Netzwerk separieren / sicherer machen

[dom0309]

Hallo zusammen,

ich würde gerne die privaten Geräte von einander separieren und Systeme "sicherer" machen in dem man sie netzwerktechnisch voneinander trennt und somit vor z.B. Viren die sich im Netzwerk verbreiten, schützt.

Zentraler Punkt des Anstoßes ist eigentlich der PC gewesen. Dieser war immer für private Dinge und Gaming. Da der PC auch mal vom Junior oder anderen genutzt, wird habe ich auf dem PC eine VM mittels VMware Player aufgesetzt damit da dann gespielt werden kann. Der Nachteil ist aber, das die Hardware nicht immer optimal durchgereicht wird. Daher kam der Gedanke die privaten Dinge (Dokumente, Mails, Banking) auf einen anderen PC auszulagern und den bestehende PC nur noch für Gaming und Testing zu nutzen. Sollte das System dann durch irgendetwas infiziert werden wäre es nicht dramatisch das System neu zu installieren.
Auf diesem Wege kam mir dann in den Kopf die Systeme idealerweise dann netzwerktechnisch zu separieren damit nicht das neue "private" System möglicherweise übers Netzwerk infiziert wird.

Momentan läuft alles zentral über eine Vodafone Station wo, wie es aussiehst, maximal eine Trennung durch 2 WLAN Netze möglich ist.

Zudem gäbe es noch die Konstellation, dass ich gerne mit zwei Handys zwei TVs und eine Soundbar steuern würde. Alle Geräte sind von Samsung und sollen über die Smart Things App gesteuert werden. Dazu müssen sie in einem Netzwerk sein. Das ist jetzt schon ein Problem, da die Vodafone Station LAN und WLAN Geräte scheinbar trennt. Zumindestens findet die Smart Things App auf den Handys den TV und die Soundbar nicht. Vermutlich wegen den unterschiedlichen IP Ranges.

Ich hätte noch einen älteren TP-Link 4900 WLAN Router.

Hier mal konkret die Fragen:

1. Sollte man das System für die privaten Dinge lieber per separater Hardware aufsetzen oder wäre eine VM auf dem Gaming PC sicher vor einem Befall?
2. könnte man den TP Link an die Vodafone Station hängen und dort alle Geräte anschließen damit sie sicher vor einer Infizierung übers Netzwerk von Geräten sind die nur ins Internet können müssen und an der Vodafone Station hängen?
Ein Austausch zwischen Daten sollte dann lediglich zwischen dem privaten System und einem NAS zu Backupzwecken von Nöten sein.
3. Bekommt man es irgendwie realisiert, dass Geräte aus einem Wlan und Lan die gleiche IP Range haben oder das diese zumindestens miteinander kommunizieren können auch wenn sie nicht im der selben Range sind?


Dann erstmal vielen Dank für's Lesen und vorab auch schon für eure Ideen und Tipps.

 

[Zer0DEV]

Der TP-Link WLAN-Router ist EOL. Also keinerlei Support und damit keine aktuelle Software gegen etwaige Sicherheitslücken, bspw. für WiFi.

TP-Link würde ich auch nie in einem Satz mit "sicher" verwenden. (meine persönliche Meinung).

Grundsätzlich kann man mit dem richtigen WLAN-Router das WLAN und das LAN voneinander trennen, so dass die Geräte untereinander nur mit dem Gerät im gleichen Netz kommunizieren können.
Dafür musst Du aber Geld in die Hand nehmen und dich außerdem mit der Routersoftware auseinandersetzen.

AVM ist für Laien "leichter" verständlich. Die Hardware ist bei AVM auch nur 0815. Die Software ist das wofür man da eigentlich Geld bezahlt.
Ansonsten gibt es eben Router von ASUS, die man bspw. mit erweiterter Firmware ausstatten kann.
Darunter Asuswrt-Merlin (gleicher Oberfläche wie das original AsusWRT, aber mehr Funktionen) oder auch FreshTomato (komplett andere Oberfläche). Da kann man dann virtuelle LAN/WLAN konfigurieren und entsprechend trennen.

 

[chrigu]

Wenn du schon mit Kanonen auf Spatzen schiessen möchtest…
Kauf dir ein vigor Router mit vlan und separiere mit einem vlan fähigen Switch dein Netzwerk. Weil mit einer kabelbox kannst du nur mittels gastnetz trennen

 

[norKoeri]

Bekommt man es irgendwie realisiert, dass Geräte aus einem Wlan und Lan die gleiche IP Range haben oder das diese zumindestens miteinander kommunizieren können auch wenn sie nicht im der selben Range sind?

