Heimnetz, Gastnetz, DMZ - suche Anleitung für diesen "klassischen" Aufbau

Moin,

ich möchte mein aktuell von einer einzelnen, eigenen Fritzbox (6591 Cable an VF Cable Max 1000, Dual Stack) realisiertes Netzwerk zu Hause neu aufstellen. Dabei ist es mir ein Anliegen, dass ich für einige Geräte (die einen kubernetes Cluster bilden) den Zugriff aus dem Internet realisiere. Aktuell mache ich das über 2 Portfreigaben (80,443) auf die betroffenen Hosts. Sollten diese aber übernommen werden, steht nichts mehr zwischen dem Angreifer und meinem Heimnetz.

Darum will ich mehrere Netzwerke anlegen und teilweise voneinander isolieren. Konkret brauche ich:

1. ein "Heimnetz" mit angeschlossenem WLAN. Die Geräte in diesem Netz sollen mit allen anderen lokalen Netzen vollständig und mit dem Internet / WAN ausgehend kommunizieren können
2. ein "Gastnetz" mit angeschlossenem WLAN. Die Geräte in diesem Netz sollen ausschließlich ausgehend mit dem Internet / WAN ausgehend kommunizieren können
3. eine "DMZ" (nur Kabel). Die Geräte in diesem Netz sollen nur eingehende Verbindungen aus dem Heimnetz und dem Internet / WAN beantworten und ausgehend ins Internet / WAN kommunizieren dürfen

Den einfachsten Schritt (Sachen kaufen) habe ich bereits gemacht:

• 1x USW-16-PoW (in Betrieb)
• 3x USW Flex Mini (in Betrieb)
• 1x UDM Pro (im Karton)
• 1x Vodafone Station (im Versand)

Die Geräte für die DMZ stehen im Rack und können direkt mit dem Switch / der UDM verbunden werden. Das Gerät für das Gastnetz (ein vom Kunden gestellter Rechner) hängt im Moment direkt an der Fritzbox (LAN-Port für Gastnetz). Da die Box aber auch ins Rack soll, wird zukünftig eine indirekte Anbindung notwendig sein (Switch -> Wanddose -> Flex Mini Switch -> Gast). Ich nehme an, damit werden VLANs notwendig?

Da immer noch Home Office Zeit ist und teilweise neue Hardware noch im Zulauf, muss der Umbau des Netzes möglichst störungsfrei gehen. Darum plane ich mehrere Schritte:

1. UDM Pro hinter Fritzbox als Exposed Host. Dann kann ich die Netze schonmal definieren, sowie DMZ und Gastnetz via Kabel in Betrieb nehmen. Sobald ich die expliziten Portfreigaben auf 80,443 aus der Fritzbox entferne, sollten entsprechende Requests an den Exposed Host (und dann hoffentlich) auf die DMZ gehen
2. Vodafone Station als Modem / Bridged vor die UDM Pro und die Fritzbox dahinter als IP-Client im "Heimnetz". Da ich noch keine Unifi WLAN Hardware habe, werden die Fritzbox und ein Fritz!Repeater 3000 weiter WLAN und VoIP/DECT machen
3. Unifi Access Points kaufen und WLAN (Heimnetz und Gastnetz) dorthin verlagern. Fritzbox behalten für VoIP/DECT oder durch günstigere Variante ersetzen

So hab ich mir das ausgemalt, allerdings bin ich in Sachen Netzwerk nur moderat bewandert und Unifi ist komplett neu. Gleichzeitig glaube ich, dass mein Vorhaben nicht sonderlich außergewöhnlich ist.

Ich suche also Anleitungen oder vergleichbare Projekte, an denen ich mich orientieren kann. Gesehen habe ich schon UniFi Allgemein | Firewall-Regeln by EJ und es scheint in die gleiche Richtung zu gehen ("Admin-LAN" = "Heimnetz"?). Dennoch, ich bin für Links, Tutorial und Händchen halten mehr als dankbar.

Gruß

Maxim.

Zitat von defcon

Wenn du dann auf Probleme stößt, wirst du hier sicherlich auf Unterstützung treffen.

Hab' schon 'ne Frage: Ich hab die Firewall-Regeln lt UniFi Allgemein | Firewall-Regeln by EJ erstellt (nur DMZ und LAN) und dann die Updates von UniFi OS und der Network Anwendung gefahren (war: 1.8.x, ist jetzt 1.10).

