Netwerk scheiden met 2 routers

[Rickstah]

Beste Tweakers,

Ik wil deze situatie creëren:


Ik wil dus 2 totaal gescheiden netwerken. Ze mogen elkaar niet pingen enz.

De eerste router levert dus internet en een dhcp range.
De tweede router heeft een eigen dhcp-range en moet internet krijgen van de eerste router. Alleen mogen de pc's die zijn verbonden aan router2 niet verbinding kunnen maken met de computers op router1.

Hoe krijg ik dit voor elkaar?

[Verwijderd]

Waarom geen VLAN?

[richeh]

Misschien is het verstandig je IP adressen niet zichtbaar te maken in je post, met name je publieke IP adres

[Henneo]

Ik zou idd voor een paar tientjes een switch kopen waarmee je vlan's kan gebruiken. Ben je lekker snel en makkelijk klaar.

[Rickstah]

Ik heb een VLAN switch (dat is die SRW2008)
Alleen het punt is dat er dan nog steeds 1 kabel vanuit het Linksys modem naar de VLAN switch loopt. Dus kunnen ze vroeg of laat alsnog bij elkaar komen...toch?

[Quakie]

Totaal offtopic, maar met welke programma worden zulke screens gemaakt?
Ik zie ze nl. vaker voorbij komen en het kan best handig zijn als je een keer je netwerkje wilt uittekenen.

[Rickstah]

Quakie schreef op woensdag 16 mei 2007 @ 21:46:
Totaal offtopic, maar met welke programma worden zulke screens gemaakt?
Ik zie ze nl. vaker voorbij komen en het kan best handig zijn als je een keer je netwerkje wilt uittekenen.

Visio

[Henneo]

Dan zou je eventueel nog een goedkoop cisco routertje kunnen kopen en daar sub-interfaces op configureren. Dan kan je eventueel ook nog met anti-spoof access-lists werken.

[job]

ms visio

Die pc's die 2 nics heeft moet je wel goed configureren.
Je wil niet dat het verkeer alsnog via die 2 nics van het ene netwerk naar het andere gaat.
Of dat in windows kan zou ik overigens niet weten.

[ Voor 92% gewijzigd door job op 16-05-2007 21:51 ]

[Quakie]

Conan schreef op woensdag 16 mei 2007 @ 21:46:
[...]


Visio

Thanks, helaas niet gratis...

[Rickstah]

job schreef op woensdag 16 mei 2007 @ 21:50:
Die pc's die 2 nics heeft moet je wel goed configureren.
Je wil niet dat het verkeer alsnog via die 2 nics van het ene netwerk naar het andere gaat.
Of dat in windows kan zou ik overigens niet weten.

Daar staat Windows XP op, en die routeert toch niet onderling 2 netwerkkaarten?

[Mr.Wop]

Standaard routeert XP niks dus die 2 nic's is geen probleem.

[ Voor 112% gewijzigd door Mr.Wop op 16-05-2007 22:03 ]

[jvanhambelgium]

Euh ... gewoon een IP-filter op de BEFSR41 ??

- alle verkeer toelaten naar 10.10.1.1 (dit is de default gateway voor de downstream BEFSR41) ongeacht het source-ip
- alle traffiek blokkeren destination 10.10.1.10/25 source eventueel range 10.0.0.10/25

2 zulke filtering statement zullen wel kunnen op de linksys doos zekers ?

Keep It Simple Stupid!


Allemaal niet te moeilijk maken...

[Rickstah]

jvanhambelgium schreef op woensdag 16 mei 2007 @ 22:02:
Euh ... gewoon een IP-filter op de BEFSR41 ??

- alle verkeer toelaten naar 10.10.1.1 (dit is de default gateway voor de downstream BEFSR41) ongeacht het source-ip
- alle traffiek blokkeren destination 10.10.1.10/25 source eventueel range 10.0.0.10/25

2 zulke filtering statement zullen wel kunnen op de linksys doos zekers ?

