Hörmann Gateway betreiben

[frosch006]

Hallo,
Ich habe ein Hörmann Gateway für die Haussteuerung usw. das möchte ich so einrichten, dass allen im Haus befähigten Personen darauf zugriff haben, bzw. sich damit verbinden können.
Wir haben ein 2fam. Haus. unser Untermieter nutz mit uns den Internetzugang. Internetzugang ist folgender maßen aufgebaut.
Hauptrouter ist eine Fritzbox 7390, daran ist an den LAN 1 eine FB 3390 die unsere Wohnung mit LAN und WLAN versorgt.
An den LAN 2 und 3 der FB7390 sind ein Rechner im Hobbykeller und ein Internetradio angeschlossen und wird auch von uns genutzt. Am LAN 4 der FB 7390 ist der Gastzugang eingerichtet und daran ist eine FB 7270 per LAN angeschlossen und versorgt die Einliegerwohnung mit LAN und WLAN.
Ich hatte anfangs das Hörmann Gateway am Gastzugang der FB 7390 angeschlossen, denn dann konnte von der Einliegerwohnung FB 7270 und der Gastzugang von der FB7390 darauf zugreifen. Problem war bei diesen Anschluss, dass ich keine Inetnetverbindung zum Gateway herstellen konnte. Laut Hörmann sollte ich: TCP Port 80 und Port 4000
UDP Port 443 freischalten. Da diese freischaltung aber am Gastzugang nicht möglich ist brauche ich eine andere Anschlussmöglichkeit.
Wie kann ich mein Netzwerk neu organisieren, dass das möglich ist und jeder sein eigenes Netzwerk hat?
Ich hab schon überlegt am Hauptrouter der FB 7390 den Gastzugang deaktivieren und einen Adressbereich zu vergeben auf den beide daran angeschlossenen Router mit nutzen können um an diesem Router auch das Gateway anzuschliesen. Den beiden anderen Routern jeweils einen Adressbereich vergeben, dass ein übergriff in das Netzwerk der Einliegerwohnung bzw. umgekehrt in unser Netzwerk nicht möglich ist.
Funktioniert sowas? Wie sollte ich die Bereiche dann wählen?
Zur verfügung steht jeweils eine FB 7390, FB 3390, FB 7270

ma

 

[darkange_1]

Ohne viel umzubauen solltest du dir eine Firewall anschaffen. Etwa eine kleine ASA von Cisco, Juniper Oder zyxel. Meiner Meinung nach kann man keine VLANs und ein dediziertes Firewalling auf der Fritzbox einrichten.

Dabei würde ich alles so belassen und den Anschluss von LAN 4 und vom Untermieter in die Firewall stecken. Anschließend das Routing auf den Fritzboxen einrichten, die dann unterschiedliche Netze haben sollten.

Danach kannste explizit eine Netzwerkfreischaltung vom Gastnetzwerk nur zu der IP der Appliance einrichten.

 

[frosch006]

Hallo,
ich hab mal nach Firewall gegoogelt, ist das nur das Gerät oder muss dazu noch Software gekauft werden? In der Bucht hab ich was gebrauchtes gefunden, da heißt es aber, dass alle Lizensen nichtmehr aktiv sind, Antivirus etc.
Reicht ein Switch auch der verwaltet? Was muss so eine Firewall an Ausstattung und anschlussmöglichkeit bieten? Soll er 2x WAN haben? Brauche da noch Info.

ma

 

[darkange_1]

Also die ASA 5505 bekommste für ca. 100€ gebraucht in der Bucht. Die sollte für deine Belange reichen und hat eine Adminoberfläche, in der du dich schnell rein arbeiten kannst. Besonders weil du hier nichts spezielles brauchst. Alternativ kann auch ein alter Rechner mit Linux und mindestens zwei Netzwerkanschlüssen genutzt werden.

Es geht darum, dass du ein Gerät besitzt, dass die Netzwerkverbindungen zwischen den Netzen einschränkt. Prinzipiell könnten die Fritzboxen das auch, weil sie streng genommen auch Firewallfunktionalitäten besitzen, aber leider werden diese benötigten Funktionen nicht von AVM in der Fritzbox angeboten.

