Top-Themen

AppleEntwicklungHardwareInternetLinuxMicrosoftMultimediaNetzwerkeOff TopicSicherheitSonstige SystemeVirtualisierungWeiterbildungZusammenarbeit

Aktuelle Themen

Administrator.de FeedbackApache ServerAppleAssemblerAudioAusbildungAuslandBackupBasicBatch & ShellBenchmarksBibliotheken & ToolkitsBlogsCloud-DiensteClusterCMSCPU, RAM, MainboardsCSSC und C++DatenbankenDatenschutzDebianDigitiales FernsehenDNSDrucker und ScannerDSL, VDSLE-BooksE-BusinessE-MailEntwicklungErkennung und -AbwehrExchange ServerFestplatten, SSD, RaidFirewallFlatratesGoogle AndroidGrafikGrafikkarten & MonitoreGroupwareHardwareHosting & HousingHTMLHumor (lol)Hyper-VIconsIDE & EditorenInformationsdiensteInstallationInstant MessagingInternetInternet DomäneniOSISDN & AnaloganschlüsseiTunesJavaJavaScriptKiXtartKVMLAN, WAN, WirelessLinuxLinux DesktopLinux NetzwerkLinux ToolsLinux UserverwaltungLizenzierungMac OS XMicrosoftMicrosoft OfficeMikroTik RouterOSMonitoringMultimediaMultimedia & ZubehörNetzwerkeNetzwerkgrundlagenNetzwerkmanagementNetzwerkprotokolleNotebook & ZubehörNovell NetwareOff TopicOpenOffice, LibreOfficeOutlook & MailPapierkorbPascal und DelphiPeripheriegerätePerlPHPPythonRechtliche FragenRedHat, CentOS, FedoraRouter & RoutingSambaSAN, NAS, DASSchriftartenSchulung & TrainingSEOServerServer-HardwareSicherheitSicherheits-ToolsSicherheitsgrundlagenSolarisSonstige SystemeSoziale NetzwerkeSpeicherkartenStudentenjobs & PraktikumSuche ProjektpartnerSuseSwitche und HubsTipps & TricksTK-Netze & GeräteUbuntuUMTS, EDGE & GPRSUtilitiesVB for ApplicationsVerschlüsselung & ZertifikateVideo & StreamingViren und TrojanerVirtualisierungVisual StudioVmwareVoice over IPWebbrowserWebentwicklungWeiterbildungWindows 7Windows 8Windows 10Windows InstallationWindows MobileWindows NetzwerkWindows ServerWindows SystemdateienWindows ToolsWindows UpdateWindows UserverwaltungWindows VistaWindows XPXenserverXMLZusammenarbeit
GELÖST

VPN und DMZ für geregelten Zugriff auf einige Ressourcen im Heim Netzwerk

Frage Netzwerke LAN, WAN, Wireless

Mitglied: dercrusader

dercrusader (Level 1) - Jetzt verbinden

29.03.2014, aktualisiert 12:11 Uhr, 3018 Aufrufe, 20 Kommentare

Hallo

Ich suche Hilfe bei einem Aufbau bzw Umbau meines Heimnetzes. Ich mag ungern meine privaten Daten bei Dropbox, Google oder so ablegen und habe mir etwas ausgedacht, wozu ich gerne Euer Feedback hätte.

Ziele:
1. Netzwerk mit VPN (ich denke an eine DMZ mit einer einer VPN Entschlüsselung vor einer internen Firewall
2. geregelter Internet Zugriff auf selektierte interne Ressourcen (Kamera; SAT Receiver; Synology als Mail-Server, File-Server (Bilder usw); KEIN Zugriff auf andere Rechner oder das Backup System
3. Internet Geräte: zunächst Android oder eigene Notebooks

Vorhandene (V) / vermutlich Anzuschaffende (A) Geräte
(V): speedport 503 (Mietgerät der Deutschen Telekom. Das Gerät schützt meine eigenen Geräte vor Überspannungen aus dem Netz der deutschen Telekom. kam öfter vor)
(V): zwei als quasi WLAN Access Points agierende Dlink Devices (855, 825)
(A): externe und interne Firewall (A): VPN Server (Router, raspberry, ...?)
(A): Synology 814+ als Mail Server, fileserver für z. B. Bilder und andere nicht so relevante Dokumente, evtl Virtualisierung, wenn die Box dies kann.