Dafür bitte einen neuen Thread nur mit diesem Thema aufmachen. Dort dann unbedingt das Modell der Vodafone Station nennen, also die Bezeichnung des aufgedruckten Labels.

den bestehende PC nur noch für Gaming und Testing

Muss der Computer irgendwie auf ein anderes lokales Gerät zugreifen, z. B. Drucker? Falls nicht, was spräche dagegen diesen Computer ins Gast-Netz zu setzen?

 

[Raijin]

Ich glaube der Sicherheitsgedanke geht hier in die falsche Richtung. Der beste Schutz vor Malware ist Disziplin. Keine Downloads aus unbekannten Quellen, regelmäßige Malware-Scans, ggfs ein DNS-Filter wie pihole, Adguard oder ein entsprechender public DNS mit Filter, aber maßgeblich Aufklärung aller Nutzer im Haushalt, insbesondere natürlich Kinder und Jugendliche.


Mehrere separate Netzwerke leisten nur dann einen Beitrag zur Sicherheit, wenn die Firewall zwischen ihnen entsprechend konfiguriert wird - so wie sie es zB bei einem Gastnetzwerk bereits ab Werk der Fall ist. Deswegen wäre das meines Erachtens auch sinnvoller als eine DIY Lösung ohne das nötige KnowHow. Problem bei der Lösung über die Gastfunktion: Der PC wäre komplett vom Hauptnetz isoliert. Nix Netzwerkdrucker, nix NAS, nix Smart Home, sondern Gastnetzwerk und Internet only.

 

[dom0309]

Zunächst mal Danke für euren Input.

@norKoeri:
Vodafone Wi-Fi 6 Station ist das Modell.
Das Gastnetz ist lediglich ein Wlan. Der Lan-Bereich ist nicht unterteilbar.

@Raijin:
Also bringt es keinen Mehrwert wenn man hinter dem Router noch ein zweites Gerät hat was zumindest einen anderen IP Kreis hat?

 

[norKoeri]

Vodafone Wi-Fi 6 Station

Welche genau; gibt auch von der schon mehrere Varianten. Das dann bitte in dem neuen Thread.

Das Gastnetz ist lediglich ein Wlan. Der Lan-Bereich ist nicht unterteilbar.

Das ginge mit einer FRITZ!Box Cable … im freien Handel kaufen und bei Vodafone telefonisch anmelden. Oder von Vodafone eine mieten. Allerdings sind Geräte im LAN-Gastzugang nicht separiert … Würde das schon ausreichen?

 

[Raijin]

Also bringt es keinen Mehrwert wenn man hinter dem Router noch ein zweites Gerät hat was zumindest einen anderen IP Kreis hat?

Jein. Der Teufel steckt wie so oft im Detail.

Zum einen hat "ein anderer IP-Kreis" nichts mit Sicherheit zu tun. Das ganze www hat "viele andere IP-Kreise", um es mal so zu erklären.

Zum anderen bieten auch mehrere Netzwerke - und das meinst du wohl - ebenfalls nicht per Definition mehr Sicherheit. Die Sicherheit mehrerer Netzwerke wird einzig und allein durch die Firewall, die sie trennt, definiert. Und genau hier liegt der Hund begraben.
Bei einer herkömmlichen Routerkaskade kann das innere Netzwerk - am kaskadierten Router - ohne weiteres Zutun vollumfänglich auf das vordere Netzwerk - am Internetrouter- zugreifen. Die Firewall eines 08/15 Routers blockt nämlich nur eingehend, also vom WAN-Port in das lokale (W)LAN. Andersherum, also ausgehend, ist die Firewall offen,

www <--- Router#1 <--- Router#2
aber
www ---| Router#1 ---| Router#2

Wenn überhaupt, müsste mam also die vulnerablen Systeme hinter den 2. Router packen und die "gefährlichen" Geräte direkt an den Internetrouter.

Solche Routerkaskaden sind aber durch das Doppel-NAT auch nicht unproblematisch. In gewissen Situationen kann einem das auf die Füße fallen, zB wenn man von unterwegs via VPN auf das Heimnetzwerk zugreifen möchte. Dazu müsste man mit Portweiterleitungen im ersten und VPN-Server im zweiten Router arbeiten.


Wie gesagt, das beste Mittel ist Disziplin. Nicht mal in professionellen Firmennetzwerken kann durch die Infrastruktur inkl. hochgezüchteter Firewalls Sicherheit garantiert werden, wenn Mitarbeiter trotzdem auf jede Phishing-Mail reinfallen, die es durch die Schutzmaßnahmen schafft