Raspberry Pi vom Internet trennen - nur für lokales Netzwerk verfügbar machen

    Hallo,

    ich bin mit dem Raspberry Pi neu unterwegs, mein Ziel für den ersten ist es, meine Intranet-Seite intern zu hosten, damit die dort verarbeiteten Informationen nicht übers Internet laufen (zur Zeit betreibe ich das Intranet über einen normalen Webspace, da wir das nun aber produktiv einsetzen wollen erfolgt der Umzug nach Hause ins lokale Netz).

    Wir haben zur Zeit 2 Standorte, die per VPN über 2 Router verbunden sind.

    Der Raspi hängt am 2. Standort schon im Netzwerk und ist auch an allen Standorten per interner IP erreichbar, Webserver, PHP, Datenbank und Webseite funktionieren.

    Ich möchte nun dem Raspberry das Internet wegnehmen, so das er nur intern läuft und erreichbar ist. Für die Verarbeitung von Updates würde ich ihn gern temporär händisch Internet geben und dann wieder deaktivieren.

    Bin ich mit der Lösung meiner Fragestellung an dieser Stelle richtig?

    /etc/dhcpcd.conf

    Zeile 1 ... interface eth0
    Zeile 2 ... static ip_address=http://XXX.XXX.XXX.XXX/24 - die interne feste IP
    Zeile 3 ... static routers=XXX.XXX.XXX.XXX - die IP des Routers
    Zeile 4 ... static domain_name_servers=XXX.XXX.XXX.XXX - die IP des Routers

    Könnte ich nun in Zeile 3 die Router-IP einfach per # auskommentieren um den PI vom Internet zu trennen? ( und umgekehrt wieder online bringen für die Updates?) Oder funktioniert er dann im Netzwerk nicht mehr?

    Oder ist das Thema komplexer als ich es jetzt sehe?

    Ich habe mit meinen Worten zum Thema Google schon sehr strapaziert, eine richtige definierte Lösung für meine Idee hab ich so nicht gefunden. Daher frage ich hier einmal nach.

    Vielen Dank für eure Unterstützung

    Peter

  • Raspberry Pi vom Internet trennen - nur für lokales Netzwerk verfügbar machen? Schau mal ob du hier fündig wirst!

    Damit wir diese Hürde zur Beantwortung meiner Frage vielleicht erstmal überspringen, dazu noch folgendes.

    Wenn ich sage 2 Standorte, es geht um eine kleine Firma mit 6 Mitarbeitern, vielleicht haben wir mal 3 Standorte in Zukunft. Alle wesentlichen Dienste die ich auf meinem "großen" Server hoste, werden von Fachleuten administriert (Mailserver, Archivierung, ERP und CRM, Datensicherung intern und extern), weil ich wohl weiß, das das gesamte Thema gewisse Kompetenzen erfordert, die ich in dem Umfang nicht habe. Gleichwohl interessiert mich das Thema extrem sehr, nennen wir es mein Hobby.

    Wenn ich meine Fachleute zum Thema befrage, kommen als Reaktion entweder verleierte Augen, oder es folgen Informationsschwälle, die ich in der kurzen - dann bezahlten - Supportzeit, nicht aufnehmen kann. Da es für eine Berufsschulausbildung zu spät ist, bleibt mir nur ein gewisser, mir glücklicherweise etwas mitgegebener, Autodidaktismus, um meinem Hobby zu fröhnen. Ich muss mich also mit den Dingen beschäftigen. Und wenn ich dann hier frage, möchte ich keine ANleitung wie es geht, aber ein Wegweiser der mir zeigt, in welche Richtung ich laufen soll oder könnte.

    An den Daten des Intranets liegt mir insofern etwas, als das es natürlich schade drum wäre, wenn sie weg wären, die Welt geht nicht unter wenn sie weg sind. Welche Firma mit 6 Mitarbeitern hat denn schon überhaupt ein Intranet. Ich werde die ausschließlich auf dem Raspberry laufende Intranet-Webseite regelmässig automatisch sichern, da gibst viele gute Plugins für Wordpress. Am späteren Backup des gesamten Raspbies arbeite ich auch noch, aber wie oben gesagt, ich kann nur Step by Step die Dinge durcharbeiten, und zur Zeit bewegen sich meine Gedanken um die Lokalisierung des Raspberrys, um schon einmal eine Störquelle fürs restliche Netzwerk zu vermeiden.

