802.1x /Vlan für Überwachungskameras

[Karle81]

Hallo,

ich betreibe bei mir 3 kabelgebundene Kameras zur Überwachung des Grundstücks. Bisher habe ich bereits einen mac-Filter installiert, damit man nicht einfach das Netzwerkkabel abziehen und an einen Laptop anstecken kann (auch wenn die Kameras nur schwer erreichbar sind). Ich würde nur gerne die Sicherheit noch etwas erhöhen.

ich habe als Switch einen zyxel GS1900-24E. Dieser beherrscht laut Datenblatt 802.1x. Meine Kameras können das laut Datenblatt auch.

Nun eine Fragen:

Benötige ich zur Authentifizierung immer bspw. einen zusätzlichen Radius Server oder gibt es auch die Möglichkeit, dass das der Switch direkt übernimmt ?

Alternativ könnte ich mir ein extra V-Lan für die Kameras vorstellen, aber wie regle ich das dann mit dem Zugriff, dass mein NAS (auf das kommen die Daten) sowohl im V-Lan als auch im normalen Netz verfügbar ist bzw. dass ich auf die Kameras Zugriff habe wenn ich bspw. was konfigurieren will ?

Gruß

Karl

 

[magicteddy]

Moin,

Ich würde sogar beide Verfahren kombinieren: Radius und getrennte VLans, den Zugriff aus NAS müßtest Du dann allerdings über einen L3 Switch oder einen VLan fähigen Router abwickeln. Nur mit Deinem Switch geht es (ohne Radius Auth) nur wenn Dein NAS 2 getrennte LAN Ports hat...
Da Du nix über Dein NAS schreibst kann Dir auch keiner sagen ob es ein Radius Plugin dafür gibt.

-teddy

 

[Karle81]

ich habe eine Synology DS918+, die hat zumindest zwei LAN Ports. Switch ist der genannte, Router ist die Fritzbox 6490 Cable.

Aktuell betreibe ich die im Link aggregration modus.

Nur wenn ein Port in dem Vlan der Kameras ist hat dann ein evtl. "Angreifer" nicht Zugriff auf meine Daten ?

 

[magicteddy]

...
Nur wenn ein Port in dem Vlan der Kameras ist hat dann ein evtl. "Angreifer" nicht Zugriff auf meine Daten ?

Warum sollte er?
Du definierst die Kiste einfach VLan 10 = LAN; VLan 20 = Kamera Netz, und VLan 30 als default VLan wenn die Clients nix liefern.
Ein "Angreifer" ohne Zugangsdaten landet somit im VLan 30, wo nix, außer er selber ist.
Die VLan Zuweisung kann der Radius wunderbar mit Abfrühstücken.

-teddy

 

[deveth0]

Und das schöne ist, dass du die synology auch direkt als Radius Server betreiben kannst und dann alles gut ist

 

[Karle81]

ok dann muss ich mich mit der Sache mal beschäftigen ;-) Danke für euren Input.

Gruß

Karl