VLAN im gleichen LAN

[DFFVB]

Hallo zusammen,

ich nutze (wie mancher weiß ;-) ) eine Fritzbox und dahinter einer weiterer Router mit dem Hauptnetz (doppeltes NAT ist hier kein Problem). An der Fritzbox sind verschiedene Dienste die per Portwarding / VPN erreichbar sind. Nun ist das Problem, wird ein Server infiziert, wäre davon auszugehen, dass dem kompletten Netz nicht mehr getraut werden kann.

Nun will mein ISP Geld für die FB, da dachte ich selber ein Modem zu kaufen. Weil ein Draytek Vigor 2765 Modem router gleichviel kostet, dachte ich dem mal eine Chance zu geben. Was verspreche ich mir davon? Der kann VLAN, ergo könnte ich jeden Dienst in ein eigenes VLAN packen und isolieren. Während dem Versuch mich dazu zu belesen, bin ich öfter darauf gestoßen, dass das nicht per se sicher sei, und man hier auf eine strenge Isolierung achten soll (Stichwort Layer 2 / Layer 3). In der Doku vom Draytek steht, dass er nur zwei LANs unterstützt, und separierte VLANS einfach in Subnetze getrennt werden. Sprich nicht:

VLAN0 = 192.168.1.x
VLAN 1 = 192.168.2.x

sondern

VLAN0 = 192.168.1.1-10
VLAN 1 = 192.168.1.11-20
etc.

Freilich ist der Schalter, dass die VLANs miteinander reden dürfen deaktiviert, ich frage mcih aber aus Sicherheitsgründen, wie sinnvoll das Ganze dann noch ist, und ob ich nicht doch ne Fritte hole und hinter diese einen günstigen / gebrauchten managed Cisco klemme, mit welchem ich die Netze sauber(er) getrennt bekommen. Müsste dann ein Layer 3 Switch sein, wenn ich das richtig sehe.


Im weiteren stellt sich natürlich generell die Frage, wie gut man mit Draytek fährt. Im Werkszustand waren ein paar Ports offen, admin / admin als Login und Login aus dem Web aktiviert. Finde das ehrlich gesagt nicht so cool, wenn ein Gerät per se unsicher ausgeliefert wird. Andererseits hat man damit sehr granulare Einstellmöglichkeiten und Site-to-Site VPN ist auch was feines...

 

[gaym0r]

und separierte VLANS einfach in Subnetze getrennt werden. Sprich nicht:

VLAN0 = 192.168.1.x
VLAN 1 = 192.168.2.x

sondern

VLAN0 = 192.168.1.1-10
VLAN 1 = 192.168.1.11-20
etc.

Wo liest du das in der Doku?

Ich sehe in der Doku, dass das Gerät bis zu 15 VLANs unterstützt, die du munter auf den Ports verteilen kannst (auch tagged)

 

[DFFVB]

Ja, aber es lässt sich immer nur LAN 1 oder LAN 2 auswählen... Das bedeutet ja nur zwei LAN der Rest Subnetze?

 

[Nizakh]

Hast du den Router schon?

Ansonsten schaue dir doch mal die Konfigurationsoberfläche an:
https://www.draytek.de/vigor2765-serie.html
(Auf Live-Web-Demo klicken)

 

[RalphS]

VLAN hat mit LAN gar nichts zu tun. Das ist eine virtuelle (V) Segmentierung.

Wenn Du jetzt ein lokales LAN hast sagen wir 192.168.178.0/24 (typisch FB), und Du implementierst VLAN,
dann kommen neue Segmente dazu, OBWOHL die physikalisch gar nicht da sind.

Sprich, das bisherige LAN kriegt VLAN ID=0 und bleibt ..178.0/24. Wenn man gar nichts macht, bleibt das dabei.
Dazu kommt VLAN ID=1, wenn man das anlegt. Da hat man die freie Wahl. Das kann ...168.0/24 sein. Es kann aber auch 10.0.0.0/8 sein. Völlig wumpe. Aus dem privaten Bereich muß es sein und Kollisionen darf es nicht geben, aber das wars.

Die logischen(!) Segmente bleiben aber erhalten. 192.168.0.1 - 10 und dann 11 - 20 kann nicht funktionieren, nicht im LAN und auch nicht im VLAN.

