Fragen zu Netzwerkdesign

[Asisito]

Hallo ihr Lieben,

ich bin gerade dabei, mich auf die CompTIA Network+ Prüfung vorzubereiten. Das folgende Netzwerk-Szenario möchte ich zu Lernzwecken auch physisch umsetzen wie abgebildet und hätte dazu gerne euer Feedback.

Ich hätte noch folgende Fragen:

• Aktuell laufen auf den Firewalls OPNsense und PFsense Unbound DNS Server, welche DNS over TLS nutzen (geforwardet). Auch auf der Fritzbox ist DNS over TLS aktiv. Macht das so Sinn, oder wäre es besser, hier einen Master-DNS-Server zu haben. Falls ja, in welchem Segment sollte dieser am besten platziert sein?
• Was wäre der beste Weg, dass im Falle eines Ausfalles des Internetzugangs von Fritzbox 1 dann Fritzbox 2 einspringt. FB2 wird aktuell nur für die Telefonie genutzt.
• Welchen Hersteller bezüglich der Switches für LAN, DMZ und die Cams (Managed, 2 x 8-Port und 1 x 16-Port) würdet ihr empfehlen? Wären gebrauchte Switches auch möglich, oder wäre dies wegen der Firmware/Updates eher nicht ratsam?

Es gibt nur Kabelverbindungen im Netz, kein WLAN.

Vielen Dank und Grüße!
Asisito

 

[madmax2010]

Das wird ein Spass Wie ist dein Budget?

Wären gebrauchte Switches auch möglich, oder wäre dies wegen der Firmware/Updates eher nicht ratsam?

kommt drauf an ob die Produktiv gehen sollen - das klingt gerade eher nach network lab

Was wäre der beste Weg, dass im Falle eines Ausfalles des Internetzugangs von Fritzbox 1 dann Fritzbox 2 einspringt. FB2 wird aktuell nur für die Telefonie genutzt.

Hier findest du ne super Uebersicht der bonding modes: https://help.ubuntu.com/community/UbuntuBonding#Descriptions_of_bonding_modes

Ergänzung (29. April 2021)

Ehh ist spaet. Lass das doch einfach deine PFSense machen.. Hier steht das noetige:
https://docs.freebsd.org/en_US.ISO8859-1/books/handbook/network-aggregation.html

 

[Raijin]

Grundsätzlich hätte ich ja gesagt, dass man die beiden Fritzboxxen als WAN1 und WAN2 an die pfSense hängt, um hinter der pfSense anschließend die benötigten lokalen Netzwerke anzulegen, beispielsweise ein Hauptnetz, ein separates (V)LAN für die Kameras und zu guter Letzt eines für die DMZ. Ich kann nämlich die DMZ mittendrin und am anderen Ende der DMZ die OPNsense gerade nicht so recht nachvollziehen. Oder ist gerade das das Testszenario?

 

[snaxilian]

Beide Fritzboxen (FB) an die pfSense und dort WAN-Failover einrichten, siehe pfSense Doku zum Thema "Multiwan".

Die Kameras können an FB 1 bleiben, haben aber kein Internet wenn Internet an FB 1 ausfällt. Wenn diese ebenfalls von FB 2 profitieren sollen, mach an der pfSense ein weiteres VLAN/Subnetz in das du die Kameras packst. Gateway für die Kameras ist dann die pfSense, die wiederum beide FBs als Gateway hat, siehe Multiwan.

DNS: Wenn du Angriffsfläche minimieren willst: Eigenes VLAN/Subnetz und per Firewall nur die zwingend notwendigen Ports freischalten. Das ginge natürlich auch über eine host-basierte Firewall. Nachteil von einem eigenen System: Mehr Aufwand für Konfiguration und Wartung. Vorteil: Bei Problemen musst du nicht Fritzbox und beide Router/Firewalls analysieren sondern nur an einer zentralen Stelle.

