Sicherheit Server Virtualisierung bei Firewall Zonen @home

[morumbinas]

Schwieriges Thema, aber generell was geplant ist:

VDSL Modem (FritzBox), daran eine Hardware Firewall die verschiedene Zonen an unterschiedlichen LAN Anschlüssen unterstützt. An jede Zone bzw. LAN-Anschluss kommt ein Switch & daran dann ein WLAN AccessPoint (vorerst geplante Zonen: Heimnetzwerk (nur über VPN erreichbar), Medien (mit Portfreigabe), Cloudserver (Portfreigabe), Heimautomation (nur VPN), Downloadserver (Portfreigabe))

Im Netzwerk gibt es einen ESXi Host der sämtliche Serverdienste virtualisiert (Fileserver, Medienserver, Downloadserver mit VPN Tunnel zu VPN Anbieter, Heimautomation, ...). Dienste die in einer eigenen Zone laufen bekommen einen eigenen Netzwerkanschluss (falls möglich wird die PCI Karte an die VM durchgereicht). Der Netzwerkanschluss der jeweiligen VM ist dann mit dem Switch der jeweiligen Zone verbunden.

Exemplarisch hier kurz eine Aufzeichnung (nicht vollständig):



Portfreigaben bestehen wie oben schon erwähnt für den Medienserver, den Cloudserver und den Downloadserver.

Ist mein Vorhaben sicherheitstechnisch @home bedenklich (gerade alles über den ESXi Host laufen zu lassen)? Falls ja, was kann man verbessern? Optimal wäre es natürlich jeder einzelnen Zone auch einen richtigen Hardwareserver zu spendieren, aber das ist auch eine Preisfrage (insb. Hardware & Strom). Ich hätte hier noch 2 Raspberry Pi herumliegen und könnte darüber zB den Downloadserver laufen lassen. Lieber wäre es mir aber auf dem ESXi Host (wesentlich leichter zu administrieren).

Vielen Dank für Input

 

[Bani]

VLAN-fähige Switche und APs einsetzen....

 

[Eye-Q]

Das, was Du planst, ist bei Firmennetzwerken gang und gäbe und von der Sicherheit auf dem Stand der Technik bzw. für ein Heim-Netzwerk sogar fast schon überdimensioniert, so viel Aufwand treiben manche kleinen Firmen nicht mal (ob es ratsam ist, im geschäftlichen Umfeld weniger Aufwand zu betreiben, steht auf einem anderen Blatt).

Mit hardwaremäßig komplett separierten Systemen ist es zwar noch sicherer, der Aufwand ist aber dementsprechend natürlich auch höher, wie Du es schon beschrieben hast.

Viel eher würde ich darauf achten, dass ein halbwegs aktuelles und funktionierendes Backup, am besten mit Versionierung, vorhanden ist, das wird bei so einem Aufwand leider viel zu gerne vergessen. Falls Du auch ein gutes Backupkonzept hast, trifft das für dich natürlich nicht zu, aber ich wollte es nur geschrieben haben.