VLAN und falsche VISU

[ReneX]

Hallo,
um mein Netzwerk sicherer zu machen habe ich einen USG von Unifi installiert.

192.168.1.x LAN Unify USG, Switche, AP
192.168.2.x VLAN 10 Loxone, NAS
192.168.3.x VLAN 20 Kameras
192.168.4.x VLAN 30 Wlan, Sonos
192.168.5.x VLAN 40 User (Macbook, PS, TV Geräte...)

Der Zugriff vom MS auf die Kamera und den Sonos läuft perfekt. Das einzige dicke Problem bereitet
die Visu. Wenn ich über die APP im 192.168.4.x Netzwerk auf den MS 192.168.2.x zugreife wird die Visu nur teilweise
dargestellt. Das gleiche Drama habe ich auch auf dem Mac (siehe Bilder). Wenn sich die Geräte im gleichen
VLAN 192.168.2.x wie der MS befinden geht alles.

Was kann das sein????

[pmayer]

Hi,

hast du den Zugriff auf den Miniserver "von außen" erlaubt in der Config?
Alle Netze außerhalb 192.168.2.0/24 sind für den Miniserver _nicht_ sein eigenes Netz.

[romildo]

Hallo

Es gibt für jedes Objekt die Eigenschaften "Erlaubte Benutzer Lokal" und Erlaubte Benutzer Internet".

[pmayer]

DAS ist wahrscheinlich genau die richtige Antwort...

[romildo]

Da er Zugriff auf den Miniserver hat, muss eine "grundsätzliche" Erlaubnis vorhanden sein.
War mir nicht sicher ob Du das gleiche gemeint hast.

[pmayer]

Nein, hatte gar nicht an die Sichtbarkeit gedacht. Du hast völlig recht, sonst würde ja der grundliegende Zugriff schon nicht funktionieren :-)

[ReneX]

Vielen Dank liebes Forum ! ! !

Genau das war es. Ich hatte verschieden Profil für intern und extern hinterleget. Bisher ist das nie aufgefallen,
weil ich über das VPN der Fritzbox (gleiches Netzwerk) auf dem MS zugegriffen habe.

Jetzt komme ich aus anderen IP Bereichen und der MS denkt ich komme von extern.

Das letzte Rätsel was ich jetzt noch habe ist VPN mit Unifi und den Ärger mit doppelt NAT

[Robert L.]

mit VPN aus dem Urlaub ist mal also "intern"
und zuhause ist man dank VLAN "extern"

klingt logisch ;-)

[pmayer]

Ja... die "Trennung" finde ich eh Blödsinn. Richtig wäre es, wenn man in der Loxone die Subnetze oder das Subnetz angeben könnte, was intern ist... wobei, das ist auch Schwachsinn. Es sollte "extern" meiner Meinung nach gar nicht geben, da kein SSL/TLS.

Standard-VPN = gleiches Subnetz = "intern"
Alles andere was nicht im gleichen Subnetz = "extern"

[eisenkarl]

Ich verstehe hier nicht wo der Sinn der VLans sein soll... Wozu sollte ich unterschiedliche Peripherie in meinem LAN völlig schwachsinnig durch VLans voneinander trennen?

[miqa]

Ganz einfach.
Es sollen nicht alle Leute auf alles Zugriff haben.
Konkretes Beispiel: Bei uns zu Hause gibt es kein Mobilfunk. Unsere Reinigungskraft möchte aber gerne für Ihre Kinder erreichbar sein, falls mal was ist. Sie braucht also Internetzugriff damit iMessage, WhatApp und Co funktionieren. Vielleicht möchte ich ihr auch noch Zugriff auf Sonos erstatten, damit sie bei der Arbeit Musik hören kann. Sie soll allerdings keinen Zugriff auf andere Rechner, NAS, Kameras etc haben.
Da bieten sich VLANs an.