Keep It Simple Stupid!


Allemaal niet te moeilijk maken...

Thanks! ff proberen!
Moet dan trouwens de netwerkkabel in de WAN of de LAN port van de BEFSR41??

[jvanhambelgium]

euh ... de netwerkkabel die richting "internet" gaat moet in de WAN poort dan hé.
vervolgens kan de de LAN-port (of 1 van de LAN ports) gebruiken om naar de onderliggende USR gigabit switch te gaan ?

IK kan ook niet uitmaken of de BEF41SR ook via DHCP een "WAN" ip addres krijgt van de upstream INternet Linksys ?? Of heb je statische adressen erin geklopt ?

Moet lukken hoor.
Desnoods kan je veiligheidshalve additioneel nog een filtering rule zetten dat je ALLE inbound verkeer op de WAN-port van de BEFSR41 dropped wat komt van DHCP-scope 10.10.1.10/25 MAAR dan moet je wel zorgen dat je BEFSR41 eventueel een statisch WAN-ip heeft net buiten deze scope ? Begrijp je ?

Jan

[Rickstah]

jvanhambelgium schreef op woensdag 16 mei 2007 @ 23:25:
euh ... de netwerkkabel die richting "internet" gaat moet in de WAN poort dan hé.
vervolgens kan de de LAN-port (of 1 van de LAN ports) gebruiken om naar de onderliggende USR gigabit switch te gaan ?

IK kan ook niet uitmaken of de BEF41SR ook via DHCP een "WAN" ip addres krijgt van de upstream INternet Linksys ?? Of heb je statische adressen erin geklopt ?

Moet lukken hoor.
Desnoods kan je veiligheidshalve additioneel nog een filtering rule zetten dat je ALLE inbound verkeer op de WAN-port van de BEFSR41 dropped wat komt van DHCP-scope 10.10.1.10/25 MAAR dan moet je wel zorgen dat je BEFSR41 eventueel een statisch WAN-ip heeft net buiten deze scope ? Begrijp je ?

Jan

Het lukt trouwens niet helemaal
In de BEFSR41 zijn dit de enige Static Router instellingen die ik kan maken:

- Destination ip adress
- Subnet mask
- Gateway
- Hop count

IP filters behoren helaas ook niet tot de mogelijkheid

[jvanhambelgium]

Hmm, effe gok, maar mischien moet je eens overwegen om de BEFSR41 DEZELFDE DHCP-range te laten uitdelen aan z'n clients als de uw Linksys-Internet router gebruikt!
Ik weet niet of de BEFSR41 ermee overweg gaan kunnen, maar in principe zou je volgend effect moeten bekomen.

1) Je wilt een bepaalde internethost bereiken, dus de clients achter BEFSR41 gaan forwarden naar deze router die dit door z'n NAT-molentje gaat halen en vervolgens "forwarden" naar Linksys-Internet. Ik zie ook geen problemen voor het return-path aangezien de BEFSR41 toch NAT heeft gedaan met het IP-adres dat via DHCP werd gegeven door Linksys-Internet.

2) Een bepaalde host wilt proberen een host op LAN1 te bereiken dewelke dezelfde IP's hebben ..... boooiinnnggg ... die zal er NOOIT geraken aangezien de host NOOIT z'n default gateway gaat aanspreken omdat deze denkt dat het "lokaal" verkeer is !

Het is een beetje "dodgy" maar het kan best werken !
Proberen maar !

Dus op BEFSR41 terug op de WAN port instellen dat je DHCP (dynamic ip) van de ISP wilt en vervolgens de WAN poort natuurlijk koppelen aan de SWR2008 hé

Jan

[Romke]

Twee VLAN's op 1 internetverbinding.

En dan vooral:

rapture in "Twee VLAN's op 1 internetverbinding."

Met trunkports zou het ook moeten kunnen?
Ik weet niet of je Linksys dat ondersteunt?

