Wie kann ich am besten eine "richtige" DMZ hinter oder vor meiner FB 7590 einrichten?

Aus verschiedenen Gruenden muss ich ein Jessie bei mir @home betreiben. Da Jessie out of service ist moechte die Raspi in eine DMZ stellen damit mein Netz @home was bislang mit einer Fritzbox 7590 ans Internet angebunden ist nicht durch eventuelle Securityprobleme vom Jessie gekapert wird.

Die FB 7590 bietet zwar einen sogenannten DMZ Modus an aber das ist keine richtige DMZ.

Vielleicht hat jemand einen aehnlichen Setup und kann mir Tipps geben was ich mir fuer eine HW besorgen sollte und sie in mein @home Environment netzwerkmaessig integrieren kann

Quote from hyle

Der RPi hängt hinter der Fritte oder ist der direkt vom Netz aus erreichbar?

Die RPi haengt hinter der Fritte in der ein Portforwarding auf die RPi definiert ist. D.h. wenn es jemand schafft durch ein Securityloch auf die RPi zu kommen kann er sich in meinem Netz rumtreiben. Ich habe zwar den Zugriff in mein Homenetz auf der RPi per iptable Regeln verboten aber wenn jemand root Rechte erlangen kann sind die natuerlich schnell deaktiviert.

Der_Imperator So ganz verstehe ich nicht was Du vorschlaegst.

D.h. ich soll in die DMZ in Deiner Zeichnung die RPi stellen. An einem weitereren Router haengt dann mein gesamtes Homenetz. Soweit habe ich es verstanden.
Aber wie wird verhindert dass keiner von der DMZ in mein Homenetz kommt? Nach meinem Verstaendnis muessten dazu im zweiten Router entsprechende netfilter Regeln definiert werden. Mit einer Fritte oder normalen Consumerroutern kann ich das nicht. Klar koennte ich eine RPi als Router aufsetzen und das Heimnetz mit entsprechenden Regeln schuetzen. Ich moechte aber lieber einen normalen Router nehmen.

Nach meinem Verstaendnis muss ich einen Router haben der eine DMZ unterstuetzt - also ein DMZ ETH Bein sowie ein ETH Bein in mein Homenetz hat und per netfilter den Zugriff von der DMZ auf mein Homenetz unterbindet.

Quote from Der_Imperator

Du betrachtest mit der zweiten FB quasi schon deine DMZ als Internet.
Wenn du von der DMZ ins Heimnetz möchtest musst du dort ein Portforwarding einrichten.

Danke. Jetzt habe ich es verstanden

Doppel NAT ist nicht besonders schoen.

Quote from Der_Imperator

Die Fritzbox kann das leider nicht.

Die wuerde dann nur noch Modem und Telefonfunktion haben wenn ich eine FW dahinter setze.

Auf dieser Seite sind ein paar FWs getestet worden. Preislich liegen die um die €500 was mir fuer den Zweck zu viel ist. Maximal sind €200 drin. Falls jemand eine FW in dieser Preisklasse empfehlen kann wuerde ich den Weg mit der FW gehen. Ansonsten muss ich wohl die Doppelnatter schlucken

Quote from Der_Imperator

Wenn du reinen Router/Firewall hinter die FB packst dann ist das Transportnetz (Das der FB) ja eh schon deine DMZ.
Siehe erste Zeichnung.

Das scheint mir der sowohl effizienteste als auch kostenguenstigste Weg zu sein. Doppelnat ist nicht unbedingt schoen. Ich habe mir auch mal das Manual von dem von Dir verlinkten Router angesehen und so wie ich es sehe ist alle Funktion die ich benoetige vorhanden.

Im Gegensatz zu Dir brauche ich aber nur ein weiteres Subnetz. D.h. das Frittensubnetz wuerde irgendein 10er Netz werden und das hinter dem zweiten Router wuerde mein altes 192.168 er Subnetz bleiben. Ich habe keine Lust alle statischen IPs bei mir zu aendern.

D.h. dann also auch dass der DHCP Server der Fritte nicht mehr benoetigt wird da die RPi in der DMZ eine statische IP haben wird und alle Heimsubnetzgeraete den DHCP Server des zweiten Routers nutzen. Die Fritte wird dann wie Du schon geschrieben hast zum DSL Modem degradiert. Gut - die Telefonfunktion bleibt. Das klingt also schon mal sehr vielversprechend.

Eine Frage habe ich zu dem Ubiquitirouter: Wird der gut mit neuer Firmware versorgt und wie lange? Und wie gut schaetzt Du die Qualitaet von dem Router ein? Nobody is perfekt und es kann immer mal Bugs geben. Werden die zeitnah gefixed?

Quote from Noexpand

Du kannst nämlich einfach das Gast-Netz auf der FritzBox aktivieren und den Raspi dort unterbringen. Damit hast du auch eine Network Separation erreicht.

Interessante Anmerkung. Aber wie komme ich per DynDNS von extern auf die RPi im Gastlan? Port Redirections kann ich in der Fritte doch nur auf das normale LAN definieren.

Quote from Noexpand

Tut mir leid,

Kein Problem. Ist ja eine nette Idee ... nur leider unterstuetzt die Fritte kein Portforwarding ins Gastnetz. Sie kann es per netfilter. Die Fritte ist ja ein Linuxrouter. Nur wird das in der WebUI nicht exposed

Ach so - also per Wireguard an die Fritte connecten und dann in das Gast- oder Homenetz connecten. Interessant

In meinem Falle bringt das aber nichts da die RPi direkt - also ohne VPN - aus dem Internet erreichbar sein soll.

Quote from Der_Imperator

Ich finde den Ubiquiti EX_R ganz klasse. Macht was er soll, ist einfach einzurichten, hat GB Ports und kostet nen knappen Fuffi.

Den habe ich mir jetzt mal bestellt

Heute Morgen ist mir aufgefallen dass der urspruengliche Ansatz leider nicht OK ist. Das Problem ist dass alle meine WLAN Clients bei dem Ansatz auch eine IP aus dem DMZ Netz bekommen und somit von der RPi Zugriff auf alle diese WLAN Clients moeglich ist wie auch die nicht auf mein Heimnetz zugreifen koennen . Fuer alle kabelgebundenen Clients/Server wuerde es aber funktionieren.

Deshalb habe ich mir ueberlegt es umzudrehen. D.h. die DMZ wird hinter den Router gelegt wo die RPi alleine steht. In der FB wird der offene Port an diese DMZ freigegeben und im Router wird definiert dass man aus der DMZ nur zur FB IP gelangen kann. Damit waere das Heimnetz von der DMZ separiert.

In der Zeichnung ist links der originale Ansatz zu sehen und rechts der neue Ansatz.

Habe ich was uebersehen oder funktioniert mein geaenderter Ansatz?