Das von imperator skizzierte Setup ist relativ straightforward
Dachte ich auch - aber wie ich in #19 geschrieben habe leider fuer mich der Mesh der FB nutzt nicht praktikabel.
Wie kann ich am besten eine "richtige" DMZ hinter oder vor meiner FB 7590 einrichten?
-
framp -
February 9, 2023 at 11:03 PM -
Thread is Resolved
-
Wie kann ich am besten eine "richtige" DMZ hinter oder vor meiner FB 7590 einrichten?? Schau mal ob du hier fündig wirst!
-
Heute Morgen ist mir aufgefallen dass der urspruengliche Ansatz leider nicht OK ist. Das Problem ist dass alle meine WLAN Clients bei dem Ansatz auch eine IP aus dem DMZ Netz bekommen und somit von der RPi Zugriff auf alle diese WLAN Clients moeglich ist wie auch die nicht auf mein Heimnetz zugreifen koennen
. Fuer alle kabelgebundenen Clients/Server wuerde es aber funktionieren.Deshalb habe ich mir ueberlegt es umzudrehen. D.h. die DMZ wird hinter den Router gelegt wo die RPi alleine steht. In der FB wird der offene Port an diese DMZ freigegeben und im Router wird definiert dass man aus der DMZ nur zur FB IP gelangen kann. Damit waere das Heimnetz von der DMZ separiert.
In der Zeichnung ist links der originale Ansatz zu sehen und rechts der neue Ansatz.
Habe ich was uebersehen oder funktioniert mein geaenderter Ansatz?
Du kommst dann aus deinem LAN nicht mehr an den PI weil der ja nicht ins LAN darf.
Das mit dem WLAN hatte ich nicht bedacht, ich nutze hier nicht das WLAN der FB.
Ich glaube du würdest am besten fahren wenn du einfach eine zweite Fritzbox nimmst .
Die "hintere FB" macht dann auch dein WLAN.
Dann kommst du aus dem LAN problemlos an deine DMZ und aus der DMZ nur über Freigaben an das LAN (Backup etc..) -
Du kommst dann aus deinem LAN nicht mehr an den PI weil der ja nicht ins LAN darf.
Man kann doch FW Regeln stateabhaengig definieren. D.h. Zugriff von dem Heimnetz auf die DMZ ist erlaubt und der umgekehrte Weg nicht. Solche IPTables Regeln sind bereits auf dem RPi aktiv. Klar kann ein jeder der Rootrechte erlangt die ausser Kraft setzen. Deshalb will ich ja auch eine richtige DMZ haben.
Ich weiss jetzt nicht ob und wie das mit dem ER-X geht. Beim Diagonallesen des Manuals hatte ich solche Dinge gelesen. Und wenn es nicht geht kann ich entweder einen externen ssh Zugriff konfigurieren der nur per Key moeglich ist und nicht auf Port 22 lauscht damit schon mal die Scriptkiddies ins Leere laufen oder aber auch einen VPN Server draufpacken und per VPN zugreifen. Ist etwas umstaendlich aber ich brauche nur Konsolenzugriff fuer Maintenance.
Keine Ahnung ob OpenWRT stateful inspection kann. Ich denke schon. Ich habe gelesen dass auf die ER-X HW auch OpenWRT gepackt werden kann. D.h. auch das waere eine Alternative.
Mir geht es jetzt nur darum sicher zu sein dass mein geaenderter Ansatz sicher ist
-
framp: man kann es auch unnötig kompliziert machen
Ich verstehe nicht was du mit dem WLAN an der DMZ willst. Die WLAN-Clients gehören in ein eigenes Netz (oder ins Lan-Netz, je nach dem). Sinn der DMZ ist nicht dass du dort auch noch Clients betreibst, die dir auch alle Hops gehen wenn jemand den Pi kompromitiert.
Der Connection State der Verbindung vom Client aus einem anderen Subnetz zur DMZ wäre dann in Iptables-Sprech "related, established". Beim Edgerouter lassen sich solche dedizierte Regeln mit den jeweiligen Ziel oder Ursprungs-Interfaces oder Adressen ebenso einrichten. Hier steht dir ein vollwertiger Packet Filter zur Verfügung.