Hersteller: Willst du das Konfigurationsmenüs eines Herstellers lernen oder willst du über die Techniken und Methodiken etwas lernen? Wenn letzteres: Nimm für jedes Segment andere Hersteller. Ja, mehr Aufwand bei der technischen Umsetzung oder du machst den Nebenkriegsschauplatz Ansible auf zur zentralen Konfiguration.^^
Wir reden hier ja nach wie vor von einem Lab zum lernen. Da würde ich das Thema Firmware und Updates ignorieren und du hast zumindest mal mehr als einen Hersteller "gesehen". Bringt dir ja jetzt nix wenn du mit der CLI von Hersteller A lernst und später vor Hersteller B sitzt und 1:1 die verinnerlichten Befehle runter tippst. Wenn man die dahinter stehenden Techniken verstanden hat ist der Rest "nur" noch Syntaxanpassung.
Abstraktionslayer wie Ansible können da helfen aber bringen dann andere Aufwände mit sich.

Aber ernst gemeinter Rat: Du wirst es nur temporär zum lernen brauchen. Wenn du dies machen sollst, z.B. bedingt durch den Arbeitgeber (was ja erst einmal sinnvoll ist), sollte dieser auch die Rahmenbedingungen schaffen zum lernen.
Wenn du dies privat machst würde ich ernsthaft die Kosten überlegen. Vieles davon kann man virtualisiert abbilden, z.B. auf dem schon vorhandenen PC zum daddeln oder auch dem Laptop. Solche Testumgebungen brauchen nicht drölfzig Kerne und dutzende GBs an RAM.
Zum lernen von Netzwerken gibt es gute Software zum virtualisieren, mir fallen da spontan GNS3 oder auch eve-ng ein. Bei letzterem ist die kostenfreie Community Edition leider arg beschränkt aber vermutlich ist eine Pro Lizenz immer noch günstiger als die ganze Hardware anzuschaffen, selbst gebraucht.
Gibt noch paar Alternativen wenn man nach "network lab simulator" sucht.

@madmax2010 Wenn WAN an einer der FBs ausfällt ist der Link zwischen den FBs und der pfSense doch weiterhin vorhanden. Wie soll da ein bond helfen? Es findet ja keine Service-Prüfung statt sondern nur ob Pakete durch gehen.

 

[Asisito]

Vielen lieben Dank für eure schnellen Antworten!

Es handelt sich um ein physisches Netz, die Cams nutze ich für ein Tiergehege, das ist alles schon aufgebaut und läuft.

Hier sind weitere Infos:

Cams:
- Das DDNS läuft über Fritzbox Cable (myfritz.net Adresse), die Verbindungen sind alle via HTTPS. Aktuell sind unmanaged Gigabit Switches von TPlink in Benutzung.

OPNsense und PFsense:
- Für OPNsense nutze ich ein Gerät von HUNSN, für PFsense eines von JETWAY. Das sind fanless Firewalls (Mini-PCs), die ich sehr günstig auf Ebay geschossen habe.

Die Fritzboxen:
Sie sind bereits beide in Betrieb, ich bin im Homeoffice und mein Arbeitgeber unterstützt mich mit dem 16Mbit Anschluss, an dem auch die Telefonie hängt.

Die DMZ:
Sie ist noch nicht existent, im Moment ist das Szenario die Fritzbox Cable, an der hängt an dem einen Lan-Port der Cam-Switch mit dem Cams und an einem anderen die OPNsense, hinter der OPNsense sind aktuell 2 PCs im LAN.


Verständnisfrage:
Wäre es möglich, sowohl die Cams als auch beide Fritzboxen und auch das LAN-Kabel zur PFsense an einen managed Switch anzuschließen und auf diesem die VLANs einzurichten? Quasi die Fritzboxen in eines, die Cams in ein weiteres etc.


@madmax2010
Danke dir für die Links und Infos, das soll am Ende eine Produktivumgebung sein.

@snaxilian
Danke für die vielen Infos und Denkanstöße. Ich würde mich gerne mit mehreren Herstellern auseinandersetzen und deren Switch-Handling lernen. Der 16port soll ein Cisco sein, gibt es bezüglich der anderen beiden Switche noch weitere Marken, die "State of The Art" sind?