    Nebenher - also neben dieser oben gestellten Frage - beschäftige ich mich gerade noch mit iptables, die für mich gerade auch so aussehen, als ob sie für meine Zielstellung der Weg sein könnten.

    Ich habe auch diesen gesamten ! Text hier gelesen, und gebe dem Autor recht.

    Viele Grüße, Peter

    Wenn Du im Hausnetz bist und die Anderen erreichen das Internet, dann ist auch der PI erreichbar...

    da nützt es nichts, dem PI den Router wegzunehmen...

    Was hast Du für einen Router.. ?

    Bei z.b. Fritz kann man EINZELNEN Teilnehmern das Internet sperren..

    evtl. den PI auf einem anderen Port (z.B. 8888) laufen lassen, und diesen Port gezielt im Router sperren!

    Intern kann man dann mit ip-adresse: 8888 aufrufen

    Wenn auf dem raspi nichts mehr außer dein intranet laufen soll:

    Fritzbox -> Gerät auswählen -> Zugangsprofil „Gesperrt“ auswählen..Dann kann der Raspi nicht von draußen erreicht werden. Internet geht auch nicht mehr. Innerhalb des Wlans geht aber alles ohne Probleme.

    Wenn's brennt 112 hilft weiter!

    Hallo Holger,

    danke für die Antwort. Der wo der Raspberry dran hängt, ist ein Lancom 1794VAW , die Gegenstelle müsste ein 1783 noch sein. Das mit den Ports hat mir mein Hardwareseitiger Netzwerkfachmann auch mal so an den Kopf geworfen, aber so das ich sofort Bescheid wusste, ich muss in dem Moment da auch nicht nochmal nachfragen. Vermutlich kann das der Lancom dann auch. Wie könnte ich dem Raspberry bei so einer Konfiguration denn dann INternet geben um Systemupdates zu verarbeiten? Denn an die Router möchte ich zB nicht selbst rann, da mir dafür die o.g. Kompetenzen fehlen. Gegebenenfalls müsste ich mich dazu aber sonst schulen lassen, die Sperre aufheben, updaten und die Sperre wieder setzen.

    Hallo Raspbastler,

    danke für die Antwort. Sind alles Lancom Router, die können das aber wahrscheinlich auch. Da ich, wie gesagt, an diesen nicht rummurksen möchte, kommt nun mein Hardwarespezialist ins Spiel. Ist ein Port nötig um die Webseite aufzurufen? Das würde ich der einfachheit halber gern vermeiden.

    Quote from kalle0

    Ich möchte nun dem Raspberry das Internet wegnehmen, so das er nur intern läuft und erreichbar ist. Für die Verarbeitung von Updates würde ich ihn gern temporär händisch Internet geben und dann wieder deaktivieren.

    Das er nur intern erreichbar ist und das er selber ja oder nein ins Internet darf, sind 2 verschiedene Aspekte, die man jeder für sich lösen kann.

    Also man kann da schon was machen, was in gewissem Rahmen auch erfolgreich ist. Und zwar auf dem PI einen Paketfilter einrichten, der nur Source-Adressen (saddr) aus dem lokalen Netzwerk annimmt.

    Wie sicher ist das? Genau so sicher, wie die anderen Clients im LAN sicher administriert sind. Ist von denen einer kompromittiert oder auf einen dieser Clients ist vom DSL-Router eine Portfreigabe weitergeleitet und der Service ist schlampig eingestellt, so ist Dein PI genau so sicher, wie sicher diese anderen Clients administriert wurden. Haben die Anwender Admin-Rechte oder können ihr System mit sudo-Kommandos verändern oder es wird Software von irgendwo aus dem Internet verwendet, ist die ganze Kiste ein Glücksspiel.

