich nicht.... ok... dann versuch ichs noch mal anders.... ich bin davon ausgegangen, dass Du den Aufbau eines größeren Netzes mit vielen Usern aus Weiterbildungsinteresse quasi im Kleinen nachbilden willst.... und vor diesem Hintergrund ist eben der Aspekt "Userberechtigung" ein deutlich relevanter Aspekt.... auch wenns bei diesen Laborbedingungen nur um 2 User geht.... bei dem gegebenen Hintergrund spielt die Anzahl keine Rolle.
Aber nun sprichst Du von einem kleinen Netzwerk zuhause für Dich und Deine Freundin....
Was du jetzt genau mit Usern und Berechtigungen meinst ist mir nicht ganz klar. Also das System steht bei mir Zuhause in LAN, also im schlimmsten Fall würde meine Freundin noch dran kommen aber davon geht erstmal wenig gefahr aus
... und da macht die Zielsetzung nen Seitwärts-Salto mit Looping. Um jetzt mal ausdrücklich pfsense und sophos ins Auge zu fassen, welche Aufgabe versprichst Du Dir eigentlich für pfsense, was soll das tun? Welchem Angriffsvektor ist die pfsense-Installation gegenübergestellt? Fakt ist, Deine LAN-Clients stehen hinter einer Fritzbox, werden (IPv4) ge'nat'et und sind somit gar nicht direkt im Internet exponiert.... zumindest solange Du nicht einen (oder mehrere) Port im Router öffnest und an ein System weiterleitest. Eine andere mögliche Begründung wäre hingegen, wenn Du die Fritzbox selber als kompromittierte Hardware einstufst... klar, kann man so machen, muss man aber nicht. Das heisst, für den Angriffsvektor "Internet" hat pfsense hinter einer gut eingestellten Fritte quasi überhaupt keine Funktion. Du könntest damit natürlich ausgehenden Traffic regulieren, aber dafür braucht man kein pfsense, dafür deinstalliert man einfach unötige Dienste und konfiguriert die benötigten Dienste auf localhost. Und was die Anwendungen im User-Space machen, kannst Du imho mit Anfangskenntnissen sowieso nicht kontrollieren, weil so einfach nicht zu unterscheiden ist, was erlaubt und was unerlaubt ist.
Und was ist mit Sophos ...?... was soll das prüfen? Für Linux gibts kaum/keine Viren-Programme, weil Linux von sich aus vorsieht, das sämtliche Antwendungsoftware (anders als bei Windows) im Userspace auch ohne Admin-Rechte laufen können muss. Das heisst, eine systemweite Kompromitierung ist gar nicht so einfach möglich... ggf. nur durch Missbrauch vorhandener User-Rechte (... worauf ich ja oben schon mehrfach hingewiesen haben)... soll heissen, kann der User (mangels Rechte) das System an sich nicht verändern, kanns ein Virus aus dem Userspace heraus auch nicht. Und wenns um Windows-Viren geht, kann das bei so kleinen privaten Netzen ein Windows-PC mit lokalen AV-Scanner sowieso besser und auch aktueller.
Also, wenn Du pfsense und sophos planst, dann solltest Du konkret erklären können, welche Angriffsvektoren in Deinem Netz durch exponierte Hardware bestehen und ob User durch Missbrauch von vergebenen Rechten das System kompromittieren könnten. Wenn beides nicht eindeutig erklärt ist, brauchst Du auch nichts davon. Der Einsatz von pfsense und sophos beinhaltet meiner Meinung nach immer zwingend auch die Betrachtung von restriktiven User-Rechten. Das eine ohne das andere kannste Dir imho sparen.
Der VM host ist über die nic auf dem motherboard ( nenne sie mal nic0) an die FritzBox geknallt und bekommt eine Addresse via DHCP. Dies soll auch so bleiben im weiteren Verlauf
Warum nennst Du sie nicht, wie sie heisst, z.B. eth0 oder enps20, o.ä.... dann weiss jeder, dass es sich um ein physisches NIC handelt. Das NIC wird auch nicht an die Fritte geknallt, ujnd wie und ob überhaupt das mit dem DHCP funktioniert ist hier auch nicht geklärt... bei IPv6 ist nämlich überlicherweise gar kein Router-DHCP aktiv, sondern der ISP-Prefix wird per Router-Advertisement an die Clients gesendet, die sich ihre IPv6 als 'Global Unicast Adress' via SLAAC selber generieren.
Bevor Du ans Eingemachte gehst, müsste Du Dir erst mal noch sehr viele Antworten holen... möglicherweise auf Fragen, die Du noch gar nicht kennst. Deswegen wiederhole ich meinen Rat, fang mit restriktiven User-Rechten und 'nem einfachen (aber dedizierten) Samba-Server an, vielleicht mit einem lokalen Paketfilter (nicht UFW o.ä. sondern direkt über das Kernelfrontend nft oder iptables) als Lernaufgabe, irgendwann später gehts weiter mit nem lokal erreichbaren Mailserver, oder mit ner Cal/Card-DAV-Synchronisation, spätestens dann wirds Zeit für ein Backup-Konzept.
Zusammengenommen bedeutet das, erst mal lokale Funktionalität erstellen. Und solange es lokal bleibt, bist Du hinter eine Fritte erst mal sicher. Willst Du es später zum Internet öffnen, dann kommen die erweiterten Security-Maßnahmen hinzu... aber dann gibts eben auch konkrete Angriffsvektoren, auf konkrete Ziele. Betrachte das immer unter der Prämisse, dass eine einzelne Sicherheits-Maßnahme immer eine binäre Beziehung gegen den Angreifer hat, entweder sie wirkt oder sie wirkt nicht. Es gibt aber nicht nur ein Angriffsszenario, insofern gibts auch nicht ein Allheilmittel, welches umfassend gegen alle Angriffsseznarien wirkt. Und es ist ziemlicher Quatsch, eine Sicherheitsmaßnahme einzurichten, für die gar kein Angriffsvektor besteht. Also, wie gesagt... es fehlen noch viele Antworten.
.