@Raijin
Danke, ich wollte kein "Dreibein" für LAN, WAN und DMZ erstellen, sondern die DMZ zwischen Inner und Outer Firewall platzieren. Dies habe ich desöfteren so gesehen. Hier ein Beispiel: Youtube DMZ Video


Viele Grüße,
Asisito

 

[snaxilian]

Naja ein zweistufiges Firewall-Design mit unterschiedlichen Herstellern oder Implementierungen ist nett aber maximal oversized für zuhause. Das aber mit einem beliebigen Video zu begründen wo jeder irgendwas hochladen kann ist nicht gerade eine stabile Argumentationsgrundlage. Gibt vermutlich auch genug Videos die zeigen, dass ein "Dreibein" oder n-Bein auch funktioniert^^

Verständnisfrage:

Ja, das kannst so machen. SwitchPort (SP) 1 verbindest du mit FB 1, SP 2 mit FB 2, SP 3 mit dem Switch der Kameras und SP 4 mit der pfSense.
SP 1 setzt du dann beispielsweise VLAN 10 untagged
SP 2 bekommt dann VLAN 20 untagged
SP 3 VLAN 30 untagged
SP 4 VLAN 10,20,30 tagged
Ebenso muss das Interface der pfSense mit VLANs umgehen können und entsprechend konfiguriert sein. Die VLANs 10 und 20 wären dann für die pfSense das Multiwan Failover um ins Internet zu kommen.

Bei den Kameras ist mir nicht so ganz klar: Hast du für jede einzelne Kamera Port-Forwardings auf der FB 1 eingerichtet? Falls ja hast du aber sehr sehr großes Vertrauen in den Hersteller der Kameras, dass der seine Hausaufgaben im Bereich IT-Security korrekt erledigt hat... Das würde ich eher über ein aus dem Internet eingehendes VPN lösen...

Bei den Switchen: Definiere "state of the art", die Aussage ist ohne konkrete Infos halt ziemlicher Quark. Nimm deine konkreten Anforderungen (Anzahl RJ45 GBit/s Ports, VLANs, also 802.1q, fanless ja/nein, PoE nein/ja und falls ja welche PoE Standards, etc) und ob Management der Switche nur per Konsolenkabel geht oder z.B. auch per SSH.
So ziemlich jeder größere Switch-Hersteller sollte dann passende Geräte im Sortiment haben egal ob das dann TP-Link, Netgear, Zyxel, HPE/Aruba, Cisco/Meraki, Dell, Ubiquiti oder sonst wer ist^^

 

[Asisito]

@snaxilian Danke für die Antworten.

Ich habe das Video gepostet als Reaktion auf

Ich kann nämlich die DMZ mittendrin und am anderen Ende der DMZ die OPNsense gerade nicht so recht nachvollziehen.

Naja ein zweistufiges Firewall-Design mit unterschiedlichen Herstellern oder Implementierungen ist nett aber maximal oversized für zuhause. Das aber mit einem beliebigen Video zu begründen wo jeder irgendwas hochladen kann ist nicht gerade eine stabile Argumentationsgrundlage. Gibt vermutlich auch genug Videos die zeigen, dass ein "Dreibein" oder n-Bein auch funktioniert^^

Es geht mir nicht ums funktionieren. Natürlich funktioniert ein "Dreibein" auch, ich hatte früher einen IPfire mit 3 NICs laufen. Mir geht es um das Lernen und um das Verstehen. Nicht mit VMs, sondern in echt. Und da alle Komponenten vorhanden sind, muss ich nicht groß etwas anschaffen. Dass es oversized ist, ist mir klar. ^^

Ja, das kannst so machen.

Super, danke

Bei den Kameras ist mir nicht so ganz klar: Hast du für jede einzelne Kamera Port-Forwardings auf der FB 1 eingerichtet? Falls ja hast du aber sehr sehr großes Vertrauen in den Hersteller der Kameras, dass der seine Hausaufgaben im Bereich IT-Security korrekt erledigt hat... Das würde ich eher über ein aus dem Internet eingehendes VPN lösen...