 

[Zero_Official]

Warum Draytek? und nicht Ubiquiti zb. ER-4
der kann Vlans, DPI und beherrscht allerlei Regeln in verbindung mit einem L3 Switch hast du jede Menge was du an Sicherheit aufdrehen kannst.

 

[Raijin]

VLAN-Tags stehen im Ethernet-Frame, also in Layer2. Sie haben also erstmal nichts mit IP-Adressen am Hut bzw sitzen eben unter den IPs (Layer3). Das heißt, dass ein LAN-Port (zB eth1) mit 3 tagged VLANs (10, 20, 30) im übertragenen Sinne 3 Interfaces bietet, eth1.10, eth1.20, eth1.30. Jedes Interface bedient dann ein anderes Subnetz, das man der Einfachheit halber häufig an die VLAN-ID anlehnt bzw die ID ans Subnetz, zB 192.168.10.0/24, 192.168.20.0/24, 192.168.30.0/24.

Ist ein Port so konfiguriert, dass dort nur VLAN 20 und 30 drauflegen, kann sich ein angeschlossenes Gerät auch maximal in diesen VLANs bzw Subnetzen bewegen. Ein potentieller Eindringling kann an einem solchen Port also nicht mit wenigen Handgriffen plötzlich ins VLAN10. Dazu müsste er das Gateway zu VLAN10 bzw dessen Firewall angreifen.

Man kann mit VLANs also durchaus sicher arbeiten, aber der Teufel steckt im Detail. Legt man stur auf alle Ports alle VLANs, ist es auch für einen Angreifer nur eine Frage des VLAN-Tags, weil dann eben doch an jedem Port alles verfügbar ist. Es kommt also wie so oft auf die saubere Konfiguration der Ports und vor allem des Gateways bzw dessen Firewall an wie sicher das ganze ist.

Ob es sinnvoll ist, jeden Dienst in ein eigenes VLAN zu packen, wage ich mal zu bezweifeln. Gestalte das VLAN-Setup so komplex wie nötig, aber so simpel wie möglich. Mit jedem zusätzlichen VLAN steigt die Komplexität der verwaltenden Firewall, weil du alle Richtungen zwischen allen VLANs berücksichtigen musst. In der Regel reicht ein separates Netz für Server, eine DMZ. Diese wird dann so abgesichert, dass vom Hauptnetz die Dienste in der DMZ bedient werden und die Dienste ins Hauptnetzwerk antworten dürfen, aber von sich aus darf von der DMZ aus keine Verbindung ins Hauptnetzwerk initiiert werden.


*edit
Einen Layer3-Switch braucht man im Prinzip nur, wenn sehr viel Traffic zwischen den VLANs zu erwarten ist, weil der L3-Switch dann mit Hilfe von Inter-VLAN-Routing ähnlich wie ein dummer Switch direkt von Port zu Port switchen kann, auch über VLANs hinweg. Mit einem L2-Switch ginge das nicht, d.h. der Traffic müsste immer erst über den VLAN-Uplink zum Gateway/Router gehen, um von dort dann wieder über den VLAN-Uplink zum Switch zurückzukommen und zum Ziel-Port geswitcht zu werden.

 

[Zero_Official]

@Raijin
Stimme ich zum teil zu... man kann den Vlans diverse acl und regeln und routen zuweisen....
ich zb. habe mehrere Vlans.. einer davon ist für externe geräte die über ddns auf interne dienste zugreifen wie IOT oder Cameras oder smartphones etc...
aber wie du sagst so komplex wie nötig und einfach wie möglich.

 

[Nizakh]

Warum Draytek? und nicht Ubiquiti zb. ER-4
der kann Vlans, DPI und beherrscht allerlei Regeln in verbindung mit einem L3 Switch hast du jede Menge was du an Sicherheit aufdrehen kannst.