    Wenn deine Fachleute die Augen verdrehen oder dich unverständlich zuschwallen und dann auch noch Windows-Fachleute sind, habe ich fast Zweifel daran,dass das wirklich Fachleute sind. Intranet heißt eigentlich in seiner einfachsten Definition, kein Client hat direkten Zugang zum Internet, alle Zugänge sind z.B. mindestens durch einen Proxy geleitet.

    Wenn die lokalen Clients auf den PI zugreifen dürfen und dabei auch Internetzugang haben, ist es gelinde gesagt egal, ob Internet für den PI im DSL-Router gesperrt ist oder nicht... was soll das überhaupt bringen...?... das ist doch 'ne Luftnummer. Das wird doch auf simpelste Weise z.B. über Hole Punching umgangen. Da wäre ein Paketfilter direkt auf dem Pi, der alle Zieladressen (daddr) außerhalb des LAN dropt viel effektiver.

    Edited 3 times, last by WinterUnit16246 (July 29, 2020 at 5:25 PM).

    Danke Thomas, dann habe ich mich fachlich wohl falsch ausgedrückt. Es geht mir nicht um ein Intranet unter Netzwerktechnischen Aspekten, sondern quasi um eine Webseite auf der wir interne Informationen für unsere beiden (bald 3) Standorte zur Verfügung stellen, das Intranet soll den Informationsfluß besser steuern und gewährleisten, das alle Informationen die benötigt werden auch bereit stehen (zB aushangpflichtige Gesetze)

    Ports haben wir nur die geöffnet die notwendig sind, um unsere Server-Systeme (speziell Mailserver) zu betreiben . Über die fachlichen Qualifikationen meiner Fachleute kannst du aufgrund meiner gefühlten Wahrnehmung ihrer Antworten nicht urteilen. Die sind mit Linux bzw Unix fit, betreuen viele Systeme. Aber nicht jeder bringt eben die notwendige Ruhe mit, jemanden Dinge zu erklären, das sind eher persönliche Eigenschaften, als mangelndes Fachwissen. Ich fühle mich gut betreut, auch, weil sie nicht alles umsetzen was ich an Flausen manchmal so im Kopf habe.

    Zu deinem Vorschlag daddr, ich befasse mich damit. Damit könnte ich also einstellen, das der Pi sich nur bei Anfragen aus unserem Internen IP-Raum meldet?

    Quote from kalle0

    das Intranet soll den Informationsfluß besser steuern und gewährleisten, das alle Informationen die benötigt werden auch bereit stehen

    Wie ich sagte, lokale Infosysteme haben nichts mit 'Intranet' zu tun, das sind einfach nur lokale (ggf. dedizierte) Systeme mit einer bestimmten Zielsetzung. Innerhalb eines wirklichen Intranets müsstest Du Dir gar keine Gedanken über dieses Problem machen, weil es das da nicht gibt.

    Deine Fachleute... wenn das erfahrene Linux-Handwerker sind, denke ich mal, da bist Du in guten Händen. Und das mit der Sozialkompetenz bei den richtigen Computer-Fuzzis kenne ich auch noch von früher. *fg*

    Quote from kalle0

    Zu deinem Vorschlag daddr, ich befasse mich damit. Damit könnte ich also einstellen, das der Pi sich nur bei Anfragen aus unserem Internen IP-Raum meldet?

    Ja, so ungefähr kann man das sagen. Auf dem PI werden im sowieso vorhandenen Paketfilter Regeln hinterlegt, die eingehenden Verkehr nur von Client-Adressen aus dem LAN erlauben. Ausgehenden Verkehr kann man natürlich auch beschränken, das ist aber möglicherweise auch vernachlässigbar... es sei denn, Du unterstellst dem PI, er telefoniert privat während der Arbeitszeit unerlaubt mit fremden... *lol*... in dem Fall wäre das was anderes.

