Netzwerke trennen/Routerkaskaden

[Ano]

Hallo!

Ist zwar nicht debian-GNU/Linux-spezifisch aber vielleicht könnt ihr mir helfen, unser Netzwerk mal aufzuräumen.

In Anlehnung an den heise-Artikel wollte ich Firmen- und Privatnetzwerk endlich mal trennen.

(Für alle, die einen Grund brauchen, bevor sie antworten : Der Sproß des Chefs gibt den WLAN-Key an alle seine Freunde weiter, damit sie Datenvolumen sparen. Das halte ich sicherheitstechnisch für mehr als bedenklich.)

Da wir auch Kundenrechner haben, würde ich das heise-Beispiel gern um einen Gastzugang im Firmenbereich erweitern. Optional könnte auch im Privatnetz gelich ein Gastnetz eingerichtet werden, wenn man sich schon mal die Mühe macht:

Meine Fragen dazu:

- Gehe ich recht in der Annahme, dass die Art der Verbindung (LAN, WLAN, PowerLAN) für die Betrachtung der getrenneten Netzwerke keine Rolle spielt?
- Reichen die vorhandenen FRITZ!Boxen (1 x 7490, 1 x 7390) dafür aus?
- Kann man PowerLAN-Geräte (1 x Einspeisung, 1 x Firma, 3 x privat) netzwerktechnisch so trennen, dass kein zweites Einspeisegerät notwendig wird?
- Sieht jemand technische Probleme, einen Drucker für alle Netzwerke (außer für das private Gastnetz) in der DMZ zur Verfügung zu stellen?

Weitere Fragen kommen bestimmt noch auf. Bin für ((sinvolle) Gegen-) Vorschläge, Anregungen und bessere Ideen aufgeschlossen!

Vielen Dank schon mal!


Schöne Grüße
Ano

[BenutzerGa4gooPh]

Gehe ich recht in der Annahme, dass die Art der Verbindung (LAN, WLAN, PowerLAN) für die Betrachtung der getrenneten Netzwerke keine Rolle spielt?

Jein. Die Konfiguration der Netzwerkknoten (Router/Firewall oder Switches) ist wesentlich. In einem LAN oder WLAN kann aber muss keine Trennung der Hosts (Endgeräte) erfolgen. Beispiel Hubs, Switches, 1 SSID mit mehreren Clients. In shared Medien muss man logisch für Trennung sorgen. Im Extremfall mit VPN und Verschlüsselung. Beschäftige dich mal mit VLAN, PVLAN und SSID-Isolation. Bei Punkt-zu-Punkt-Verbindungen (z. B. dedizierte Ports mit dediziertem Kabel) kommt es nur drauf an, wie die Netzwerkkomponenten konfiguriert sind.
Übrigens habe ich mir überlegt, ALLES grau auf grau zu schreiben. Aber die Welt ist oft schon grau genug ...

Reichen die vorhandenen FRITZ!Boxen (1 x 7490, 1 x 7390) dafür aus?

U. U. (Performance, Anzahl Clients, keine VLANs, keine statischen Routen - allerdings DMZ durch Doppel-NAT) Kommt auf die Konfiguration an.

Kann man PowerLAN-Geräte (1 x Einspeisung, 1 x Firma, 3 x privat) netzwerktechnisch so trennen, dass kein zweites Einspeisegerät notwendig wird?

Soll angeblich durch 2 PowerLAN-Netzwerke mit unterschiedlichen Namen funktionieren. Allerdings braucht man 2 Adapter am Router, falls pro Adapter nur 1 PowerLAN-Netzwerk konfigurierbar ist. Inwieweit echte VLANs durch Powerline-Hersteller realisiert werden, weiß ich nicht. Datenblätter/Manuals lesen.

Sieht jemand technische Probleme, einen Drucker für alle Netzwerke (außer für das private Gastnetz) in der DMZ zur Verfügung zu stellen?

Siehst du an der Papierausgabe/Text/Motiven. Kannst dann auf die Absender der Druckaufträge schließen!
(Wenn du kein oder nur entsprechendes Portforwarding machst, passiert hinter dem vorderen NAT-Router nichts - vom Internet/WAN aus. Und als GAST-WLAN bietet sich das WLAN der vorderen Fritzbox am DSL-Anschluss förmlich an. Ohne Portfreigaben kommt man aus der DMZ nur ins Internet, nicht umgekehrt. Und nicht in das LAN hinter dem 2. Router.)

Lies dich mal hier ein:
https://www.administrator.de/wissen/kop ... 48713.html
https://www.administrator.de/wissen/vla ... 10259.html
https://www.administrator.de/wissen/pre ... 49915.html

Persönliche Meinung: Für den "hinteren Router" würde ich OpenWrt oder PFSense oder OPNSense in Verbindung mit einem dediziertem Accesspoint verwenden. Wegen Hardware in entsprechenden Foren "schnüffeln". Meine PFSense hat 220 Euro ohne WLAN gekostet. Den vorderen Router (Fritzbox/ benötigtst Du vmtl. als DSL-Anschluss?! Die Lösung hätte den Vorteil, dass du irgendwann die FB durch Modem und IP-Telefon mit DECT ersetzt - dann stehen dir alle (netzwerktechnischen) Wege offen.

Edit: Link korrigiert.

[Ano]

Super. Vielen Dank! Werde den Lesestoff durcharbeiten und mich danach bestimmt noch einmal melden.

[Ano]

Habe mir die Seiten durchgelesen. Inhaltlich waren mir die meisten Sachen zumindest bekannt. Wenn auch nicht unbedingt in der Tiefe oder dem Umfang und am konkreten Beispiel.

Bevor ich jedoch diese Schritte umsetzen würde, interessiert mich doch erstmal eine simple und allgemeine Betrachtungweise anhand des o.g. Artikels und bereits vorhandener Hardware. Klar ist es schön zu wissen, was alles geht aber dafür fehlt mir einfach auch die Zeit.

Sollten noch weitere sachdienliche Kenntnisse bei den Nutzern dieses Froums vorhanden sein - dann gern her damit.

Lieben Dank nochmal an Jana66.


Schönes Wochenende allen
Ano

[BenutzerGa4gooPh]

Konkrete Fragen sind oft hilfreich ...

Klar ist es schön zu wissen, was alles geht aber dafür fehlt mir einfach auch die Zeit.