Hilfe bei der Netzwerkeinrichtung - Bereiche Home/Arbeit/Gast

[wretched]

Hallo zusammen,

ich hoffe ich bin hier im richtigen Unterforum gelandet. Ich braeuchte mal einige Denkanstoesse von euch zum Thema Netzwerkkonfiguration und -Sicherheit.

Folgende Situation:
In der neuen Wohnung soll es geteilte Netzbereiche geben. Ich werde mir den Luxus goennen, einen Raum fuer Gaeste/Kumpels als Lanpartyraum einzurichten.
Es gibt einen VDSL50 Anschluss, realisiert ueber die Hardware der Telekom.
Nun das Problem:
Die Gaeste/Kumpels sollen nicht aus dem speziellen Raum auf das uebrige Netz zugreifen koennen aber auch ueber VDSL Zugriff auf das Internet bekommen.
Meine Idee:
Aufbau eines Routers mit mehreren Netzwerkkarten der dann die einzelnen Bereiche trennt. Richtig?
Kann ich dafuer einen Microsoft Forefront benutzen, oder habt ihr andere Ideen?
Toll waere noch folgendes:
Wenn ich mit meinem Notebook im Gaesteraum ans Netz gehe, moechte ich Zugriff auf das gesamte Netz haben. Kann man sowas eventuell ueber nen MAC-Filter-Routing oder aehnliches realisieren?

Vorab schon mal vielen Dank und schoene Gruesse

 

[KuchenKerze]

Das lässt sich über VLANs und PortSecurity regeln, dafür bräuchtest du einen Managed Switch (z.B.: HP ProCurve Switch 1810G-8, 8-Port, managed (J9449A) | Geizhals.at Deutschland)

Grüße

 

[fdsonne]

Machbar ist hier einiges. Die Frage ist, was willst du dir das kosten lassen?

Theoretisch kannst du dir für paar Euro gebraucht irgend nen PC hinstellen und dort ne Linux/Unix Distribution als Router laufen lassen. Wenn es MS sein soll, dann geht das auch...
Da gibts zur Not auch vorgefertigte Routingdistributionen ala IPCop und Co.

Alternativ dazu geht sowas über VLANs auf dem Switch zu lösen.
Nachteil ist, du kannst nicht aktiv so richtig steuern, wer nun genau wo hin darf.
Du bekommst zwar zwei Bereiche getrennt. Aber gehst du nun mit deinem Notebook in den Gäste Bereich, so hast du die gleichen Einschränkungen.
Sachen ala Policy based Routing und so Späße sind dann eher in den teureren Switchregionen zu finden. Da kann man dann so Sachen wie Authentikation über Weboberfläche oder Zertifikatsbasierte Zugriffsteuerung usw. machen.


Ich kenne nun nicht deine Freunde/Bekannte usw. Aber diese MAC Filter Geschichten sind ziemlich witzlos für jemanden, der rein will
Denn die MAC lässt sich bequem auch ändern und so drehen, das man eben Zugriff bekommt.

 

[ara1]

bei nur 2 getrennten Netzen sind VLAN fähige Switche eigentlich unnötig, da kommt man billiger 2 "dumme" Switche hinzustellen.
Du brauchst dann einen Router(-PC) mit mind. 3 konfigurierbaren Netzwerkkarten (1 zum Router + Netz A + B).
An Software gibt es unzählige Möglichkeiten, kA ob Forefront vernünftig als Firewall geeignet ist, die diversen Linux Optionen sind es auf jeden Fall (IPCop, IPFire, Astaro, Endian, Shorewall etc.).

 

[fdsonne]

Das Problem bleibt weiterhin, das kein Geregelter Zugriff mit einem Notebook vom Gästenetz zum Homenetz machbar ist.
Diese MAC Access Listen sind nix halbes und nix ganzes...

 

[wretched]

Hallo zusammen,

herzlichen Dank für die Antworten.
Als Switch soll das vorhandene DELL PowerConnect 3524 weiterhin eingesetzt werden, welches VLANs unterstützt. Alte, ausreichend potente Hardware ist vorhanden.

Wenn ich die bisherigen Antworten richtig interpretiere, scheint ein Router die beste und flexibelste Wahl zu sein, womit ich meinen Wunsch nach Zugriff auf das Homenetz aus dem "Gästebereich" heraus realisieren kann.
Wie ließe sich soetwas, ohne Nutzung der Mac-Adresse, realisieren? Einfach per Authentifikation an den jeweiligen Clients des Homenetzes?
Am liebsten wäre mir, wenn die Gäste überhaupt nichts von den Clients im Homebereich "sehen" würden. Wäre das dann möglich?
Ausserdem bin ich ein wenig verwirrt. Viele Quellen scheinen zu diesem Thema immer wieder die Begriffe Proxy, Firewall und Router synonym zu gebrauchen...

Danke und viele Grüße

 

[fdsonne]

Stimmt, das wäre ne Alternative...
Das Homenetz mit einem Router (inkl. Firewall) absichern und vor diesen dann den zweiten Router packen, der den Internetzugriff regelt.
Eine VPN Einwahl schafft dann für die jeweiligen Geräte Zugriff in das Homenetz.

Oder mit nem ordentlichen Router anfangen und sich den zweiten Kasten sparen... Wäre auch machbar. Aber dieser muss dann sowohl drei Netze (Gäste LAN, Home LAN und Inet) verstehen und gleichzeitig Firewall und VPN Einwahl zulassen.

 

[ara1]

Wie ließe sich soetwas, ohne Nutzung der Mac-Adresse, realisieren? Einfach per Authentifikation an den jeweiligen Clients des Homenetzes?
Am liebsten wäre mir, wenn die Gäste überhaupt nichts von den Clients im Homebereich "sehen" würden.

Am einfachsten macht man das über Port-basierende VLANs. Sprich zb Port 1 ist im VLAN 20 (Gäste), Port 2 ist im VLAN 30 (normales LAN).
Wenn einem das zu unsicher ist (es könnte sich jemand einfach umstecken) kann man 802.1x nutzen und sich am Switch-Port mit Passwort oder Zertifikat gegen einen Radius Server authentifizieren. Für den Heimgebrauch ist das aber eher übertrieben.