GL.iNet GL-MT300N-V2 (Mango) as network isolation

[RicardoGustavo]

Mein Setup:

• Internetrouter: Sunrise Connect Box 3 (Sagemcom, Consumer-Firmware, keine bekannte VLAN-Unterstützung an den LAN-Ports)
• Switch: TP-Link TL-SG105E (Easy Smart), wie ein nicht verwalteter Switch ohne VLANs betrieben
• Verkabelung: Connect Box 3 → Switch-Port 5 (Uplink); Port 1 = Arbeits-PC; Port 2 = Banking-Notebook (nur Online-Banking, keine E-Mails/kein Surfen, nur LAN, WLAN/Bluetooth deaktiviert)
• Weitere Geräte befinden sich ebenfalls im Heimnetzwerk (Apple-Produkte, LG-Smart-TVs, einige kabelgebunden, einige per WLAN)

Ziel: Das Banking-Notebook soll vom PC und allen anderen Geräten im lokalen Netzwerk isoliert sein (keine direkte Erreichbarkeit innerhalb des LANs), aber weiterhin normalen Internetzugang haben. VLANs kommen nicht infrage, da die Connect Box 3 keine VLAN-Tags verarbeitet und mein Switch keinen gemeinsamen Uplink-Port für separate Portgruppen ermöglicht.

Geplante Lösung:

• Mango im normalen Router-Modus (nicht WISP/WDS)
• Mango-WAN-Port → Switch-Port 2
• Mango-LAN-Port → Banking-Notebook (eigenes Subnetz, standardmäßig 192.168.8.x, eigenes NAT)
• Mango-WLAN dauerhaft deaktiviert, ausschließlich Ethernet
• Stromversorgung direkt über USB vom Banking-Notebook

Meine Fragen:

1. Ist dieses Setup (Mango hinter einem Switch und vor einem einzelnen Endgerät) eine sinnvolle und zuverlässige Möglichkeit, die Isolation zu erreichen, oder gibt es einen besseren Ansatz?
2. Blockiert die Standard-Firewall des Mango zuverlässig den Zugriff vom vorgelagerten Netzwerk (WAN-Seite) auf das dahinterliegende Subnetz? Muss ich dafür etwas konfigurieren?
3. Ist die Weboberfläche des Mango von der WAN-Seite aus erreichbar (also aus meinem Heimnetzwerk), und kann dies deaktiviert werden?
4. Gibt es beim Online-Banking Probleme aufgrund von doppeltem NAT (Connect Box 3 + Mango)?
5. Gibt es mögliche Probleme bei der USB-Stromversorgung über das Notebook (z. B. dass der Router herunterfährt, wenn das Notebook in den Energiesparmodus wechselt)?
6. Sind die 100-Mbit-LAN-Ports des Mango für reines Online-Banking völlig ausreichend?

Vielen Dank für eure Erfahrungen und Korrekturen!

 

[conf_t]

Das funktioniert grundsätzlich: Im Router-Modus ist standardmäßig kein Zugriff von der WAN-Seite ins dahinterliegende LAN möglich. Entscheidend ist die Firewall. Umgekehrt kann das Banking-Notebook weiterhin auf dein Heimnetz zugreifen. Für beidseitige Isolation brauchst du zusätzliche Regeln. 100 Mbit reichen fürs Banking problemlos, doppeltes NAT ist normalerweise unkritisch. Prüfe außerdem, dass die Verwaltung nicht von der WAN-Seite erreichbar ist und keine Portfreigaben eingerichtet sind.

Die Isolation schützt allerdings weder vor Phishing noch vor Schadsoftware auf dem Notebook, Sicherheitslücken im Browser oder einer kompromittierten Router-Firmware.

Entscheidend sind passende Spannung und ausreichende Leistung: Liefert der USB-Anschluss beispielsweise nur 5 Watt, kann das zu wenig sein. Im Energiesparmodus kann die Versorgung außerdem ausfallen. Ein passendes Netzteil wäre zuverlässiger.

Wenn du diesen Aufwand aus Sicherheitsgründen betreibst, würde ich auch Herstellervertrauen und langfristige Firmwareupdates berücksichtigen. Aufgrund dokumentierter Lieferkettenprobleme und schlechter Erfahrungen mit der Updateversorgung chinesischer Hersteller im allgemeinen (auch TP Link ist so ein Fall) würde ich persönlich dafür von Hardware chinesischer Hersteller Abstand nehme . Mit dem zusätzlichen Router kommt schließlich eine weitere Komponente hinzu, der du vertrauen musst.

 

[Engaged]

Meine Fragen:

1. , oder gibt es einen besseren Ansatz

Hat dein Router gäste LAN wenn ja das.