Gegenfrage: Warum Ubiquiti? - Empfinde den DrayTek von seinen Netzwerkfeatures und der tieferen Konfiguration her als besser. Zusätzlich kommt noch das integrierte Supervectoring Modem, welches der TE zwingend benötigt. (Eine Kombination aus DrayTek Vigor165 Modem + Ubiquiti Router ist teurer und bringt keinen Mehrwert im Vergleich zu einem DrayTek Vigor2765, welcher alles dann in einem Case abbildet und gleichzeitig auch noch günstiger in der Anschaffung ist. Natürlich wäre ein größeres DrayTek Modell, bsp. 2865 der wohl im Februar kommen soll, noch besser. Die kleinen Modelle sind immer etwas "beschnitten" im Bezug auf Beispielsweise die Anzahl der VPN Tunnel usw. Für die gewünschten Funktionen: VLAN, sehe ich da aber auch kein Muss ein höheres Modell zu wählen.)

@DFFVB
Bei der Konfiguration könnte dir dieses Video weiterhelfen:

YouTube

An dieser Stelle steht ein externer Inhalt von YouTube, der den Forumbeitrag ergänzt. Er kann mit einem Klick geladen und auch wieder ausgeblendet werden.

YouTube-Embeds laden

Ich bin damit einverstanden, dass YouTube-Embeds geladen werden. Dabei können personen­bezogene Daten an YouTube übermittelt werden. Mehr dazu in der Datenschutzerklärung.

YouTube-Embeds laden

Datenschutzerklärung

 

[DFFVB]

Danke erstmal allen fürs schnelle Feedback!

Hast du den Router schon?

Jup, muss mir nur überlegen, ob ich ihn zurückschicke ;-)

Die logischen(!) Segmente bleiben aber erhalten. 192.168.0.1 - 10 und dann 11 - 20 kann nicht funktionieren, nicht im LAN und auch nicht im VLAN.

Naja, wenn ich zwei LAN habe die darunter liegen, und 15 VLAN darauf aufteilen kann, dann muss ich die Bereiche ja aufspalten, da ich ja nicht beliebig IP Adress Bereiche vergeben kann. Zumindest um Draytek gibt es zwei LAN, und die geben mir den Unterbau vor?

Warum Draytek? und nicht Ubiquiti zb. ER-4

Ja an den EdgeRouter habe ich auch schon gedacht, zumal er halt auch P/L Sieger, und vom Kollegen @Raijin häufiger empfohlen wird, leider kommt der per default offen, da müsste ich erstmal richtig lernen. Der Draytek könnte ein Kompromiss sein.

Ist ein Port so konfiguriert, dass dort nur VLAN 20 und 30 drauflegen, kann sich ein angeschlossenes Gerät auch maximal in diesen VLANs bzw Subnetzen bewegen. Ein potentieller Eindringling kann an einem solchen Port also nicht mit wenigen Handgriffen plötzlich ins VLAN10. Dazu müsste er das Gateway zu VLAN10 bzw dessen Firewall angreifen.

Das klingt erstmal beruhigend. Allerdings ist es bei dem Draytek so, dass es nur zwei Subnetze gibt. Man kann das Inter-LAN Routing unterbinden, aber sofern ich das einsehe, eben nur zwischen den zugrundeliegenden LAN 1 und 2. D.h. eine ganz sichere Trennung hätte ich, wenn ich beide in unterschiedliche LAN packe. Im gleichen Subnetz dürften sie sich ja in unterschiedlichen Gruppen auch nicht sehen. Ich stelle mir das Szenario vor, in welchem man ggf. durch probieren am Rechner selber andere Tags anfügt, und so schaut, was im Netz noch möglich ist...

Ich kopiere mal die Doku:

Und dann:

 

[Raijin]

In einem Subnetz gibt es keine Gruppen. Ein /24er Subnetz umfasst 256 IP-Adressen, abzüglich Subnetz- und Broadcastadresse bleiben 254 Hostadressen. Jede davon kann per Definition mit jeder kommunizieren. In einem geswitchten Netzwerk würde eine Firewall niemals auch nur ein Paket zu Gesicht bekommen, weil alles direkt im Switch von Port zu Port geht.

Mehr dazu später, wenn ich mit meinen beiden Nichten wieder vom Kino zurück bin. (Eiskönigin 2)

 

[RalphS]

VLAN tut nicht das was Du denkst. Da wird nichts aufgespaltet. Da liegt auch nichts darunter.

Beispiel. Ich hab hier einen Cisco Router. Dual WAN, single LAN, VLAN support, und WLAN.