Ich würde das wohl eher so bauen: Fritzbox in Passthrough (Exposed Host auf Edgerouter)-> Edgerouter (Firewall, Netzsegmentierung) -> DMZ, LAN (WLAN mittels Access Point, vergiss den AVM-Krempel).
-
Ich verstehe nicht was du mit dem WLAN an der DMZ willst. Die WLAN-Clients gehören in ein eigenes Netz (oder ins Lan-Netz, je nach dem). Sinn der DMZ ist nicht dass du dort auch noch Clients betreibst, die dir auch alle Hops gehen wenn jemand den Pi kompromitiert.
Das war ja genau mein Problem bei dem ersten Ansatz
Deshalb habe ich es ja umgedreht: Die WLAN Clients sind im FB Homenetz zusammen mit den anderen HomeSystemen und die RPi haengt in einem eigenen Subnetz welches keinen Zugriff auf das Homenetz hat.Beim Edgerouter lassen sich solche dedizierte Regeln mit den jeweiligen Ziel oder Ursprungs-Interfaces oder Adressen ebenso einrichten. Hier steht dir ein vollwertiger Packet Filter zur Verfügung.
Des hatte ich auch erwartet und freut mich. Dann muss ich keine Kopfstaende machen um aus dem Heimnetz in die DMZ zu gelangen.
-
Das war ja genau mein Problem bei dem ersten Ansatz
Deshalb habe ich es ja umgedreht: Die WLAN Clients sind im FB Homenetz zusammen mit den anderen HomeSystemen und die RPi haengt in einem eigenen Subnetz welches keinen Zugriff auf das Homenetz hat.Ich habe mich nur auf die linke Version deiner Skizze bezogen, weil die rechte Seite vom Netzwerk-Design noch kaputter ist.
Der Router hängt dort ja dann nur zum Selbstzweck am LAN-Netz.
Wenn du dir das zutraust und Sicher im Umgang mit IPTables bist, würde ich das mit dem Edgerouter umsetzen. Du kannst hier natürlich auch erstmal Das Management-Netz (also das Fritzbox-Lan) so weiter verwenden und PAT auf Fritzbox aktiviert lassen. Du konfigurierst den Edgerouter dann auch mit Src-Nat, und es spielt überhaupt keine Rolle wie oft du hier "NAT'test". Wenn die Fritzbox in späteren Migrationsschritten dann nur noch die PPPoE-Aushandlung macht, kannst du das PAT hier auflösen.
-
Der Router hängt dort ja dann nur zum Selbstzweck am LAN-Netz.
Jupp - ist schon etwas krumm. Der erste Ansatz hat mir auch besser gefallen.
Wenn du dir das zutraust und Sicher im Umgang mit IPTables bist, würde ich das mit dem Edgerouter umsetzen.
Es ist zwar schon etwas laenger her dass ich einen Linuxrechner als Router/FW aufgesetzt habe und IPTable Rules geschrieben habe aber ich werde da schon wieder reinkommen.
Allerdings verstehe ich jetzt nicht wie Deiner Meinung nach der Aufbau sein soll. Doch so wie im ersten Ansatz? Wie kann ich da die RPi vom Homenetz separieren mit IPTables? Dazu muss doch ein Router mit IPTables dazwischen liegen
Klar kann ich z.B. meine APs hinter dem Router anschliessenwo auch dann mein Homenetz liegt und habe somit auch eine Netzseparation des WLANs. Allerdings muss ich dann das WLAN an der FB 7590 deaktivieren und habe kein Mesh mehr
-
Allerdings verstehe ich jetzt nicht wie Deiner Meinung nach der Aufbau sein soll. Doch so wie im ersten Ansatz? Wie kann ich da die RPi vom Homenetz separieren mit IPTables? Dazu muss doch ein Router mit IPTables dazwischen liegen
Habe ich doch oben geschrieben. 1. Fritzbox -> 2.1 Router 2.2AP -> DMZ (Rpi), LAN (Sonstige Clients)
Welche Access Points hast du denn im Einsatz? Warum Mesh? Weil die Fritzbox das anbietet und "Mesh" so fancy klingt?
1. Fritzbox: dient nur noch als Modem und leitet alle Anfragen an den Router weiter (Passthrough, Router wird Exposed-Host)
2.1 Router: Empfehlung ist hier Edgerouter oder eben Mikrotik Routerboard. Damit hast du die volle Flexibilität
2.2 Access Point: WLAN Netz(e), am Edgerouter kannst du die Subnetze an logische WLAN-Interfaces anlegen, du kannst dann über deinen AP sogar die DMZ als WLAN ausbilden. Dazu dein LAN und ggf. noch ein Gast-WLAN. Oder IoT.