Auf jeder der Kameras ist ein eigenes SSL-Zertifikat vorinstalliert, man kann auch eigene installieren. Ich steuere sie via App über HTTPS an. Ich gehe über meine myfritz.net Adresse direkt auf die Cams, ohne einen DDNS Server des Herstellers. Selbiger ist aus Deutschland. Jede Cam hat einen unterschiedlichen HTTPS-Port, den ich in den Cams einstelle. Dementsprechend leite ich die Ports auf die Cams, z. B. könnte die 192.168.15.10 den HTTPS Port 44301 haben, die 192.168.15.11 den Port 44302 etc. Benutzertechnisch gibt es admin, user und guest, alle mit beliebigem Login-Namen und natürlich Passwort. Ich steuere sie seitens der App mit dem user an, der hat PTZ Erlaubnis, kommt aber nicht in den Adminbereich. VPN zusätzlich klingt gut.

Bei den Switchen: Definiere "state of the art", die Aussage ist ohne konkrete Infos halt ziemlicher Quark.

Es ging mir um Switche, die man im professionellen Bereich häufiger antrifft. Wenn du mir jetzt z. B. sagen würdest, dass Zyxel oder TP-Link durchaus hochfrequentiert in diesem Bereich verbaut werden, dann hätte ich so etwas nicht gedacht. Bei Gitarren könnte ich dir sagen, dass du im Profibereich eher Jackson, Ibanez oder ESP antriffst als Harley Benton. Sind halt Qualitäts- und Preisunterschiede. Und ich dachte, bei den Switches gibt es die oft verbauten und auch die Alternativen dazu. Natürlich würde ich mir dann das Handling der oft verbauten vornehmen, bis ich es vollends geschnallt habe und auf alle projizieren kann.

Dann werde ich erstmal nach den Switches suchen. 2 x ein 8-Port-Switch und 1 x ein 16-Port Switch. RJ45, Gigabit, VLANs, fanless bevorzugt, PoE IEEE 802.3af wäre toll aber kein Muss, Management der Switche über SSH wäre wünschenswert. Mal sehen, was ich finde.

Vielen Dank

 

[jb_alvarado]

• Was wäre der beste Weg, dass im Falle eines Ausfalles des Internetzugangs von Fritzbox 1 dann Fritzbox 2 einspringt. FB2 wird aktuell nur für die Telefonie genutzt.

Multipath TCP könnte man sich da auch mal anschauen :-). Wird wohl nur nicht von allen Gegenstellen unterstützt werden, aber wenn man eigene Dienste ausfallsicher haben möchte ist das eine interessante Möglichkeit.

 

[Asisito]

@jb_alvarado
Wäre es mit MPTCP so, dass von Haus aus eine Verbindung mit beiden Fritzboxen bestehen würde und beide Boxen dann auch für den Internettraffic genutzt würden? Falls ja: Die Internetleitung am Kabelanschluß hat 200 Mbit/s und die DSL Leitung für die Telefonie nur 16 Mbit/s, und diese doch recht kleine Kapazität möchte ich für die Telefonie behalten. Ich hätte den Internetzugang gerne nur an der FB 1 (Cable), und nur falls dieser ausfallen sollte, sollte wenn möglich die FB 2 (DSL) einspringen - falls dies möglich ist.

 

[t-6]

Auf jeder der Kameras ist ein eigenes SSL-Zertifikat vorinstalliert, man kann auch eigene installieren. Ich steuere sie via App über HTTPS an. Ich gehe über meine myfritz.net Adresse direkt auf die Cams, ohne einen DDNS Server des Herstellers. Selbiger ist aus Deutschland. Jede Cam hat einen unterschiedlichen HTTPS-Port, den ich in den Cams einstelle. Dementsprechend leite ich die Ports auf die Cams, z. B. könnte die 192.168.15.10 den HTTPS Port 44301 haben, die 192.168.15.11 den Port 44302 etc. Benutzertechnisch gibt es admin, user und guest, alle mit beliebigem Login-Namen und natürlich Passwort. Ich steuere sie seitens der App mit dem user an, der hat PTZ Erlaubnis, kommt aber nicht in den Adminbereich. VPN zusätzlich klingt gut.