Was hab ich damit gemacht?
- Eine SSID erstellt für 2.4G Geräte, WPA2/3 Personal. Hier kommt alles rein was anderswo nicht paßt. Bei mir sind das insbesondere irgendwelche Fertigteile ohne LAN-Anschluß oder wenn 802.1x nicht unterstützt wird. Kindle zum Beispiel, auch wenn die das so halb behaupten (evtl bin ich auch nur zu blöd).
Diese SSID hat bei mir die 192.168.1.0/24, ist eine VLAN ID (1) und ist gegen den Rest isoliert.

- Eine weitere SSID für 5G Geräte, ebenfalls WPA2/3 P. Hier kommen alle nicht recht vertrauenswürdigen Geräte rein. Auch diese SSID liegt auf der VLAN ID 1.

- und noch eine SSID, mein "richtiges" WLAN. Das ist ein WPA2/3 Enterprise mit Zertifikaten und Radius. Das ist ein "trusted network" und hat auf alle Ressourcen Zugriff. VLAN ID ist 2 und Netz die 2.0/24.

Dazu kommt das Kabelnetz, noch mal ein eigenes VLAN.

Das sind drei Segmente. Der Cisco hat gar keine drei LAN-Anschlüsse, auch nicht zwei wie bei Dir.
TROTZDEM geht es.

Was VLAN eigentlich macht, ist, die physische Topologie von der logischen abzutrennen und zu abstrahieren. Normal muß man einen Port haben am Router für jedes Segment, um dann dort eins einschließen zu können.
Mit VLAN kann man das ohne Router haben und das VLAN-fähige Gerät wird zum "Trenner". Einfach VLAN ids zu Ports zuweisen und schon hat auch ein Switch verschiedene Segmente an seinen Ports, auch wenn Switches das netzwerktechnisch gar nicht können.

Was aber erforderlich ist: durch die LOGISCHE Trennung der VLANs muß zwischen ihnen geroutet werden. Das kann das VLAN-fähige Gerät NICHT notwendigerweise selbst.


Kurz: es GIBT kein "darunterliegendes" Irgendwas. VLAN ersetzt vollständig. Es gibt stattdessen eine designierte Standard-ID (0) für "alles". Das ist das normale, ungetaggte Netzwerk ohne jede Zuweisung, so wie es auch ohne VLAN aussehen würde.
Sobald eine ID vergeben wird, kommt sie DAZU. Bei mir kommt zu 192.168.0.0/24 die 1 und die 2 dazu, ich hab dafür keine /22 definieren müssen, und hätte ich das gemacht, wäre mir das Ganze um die Ohren geflogen, da dann der IP-Bereich 1.0/24 und 2.0/24 bereits Teil des 0.0/22 sind und ich sie doppelt vergeben hätte.

 

[Raijin]

Mal ein simples Beispiel zur Verdeutlichung:

                     Router ohne VLANs
                  (LAN1)           (LAN2)
                      |             |
                      |             |
                Switch1             Switch2
                      |             |
                      |             |
   Subnetz 192.168.10.x             Subnetz 192.168.20.x

Mit VLANs könnte das so aussehen:

                     VLAN-fähiger Router
                           (LAN1)
                   (tagged VLAN10 + 20)
                             |
                             |
                   (tagged VLAN10 + 20)
                          (Port1)
                       VLAN-Switch
            (Ports 2-8)           (Ports 9-16)
      (untagged VLAN10)           (untagged VLAN20)
                     |             |
                     |             |
  Subnetz 192.168.10.x             Subnetz 192.168.20.x

Der Unterschied zwischen beiden Setups ist lediglich, dass die Trennung im ersten Fall rein physisch stattfindet (durch zwei physische LAN1 + LAN2 in verschiedenen Netzen), während sie im letzten Fall virtuell über die VLANs gewährleistet ist. Die Portkonfiguration des Switches lässt sich beliebig ändern, beispielsweise auch abwechselnd alle geraden Ports in VLAN10 und alle ungeraden in VLAN20 oder wie auch immer es einem passt. Man kann mittels eines weiteren Trunk-Ports (der mit allen VLAN-Tags) auch einen weiteren Switch mit einbinden. Die Endgeräte, die an den untagged Ports angeschlossen sind, haben von VLANs keine Ahnung mehr, weil es dort keine VLAN-Tags mehr gibt (daher "un"tagged). Somit kann ein potentieller Eindringling auch nicht einfach so ins andere VLAN eindringen bevor er nicht entweder den Switch oder den darüberliegenden Router gekapert hat.