Fragen:
1. macht die Konfiguration grundsätzlich Sinn?
2. welche Verbesserungen wären im Solution Design sinnvoll ?
3. ich habe gelesen, dass ich lieber auf VPN Lösungen in den Android geraten setzen sollte, die kein rooten der Geräte erfordern. Seht ihr das auch so? Wenn ja, welche Auswirkung hat dies dann auf die Konfiguration/ die anzuschaffenden Geräte?
4. welche Geräte sollte ich mir anschaffen?
A. externe Firewall
B. interne Firewall
C. VPN Server
D. NAS Server

Anmerkung: Ich gebe lieber ein paar hundert Euro mehr aus, wenn es die Sicherheit und Funktionalität sinnvoll unterstützt

Viele Grüße vom crusader
Mitglied: orcape
LÖSUNG 29.03.2014, aktualisiert um 12:11 Uhr
Hi,
viele Fragen und von mir eine Antwort, ein Alix mit pfSense erfüllt alle Deine Wünsche für´s Homenetz.
Mit ~180.- € incl. WLAN bist Du dabei.
@aqui hat hierzu ein sehr schönes Tutorial geschrieben....
http://www.administrator.de/wissen/preiswerte-vpn-f%C3%A4hige-firewall- ...
...mit etwas Zeitaufwand auch als Laie machbar.
Das gibt es jetzt auch mit GB-LAN und einem 1GHz Prozessor, dann allerdings preislich etwas mehr.
Gruß orcape
Bitte warten ..
Mitglied: aqui
LÖSUNG 29.03.2014, aktualisiert um 12:11 Uhr
Antwort auf Frage 1: Ja
2: Du hast alles vorschriftsmässig richtig gemacht !
3 bis C: Das hat Kollege Orcape oben schon umfassend beantwortet mit der pfSense und Alix.
D: Hier kannst du aus dem Portfolio von QNAP oder Synology wählen:

Tip: Installiere die Owncloud auf dem NAS dann hast du deine eigene Dropbox und Cloud Server zuhause !
https://owncloud.com/wp-content/uploads/2012/08/ct.1912.156-159.pdf
Damit ist dann Kalender und Datensharing ala Dropbox ein Kinderspiel und alle deine privaten Daten sind bei dir sicher zuhause auf dem NAS.
Bitte warten ..
Mitglied: orcape
29.03.2014 um 12:20 Uhr
4. welche Geräte sollte ich mir anschaffen?
Am DSL-Anschluß werkelt Dein Router, der eigentlich nur als "dummes" Modem arbeiten braucht und mit VoIP Deine Telefonie erlaubt.
An dessen LAN-Anschluß das ALIX, das Dir die pppoE Einwahl zum Provider macht.
Darauf hast mit pfSense eine Firewall, die Dir ausserdem eine DMZ für Dein NAS bietet und
bei dem sich je nach Bedarf, auch noch ein eigenes WLAN integrieren lässt.
Du kannst natürlich auch Deine eigenen, vorhandenen WLAN-AP´s verwenden, indem Du diese mit dem LAN-Anschluß
des ALIX verbindest.
Ein kleiner Switch am LAN-Port des ALIX ist natürlich sinnvoll, um mehrere Geräte in´s LAN integrieren zu können.
Was das NAS betrifft, hat Dir ja @aqui schon einige Tipp´s geliefert.
QNAP oder Synology ist mit Sicherheit keine schlechte Wahl.
Du solltest Dich in dem Zusammenhang wirklich gut informieren, auch was die verbaute Hardware und das darauf laufende OS betrifft.
Ob Du nun unbedingt ein Raid-System benötigst, oder ob für Deine Zwecke ein Gerät mit nur einer Festplatte ausreicht.
Eine Datensicherung per rsync etc. auf einer externen Festplatte wäre z.B. eine alternative Lösung.
Aber alles auch eine Sache des verfügbaren Budgets..
Gruß orcape
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 13:10 Uhr
Hi orcape,
hi aqui,

Danke Euch.

Das Tutorial von Dir hört sich gut an, aqui

wenn ich es richtig verstanden habe, dann wäre die APU1C in- und externe Firewall und würde zwischen drin die VPN Entschlüsselung machen, richtig?

ich könnte dann alle entsprechenden Weiterleitungen auf meinen SAT Receiver, Kamera usw einrichten (Zugriff von außen per Dyndns oder so), richtig?

Sollte ich nicht gleich die APU1C4 kaufen, wenn sie verfügbar ist? Dann hätte ich gleich doppelten Speicher oder macht das keinen Unterschied?