-
Welche Access Points hast du denn im Einsatz? Warum Mesh? Weil die Fritzbox das anbietet und "Mesh" so fancy klingt?
Meshfaehige AVM Repeater die als WLAN Bruecke konfiguriert sind. Durch Mesh kann ich mit meinen Clients vom Dachgeschoss bis zum Keller unterbrechungsfrei hin- und herwandern.
-
Meshfaehige AVM Repeater die als WLAN Bruecke konfiguriert sind. Durch Mesh kann ich mit meinen Clients vom Dachgeschoss bis zum Keller unterbrechungsfrei hin- und herwandern.
Ja, das ist bei den meisten so.
Deswegen ja auch als erstes die Idee einfach eine zweite Fritzbox VOR deine jetzige Fritzbox zu hängen.
Die macht dann den Internetkrempel und das Netz dieser wäre deine DMZ.
Das ist die einfachste Lösung wenn du deine Infrastruktur behalten möchtest. -
Ich spiele mal mit den Router rum der heute kam und sehe dann weiter.
Ist ja echt ein nettes Geraet mit viel Routingfunktionen
Ein Subnet als zukueftige DMZ habe ich schon am rennen. Jetzt muss ich verstehen wie ich die FW richtig konfiguriere dass nur das INet erreicht werden kann Ist ungewohnt FW Rules in einer UI zu definieren. Ich bin gewohnt dass per iptables bzw netfilter Regeln zu definieren. Das werde ich aber schon verstehen.
Jedenfalls war Deine ( Der_Imperator ) Empfehlung des Routers sehr gut und ich kann verstehen dass er sinnvoller und besser in der ersten Konfiguration einzusetzen ist.
-
Ist ungewohnt FW Rules in einer UI zu definieren. Ich bin gewohnt dass per iptables bzw netfilter Regeln zu definieren. Das werde ich aber schon verstehen.
Das ist auch erledigt. Es hat etwas gedauert zu verstehen wie man im UI bestimmte iptables Rules erstellen kann. Sehr hilfreich war sich immer die generierten iptables Rules auf dem ER-X anzusehen. So habe ich rueckwaerts letztendlich verstanden was das UI generiert. Auf dem ER-X laeuft ein modifiziertes Debian Stretch, also ein - fast - normales Linux und man hat dementsprechend Zugriff auf alle moeglichen Linux Netzwerktools.
Bloed ist dass im UI keine negierten Source/Target sets angegeben werden koennen und ich dadurch gezwungen war eine chain mit dem default accept nutzen musste. Viel besser ist eine mit default drop zu nehmen da man dann explizit freigeben muss und nicht explizit blocken. Ersteres hat den Nachteil dass wenn man etwas vergessen hat schon den Besuch im Netz hat ohne einen Hinweis. Im zweiten Falle stellt man irgendwann fest dass eine Verbindung nicht zustandekommt weil man etwas vergessen freizugeben. Letzteres ist die wesentlich defensivere und sichere Methode.
Negierte source/target sets kann man nutzen (letztendlich werden immer iptables/netfilter Reglen generiert). Allerdings muss man dazu die CLI auf dem Router nutzen. Ich habe mir das mal angesehen und so schwer ist das wohl nicht. D.h. ich werde den Default von Accept dann noch auf Drop aendern und die Regeln entsprechend anpassen.
D.h. ich habe jetzt eine DMZ hinbekommen. Allerdings ist es keine "richtige" DMZ denn die liegt nur vor wenn man ueber die Interfaces die Netzwerkseparation vornimmt. Dazu muesste ich die erste Konfiguration mit einem DSL Modem bei mir hinstellen. Das sind noch mal um die €100 fuer ein Modem die in investieren muesste was der Modemleistung der FB 7590 entsprichet
Ich denke ich perfektionieren jetzt noch die FW Regeln und setze dann den ER-X mal bei mir ein.