[pmayer]

Hmm,

wir stellen uns mal vor, deine Schwiegermutter kommt eine Woche zu Besuch. Sie bringt ihr altes Smartphone mit, was noch auf Android 4.x läuft und wo sie sich vor langem schon eine Keylogger/Ransomware eingefangen hat.
Natürlich lässt du deine Schwiedermutter in dein WLAN, damit Sie mit Freundin Erna die neusten Geschichten über die Royals per WhatsApp austauschen kann..

Was passiert also jetzt, wenn das Smartphone mit Ransomware und außerhalb jeglichen Updatezyklus viele neue Geräte in einem bis dahin unbekannten Netz findet? Richtig, nichts, da du ja alles deine Geräte auf dem aktuellen Stand hältst genauso wie jeder der in irgend einer Form Zugang zu deinem Netz hat, oder?
Natürlich auch das alte Tablet/Notebook, was dein Sohn oder deine Tochter nutzt... und von Sicherheitslücken in einer veralteten Webcam ist natürlich auch nicht auszugehen weil alle Hersteller auch Altgeräte immer mit neuer Software versorgen.

In groß hieß das WannaCry/Petya und hat Merck gerade 400Mio. gekostet: https://www.heise.de/newsticker/meld...z-3875823.html

Entschuldige bitte meine Sarkasmus, aber durch VLANs - und wenn es nur das Gast-WLAN ist - erhöht man mit einem einfachen Schritt die Sicherheit im eigenen Netz erheblich.

[pmayer]

Japp, hab den Text etwas erweitert. Das Gast-WLAN ist aber auch schon ein VLAN.

Nimm das alte Notebook vom Sohn, der auf irgend einer dubiosen Seite Minecraft-Plugins herunter geladen hat...

[Robert L.]

Der Sohn muss aber aufs NAS , zur loxone VISU (damit auch zur kamera) und seine Sonso will er auch steuern..
hab keine Erfahrung mit VLAN, klingt aber nach viel Arbeit und wenig nutzen..

[pmayer]

Ok, noch ein Beispiel.

Die günstige WebCam von Aldi wurde gehackt und Teil eines Botnets, weil sie seit drei Jahren keine Updates mehr für die Software vom chinesischen Hersteller gibt.
Sieht dann so aus: https://www.heise.de/newsticker/meld...l-3678861.html
Wenn es keine Netzgrenzen und damit definierte Brücken gibt, versucht sie das auch noch mit allen anderen Geräten im Netz.

Es ist wichtig zu wissen was im eigenen Netz passiert. Und diese Überwachung wie auch die Trennung ist nur mit VLAN und ordentlicher Hardware grundliegend möglich.
Die Kommunikation von einem VLAN ins andere ist ja nur für gewisse Ports freigeschaltet. Wenn der Sohn mit dem verseuchten Minecraft an Port 80 des Miniservers kommt, kommt er noch lange nicht an Port 23 um Telnet-Passwörter auszuprobieren (konstruiertes Beispiel).
Auf dem NAS hat er nur Zugang zu den Dateidiensten, nicht aber auf das Admin-Interface.

Der Aufwand für "zu Hause" ist natürlich etwas höher. Das mindeste ist aber, wie du schon sagst, ein Gast-WLAN und die Software auf allen vorhandenen Geräten auf dem aktuellen Stand zu halten. Geräte die nicht mehr mit Updates versorgt werden können, müssen isoliert oder außer Betrieb genommen werden.

[Riesenschnabel]

Ich bin auch ganz der Meinung von pmayer .
Sobald mein internes Netz aus Geräten unterschiedlicher "Kritikalität" besteht, muss ich mir darüber Gedanken machen, wie ich dafür sorge, dass nicht einfach jeder alles mit allen machen kann. Und die Crypto-Trojaner oder DDOS-Attacken der letzten Jahre sind in meinen Augen für jeden Grund genug.