Grüße
crusader
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 13:19 Uhr
Hi aqui
das mit Own cloud finde ich sehr interessant.hatte ich auch schon mal dran gedacht. Habe dann aber mit Bezug auf Synology mal irgendwo gelesen, dass die Daten nach der Installation verschwunden waren. Hast Du positive oder negative Erfahrungen.? evtl. eine andere Plattform als Synology?
Grüße vom crusader
Bitte warten ..
Mitglied: orcape
LÖSUNG 29.03.2014, aktualisiert um 13:41 Uhr
Hi crusader,
wenn ich es richtig verstanden habe, dann wäre die APU1C in- und externe Firewall und würde zwischen drin die VPN
Entschlüsselung machen, richtig?
APU1C wäre die neue Variante des ALIX. Firewall, IPsec VPN, OpenVPN uvm. problemlos machbar.
(Zugriff von außen per Dyndns oder so), richtig?
...richtig. DynDNS, no-ip.com oder eben vom Provider eine statische IP.
Sollte ich nicht gleich die APU1C4 kaufen, wenn sie verfügbar ist?
...wäre zumindest nicht ganz sinnfrei...
Denn auch was Geschwindigkeit angeht, ist das neue ALIX wohl klar im Vorteil, da schnellere CPU, mehr Speicher etc..
Gruß orcape

PS: Alternative zu allen gekauften NAS.
Ein miniITX-Rechner, von mir aus auch selbst zusammengebaut mit stromsparendem ATOM-Prozessor nach eigener config und darauf...
http://www.openmediavault.org/
Auch ´ne saubere Lösung und mit OpenMediaVault-extras.org ein richtig geiles NAS.
Bitte warten ..
Mitglied: aqui
LÖSUNG 29.03.2014, aktualisiert um 13:41 Uhr
@dercrusader
Das neue Mainboard APU brauchst du nur wenn du einen Internetzugang hast der größer 50 Mbit/s hat ! Die klassischen Bandbreiten inkl. VDSL kannst du auch mit dem etwas preiswerterem 2D13 bedienen, da das annähernd 100 Mbit/s Paket Forwarding Rate schafft bei PPPoE mit NAT. Die Differenz kannst du dann besser in einen anständigen GiG LAN Switch investieren wie einen Cisco SG-200-8 z.B. das ist sinnvoller.
Mit dem GiG Board bist du natürlich etwas "zukunftssicherer" was die Skalierung der Internet Anbindung anbetrifft nicht aber fürs lokale LAN !

Mit Weiterleitungen solltest du generell nicht arbeiten, denn diese Daten gehen dann immer vollkommen unverschlüsselt über das Internet. In der heutigen Zeit ein absolutes NoGo...musst du aber letztlich selber wissen was dir wichtig ist und was nicht !
Die pfSense Firewall mit einem ALIX 2D13 deckt deine gesamten Netzwerk Anforderungen ab inkl. VPN und allem !

Owncloud rennt hier sowohl auf QNAP als auch auf Synology seit Monaten vollkommen problemlos !
Generell solltest du immer ein 2Platten NAS beschaffen mit einem RAID1 dann minimierst du den Datenverlust. Ein RAID ersetzt aber niemals ein Backup.
Bitte warten ..
Mitglied: orcape
LÖSUNG 29.03.2014, aktualisiert um 13:41 Uhr
@aqui
http://www.pcengines.ch/apu1c4.htm
...ist der Nachfolger von 2D13...
gruß orcape
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 13:36 Uhr
Was das NAS betrifft, hat Dir ja @aqui schon einige Tipp´s geliefert.
QNAP oder Synology ist mit Sicherheit keine schlechte Wahl.
Du solltest Dich in dem Zusammenhang wirklich gut informieren, auch was die verbaute Hardware und das darauf laufende OS betrifft.

Ob Du nun unbedingt ein Raid-System benötigst, oder ob für Deine Zwecke ein Gerät mit nur einer Festplatte
ausreicht

ich wollte mir eigentlich ein zweites NAS System zulegen, welches sich zum bsp um Daten wie Bilder für den internen und externen Zugriff hält. Eventuell möchte ich meinen eigenen Mail Server auch auf dem laufen lassen. ist das Blödsinn?

Stelle ich das zweite NAS in das Heim Netz oder in die DMZ.
muss ich zwei VPNs haben, wenn ich das NAS in die DMZ stellen würde? Wäre der Schutz dort schlechter?

