2 Netzwerke Zuhause, eins mit Inet, eins ohne Inet

[Tudeski]

Hallo Zusammen

Macht so etwas Sinn?
ich würde gerne ein internes und externes netzwerk erstellen.
Mein PC hat 1GBit und 2.5GBit, mein NAS hat ebenfalls 2.5GBit.

Idee: ich möchte gerne den NAS in einem internen layer haben, welcher kein internet access hat, ausser ich mach mal wieder updates, dann würde ich die beiden netzwerk per kabel verbinden.

IST Zustand:
Alles über Router und Switches am Internet angeschlossen.

Soll Zustand:
a. mein PC 1Gbit, Raspberry Pi, PS4, Google home mini, alle smartgeräte am WiFI Router und Modem angeschossen.
b. mein PC 2.5Gbit über den Qnap Switch 2.5GBit mit dem NAS verbunden und allen Geräten, welche kein Internet anschluss benötigen (AV Receiver, NAS, Nintendo Switch)

 

[Nilson]

Geht so. Nur drauf achten das die beiden Netze verschiedene Subnetze haben, damit der PC weiß in welches Netz das Paket musd

 

[derchris]

Ob das Sinn macht oder nicht musst du entscheiden, technisch sollte es gehen.

 

[Mr. Robot]

Kann man machen. Alternativ kannst du alles im gleichen Netz lassen, und bei den Geräten, die nicht ins Internet sollen, die IP-Einstellungen ändern, dass sie kein Standard-Gateway mehr haben. Kein Gateway -> kein Internet. Intern bleibt dabei jedes Gerät weiter für alle erreichbar.

 

[derchris]

Mich würde noch der Sinn interessieren ... wenn man fragen darf. @Tudeski

 

[Tudeski]

weil ich keine lust habe, das jemand mein NAS (3 stück) hackt. die haben solche SW bugs drinnen und beim letzten NAS SW upgrade, hat das NAS nicht mehr funktioniert --> neuanschaffung 400€ für ein leergehäuse.
plus ich denke darüber nach meine 411j und 211j synology zu reaktivieren, welche gar keine SW updates mehr erhalten.

ich will es vor allem vor dem internet schützen. ich bin bereits nicht begeistert davon das alle meine smartgeräte im wifi sein müssen, weil sonst google diese nicht ansteuern kann - das wären für mich geräte die kein internet benötigen...

ehrlicher grund: mich kotzt es an, dass ein techniker vom provider mir sagen kann was für geräte ich angeschlossen habe und wie viele... wtf was geht den das an. der darf das modem anschauen und was nachher kommt ist privatsache. danach werden die performance probleme auf die vielen geräte geschoben - WTF?

es war dann etwas anderes das problem, aber habenmir einfach nicht helfen wollen, erst der 5. techniker hat mir infos gegeben, welche relevant waren, um das problem zu lösen.
die tv box war via wifi am nicht provider router verbunden, was der provider am anfang noch erlaubte und später mittels SW FW upgrade (aufgezwungen) teilunterbunden hat, was dann eben zu performance problemen führte. aber eben die 4 ersten techniker haben die schuld woanders gesucht, statt zu helfen. ich war vor allem überrascht das mir die techniker sagten welche geräte von welchem hersteller angeschlossen sind, obwohl ich nichts mit dem herstellernamen bezeichnet habe.
wenn die bereits so eine einsicht in mein netzwerk haben... ich will gar nicht wissen wie andere nicht nette techniker sehen, versuchen oder machen.

Ergänzung (28. Dezember 2020)

@All herzlichen dank für eure inputs, ich werde mir alles durchdenken und schauen wie ich es löse.

 

[derchris]

@Tudeski okay, fair enough, bedenke aber auch, dass eine Ransomware auf (d)einem Rechner, den Inhalt des NAS trotzdem "kompromittieren" kann.

 

[Mr. Robot]

Das ein Gerät ins Internet darf, bedeutet noch lange nicht, dass jemand von außen darauf zugreifen kann. Das muss erst explizit im Router frei gegeben werden. (Und mit DS-lite funktioniert das nicht mal vollständig)

Dass der Techniker deine Geräte sehen kann, liegt daran, dass er Zugriff auf den Router hat. Ob die Geräte ins Internet können oder nicht hat damit nichts zu tun. Wenn du das verhindern willst, musst du den Router vom Provider durch einen eigene ersetzen.

 

[Tudeski]

@Tudeski okay, fair enough, bedenke aber auch, dass eine Ransomware auf (d)einem Rechner, den Inhalt des NAS trotzdem "kompromittieren" kann.

deswegen habe ich auch offline sicherungen

 

[Raijin]

Idee: ich möchte gerne den NAS in einem internen layer haben, welcher kein internet access hat, ausser ich mach mal wieder updates, dann würde ich die beiden netzwerk per kabel verbinden

Und das sollte wie genau funktionieren? Ein zweites Netzwerk muss zwingend ein anderes Subnetz haben, weil es mindestens am PC zusammenkommt und der PC die Netzwerke nur anhand des Subnetzes unterscheiden kann.

Während es am PC kein Problem ist, mit mehreren IP-Adressen umzugehen - sogar auf ein und derselben Schnittstelle falls nötig - geht das bei einem 08/15 Router nicht. Einfach ein Kabel vom zweiten Netzwerk ins erste zu ziehen, bringt also rein gar nichts, weil zweites Netz und Router nicht im selben Subnetz wären und die Geräte schlicht und ergreifend keinen Internetzugriff hätten.