Und um ein Beispiel aus der realen Welt zu nehmen:
Wenn Du in Deinem Haus mehrere Personen wohnen hast, deren Motivation Du nicht immer vollständig kennst (z.B. Mieter), wirst Du diesen Personen auch nicht gleich freien Zutritt zu Deinem Schlafzimmer gestatten und Dein Geld und andere Wertsachen offen rumliegen lassen.
Und eine Web-Cam ist dann eben der Mieter in Deinem Netzwerk.

Ja, das ist Arbeit. Und ja, das braucht einige Kenntnisse und dementsprechend Zeit.
Der potentielle Schaden durch die vollständige Verschlüsselung Deiner persönlichen Daten (Fotos der Hochzeit, Kinder, etc.) oder gar deren Veröffentlichung auf irgendwelchen dubiosen Web-Seiten, sollte Motivation genug sein. Und falls ein großer Web-Shop anklopft, weil aus Deinem Netz ein Angriff erfolgt ist, dann wird es auch sehr schnell sehr teuer.

Und falls man das nicht selber kann, dann überlässt man das guten Freunden mit Wissen oder Profis. Macht man ja mit der Schließanlage im Zweifelsfall auch so.
Und mit der Zeit beschafft man sich das Wissen dann eben doch selbst, weil man es selber können will.

Grüße

[PBaumgartner]

Weil gerade das Thema aufgegriffen ist... wie habt ihr die VLANs strukturiert? Mein neuer Router/FW/Switch wartet noch brav auf seine initiale Config.
Meine Netzwerkprofis schulden mir noch ein Konzept - aber ich würde zumindest folgende VLANs machen:
* Haussteuerung
* Server
* Clients
* Guests

Warum hast du das 1.x als Management-LAN extra definiert?
warum vlan 30 und 40 getrennt?

[Robert L.]

die Clients von den Servern trennen und dann über viele ausnahmen den Zugriff wieder zuzulassen..?

[PBaumgartner]

Würde ich Clients und Server nicht trennen, könnte ich mir die VLANs ja komplett sparen. Natürlich benötigt man wieder einen Haufen Freischaltungen - nur das Zauberwort ist "Kontrolle" --> Es geht nur durch, was ich auch durchlassen will.
Vielleicht ist es übertrieben, aber ich versuche das Basiskonzept daheim genauso aufzubauen, wie in einer Firma. Und da mein Arbeitgeber zufällig ein Rechenzentrum für ungefähr 100 Kunden betreibt, sollte das Know-How in meinem Security-Team nicht so schlecht sein.

[Robert L.]

Werde ich mir wohl mal ein Buch kaufen müssen ;-)

Ich versuche nur das Konzept zu verstehen..
Da ich die Servern zuhaues ja unter Kontrolle habe (und das keine Kunden-Server sind), ist die Situation IMHO nicht so "dramatisch"
weil dort eh nur genau die Ports offen sind die ich brauche.. und das wären dann eh genau die, die ich Freischalte..
(gefährlicher finde ich, dass sich die Clients gegenseitig "infizieren",aber die sind bei dir ja auch in einem VLAN..)

Ist auch eine Frage des "Vertrauens": Vertraue ich dem Betriebssystem am NAS (linux) mehr als dem Betriebssystem am Router (auch linux) ...

Performance möchte ich natürlich auch so wenig wie möglich einbüßen , gerade zwischen client und server..

[eisenkarl]

In meinem privaten LAN gibt es nur eine einzige Konstellation für ein V-LAN und das ist tatsächlich für das Gäste W-LAN und genau das ist oben nicht angeführt, also könnt euch euren Sarkasmus sparen!

[orli]

In meinem privaten LAN gibt es nur eine einzige Konstellation für ein V-LAN und das ist tatsächlich für das Gäste W-LAN und genau das ist oben nicht angeführt, also könnt euch euren Sarkasmus sparen!