 

[Uridium]

Das ganze Vorhaben ist doch fraglich. Solche Geräte sind auf Profit/Kostenersparnis optimiert und entsprechend billig konzipiert. Inneren Angriffen halten sie meist nicht stand. Was bringen irgendwelche wilden VLAN Experimente, wenn ich den Switch schon mit einem simplen ARP Flood in einen HUB verwandeln kann. Schicht1 besteht meist nur aus CPU-NIC-xPortSwitch. Die besseren Geräte bieten wenigstens dedizierte NICs für jeden Port, damit die CPU handlungsfähig bleibt.

 

[DFFVB]

VLAN tut nicht das was Du denkst. Da wird nichts aufgespaltet. Da liegt auch nichts darunter.

Was VLAN eigentlich macht, ist, die physische Topologie von der logischen abzutrennen und zu abstrahieren.

Kurz: es GIBT kein "darunterliegendes" Irgendwas. VLAN ersetzt vollständig

Ich tue mich etwas schwer Dir zu folgen. Aufspalten und abstrahieren ist doch das Gleiche? Und ohne (dartunterliegendes) LAN kein VLAN?

Das sind drei Segmente. Der Cisco hat gar keine drei LAN-Anschlüsse, auch nicht zwei wie bei Dir.
TROTZDEM geht es.

Mein Router hat vier LAN Anschlüsse - Subnetze (mit getrennten IP Adressbereichen) lassen sich allerdings nur zwei zuweisen. Ich habe mal mit den Unifi Controller gespielt, da sieht es aus, als ob man beliebig viele Subnetze erstellen könnte. Ich glaube das Stichwort DHCP-Server kommt hierzu hinzu und könnte helfen die Unklarheit zu beseitigen. Denn auch in einem abstrahierten VLAN muss ich dich mit IP-Adressen arbeiten. Bzw. wie bekommen es die Endgeräte dann mit?

Einfach VLAN ids zu Ports zuweisen und schon hat auch ein Switch verschiedene Segmente an seinen Ports, auch wenn Switches das netzwerktechnisch gar nicht können.

Kannst Du diese Aussage ertwas näher erklären?


@Raijin

Danke - Du hast es echt nen Orden verdient für Deine Mühen hier im Forum ;-)

Um bei Deinem Beispiel zu bleiben und die Ausgangsfrage zurückzukommen: Selbst mit einem einzigen Subnetz und unterschiedlichen VLAN Gruppen (VLAN 10 / VLAN 20) hätte ich aufgrund des Routings Sicherheit. Ggf. ist es auch eine Draytek Sonderlocke, nach welcher ich keine eigen Subnetze erstellen kann, sondern nur auf die erstellten LAN 1 und 2 zurückgreifen kann. Ich finde bspw. keine Einstellung nach welcher ich noch ein 192.168.30.x Subnetz einrichten könnte. Dieses Modell kann nur zwei LAN Netze verwalten die größeren auch sieben...

@Uridium

Interessante Ansicht - stützt die sich auf konkrete Erfahrung mit der benannten Hardware? Und hast Du eine Lösung für das Problem? Oder wolltest Du ein bisschen flamen?

 

[Raijin]

Selbst mit einem einzigen Subnetz und unterschiedlichen VLAN Gruppen (VLAN 10 / VLAN 20) hätte ich aufgrund des Routings Sicherheit.

Nein, ich dachte das hätte ich ausreichend erklärt. Ein VLAN stellt ein vollkommen separates "LAN" dar, nur eben virtuell getrennt. Das heißt es läuft ggfs eben auch über dasselbe Kabel, ist aber auf Layer2 durch die VLAN-ID getrennt. Jedes VLAN hat dabei ein eigenes Subnetz. Ein Subnetz mit mehreren VLANs ist sinnfrei.

Du könntest beispielsweise folgende VLANs erstellen:

VLAN10 mit 192.168.10.0/24
VLAN20 mit 192.168.20.0/24
VLAN30 mit 192.168.30.0/24

Für DHCP-Vergabe muss natürlich in jedem VLAN auch ein DHCP-Server vorhanden sein, der eben genau dieses Subnetz bedient. Üblicherweise übernimmt der (VLAN-)Router den Job. Folglich laufen auf dem Router dann 3 DHCP-Server, einer für jedes Subnetz aka VLAN.

