VLAN Sinn und Verständnisfrage?

[TheUntouchable]

Um Mal auf den Sicherheitsaspekt eines separierten IoT VLANs/Subnetworks zu kommen:
In letzter Zeit ist es sehr oft vorgekommen, dass Sicherheitskameras und Co schwere Schwachstellen hatten, wodurch von außen auf diese zugegriffen werden konnte und die Leute daher direkt in deinem Heimnetz waren. Dieser ganze IoT mit Cloudanbindung Schmarn baut aus deinem Netz heraus eine Verbindung ins Internet auf und umgeht daher das NAT/Firewall, wenn das nicht explizit unterbunden wurde.
Ist jetzt wie auch immer jemand auf eines dieser Geräte gekommen, könnte er von dort aus dein Netzwerk nach den nächsten Schwachstellen durchsuchen oder auch Daten abgreifen.
Daher schmeißt man diese Geräte in ein gesondertes Netz/Netze und lässt nur den erforderlichen Traffic aus diesem Netz in andere Netze zu. Ich habe zb ein IoT und ein NoT VLAN, beim Ersten ist eine Internetverbindung nach Außen erlaubt, beim Zweiten nicht. Reden dürfen diese Netze nicht mit meinem Client VLAN, aber z.B. auf gewissen Ports mit meinem Raspmatic Docker Container im Docker VLAN
Aufpassen muss man hier bei manchen Herstellen (z.B. Unifi) die automatisch alle Kommunikation zwischen VLANs zulassen, da muss dann in der Firewall eine DenyAll Regel erstellt werden die vor die integrierten Allow Regeln positioniert wird.

Aktuelles Beispiel:
https://www.heise.de/news/Einbruchsgefahr-Ueber-80-000-Hikvision-Kameras-verwundbar-7239986.html

Man muss beim VLAN auch noch zwischen port based und tagged unterscheiden, dass wird jetzt hier dann aber zuviel

Aktuelle Switche sollten auf alle Fälle mit Tagged VLANS umgehen können auch wenn sie nicht managed sind. Ansonsten Mal nach IEEE 802.1Q schauen.

 

[haeuslebauer]

Also mir scheint, dass das Thema eines separaten IoT VLANs 1. doch ganz relevant zu sein scheint, wegen echter Gefahren und der rasanten und weiten Verbreitung von Smart Home Produkten im Privathaushalt, und 2. aber nicht ganz einfach zu lösen ist..

Für meine persönliche Situation bin ich immer noch hin und her gerissen.. so wie ich das hier lese, könnte ich mit dem Kauf eines TP-Link R605 Router für relativ wenig Geld in das Thema einsteigen. Ob meine Switches da mitspielen, kann ich wohl nur durch ausprobieren herausfinden. Aber die neueren TP-Link Modelle würde es wohl unterstützen.

Mit dem Omada System bin ich eigentlich sehr zufrieden, ausser dass es neuerdings nicht mehr mit dem Safari Browser funktioniert, ist das alles ganz nutzerfreundlich. Also vielleicht wäre es den Versuch wert mit dem VLan Router..

 

[Incanus]

Wäre es denn dann aber nicht der bessere Weg, Geräte denen man nicht vertraut nicht zu verwenden? Also immer nur billig direkt in China kaufen und anschließend zu versuchen gefühlte Sicherheit zu erreichen kann in meinen Augen nicht der richtige Weg sein.
Außerdem könnte ja auch bei jedem Gerät im Heimnetzwerk plötzlich ein Sicherheitsleck auftauchen, der Drucker könnte z.B. statt nur seinen Tintenstand an den Hersteller zu melden auch alle gedruckten Dateien weitergeben etc.

 

[haeuslebauer]

Also in meinen Augen muss ein Drucker auch keinen Tintenstand an den Hersteller melden...

Für die meisten Nutzer wird die IoT Hersteller Cloud alternativlos sein, weil nur wenige einen eigenen Home Assistant o.ä. betreiben wollen, sich selbst um Fernzugriff zu kümmern usw. - genauso wie ein Google Drive vs. NAS..

Für diejenigen die es selbst machen wollen, bzw. als Hobby betrieben, ist es ja schön wenn es Alternativen gibt. Ich würde meinem Drucker u.ä. gerne das Internet abdrehen.

 

[Bob.Dig]

Ich würde meinem Drucker u.ä. gerne das Internet abdrehen.

Sehe ich auch so. Allerdings kann man das auch schon mit einer Fritzbox machen.

 

[haeuslebauer]

aber nur, wenn man kein grösseres Netz mit Switches und APs hat, oder?

 

[norKoeri]

… doch das geht dann auch, Stichwort: Kindersicherung. Du verbietest jener MAC den Internet-Zugang komplett. Was vielleicht die Uhrzeit am Display oder bei einem Multi-Funktionsdrucker die Uhrzeit in den Fax-Berichten stören könnte. Aber muss man ausprobieren.

wegen echter Gefahren und der rasanten und weiten Verbreitung von Smart Home Produkten im Privathaushalt

Äh, was Andere machen, ist für Dich nicht interessant. Du hast „Home Assistant“. Daher in deren Community fragen, welche Angriffsmöglichkeiten Dein System bietet. Oder hast Du noch mehr, andere Geräte?

 

[haeuslebauer]

Ich habe mir zwischenzeitlich einen TP-Link ER605v2 Router zugelegt, der VLAN fähig ist. Ist wunderbar integriert im Omada SDN, und zu meiner Überraschung habe ich mit dem neuen Router nochmals deutlich bessere Geschwindigkeit in meinem Netzwerk. Screenshot zeigt 802.11ax WLAN Verbindung via TP-Link EAP 653 Access Point zu meinem MacBook... kann das sein, dass ein Router die Geschwindigkeit verbessert?

 

[chrigu]

Vergleiche altes wlan mit neuem wlan des Routers und du kannst dir die Frage selber beantworten

 

[haeuslebauer]

Der ER605 hat kein Wlan. Der AP war beides mal der gleiche.