Wegen der Auswahl des NAS wie ich diesmal etwas mehr Power haben wollen. Die DS209j ist recht bald an Rande ihrer Leistungsfähigkeit.
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 13:40 Uhr
Ihr seid schneller im antworten, als ich im Fragen überlegen ;)
Bitte warten ..
Mitglied: aqui
LÖSUNG 29.03.2014, aktualisiert um 14:04 Uhr
meinen eigenen Mail Server auch auf dem laufen lassen. ist das Blödsinn?
Nein ! Im ganz Gegenteil in der heutigen Zeit:
http://www.heise.de/ct/heft/2014-4-Die-Schwaechen-der-E-Mail-und-was-da ...
http://www.heise.de/ct/inhalt/13/17/164/
Bitte warten ..
Mitglied: orcape
LÖSUNG 29.03.2014, aktualisiert um 14:51 Uhr
Eventuell möchte ich meinen eigenen Mail Server auch auf dem laufen lassen.
..wegen 2 oder 3 Rechner im Homenetz wäre mir das zu viel Aufwand.
Stelle ich das zweite NAS in das Heim Netz oder in die DMZ.
..kommt drauf an was Du damit machen willst. Als reines Datengrab für Dein Homenetz, wenn Du da nicht von remote zugreifen musst ins LAN, ansonsten in die DMZ.
Wäre der Schutz dort schlechter?
...geht alles über die Firewall, ist aber eben komplett vom LAN getrennt, bzw. so wie Du Dir das per Rules einrichtest.
Wegen der Auswahl des NAS wie ich diesmal etwas mehr Power haben wollen. Die DS209j ist recht bald an Rande ihrer > Leistungsfähigkeit.
Immer schauen, wie lange die Dinger in der besagten Version am Markt sind. Das bringt meist schon Rückschlüsse auf das Alter des verwendeten OS.
Gruß orcape
Bitte warten ..
Mitglied: aqui
LÖSUNG 29.03.2014, aktualisiert um 14:51 Uhr
OS wohl weniger, das ist ja immer Linux aber sicher die verwendete Hardware (SoC oder CPU).
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 14:16 Uhr
Zitat von aqui:

Mit Weiterleitungen solltest du generell nicht arbeiten, denn diese Daten gehen dann immer vollkommen unverschlüsselt
über das Internet. In der heutigen Zeit ein absolutes NoGo...musst du aber letztlich selber wissen was dir wichtig ist und

mmmhhh... evtl habe ich das doch noch nicht richtig verstanden. ich hatte mir das so gedacht: via VPN z.B. von unseren Android Devices oder Notebooks via Internet über eine externe firewall in die DMZ auf einen Entschlüsselungsserver. Dort entschlüsseln und dann weiterleiten über die interne firewall auf das entsprechende Device/ die ressource. würde der traffic hin oder zurück dann unverschluesslt sein?
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 14:26 Uhr
Zitat von orcape:

> Eventuell möchte ich meinen eigenen Mail Server auch auf dem laufen lassen.
..wegen 2 oder 3 Rechner im Homenetz wäre mir das zu viel Aufwand.

sind so ca 10 Devices. geht schnell so mit Kids und Smartphones ...

> Stelle ich das zweite NAS in das Heim Netz oder in die DMZ.
..kommt drauf an was Du damit machen willst. Als reines Datengrab für Dein Homenetz, wenn Du da nicht von remote zugreifen
musst ins LAN, ansonsten in die DMZ.
> Wäre der Schutz dort schlechter?
...geht alles über die Firewall, ist aber eben komplett vom LAN getrennt, bzw. so wie Du Dir das per Rules einrichtest.

ich glaube hier komme ich zu der Verständnisfrage, die ich gerade gestellt habe oder es zumindest versucht habe ;) evtl habe ich es doch noch nicht richtig verstanden ...

ich hatte gedacht die Zugriffe in mein LAN zu lassen - aber via VPN Entschlüsselung in der DMZ und mit einer in und externen firewall.
.
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 14:41 Uhr
benötige ich evtl zwei von den APUs?
wäre ja nicht schlimm
mein Bild war wohl nicht ganz gut ..sorry dafür
Grüße vom crusader

PS bin halt ein wenig paranoid ;)
Bitte warten ..
Mitglied: aqui
LÖSUNG 29.03.2014, aktualisiert um 17:42 Uhr
Das mit der "externen Firewall" und "Entschlüsselungsserver" ist natürlich netztechnischer Blödsinn und vermutlich hast du das oder den Sinn von VPNs nicht verstanden ?!
Dein VPN Client im Smartphone oder Laptop mit dem du unterwegs bist hat schon alles an Bord, der erfordert keine "externe Firewall" mehr.
Wenn du also im Hotel am WLAN oder mit dem Smartphone im Mobilfunknetz bist, startest du deinen VPN Client, der verbindet sich mit deiner pfSense zuhause, baut den VPN Tunnel auf und dein Heimnetz liegt dir zu Füssen als ob du zuhause im LAN sitzen würdest.