Also was machst du:
1. Du besorgst dir eine Firewall Appliance Oder vergleichbares
2. Du stellst sicher, dass die Fritzbox in der Einliegerwohnung ein anderen IP-Adressbereich hat wie die 7390, die den Gastzugang zur Verfügung stellt.
z.B. 7390 hat 172.16.0.0/24 und 7270 z.B. 10.10.10.0/24
3. An der Firewall konfigurierst du die jeweiligen Netzwerkports. Z.B. Anschluss 1 erhält die IP-Adresse 172.16.0.254 und auf den zweiten Anschluss konfigurierst du 10.10.10.254.
4. Du richtest auf den Fritzboxen das Routing ein. Auf der 7390 richtest du ein, dass das 10.10.10.0/24 Netz über über 172.16.0.254 zu finden ist. Auf der 7270 richtest du ein, dass das Netz 172.16.0.0/24 über 10.10.10.254 zu finden ist.
5. Auf der ASA stellst du eine Regel ein, die "deny any" heißt. Das bedeutet, dass alle Verbindungen zwischen den beiden Netzwerken von der Firewall unterbunden werden. Als nächstes richtest du eine "allow" Regel ein. Ziel Hörmann Gateway (z.B. IP 172.16.0.10) mit den gewünschten Ports oder halt alle Ports. Die Richtung ist von 10.10.10.0/24 nach 172.16.0.10.

Dann haste die Netze ordentlich getrennt, so dass der Untermieter nicht auf dein Netzwerk und umgekehrt zugreifen kann.

Wenn du das Hörmann Gateway noch von außen verfügbar machen willst, kannste dann noch ein Portforwarding auf der 7390 einrichten. Solltest dann aber noch DNSDNY Account anlegen.
Lass mir dir aber sagen, dass ich dir das aus Sicherheitssicht nicht empfehlen kann.
Ich würde dir raten kein Portforwarding zu machen und das Gateway zum Internet zu präsentieren. Ich würde eher VPN Accounts auf der 7390 einrichten und die Geräte, die darauf zugreifen sollen mit den VPN Accounts ausstatten.

Und zum Switch:
Ein Switch bewegt sich in der Regel zwischen Layer 2 und 3 besitzt keine Firewalling Funktionalitäten. Bessere Switche besitzen sehr gute Routing Protokolle und andere Eigenschaften.

 

[frosch006]

AW: Hörmann Gateway betreib

Hallo,
Danke für deine ausführliche Antwort, ich denke damit Schaffe ich es auch.
Zu der Firewall, wie bereits erwähnt hab ich in der buch eine günstige gesehen, ist eine Zyxel usg 100. taugt die was, ist die für meinen Zweck ausreichend?

ma

 

[frosch006]

Hallo,
gibt es für die Cisco ASA eine deutsche Anleitung?
Bzw. gibt es überhaupt eine Firewall mit deutscher Anleitung?
Ich hab mich auf der Cisco Seite mal umgeschaut, habe dort aber keine Bedienungsanleitung zum download gefunden. In der Bucht hab ich mal einen angeschrieben der die ASA 5505 verkauft, aber auch ohne Anleitung.
Ist es mir als Laie und ohne englisch möglich eine Firewall einzurichten?
darkangel_1
Deine Beschreibung liest sich schon gut, aber ich muss auch erstmal die Punkte dort finden, wo ich die Eintragungen vornehmen muss.

ma

 

[darkange_1]

Das Management Tool der ASA (ADSM heißt es glaub ich) gibt es auch in deutsch. Eine Anleitung ist mir nicht bekannt. Du wirst ein bisschen Zeit investieren müssen, um dich dort einzuarbeiten. Prinzipiell tut es auch die Zyxel oder jede vergleichbare Firewall, da deine Anforderung sehr einfach und rudimentär sind.

Als Laie gebe ich aber offen zu, wirst du dich ein bisschen schwierig tun, der sich mit Netzwerkthemen nicht so stark auseinander gesetzt hat.