[jvanhambelgium]

euh, als z'n Linksys niet eens deftige ip-filtering ondersteuning heeft zou het me verbazen dat ie trunkports gaat ondersteunen ;-)

Zelfs met al het VLAN gespeel zou je TOCH moeten IP-filteren wil je bepaalde hosts weghouden van andere hosts....op een volwaardige L3 switch geen probleem natuulijk.

[rapture]

Die Linksys huishoudrouter heeft slechts 1 LAN-interface, ik zou het anders oplossen. Hoeveel IP-adressen krijg je? Als je 2 IP-adressen krijgt, dan kan je het zo oplossen.

2 gescheiden netwerken die via hun eigen huishoudrouter aan de WAN gehangen worden. Deze kunnen naar het Internet, maar buiten de huishoudrouter kan je dankzij NAT niet meer zomaar terug naar binnen. Tenzij als je portforwarding of andere zaken configureer.

[Rickstah]

rapture schreef op donderdag 17 mei 2007 @ 19:11:
Die Linksys huishoudrouter heeft slechts 1 LAN-interface, ik zou het anders oplossen. Hoeveel IP-adressen krijg je? Als je 2 IP-adressen krijgt, dan kan je het zo oplossen.

2 gescheiden netwerken die via hun eigen huishoudrouter aan de WAN gehangen worden. Deze kunnen naar het Internet, maar buiten de huishoudrouter kan je dankzij NAT niet meer zomaar terug naar binnen. Tenzij als je portforwarding of andere zaken configureer.
[afbeelding]

Ik heb helaas geen 2 WAN adressen, dus dat is geen optie.
Ik heb natuurlijk wel die SRW2008 switch van Linksys met VLAN mogelijkheden, kan ik daar niet een nette oplossing mee maken?

Kan ik achter het Linksys modem niet een switch leggen, waarna 2 kabels gaan naar de 2 VLAN's die ik aanmaak? En vervolgens dan de BEFSR41 erachter? dan maakt de ip-range waarin ze zitten ook niet meer zoveel uit toch?

[rapture]

Conan schreef op donderdag 17 mei 2007 @ 20:12:
Ik helaas maar 2 WAN adressen, dus dat is geen optie.
Ik heb natuurlijk wel die SRW2008 switch van Linksys met VLAN mogelijkheden, kan ik daar niet een nette oplossing mee maken?

Op die 2 publieke (WAN) IP-adressen kan je toch net die 2 routers hangen?

Kan ik achter het Linksys modem niet een switch leggen, waarna 2 kabels gaan naar de 2 VLAN's die ik aanmaak? En vervolgens dan de BEFSR41 erachter? dan maakt de ip-range waarin ze zitten ook niet meer zoveel uit toch?

Als je VLAN's gebruikt, dan horen de VLAN's van elkaar gescheiden te zijn, anders heb je geen werkende VLAN's. Tussen de gescheiden VLAN's wordt er gerouteerd door 1 of ander apparaat die dat kan.

De voorbeelden van Twee VLAN's op 1 internetverbinding. gaan over een interne LAN en een rij publieke servers.

Dit plaatje in de topicstart zorgt ervoor dat 10.0.0.0 subnet niet van buitenaf (en 10.10.1.0 subnet) bereikbaar zijn. Maar vanuit 10.0.0.0 kan je wel alles van 10.10.1.0 bereiken.

[Rickstah]

rapture schreef op donderdag 17 mei 2007 @ 20:19:
[...]
Op die 2 publieke (WAN) IP-adressen kan je toch net die 2 routers hangen?

[...]
Als je VLAN's gebruikt, dan horen de VLAN's van elkaar gescheiden te zijn, anders heb je geen werkende VLAN's. Tussen de gescheiden VLAN's wordt er gerouteerd door 1 of ander apparaat die dat kan.

De voorbeelden van Twee VLAN's op 1 internetverbinding. gaan over een interne LAN en een rij publieke servers.

