Eigene Firewall bauen (Hardware)

[Raijin]

Hm.. Also ich hab nur mal kurz den QuickGuide überflogen und da steht:

Ports eth2, eth3, and eth4 can be configured for switching

Was so klingt als wenn man die Wahl hat ob man 3 getrennte oder geswitchte Ports haben möchte. Sicher bin ich mir nicht, weil ich nur den Lite mit 3 Ports daheim habe.

 

[minefubi]

Im Datasheet steht:

• (5) Gigabit routing ports
• (5) PoE configurable ports
• Supports 24V or 48V* PoE
• (3) ports configurable for switching
• 1 million packets per second for 64-byte packets

Wenn ich nicht total bin, dann vermute ich, dass die 3 letzten Ports nur ein physikalischer Port ist. Somit würde ich dann doch meine 4 Netze (3 Netzwerke und 1 WAN) nicht realisieren können... Oder?

 

[Raijin]

Nach deiner Logik hätte der dann aber 8 Ports.

Da steht doch, dass 5 Gigabit routing ports dabei sind. Der einzige Unterschied der letzten drei ist offenbar, dass diese zu einem Switch zusammengelegt werden können, aber nicht müssen.


Im übrigen ist es sowieso fraglich ob deine Aufteilung sinnvoll ist. Mit VLANs kann man auch Netze aufteilen und gut ist. Du musst bedenken, dass die Komplexität nicht zu vernachlässigen ist. Wenn du über Netzwerke nicht gut bescheid weißt, dann wirst du damit kämpfen, von hier nach da, aber nicht nach da, aber von dort nach hier und sonstwo zu kommen. Egal ob dedizierter Hardware-Router oder Software-Router unter Linux, die Konfiguration muss stimmen. Je aufwändiger du dein Szenario aufbläst, umso komplizierter wird die Einrichtung und Wartung.

Du kannst zB auch mit dem Lite und den 3 Ports arbeiten.


Internet-Router Port1 ==> Schwester
Internet-Router Port2 ==> Edgerouter eth0 (quasi WAN)
Edgerouter eth1 ==> dein LAN
Edgerouter eht2 ==> dein Server

Das ist zwar nicht 100%ig sauber, wäre aber eine gangbare Lösung. Nichtsdestotrotz sind auch dort je nach gewünschtem Zugriff diverse Regeln für die Querverbindungen nötig.

 

[minefubi]

Die Schwierigkeit dabei ist mir schon bewusst. Es geht mir zudem darum alles zentral an einem Gerät einzustellen, denn momentan muss ich für mein Server sowohl auf der Fritz!Box und auf meinem OpenWRT Router Portfreigaben und Firewallregeln einstellen.

Eine zentrale Lösung wäre perfekt.

Der Grund warum ich auf die Firewall Geschichte gekommen bin ist der, dass plötzlich ein DNS Server Port (den ich selbst nie erstellt habe) von außen erreichbar war. Die Telekom hat mich angeschrieben und mich darauf aufmerksam gemacht... Dann musste ich erst die Fritz!Box checken dann OpenWRT (okay 2 Router zu überprüfen ist jetzt auch nicht die Welt...)

Bei der VLAN Lösung weiß ich leider nie genau wie das Funktioniert (also exakt). Ich mache zwar eine Ausbildung zum Fachinformatiker und habe auch schon ein komplexes Client-Server System mit VLAN Aufgebaut, aber da war eher "trial and error" angesagt. Es hat am Ende funktioniert aber fragt mich bitte nicht nach Einzelheiten .

Achja und gerade das einrichten und warten meiner Systeme machen mir am meisten Spaß (Natürlich nur wenn es am ende funktioniert )

 

[Raijin]

Fang am besten erstmal klein an und teste mit einem kleineren Setup (zB besagtes Standard-Setup WAN-LAN-DMZ). Da kannst du dann erste Erfahrungen mit dem Routing, den Firewallregeln und dergleichen sammeln. Danach kannst du das aufbohren. Ansonsten wirst du ziemlich schnell scheitern, wenn du gleich von 0 auf 100 gehst

Ohne den EdgeRouter PoE selbst in den Händen zu halten, gehe ich davon aus, dass alle Schnittstellen separat betrieben werden können. Zumindest habe ich bisher nichts Gegenteiliges finden können. Ansonsten würden sie eth2.1, eth2.2, etc heißen (um anzudeuten: selbes HardwareInterface, anderer Port). Eventuell musst du etwas googlen oder bei ubnt.com im Forum suchen/fragen.



BTW: Interessant, dass die Telekom dich auf einen offenen DNS-Port hinweist?!? Ich betreibe mein VPN seit Jahren auf Port 53 (UDP) => DNS. Bei mir hat sich noch niemand gemeldet ^^

 

[minefubi]

Ich hab mich auch total gewundert... ^^

Aber ohne den Brief wäre mir das wahrscheinlich nie aufgefallen... (Oder sehr spät).
Manchmal ist die Telekom doch für etwas zu gebrauchen.