Netzwerk Sicherheit?
Da bei mir zwei Lan Anschlüsse für die Haustüre draußen enden stellt sich mir die Frage ob es nicht sinnvoll ist mein Netzwerk mittel Subnetzmaske 255.255.0.0 etwas zu sichern..
Der Bereich von bspw.
172.18.1.1 bis 172.18.1.254 ist für neue Geräte.. (d.h. alle Geräte die ich nicht einlerne in meinem DHCP Server landen da)
alle registrierten Geräte von mir landen dann bspw. In 172.18.8.1 bis 172.18.8.254 und meine FritzBox (Gateway) mit der Adresse 172.18.2.254.
Ich würde den .8.0 Bereich mittels statischer route online bringen und den Standard Bereich 172.18.1.1 nicht routen?
4 Antworten
Ich verstehe Dein Anliegen, die damit geschaffene Sicherheit wäre allerdings trügerisch.
Du verhinderst damit lediglich, dass jemand, der sich an den außen mehr oder minder zugänglichen Dosen einsteckt, (sofort) ins Internet gehen kann.
Treibt dieser Jemand jedoch etwas mehr Aufwand, wird er auch das erreichen können.
Eine mögliche Lösung wäre in diesem Fall das Gastnetz der FritzBox andersherum zu verwenden. D.h. Du bekommst den Gast-Port und überlässt den besser konfigurierbaren Teil den Außendosen. Es gibt dann aber keine direkte Verbindung zwischen den Netzen.
Wenn man das richtig machen will, kommt man um eine DMZ und eine richtige Firewall nicht herum.
Mit Deiner Lösung wäre Dein internes Netzwerk sowieso mehr oder minder ungeschützt. Du verweigerst lediglich die in meinen Augen unwahrscheinlichen Fall, dass jemand vorbeikommt, sich einsteckt und Internet haben will.
255.255.0.0
Für dein Vorhaben brauchst du keine 65536 möglichen Adressen.
Kleiner Netze heißt weniger Broadcast Traffic.
Wenn du 172.118.1.0/24 nicht routest, wird das Netz keinerlei Kommunikation nach außen haben. Geräte innerhalb dieses Netzes können miteinander kommunizieren aber was machst du wenn du mal auf eines der Geräte von außerhalb des Netzes zugreifen musst?
So ganz ist mir dein Ziel noch nicht klar und warum man nicht einfach eine Firewall (OPNsense z.B.) dazwischen setzt oder mit VLANs arbeitet?
Das kann man ganz einfach umgehen indem man eine statische IP eingibt
Das nützt im Zweifelsfall nichts. Etwas besser würdest du mit einem MAC-Filter (Whitelist) fahren, wenn du nur bekannte Geräte ins Netz lässt.
Aber die Frage ist: warum sind da zwei LAN-Anschlüsse offen zugänglich?