Dit plaatje in de topicstart zorgt ervoor dat 10.0.0.0 subnet niet van buitenaf (en 10.10.1.0 subnet) bereikbaar zijn. Maar vanuit 10.0.0.0 kan je wel alles van 10.10.1.0 bereiken.

Ja sorry, tiepvaud heb geen 2 wan adressen, slechts 1.

Dus eigenlijk is het bijna onmogelijk om 2 netwerken gescheiden te maken wanneer je ze samen alsnog over 1 internet verbinding wilt laten gaan? althans...met de apparatuur die ik heb?

[jvanhambelgium]

Heb je nu al eens een poging gedaan met dezelfde DHCP-pool op BEFSR41 te zetten als dat je Internet-Linksys geeft ?

[Rickstah]

jvanhambelgium schreef op donderdag 17 mei 2007 @ 20:27:
Heb je nu al eens een poging gedaan met dezelfde DHCP-pool op BEFSR41 te zetten als dat je Internet-Linksys geeft ?

Werkt helaas niet..de BEFSR41 geeft wel gewoon dat ie per DHCP een WAN ip heeft enz.., de clients verbonden aan die router krijgen ook netjes een ip in dezelfde range als de 1e router, alleen is er vervolgens geen enkel internet verkeer.

[jvanhambelgium]

Tja, dat was mischien wel te verwachten ... zulke zaakjes zijn niet echt volgens de regels van de kunst ;-)

[rapture]

jvanhambelgium schreef op donderdag 17 mei 2007 @ 20:27:
Heb je nu al eens een poging gedaan met dezelfde DHCP-pool op BEFSR41 te zetten als dat je Internet-Linksys geeft ?

Ziet mij behoorlijke "dodgy" uit. Je probeert achter BEFSR41 dezelfde subnet als het netwerk voor de BEFSR41 te gebruiken? Als BEFSR41 een pakketje binnenkrijgt en ziet aan 2 kanten dezelfde subnet, naar welke kant moet het? Allebei? Of de andere kant, waar het pakketje niet vandaan komt? Of nergens heen?

[Rickstah]

Mjah helaas dat het niet werkte...:'(
Zijn er nog andere oplossingen die jullie zouden weten?

[rapture]

Een Vigor huishoudrouter die de LAN-poortjes in VLAN's kunnen opdelen en deze VLAN's van Internet kunnen voorzien.

Of je zet een goedkope huishoudrouter aan de WAN, hierachter kan je 2 huishoudrouters hangen om 2 aparte netwerken te hebben.

[jvanhambelgium]

rapture schreef op donderdag 17 mei 2007 @ 20:55:
[...]
Ziet mij behoorlijke "dodgy" uit. Je probeert achter BEFSR41 dezelfde subnet als het netwerk voor de BEFSR41 te gebruiken? Als BEFSR41 een pakketje binnenkrijgt en ziet aan 2 kanten dezelfde subnet, naar welke kant moet het? Allebei? Of de andere kant, waar het pakketje niet vandaan komt? Of nergens heen?

Het IS wel "dodgy" doch het zou mogelijks kunnen werken. Een beetje "vendor" afhangkelijk vrees ik
Indien de BEFSR41 een packet zou binnenkrijgen met source-ip 10.0.0.4 die vb een internethost op 83.56.32.89 zou moeten contacteren ZOU ik denken dat volgende acties plaatsvinden :

- sourceIP gaat door NAT/PAT molentje met het IP-address van de "WAN" rarar in ons fictief geval OOK een 10.0.0.x adres. De NAT-translatie moet prima lukken.
De BEFSR41 *HEEFT* een default gateway namelijk door de WAN-poort die ik zou denken dat het packet wel tot op de Internet-linksys zou geraken.
(deze ziet dan een pakket afkomen van source-ip 10.0.0.x (WAN) richting whatever.

- het return-path ... packet zou langs de Internet-linksys passeren richting 10.0.0.x (WAN) van de BEFSR41 en die zal in de NAT/PAT tabel wel de juiste entries terugvinden .... maar nu zou het kunnen dat ie ook een beetje in de war geraakt of ie het nu op de LAN moet zetten of de WAN ;-)

Ach, je moet alles es proberen hé...