Etwas erstaunt hat mich dass auf dem ER-X ein Debian Stretch laeuft was schon lange EOL hat. Der letzte FW Update zum ER-X ist vom 23. Januar 2023. D.h. es werden offensichtlich noch Security Fixes von Ubiquiti gebaut. Warum die nicht mal auf ein aktuelles Debian hochruesten
-
Alternativ zum ER_X + DSL-Modem als 1. Router eine gebrauchte DSL-Fritzbox (7530 o.ä.), die von OpenWRT unterstützt wird?
-
Installier die eine PFSende, OpenFire oder Endian, je nach dem womit du am besten zurecht kommst.
Auch ein OpenWRT ist ganz gut, läuft auf einem PI, oder auf einem 20€ Xioami-MI Router.Das hat Der_Imperator schon nahegelegt
. Ich probiere es jetzt erst mal mit dem ER-X. -
Ich probiere es jetzt erst mal mit dem ER-X.
Bislang habe ich auf der RPi die ja jetzt noch nicht in einer DMZ haengt auch schon iptables Rules aktiv die Zugriff auf mein Homenetzwerk verhindern. Die kann dummerweise jemand der es schafft Rootrechte zu erlangen ausschalten
Wenn ich jetzt den ER-X davor haenge der ebenso den Zugriff auf das Heimnetz verhindert koennen die iptables Rules nicht mehr als root deaktiviert weren. Dazu ist dann ein Routerzugriff notwendig.
Ich werde noch einrichten dass kein Routerzugriff vom DMZ Netz moeglich ist sowie ein komplexes Login PWD setzen (2FA geht leider nicht beim Web UI - ssh Zugriff laesst sich ja beo key schuetzen) und dann ist mein Heimnetz wesentlich besser geschuetzt als bislang.
Ansonsten werde ich beobachten wie es sich mit dem Stretch und Security Updates fuer den EX- R weiterentwickelt und vielleicht spaeter OpenWRT auf den EX-R packen.
Falls Interesse besteht kann ich hier auch noch mal beschreiben wie man die negierten source/target Ziele in die ER-X iptables reinbekommt
-
... auch schon iptables Rules aktiv die Zugriff auf mein Homenetzwerk verhindern. Die kann dummerweise jemand der es schafft Rootrechte zu erlangen ausschalten
BTW: Mit Linux ja, aber z. B. mit OpenBSD sind/wären die erlangten Rootrechte nutzlos, wenn man das schg-Flag auch für die "/etc/rc.securelevel"-Datei setzt:
QuoteThe superuser-settable sappnd and schg flags can be set at any time, but
may only be cleared when the system is running at security level 0 or -1
(insecure or permanently insecure mode, respectively).
Display Spoiler
Code
Display More:~ #cat /etc/rc.securelevel #!/bin/sh -e # # $OpenBSD: rc.securelevel,v 1.3 2014/07/14 10:15:33 ajacoutot Exp $ # # site-specific startup actions, daemons, and other things which # can be done BEFORE your system goes into securemode. For actions # which should be done AFTER your system has gone into securemode # please see /etc/rc.local. # ##/usr/bin/chflags noschg /etc/rc.local ##/usr/bin/chflags noschg /etc/rc.conf.local ##/usr/bin/chflags noschg /etc/hostname.wg0 ##/usr/bin/chflags noschg /etc/ssh/sshd_config ##/usr/bin/chflags noschg /etc/sysctl.conf ##/usr/bin/chflags noschg /etc/pf.conf # exit 0Default security level ist 1 (und kann auch mit Rootrechte nicht geändert werden):
Display Spoiler
Code:~ #sysctl -a | grep -i secure kern.securelevel=1Code:~ #sysctl kern.securelevel=0 sysctl: kern.securelevel: Operation not permitted -
Interessant dieses Feature
Ich habe bislang noch nie OpenBSD genutzt und speziell auch nicht auf einer Raspi. Ich denke ich sehe mir das mal an -
<OT>
Ich habe verschiedene Images von BSD versucht auf meiner Raspi zu booten. Es wird immer der Regenbogen angezeigt. Danach passiert nichts mehr
Ist auch nicht schlimm. RaspbianOS bootet ja </OT>
-
Es wird immer der Regenbogen angezeigt.
Wolltest Du diese BSDs als Desktop-Version benutzen? Wenn ja, dann kann ich nichts dazu sagen, denn ich benutze die BSDs nur als Server (headless).
Participate now!
Don’t have an account yet? Register yourself now and be a part of our community!