Nichts für ungut, aber wer VLANS in diesen Zeiten als Schwachsinn abtut muss mit Sarkasmus rechnen. Ich möchte nicht dass meine WLAN Hue Bridge mit meinem Fileserver sprechen kann. Wozu auch? VLANS sind da ein einfaches Mittel um Kommunikation über Netze hinweg sauber aufzutrennen und standardmäßig wunderbar mit Deny Policies arbeiten zu können.

[Robert L.]

so, "wege dir" hab ich mir jetzt ein "RouterBoard" bestellt..
(passenden "managed" Switsch hab ich sowieso schon)
Gäste W-Lan und Dubiose China Kamera ins VLAN ist klar, aber der Rest?

was ich jetzt aber nicht verstehe ist, warum VLAN 10 und 40 und "normales" WLAn überhaupt getrennt hast?

zwischen den VLAN muss ich ja (teilweise) kommunikation zulassen,
werden die Geräte nich oft genau über die Dienste/Port angegriffen ? port 80 oder SMB usw. ?
dort hilft VLAN dann ja nix

[PBaumgartner]

Welches hast dir bestellt? Bist du soweit fit im RouterOS? Musste bei meinem ersten RouterOS Projekt ganz schön schwitzen. Das WIKI ist recht gut und es gibt auch einen tollen Eintrag über Intrusion Detection Richtung WAN - kann ich nur wärmstens empfehlen - meine Blacklist ist immer gut gefüllt.
Grundlage war für mich das Buch "RouterOS by Example" - leider etwas veraltet, aber die Grundlagen sind ja unverändert.

[Robert L.]

>Bist du soweit fit im RouterOS
lol, wusste bis gestern nicht mal was das ist..

(hex poe irgendwas)

in der Firma haben wir so FortiGate dinger, viel schlimmer kanns ja nicht sein ;-)

[ReneX]

Hallo, nachdem das Thema VLAN hier ausführlich diskutiert wurde, sollte jeder für sich entscheiden ob es notwendig ist.
Eine Fritzbox mit einem LAN + Gast WLAN ist natürlich wesentlich einfacher zu konfigurieren. Im Aussenbereich habe ich
Kameras die ohne großen Aufwand zugänglich sind. Laptop einstecken und was ist dann???
Zugegeben ist das Szenario schon etwas weit ausgeholt.

Bevor ich Bauer sucht Frau ansehen, klimpere ich lieber am Rechner und lerne etwas dazu.

Meine nächste kreative Abendbeschäftigung ist ein Loxberry.

[miqa]

ReneX magst du mal ein HowTo schreiben wie man die VLANs einrichtet? Habe auch Ubiquiti stuff im Einsatz und die VLANs stehen noch auf der ToDo Liste,hab aber keinen Plan wie ich das anstellen muss.

[Robert L.]

von der Theorie in die Praxis.. https://www.loxforum.com/forum/germa...398#post127398

ich denk mir meinen Teil..

[miqa]

Nur weil man weiß was man damit machen kann, heißt das nicht das man auch weiß wie man das technisch umsetzt.

[janralf]

ReneX magst du mal ein HowTo schreiben wie man die VLANs einrichtet? Habe auch Ubiquiti stuff im Einsatz und die VLANs stehen noch auf der ToDo Liste,hab aber keinen Plan wie ich das anstellen muss.

Also ein howto zu diesem Thema zu schreiben dürfte schwer werden da es sich schwer Verallgemeinern lässt was hast du denn an Hardware und wie sieht deine Netzstruktur aus?


Gesendet von iPhone mit Tapatalk

[miqa]

FritzBox 7490 als Router und DHCP Server. Danach eine Unifi Switch an dem alle wired Geräte hängen und (aktuell) zwei Access points von Ubiquiti.

Ich bin mir jetzt zum Beispiel nicht mal sicher ob man, um VLANs einzurichten, noch ein USG braucht oder ob das schon mit dem vorhanden Material geht. Die Fritzbox würde ich dabei mal aussparen, so das die weiterhin nur als Router und DHCP Server fungiert.