DE meest simpele oplossing zou nog steeds zijn om alles gewoon zo te laten en packets te filteren op BEFSR41 (om te verhinderen dat LAN2 met LAN1 kan spreken) maar de firmware wil niet mee...

Met een "echte" soho-router (vb type Cisco 82x series) zou je hier mooie oplossingen kunnen maken, maar ik vrees dat de TS hier problemen heeft met de huidige setup...

[Rickstah]

rapture schreef op donderdag 17 mei 2007 @ 22:01:
Een Vigor huishoudrouter die de LAN-poortjes in VLAN's kunnen opdelen en deze VLAN's van Internet kunnen voorzien.

Of je zet een goedkope huishoudrouter aan de WAN, hierachter kan je 2 huishoudrouters hangen om 2 aparte netwerken te hebben.
[afbeelding]

F*ck, heb ik 2 weken geleden net mn Vigor 2800 verkocht omdat ik m dacht niet meer nodig te hebben

Ik kan wel gewoon dat Linksys modem/router ding blijven gebruiken dan toch? Dan moet ik vanuit dat modem 2 netwerkkabels trekken naar ieder een huishoudrouter? Volstaat mn huidige BEFSR41 daar nog voor? Ik heb ook nog wel een belkin router liggen, die kan ik dan ook wel gebruiken daarvoor. (i guess)

Jammer dat ik dan alleen (gloednieuwe) Linksys Manageable switch overhoudt

[rapture]

@ jvanhambelgium
Het gaat wel (achterliggende theorie klopt), als de router ervan uit gaat, dat pakketjes die naar dezelfde subnet moeten, langs de andere interface naar buiten gaan. Waarschijnlijk valt dit op een Linux-router ook wel "bijeen te hacken".

Indien de router andere dingen met die pakketjes doet, dan mag het zelfs succesvol NAT'en en nog altijd gaan de pakketjes nergens heen.

Conan schreef op donderdag 17 mei 2007 @ 22:12:
F*ck, heb ik 2 weken geleden net mn Vigor 2800 verkocht omdat ik m dacht niet meer nodig te hebben

Ik kan wel gewoon dat Linksys modem/router ding blijven gebruiken dan toch? Dan moet ik vanuit dat modem 2 netwerkkabels trekken naar ieder een huishoudrouter? Volstaat mn huidige BEFSR41 daar nog voor? Ik heb ook nog wel een belkin router liggen, die kan ik dan ook wel gebruiken daarvoor. (i guess)

Jammer dat ik dan alleen (gloednieuwe) Linksys Manageable switch overhoudt

Weet wat je zoal bezit en verkoopt.

http://www.draytek.nl/pag.../2800/specs.php?show=vlan

[ Voor 56% gewijzigd door rapture op 17-05-2007 22:23 ]

[Rickstah]

rapture schreef op donderdag 17 mei 2007 @ 22:12:
@ jvanhambelgium
Het gaat wel (achterliggende theorie klopt), als de router ervan uit gaat, dat pakketjes die naar dezelfde subnet moet, langs de andere interface naar buiten moet. Waarschijnlijk valt dit op een Linux-router ook wel "bijeen te hacken".

Indien de router andere dingen met die pakketjes doet, dan mag het zelfs succesvol NAT'en en nog altijd gaan de pakketjes nergens heen.

[...]
Weet wat je zoal bezit en verkoopt.
[afbeelding]
http://www.draytek.nl/pag.../2800/specs.php?show=vlan

Mjah..van die VLAN functie was ik wel op de hoogte...maar ik dacht het met die Linksys SRW2008 ook te kunnen fixen mjah...Netwerkbeheerder functie is niet aan mij besteed

Die SRW2008 routeert toevallig niet he? dan moet je echt een L3 switch hebben?! En heeft het werken met ACL geen zin in dit geval?

