Netzwerksicherheit. abtrennung eines netzwerk segments.

[Screemer]

Grüße euch

ich hab heute angefangen bischen an unserem netzwerk rum zu basteln und hab da ein paar fragen.

Problemstellung ist folgende:

Wir bekommen unsere internetverbindung via richtfunk-strecke jetzt wollten wir unseren gästen einen wlan-access point zur verfügung stellen. allerdings sollte dieses netzwerk keinesfalls zugriff auf unser privates/büro-netz haben.

bisher war der aufbau wie folgt.

richtfunk.-.master-router(dhcp)--switch--bürorechner--ap.-.wlan-clients(privat)

ips werden vom router (OS: MicroTik) via dhcp vergeben. ips des musters 10.0.0.x, subnetz 255.255.255.0, standart-gateway 10.0.0.1.


heute habe ich folgendes gemacht.

richtfunk.-.master-router(dhcp, qos)--switch--bürorechner--ap (wpa2).-.wlan-clients(privat)

|
wlan-router(wan-port,dhcp,offen).-.wlan-clients(gäste)​

der wlan-router hängt also mit dem wan-port am switch und bekommt eine ip vom dhcp des master-router (habs mal so genannt) zugewiesen und verteilt wiederum via eigenem dhcp ips des musters 192.168.0.x an seine wlan und lan clients.

meine frage ist jetzt die folgende, kann einer unserer gäste mit böser absicht aus dem 192.168.0.x-netz zugriff auf das 10.0.0.x netzwerk bekommen? sprich ist es irgendwie möglich, egal ob per lan oder wlan, eine ip aus dem anderen netz zu bekommen oder sich anderweitig zugang zu verschaffen? natürlich voraussetzung er bekommt keinen physikalischen zugang zum wlan-router oder aufgrund eines unsicheren passworts auf das konfigurationsinterface des wlan-routers.

thx schon mal für eure antworten.

 

[harter_keks]

Hi,

am sichersten wärst du mit VLANs. Sprich eine Switch die VLANS kann und dann so konfigurieren, dass beide Leitungen auf die Antenne zugreifen können, aber nicht untereiander. Das wäre meiner Meinung nach die sicherste. IP Adressen kann jeder ändern....

 

[Screemer]

ip adressen ändern schon. allerdings habe ich es mit meinem wissensstand nicht zustande gebracht aus dem netz, dass am wlan-router hängt, auf das netz mit den 10er ips zuzugreifen, egal was ich gemacht hab. bin allerdings nicht so der ober checker was netzwerktechnik angeht, deshalb meine frage.

 

[Bambaataa22]

Naja, der Gast-Router routet ja das 192er Netz in das 10er Netz, sonst hätten die Gäste ja kein INet...


Ich würde mich auf jeden Fall harter_keks anschließen und 2 VLANs aufsetzen.