Jetzt sind alle Firewall Regeln wieder weg, auch die Gruppen (mit IP-Adressen RFC1918). War das zu erwarten?

Zitat von maxim.webster

Jetzt sind alle Firewall Regeln wieder weg

Ah, sorry - sie sind nicht weg. Sie sind nur über das "New UI" nicht mehr einseh- oder änderbar. Schräg ...

Du hast Recht, es ist UniFi OS 1.11.0 installiert mit Network 6.5.55. Aber wenn ich im neuen UI auf Settings -> Traffic & Security gehe, erscheint eine Art Startbildschirm dessen einzige Option "Create New Rule" ist. Wenn ich darüber eine neue Regel anlege, dann verschwindet zwar der Startbildschirm, aber es tauchen die bereits eingerichteten Regel dennoch nicht auf.

Also: Erstaunlicherweise habe ich es hinbekommen. Komponenten sind alle installiert, 2 Netze (LAN & DMZ) angelegt und Geräte entsprechend angeschlossen. Die Geräte in der DMZ sind von außen erreichbar, kommen aber nicht ins LAN, vom LAN in Richtung DMZ geht auch.

Aktuell steht noch die Fritzbox ganz vorne vor der UDM, der Fritz-Repeater ist dahinter. Das führt zu der Situation, dass die FritzBox das Gäste-WLAN bereitstellen muss (war leider nicht ohne ein "Standard" WLAN geht) und der Repeater das WLAN fürs Heimnetz.

Aber alles in allem lief es erstaunlich reibungslos.

Ein Update: Inzwischen wurde auch die Vodafone Station geliefert und in Betrieb genommen, Umschalten auf den Bridge Modus war direkt über das UI der VF Station möglich. Zwei Dinge sind noch offen / blöd:

1. mir ist nicht klar, ob an meinem Anschluß IPv6 anliegt oder "nur" IPv4. In der UI der UDM wird nur die IPv4 Adresse gezeigt, ip addr show auf der Konsole zeigt aber auch eine IPv6

2. mit der Vodafone Station (und vermutlich mit jedem von VF bereitgestellten Endgerät) wird VoIP abgefangen. Meine Idee meine bisherige Fritzbox als VoIP/DECT host hinter die UDM zu klemmen ist damit hinfällig. Aktuell versuche ich eine alte Fritzbox 7390 zu reaktivieren, damit ich sie an den FON0 Ausgang der VF Station klemmen kann und damit als DECT Basis nutzen kann

Zitat von Tuxtom007

Dualstack mit FritzBox 6591 von Vodafone inkl. BridgeModus läuft bei mir -

Dualstack mit *eigener* Fritzbox 6591 lief bei mir auch, nur Bridge geht dann nicht. Jetzt hab ich eine VF Station im Bridge-Modus, aber nur noch IPv4 und keine VoIP-Telefonie. Die "terminiert" nämlich auch im Bridge Modus in der VF Station und kann vort dort nur als analoges Signal abgegriffen werden. Ich hab mir für 30 EUR eine gebrauche 7390 geholt, FON-Out der VF Station an DSL/TEL der 7390.

Funktioniert soweit, aber das Telefon klingelt noch 5sec nachdem man aufgelegt hat.

Irgendwas ist ja immer, aber nie ist alles richtig

Die ranzige Telefonie-Problematik hab ich mal in ein eigenes Thema ausgelagert, der lokale Netzumbau ist ja abgeschlossen.

Thema

VF West: Lösung VoIP Problem gesucht

Moin,

mein neuer Setup ist fertig und Internet läuft super. Ein letzter Makel bleibt: Telefonie.

Vodafone besteht offenbar darauf Telefonie in seinem Mietgerät zu terminieren. So kann ich aktuell nur analoge Telefone an den Fon-Ausgang der Station anschließen. Gleichzeitig soll das Endgerät im Bridge Modus betrieben werden

Für diese Kombi scheint es zwei Lösungen zu geben und ich bitte um Feedback:

- eine Fritz-Mietbox (aktuell 6660), welche offenbar für VF West mit MaxCPE 3 konfiguriert wird und…

maxim.webster

26. Februar 2022