Home Network in Zones aufteilen

[marsman147]

Hi!

Ich habe in den vergangenen Monaten mein Netzwerk um eigenständige(s) Modem, Firewall und Switches sowie 2 Netzwerkzonen erweitert (siehe Diagramm). Die Zone VLAN10 soll "vertrauenswürdige" Geräte enthalten. Geräte in diesem Netz dürfen auf alle andere Geräte zugreifen. Die Zone VLAN20 Clients wie den ganzen Smarthome-Kram. Im VLAN20 dürften Clients nur auf bestimmten manuell vergebenen Ports kommunizieren. Die Firewall hat nun folgende Aufgaben:

• Paketfilter (in-/outbound)
• NAT
• DHCP für VLANs
• VPN-Server
• NTP-Server

Im VLAN10 befindet sich ein Server, der z.Zt. folgenden Aufgaben hat:

• DNS-Server für alle Geräte im LAN und VPN
• Reverse Proxy, der den Zugriff auf interne HTTP-Dienste von außen ermöglicht
• Zertifikatspeicher

Die Frage wäre nun, ob ich meine Netzwerkstruktur bezüglich Sicherheit noch verbessern kann. Insbesondere, was den oben angesprochenen Server angeht, da dieser kritische Dienste bereitstellt.

 

[Whistler]

Mir erschließt sich noch nicht, wie das Routing zwischen den einzelnen VLANs von Statten geht.
Ist das statisches Routing im Switch mit passigen ACLs? Oder hat die Firewall weitere Ports in die einzelnen Netze?

 

[marsman147]

In der Firewall sind die Interfaces VLAN10 und VLAN20 konfiguriert. Es gibt eine physische Verbindung LAN zum Managed Switch. Das Interface OPT nutze ich z.Zt. nicht.

Am Switch habe ich 4 Ports für VLAN10 und 4 Ports für VLAN20 konfiguriert (Static VLAN Setup) und daran die Clients angeschlossen. Der WLAN AP hat zwei SSID. Je eines pro VLAN.