Hyper-V, pfSense, Rechner isolieren

[Bob.Dig]

Also vorab, ich hab eher wenig Fachwissen, weil ich nicht vom Fach bin. 😁

Ich habe einen Homeserver (win10), auf dem läuft pfSense in Hyper-V mit zwei external Switches als mein alleiniger (Home-)Router, so weit so gut.

Nun habe ich überlegt, eine weitere VM anzulegen, welche aus dem WAN erreichbar sein soll, aber nicht mit dem LAN kommunizieren soll dürfen.

Unwissend stelle ich mir jetzt die Frage, wie ich das realisiere. Mittels VLAN, welches ich noch nie benutzt habe und vielleicht auch nicht von allen Geräten in meinem LAN unterstützt wird oder per weiterem virtuellen Switch in Hyper-V? Und wenn letzteres, mit welchem?

Weiß momentan nicht, von wo aus ich das Pferd aufzäumen soll...

 

[leipziger1979]

Ich habe einen Homeserver (win10), auf dem läuft pfSense in Hyper-V mit zwei external Switches als mein alleiniger (Home-)Router, so weit so gut.

Dessen Basis sind also schon 2 physische Netzwerkkarten (vom Mainboard?)?

Nun habe ich überlegt, eine weitere VM anzulegen, welche aus dem WAN erreichbar sein soll, aber nicht mit dem LAN kommunizieren soll dürfen.

Das geht mit einer weiteren physischen Netzwerkkarte die an einem externen Switch ohne Hostadapter hängt.

Bevor man hier irgendwas mit VLAN bastelt ist es das einfachste eine USB Netzwerkkarte zu kaufen so das Mainboard nicht 3 physische Netzwerkkarten hat.

 

[Masamune2]

Eine weitere Schnittstelle ist das nicht nötig. Du legst einen weiteren virtuellen Switch vom Typ intern an und hängst dort Server und pfsense dran. Dann kann der Server über die pfsense ins Internet, nicht jedoch ins LAN wenn du es dort in der Firewall nicht so frei gibst.

 

[Bob.Dig]

@Masamune2 Müsste nicht sogar ein privater Switch reichen? Denn mit dem Host muss ja auch nicht kommuniziert werden. Ich hatte bis jetzt noch kein pfSense mit zwei "LAN-Ports" im Betrieb, mal sehen ob ich es hinkriege.

Dessen Basis sind also schon 2 physische Netzwerkkarten (vom Mainboard?)?

Korrekt so.

 

[Masamune2]

Ja hast natürlich recht, das reicht auch schon.

 

[Bob.Dig]

Ja hast natürlich recht, das reicht auch schon.

Nice.
Zu pfSense, sind das dann LAN-Segmente, muss ich unterschiedliche Netmasken verteilen oder kann das alles so bleiben und wird nur durch Firewallregelen getrennt?

 

[Masamune2]

Du gibst der pfsense eine weitere Netzwerkkarte die am neuen privaten Switch hängt und konfigurierst dort eben ein eigenes Netz.