1. Blockiert die Standard-Firewall des Mango zuverlässig den Zugriff vom vorgelagerten Netzwerk (WAN-Seite) auf das dahinterliegende Subnetz? Muss ich dafür etwas konfigurieren?

Wenn er als Router betrieben wird an WAN, aber umgekehrt hat er lappi Zugriff aus dem mangonetzwerk auf den Rest vom netzwerk.

1. Ist die Weboberfläche des Mango von der WAN-Seite aus erreichbar (also aus meinem Heimnetzwerk), und kann dies deaktiviert werden?

Auf default nicht.

1. Gibt es beim Online-Banking Probleme aufgrund von doppeltem NAT (Connect Box 3 + Mango)?

Ausprobieren, Banking sollte gehen.

1. Gibt es mögliche Probleme bei der USB-Stromversorgung über das Notebook (z. B. dass der Router herunterfährt, wenn das Notebook in den Energiesparmodus wechselt)?

Solange kein Update läuft während der Strom gezogen wird nicht.

1. Sind die 100-Mbit-LAN-Ports des Mango für reines Online-Banking völlig ausreichend?

Aber mehr als genug.

Ergänzung (Samstag um 09:14)

Wenn du diesen Aufwand aus Sicherheitsgründen betreibst, würde ich auch Herstellervertrauen und langfristige Firmwareupdates berücksichtigen. Aufgrund dokumentierter Lieferkettenprobleme und schlechter Erfahrungen mit der Updateversorgung chinesischer Hersteller im allgemeinen (auch TP Link ist so ein Fall) würde ich persönlich dafür von Hardware chinesischer Hersteller Abstand nehme .

Der Mango hat vor über einem Jahr sein letztes Update bekommen.
Aber der ist auch uralt und die Hardware extrem begrenzt, letzte final halt aus 2025.
Sehe aber gerade dass es eine Beta gibt die aus diesem Jahr ist, also EOL ist er aber trotzdem wohl nicht.
Vanilla openWRT aber auch möglich.

Oder den neuen Mango 2 nehmen, der wird viele Jahre Support haben.

Pre Order Phase ist aber seit gestern oder so vorbei, Auslieferung erfolgt Ende Oktober, wahrscheinlich wird man dann erst wieder bestellen können wenn die erste Batch in Deutschland ankommt.

PS: Gl.iNet sagt auf den Support Seiten dass die sicherheitslücken innerhalb von 90 Tagen schließen, das ist doch genau dieses Fenster bis Lücken dann veröffentlicht werden.

Sie garantieren weitere zwei Jahre oder ggf länger Support nach produktionsende, das ist auch alles schriftlich festgehalten.



https://www.gl-inet.com/en-de/blogs/security-updates?hl=de-DE&country=DE

 

[RedPanda05]

Liefert der USB-Anschluss beispielsweise nur 5 Watt, kann das zu wenig sein

Der Mango V2 will im Betrieb irgendwas zwischen 1-3 Watt da sehe ich kein Problem.

würde ich persönlich dafür von Hardware chinesischer Hersteller Abstand nehme

Einfach natives Openwrt installieren (geht auf kompatiblen Gl Inet Geräten in ~10 Minuten) und das Problem existiert nicht mehr.
https://openwrt.org/toh/gl.inet/gl-mt300n_v2

 

[CoMo]

Ich schlage alternativ den EdgeRouter X vor. Etwas professioneller, Metallgehäuse, Gigabit Ports, PoE. Mit der Software lässt sich schon einiges anstellen, da läuft aber auch OpenWrt problemlos drauf.

Gebraucht gibt es den auch günstiger.

 

[RedPanda05]

@CoMo halte ich hier für chronischen Overkill. Gerät kostet mehr, höherer Stromverbrauch, zusätzlich belegte Stockdose, nimmt mehr Platz ein und dafür Features, die überhaupt nicht gebraucht werden.

 

[CoMo]

Ich habe den auf eBay gebraucht für 29€ gekauft. Der Mango kostet 31€.

Die Stromversorgung über das Notebook wäre mir sowieso zu wackelig. Das Ding soll ja auch nicht jedes mal neu starten, wenn das Notebook wegen Updates rebooted.

Die zusätzlichen Stromkosten von ~1,30€ / Jahr muss man sich natürlich leisten können.

 

[RedPanda05]

Ich habe den auf eBay gebraucht für 29€ gekauft. Der Mango kostet 31€.

Ich habe meinen Mango v2 für 15€ gebraucht gekauft. Der Vergleich neu vs gebraucht war schon immer unsinnig.

Das Ding soll ja auch nicht jedes mal neu starten, wenn das Notebook wegen Updates rebooted.

Eigentlich soll er genau das machen

Gibt es mögliche Probleme bei der USB-Stromversorgung über das Notebook (z. B. dass der Router herunterfährt, wenn das Notebook in den Energiesparmodus wechselt)?