Das ginge nur, wenn der Router ein Gast-LAN hätte und man das zweite Subnetz darauf einstellen würde. Im Gastnetzwerk kann man in der Regel auch definieren was, wer und wo Internetzugriff erlaubt ist. Somit könnte das Kabel sogar bleiben, weil der Router den Zugriff auf das Internet blockieren kann.

 

[Tudeski]

Und das sollte wie genau funktionieren? Ein zweites Netzwerk muss zwingend ein anderes Subnetz haben, weil es mindestens am PC zusammenkommt und der PC die Netzwerke nur anhand des Subnetzes unterscheiden kann.

Während es am PC kein Problem ist, mit mehreren IP-Adressen umzugehen - sogar auf ein und derselben Schnittstelle falls nötig - geht das bei einem 08/15 Router nicht. Einfach ein Kabel vom zweiten Netzwerk ins erste zu ziehen, bringt also rein gar nichts, weil zweites Netz und Router nicht im selben Subnetz wären und die Geräte schlicht und ergreifend keinen Internetzugriff hätten.

Das ginge nur, wenn der Router ein Gast-LAN hätte und man das zweite Subnetz darauf einstellen würde. Im Gastnetzwerk kann man in der Regel auch definieren was, wer und wo Internetzugriff erlaubt ist. Somit könnte das Kabel sogar bleiben, weil der Router den Zugriff auf das Internet blockieren kann.

aber: ich bräuchte ja keine updates, wenn der NAS nie inet zugriff hat, ist es auch egal, ob die SW irgendwelche schlimmen sicherheitslücken hat.

hier könnte ich dann erwägen einen "neueren" NAS im inet zugriff zu lassen, der dann die updates benötigt. die anderen wären nur datengräben ohne inet anschluss.

 

[Raijin]

Du hast nicht verstanden worauf ich hinaus wollte. Einfach nur ein Kabel zwischen den Netzwerken zu ziehen bringt rein gar nichts.

Da mindestens der PC in beiden Netzwerken vertreten ist, braucht er auch in beiden Netzen eine IP-Adresse. Das heißt, dass beide Netzwerke unterschiedliche Subnetze haben müssen. Hauptnetz inkl. Router und Internetzugriff zB 192.168.1.0/24 und isoliertes NAS-Netz zB 192.168.2.0/24. Wenn du nun für Updates Internet brauchst, ist es mit einem Kabel von Netz1 zu Netz2 nicht getan, weil das NAS mit zB 192.168.2.34 schlichtweg keine Verbindung zum Router mit 192.168.1.1 aufbauen könnte --> Kein Internet für Updates.

wenn der NAS nie inet zugriff hat, ist es auch egal, ob die SW irgendwelche schlimmen sicherheitslücken hat.

Sorry, aber das ist naiv.

Zum einen kann man von außen nur auf das NAS, wenn du eine Portweiterleitung im Router auf das NAS eingerichtet hast. Andersherum verbindet sich das NAS maximal für Updates mit einem Server beim Hersteller, so wie es Windows auch tut.

Zum anderen ist es ein gewaltiger Trugschluss, dass Updates nur benötigt werden, wenn das NAS selbst Internetzugriff hat. Sobald du dir zB auf deinem PC Malware einhandelst, kann diese wiederum den Rest des Netzwerks infiltrieren und da der PC in beiden Netzwerken vertreten ist, kommt die Malware gegebenenfalls auch zum NAS und kann dort schlimmstenfalls eine Sicherheitslücke ausnutzen, die schon vor etlichen Updates behoben wurde.

Wenn du Sicherheit für dich so definierst wie du es beschreibst, kannst du das NAS auch im Hauptnetzwerk belassen und statt via DHCP gibst du dem NAS eben von Hand eine IP und lässt das Standardgateway weg bzw. setzt es auf 0.0.0.0 oder eine nicht-vorhandene IP im Subnetz, wenn die GUI das nicht zulässt (zB 192.168.1.254 ohne dortiges Gerät). Dann würde das NAS das Internet sozusagen an der falschen Stelle suchen.

 

[Tudeski]

danke, ich habe es schon verstanden. muss ich auf etwas genauer eingehen, was ich verstehe?
mir gefällt die lösung von einem rein internen netzwerk ohne internet access besser als eine lösung mit verschiedenen subnetzwerken, welche doch im gleichen laufen und ich die gefahr laufe, etwas falsch zu machen und ups alle geräte hängen am internet, auch solche, die seit 10 jahren kein SW update erhalten habe und löchriger als ein schweizer käse sind?

ich bin grundsätzlich ein fan von netzwerken die kein internet access haben vor allem physisch kein kabel besteht welches ins böse und gefährliche internet geht.

wieso muss ein atomkraftwerk einen internet anschluss haben oder sonstige sicherheitsrelevante systeme, welche kein internet anschluss benötigen, dennoch am internet angeschlossen sind.

ich freue mich über alle ideen und vorschläge, ich werde sicher das mit den verschiedenen subnetzen ausprobieren, scheint die einfachste lösung. dennoch gefällt mir das 2 separate netzwerke, wo nur mein pc die gefahr darstellt.