Die "Sicherheit" ist bei VLANs nicht anders als bei einem herkömmlichen Netzwerk. Hat ein Eindringling physischen Zugang, ist sowieso alles vorbei. Hat er ein Gerät gekapert, zB einen PC via Trojaner, kann er sich zumindest in diesem Subnetz aka VLAN austoben. Schafft er es in einen VLAN-Switch oder gar durch die Firewall zwischen den VLANs - sofern selbige überhaupt ordentlich konfiguriert ist - kann er sich auch in den anderen Subnetzen aka VLANs austoben.

 

[DFFVB]

Danke für die schnelle Antwort.

Du könntest beispielsweise folgende VLANs erstellen:

VLAN10 mit 192.168.10.0/24
VLAN20 mit 192.168.20.0/24
VLAN30 mit 192.168.30.0/24

Folglich laufen auf dem Router dann 3 DHCP-Server, einer für jedes Subnetz aka VLAN.

Ich glaube genau hier liegt das Problem: Ich finde im Router einfach keine Einstellungen dafür. In den Einstellungen für die 8 VLANs (keine Ahnung warum in der Doku 15 steht) kann man bei Subnet lediglich LAN 1 und 2 auswählen. Und man kann auch keine weiteren hinzufügen. D.h. vor dem Hintergrund dieser Aussage:

Ein Subnetz mit mehreren VLANs ist sinnfrei.

Kann ich hier "de facto" zwei VLAN einrichten

 

[Raijin]

Hm.. Ich hatte mit Draytek bisher keinerlei Berührungspunkte, aber ausgehend von der Demo, zwei Tutorials und einem Youtube-Video muss ich ernüchtert feststellen, dass Draytek scheinbar tatsächlich nur zwei Subnetze zulässt, die sie LAN1 und LAN2 nennen. Wie das ganze dann mit bis zu 15 VLANs funktionieren soll, ist mir schleierhaft. Sobald zwei VLANs dasselbe Subnetz nutzen, kann man zwischen ihnen nicht mehr routen.

Diese Limitierung kommt einer netzwerktechnischen Kastration gleich. Als Gegenbeispiel sei ein EdgeRouter genannt, der theoretisch bis zu 4096 VLANs ermöglicht, die aber natürlich irgendwann die CPU in die Knie zwingen würden. Effektiv kann man bei einem ER aber soviele VLANs einrichten - nebst dazugehörigen DHCP - wie man möchte.

Gerade die Beschränkung auf 2 LANs macht mich aber stutzig. Das reicht gerade mal für Haupt- und Gast-Netzwerk, oder Haupt/DMZ, nicht jedoch für Haupt/Gast/DMZ.... Und ich hatte bisher von Erzählungen eigentlich einen guten Eindruck von Draytek, aber das hat meine Meinung nun schlagartig geändert.

Aber vielleicht liest ein erfahrener Draytek-Nutzer mit und kann mit seinem KnowHow dazu beitragen.

 

[DFFVB]

Puh - und ich dachte schon ich wäre komplett bescheuert... 😅 Wie oben geschrieben, die höherwertigen Router bieten mehrere LANs (29xx Serie) so sieben oder acht. Aber ja, kann ich mir jetzt auch nichts von kaufen, und von der Ursprungsfrage ausgehend hab ich halt zwei LANs... wollte aber min drei. Wie @Nizakh schon angemerkt hat, ich brauche halt ein Modem. Und da kosten der Draytek 2765 mit 140, und eine FB 7530 mit 120 EUR fast gleichviel. Vl. also noch einen Switch dahinterklemmen... hmmm

 

[Raijin]

Man kann prinzipiell auch ganz banal einen EdgeRouter-X, -Lite oder einen -4 ins Netzwerk einbauen und darüber alle VLANs verwalten. Doppeltes NAT ist dabei kein Thema, weil man am ER gar nicht erst NAT einschalten muss. Stattdessen bekommt der Draytek dann einfach für jedes VLAN-Subnetz eine statische Router über die IP des ER und das war's.