    Also, nur der Umstand, dass der PI Web-Seiten hostet, bedeutet nicht, dass er die auch bei Anfragen vom Internet hostet. Dem sollte eigentlich das Standard-Gateway kompromisslos einen Riegel vorgeschoben haben. Wenn der PI selber keine öffentlichen IP-Adressen hat, ist er sowieso im LAN verborgen... was also bedeutet, er kann sowieso nur von innen kontaktiert werden.

    Damit der PI nicht ins Internet kommt, muss man ihm den 'Default Gateway' wegnehmen. Dass kann man dadurch erreichen, dass man ihm den Zugang zum Internet am Router wegnimmt, oder in dem man sein Netzwerkinterface entsprechend ändert.

    In am Router zu sperren ist problemloser.

    Damit er in die verschiedenen per VPN angebundenen Netze kommt, muss er dann Router zu diesen anderen Netzen kennt.

    Dabei ist darauf zu achten, dass wirklich nur diese anderen Netze in der Routing-Tabelle als Ziele stehen, so dass nicht ein in einem anderen Netz vorhandener Internetrouter plötzlich den Zugang ermöglicht.

    Beispiel: (im Netz 1 steht der PI 192.168.1.5)

    Netz 1: 168.162.1.0/24 | Router in das Netz 2: 192.168.1.12 | Router in das Netz 3: 192.168.1.13

    Netz 2: 192.168.2.0/24 | Router in das Netz 1: 192.168.2.11 | Router in das Netz 3: 192.168.2.13

    Netz 3: 162.168.2.0/24 | Router in das Netz 1: 192.168.3.11 | Router in das Netz 2: 192.168.3.12

    Soll-Routing-Tabelle im Netz 1

    Code
    Kernel-IP-Routentabelle
Ziel            Router          Genmask         Flags Metric Ref    Use Iface
default         router.local    0.0.0.0         UG    0      0        0 eth0
168.162.2.0     168.162.1.12    255.255.255.0   U     0      0        0 eth0
168.162.3.0     168.162.1.13    255.255.255.0   U     0      0        0 eth0

    Und auf dem Router ist das System gesperrt.

    Computer ..... grrrrrr

    Quote from Rasp-Berlin

    Damit der PI nicht ins Internet kommt, muss man ihm den 'Default Gateway' wegnehmen.

    Um was zu erreichen? Glaubt denn wirklich jemand, der PI bestellt eigenständig nach Feierabend bei lieferando 'ne Wagenladung Pizzas oder verschiebt nachts um 2 Uhr geheime Firmendaten zur NSA? Wenn es sich um eine ordentliche Installation aus dem Raspbian-Repo ohne Fremdsoftware handelt, die nur die Beschränkung hat, nicht von außen erreicht zu werden, braucht man dem PI doch nicht generell die Eier abzuschneiden. Das ist doch völlig sinnlos.

    Ich wüsste jetzt gar nicht, was da jetzt großartig kritisch sein soll. Das einzige, was mir noch einfällt, wären öffentliche IPv6-Adressen. In dem Fall würde ich einfach IPv6 auf dem Pi (und zwar nur auf dem) deaktivieren und ihn nur über eine lokal-gültige nicht-öffentliche IPv4-Adresse zugänglich machen. Dazu den Paketfilter, der Source-Adressen für eingehenden Traffic nur aus dem lokalen Subnet zulässt, falls sich wirklich mal so ein Unding von ein sich von irgendwo verlaufender 'Forward' einschleicht, dann wärs das doch.

    Das ist meiner Meinung nach eine Sicherheit, die man herstellen kann...und vermutlich wäre der Pi damit sogar sicherer , als die Geräte, an denen User sitzen. Aber eine absolute Sicherheit gibts sowieso nicht. Ich würde mir von meinen bezahlten Fachleuten noch eindeutig und auch verständlich erklären lassen, welche Ports die in den Routern für welche Dienste geöffnet haben und ob da vielleicht mit Service-Absichten etwas dabei ist, was die unerlaubt oder unbemerkt nutzen können. In dem Falle besteht da sogar eine Menge Erklärungsbedarf.

Participate now!

Don’t have an account yet? Register yourself now and be a part of our community!

Register Yourself Login