Nee, VPN nicht zusätzlich sondern exklusiv. Du hast zwar deine Hausaufgaben bzgl. Zertifikate & Privilegien gemacht, aber solange der Hersteller der Cams nicht Mobotix, Axxis oder Abus heißt (und selbst da...), ist mit wissenschaftlichem Zweifel erst mal von abgrundtiefer Scheiße auszugehen. Wenn ich noch eine Kamera sehe deren Menü nur mit IE + ActiveX Plugin irgendwie/halbwegs funktioniert...
Kameras gehören nicht ins Internet (was Portweiterleitungen essentiell sind).
Es sollte ggf. auch über einen NVR nachgedacht werden an dem die Kameras drankommen.
Surveillance Station von Synology bspw., oder die FOSS-Lösung deren Name mir gerade nicht einfallen will.

Ich hätte den Internetzugang gerne nur an der FB 1 (Cable), und nur falls dieser ausfallen sollte, sollte wenn möglich die FB 2 (DSL) einspringen - falls dies möglich ist.

WAN-Failover ist jetzt keine Wissenschaft. Sollen die *sense beide können.

 

[jb_alvarado]

@jb_alvarado
Wäre es mit MPTCP so, dass von Haus aus eine Verbindung mit beiden Fritzboxen bestehen würde und beide Boxen dann auch für den Internettraffic genutzt würden? Falls ja: Die Internetleitung am Kabelanschluß hat 200 Mbit/s und die DSL Leitung für die Telefonie nur 16 Mbit/s, und diese doch recht kleine Kapazität möchte ich für die Telefonie behalten. Ich hätte den Internetzugang gerne nur an der FB 1 (Cable), und nur falls dieser ausfallen sollte, sollte wenn möglich die FB 2 (DSL) einspringen - falls dies möglich ist.

In dem Fall ist, wie snaxilian und t-6 sagten, eine Failover-Lösung besser. MPTCP kann z.B. Sinn machen wenn mein unterbrechungsfrei Video Streamen möchte. Also wenn bestehende Verbindungen nicht unterbrochen werden dürfen.

 

[snaxilian]

Nicht mit VMs, sondern in echt

Das heißt also alle, die GCP/Alibaba/AWS/Azure/Hetzner/Netways/OVH/etc nutzen sind nicht echt, da die genutzten Infrastrukturen dort alle virtuell sind?^^

HTTPS

Die reine Verwendung von HTTPS ist zwar gut aber kein Garant für Sicherheit. IoT hat nichts direkt im Internet zu suchen, da die Hersteller in 99,95% der Fälle keinerlei Ahnung im Bereich der Absicherung von IT haben und im Zweifel die Verantwortung auf den Kunden abwälzen weil irgendwo im Kleingedruckten sinngemäß steht: nicht öffentlich erreichbar betreiben oder nur auf eigene Gefahr hin.

Selbiger ist aus Deutschland

Herkunft ist kein Garant für brauchbare IT/IoT Komponenten. Weißt du wer beispielsweise auch aus Deutschland kommt und von sich selbst meint einer der Top Hersteller im Bereich Sicherheit zu sein? Abus.
https://www.heise.de/security/meldu...kalarmanlage-von-Abus-ausknipsen-4349520.html
https://www.heise.de/security/meldu...-das-Klonen-von-RFID-Schluesseln-4412282.html
https://www.heise.de/security/meldu...meras-Abus-bietet-Tauschprogramm-4419944.html
https://www.heise.de/news/Abus-Funk...es-Erweiterungsmodul-abschaltbar-5025423.html
https://www.heise.de/news/c-t-deckt-auf-Security-GAU-bei-Abus-Alarmanlagen-6032094.html
Läuft bei denen. Soll hier aber kein Bashing von Abus sein sondern nur als ein Beispiel von vielen dienen. Die Konkurrenz ist nicht besser, da brauchst dir kaum Hoffnung machen. Sicherheitskritische/-relevante Systeme gehören nicht ins Internet. End of Story.
Vor allem wenn es aus den Bereichen Consumer/KMU kommt oder dies als Zielgruppe hat.