Port Weiterleitung geht ohne VPN. Damit bohrt mein halt ein Loch in die Firewall und öffnet diesen Port zum Internet. Die Folgen snd klar. Die Firewall wird löchrig für die ganze Welt und jeder kann durch diesen Port ins lokale LAN. Wer selber darüber Dienste im lokalen LAN anspricht nutzt das dann ohne Verschlüsselung (VPN) die privaten Daten werden dann einfach durch das Loch in der Firewall "durchgeschleust" auf das lokale Endgerät. Viele laien machen sowas in Unkenntniss der Gefahren.
Wer sowas heute sowas noch macht ist selber Schuld oder sollte sich bewusst sein WAS er da macht. Ausnahme ist natürlich du willst in deiner DMZ einen privaten Webserver betreiben damit Oma Grete die Kinderfotos runterladen kann oder andere deine Briefmarkensammlung bewundern können. Dann musst du natürlich Port 80 für HTTP der Allgemeinheit öffnen.
Besser also für Zugriff auf private Daten das VPN nutzen und dafür reicht dir eine einzige kleine Firewall oder VPN Router zuhause !
Vergiss also den Blödsinn mit der "externen" Firewall und lies dir bitte das_hier nochmal genau durch !
Bitte warten ..
Mitglied: dercrusader
29.03.2014 um 18:01 Uhr
Zitat von aqui:

... lies dir bitte das hier nochmal genau durch !

mach ich ... danke dafür ....

habe wohl dieses Statement

"Die beste Lösung ist jedoch, das VPN-Gateway oder den VPN-Server in eine demilitarisierte Zone (DMZ), zwischen Netzzugangsrouter und Firewall, zu setzen. Auf diese Weise kann der entschlüsselte Datenverkehr in einer zweiten Filterstufe durch die Firewall nochmals überprüft werden."

aus diesem_Artikel

missverstanden.

Werde jetzt die Anfangs vorgeschlagene Lösung bestellen.

vielen Dank noch einmal an Euch - auch für die Geduld ;)

noch ein schönes Wochenende und viele Grüße vom crusader
Bitte warten ..
Mitglied: aqui
30.03.2014, aktualisiert um 15:30 Uhr
Ahhh, ok nee, missverstanden hast du das dann nicht, denn das beschreibt ja dann ein doppelstufiges Firewall Konzept und deine Ausführungen machen dann wieder Sinn, aber das wäre für ein halbprofessionelles Privatnetz jetzt sicher mit Kanonen auf Spatzen. Da reicht eine FW mit 3 Ports allemal.
Sorry, hatte ich überlesen in dem Artikel.
Bitte warten ..
Mitglied: dercrusader
30.03.2014 um 20:22 Uhr
ich sag doch: paranoid ;)

einen schönen Restsonntag vom crusader
Bitte warten ..
Neuester Wissensbeitrag
Internet

Unbemerkt - Telekom Netzumschaltung! - BNG - Broadband Network Gateway

(3)

Erfahrungsbericht von ashnod zum Thema Internet ...

Ähnliche Inhalte
Internet Domänen
gelöst Kein Internetzugriff für einige Clients im Netzwerk (23)

Frage von rapidshare zum Thema Internet Domänen ...

Internet Domänen
gelöst Verbesserungen im Heim Netzwerk und Exchange Zertifikate .local (11)

Frage von bootloader zum Thema Internet Domänen ...

Router & Routing
gelöst Mikrotik VPN - Router hat Zugriff, Client nicht (28)

Frage von BirdyB zum Thema Router & Routing ...

Heiß diskutierte Inhalte
Windows Server
Outlook Verbindungsversuch mit Exchange (15)

Frage von xbast1x zum Thema Windows Server ...

Grafikkarten & Monitore
Tonprobleme bei Fernseher mit angeschlossenem Laptop über HDMI (11)

Frage von Y3shix zum Thema Grafikkarten & Monitore ...

Microsoft Office
Keine Updates für Office 2016 (11)

Frage von Motte990 zum Thema Microsoft Office ...