Zyxel oder TP-Link durchaus hochfrequentiert in diesem Bereich verbaut werden

Dafür müsste man anhand der Verkaufszahlen dies bewerten und kommt halt auch immer drauf an wo man hin sieht. am DE-CIX findet man (ehemals Extreme Networks), Broadcom, Nokia, ADVA, usw. in vielen Konzernen Cisco oder Meraki bei kleineren Konzernen. Wieder andere sind aber gerne Kunde bei Dell oder Juniper oder haben die HPE ProCurve Switche im Einsatz.
Bei den größeren Datacenter/Hyperscalern findet man vermutlich wieder etwas anderes und bei unzähligen KMUs dann eben Zyxel, Netgear, TP-Link und Konsorten oder vermehrt Ubiquiti in letzter Zeit. Kommt am Ende halt auch immer auf die Anforderungen drauf an, was der Admin bzw. dessen Arbeitgeber kennt/bevorzugt und auf das eigene Budget.
Aber auch Huawei ist vermutlich mit Cisco zusammen einer der Big Player im Bereich der Netzwerk Switche auch wenn dies eher bei ISPs etc. anzutreffen ist.
Am Ende ist es also eher eine Frage was du in naher Zukunft administrieren willst oder sollst. Cisco ist nie verkehrt aufgrund der hohen Verbreitung. Ansonsten würde ich mir im KMU Umfeld ggf. Ubiquiti ansehen wobei die halt für die kleineren Kunden die Unifi Reihe und für die größeren die Edge Reihe haben...

WAN-Failover ist jetzt keine Wissenschaft. Sollen die *sense beide können.

Genau das. Wie das Kapitel in der *Sense Doku heißt steht bereits hier im Thread.
MPTCP ist völlig überdimensioniert und spielt bei deinem Szenario keine Rolle. Damit kannst du dich später beherrschen wenn du die Grundlagen verstanden hast und beherrscht. Erst krabbeln lernen, dann gehen und dann rennen.
@t-6 Du wirst vermutlich ZoneMinder meinen wenn du den FOSS NVR meinst?^^

 

[t-6]

@t-6 Du wirst vermutlich ZoneMinder meinen wenn du den FOSS NVR meinst?^^

Glaube ja, das war ein Begriff.
Erfahrung hab ich aber nur mit Synology Surveillance Station & Unifi NVR. Aber letzteres ist ja mal so richtig gestorben...

 

[Asisito]

Vielen Dank für all eure Antworten und Ratschläge! Ich habe eine VPN-Verbindung zur Fritzbox eingerichtet, alle Portforwardings von außen auf die Cams gelöscht und steuere diese nun über die private IP und über HTTPS an.

@snaxilian
Natürlich sind virtuelle Umgebungen auch "in echt", das war lediglich auf die Anfassbarkeit bezogen ^^

Als nächste Schritte werde ich nun die Switches besorgen, Dokus lesen und mich dann an die VLAN- und WAN Failover-Konfigurationen setzen. Im Falle eines Feststeckens melde ich mich nochmal.

LG Asisito

 

[Skysnake]

So ziemlich jeder größere Switch-Hersteller sollte dann passende Geräte im Sortiment haben egal ob das dann TP-Link, Netgear, Zyxel, HPE/Aruba, Cisco/Meraki, Dell, Ubiquiti oder sonst wer ist^^

Ja im Prinzip ist es egal, so lange man managed Switche hat. Ubiquiti würde ich aber raus nehmen, da sich die ja scheinbar (thread hier im Forum) nicht zu 100% an die VLAN Regeln halten... und auch ansonsten empfinde ich den Hersteller nicht als vertrauenswürdig und daher nicht geeignet.

TP Link und Netgear wären jetzt auch nicht meine erste Wahl wenn um echten professionellen Einsatz geht, sondern eher die Notlösung wenn nichts anderes geht.

Ich werfe dann mal noch FS com in den Raum.

Man sollte sich wenn man das professionell anschauen will möglichst auch ein System mit shell verwenden, über die man sich einloggen und konfigurieren kann.

Was mir sauer aufstößt ist das man bei einigen Anbietern auch heute registrieren muss um alles zu nutzen oder sogar noch extra zahlen muss...

Fscom ist da unkompliziert weil man sie einfach nutzen kann

 

[Asisito]

@Skysnake
Danke für den Tipp, FScom steht bei mir sogar seit gestern auf der Liste, die bieten recht umfangreiche Features zum echt guten Preis. Und dann noch Cisco und Dell.

Schönen Sonntag