[rapture]

In de handleiding zie ik iets als IP-based ACL's, dat kan je eens uitproberen.

[Rickstah]

rapture schreef op donderdag 17 mei 2007 @ 22:28:
In de handleiding zie ik iets als IP-based ACL's, dat kan je eens uitproberen.

Ok, ga ik morgen eens proberen.
En anders gewoon een 2e netwerkkabel leggen vanaf Linksys modem, en dan 2 basic routertjes daar aan hangen? (huidige befsr41 en mn belkin router)

Morgen meer

[Rickstah]

rapture schreef op donderdag 17 mei 2007 @ 22:28:
In de handleiding zie ik iets als IP-based ACL's, dat kan je eens uitproberen.

Dit zijn de instellingen die ik kan doen bij IP-based ACL:



Is het nu alsnog nodig om 2 VLAN's aan te maken?

[jvanhambelgium]

Awel voila, dan is alles toch OK zoals jij tekende. Je moet dat zeker zo werkende krijgen.
Laat gewoon alles staan zoals in uw originele tekening, dan hebben beide LAN's Internet access.
Vervolgens doe je de definitie van een IP ACL hier op de die BEFSR41

action : deny/drop
source-ip : 10.0.0.10 met wildcard-mak 0.0.0.127*
destination-ip 10.10.1.10 met wildcard 0.0.0.127*

* ik DENK dat de wildcard mask zoals de cisco-acl-mask is (aangezien Linksys nu dezelfde methodiek gebruikt sinds ze een Cisco dochter zijn...)
Indien NIET zal deze wildcard voor beiden gewoon 255.255.255.128 zijn.

Jan

[jvanhambelgium]

Allez, die BEFSR41 unit moet je dan even vervangen door de Vigor .....
Hmm ok .. .vergeet die Cisco wild-card theorie ook maar al ... ik zat nog met die Linksys BEFSR41 in m'n kop.
Ik weet niet hoe de Vigor de interpretatie doen van "wildcard" mask ... effe handleiding opsnorren hé!

[ Voor 60% gewijzigd door jvanhambelgium op 18-05-2007 09:33 ]

[Rickstah]

jvanhambelgium schreef op vrijdag 18 mei 2007 @ 09:31:
Allez, die BEFSR41 unit moet je dan even vervangen door de Vigor .....
Hmm ok .. .vergeet die Cisco wild-card theorie ook maar al ... ik zat nog met die Linksys BEFSR41 in m'n kop.
Ik weet niet hoe de Vigor de interpretatie doen van "wildcard" mask ... effe handleiding opsnorren hé!

Euhhmzz...ik wil wel die BEFSR41 gebruiken, want die Vigor heb ik niet langer
Dan kan ik toch wel gewoon de instellingen gebruiken zoals u net aangaf?

[Rickstah]

Conan schreef op vrijdag 18 mei 2007 @ 14:18:
[...]


Euhhmzz...ik wil wel die BEFSR41 gebruiken, want die Vigor heb ik niet langer
Dan kan ik toch wel gewoon de instellingen gebruiken zoals u net aangaf?

Subtiele kick

[jvanhambelgium]

Enkele posts hoger zie ik hier een menu om IP ACL's te maken, is deze screenshot van de Linksys of Vigor ?? Het enige probleem dat hier nog overschiet is het beperken van de toegang van LAN2 naar LAN1.
Indien je IP ACL's kan maken op de BEFSR41 moet je ze eens proberen zoals ik schreef met de Cisco "methodiek" van de wildcard mask.
Indien het IP ACL menu op de Vigor was ... tja ... dan heb je nog steeds een probleem ;-)

Jan

[Rickstah]

jvanhambelgium schreef op maandag 21 mei 2007 @ 08:15:
Enkele posts hoger zie ik hier een menu om IP ACL's te maken, is deze screenshot van de Linksys of Vigor ?? Het enige probleem dat hier nog overschiet is het beperken van de toegang van LAN2 naar LAN1.
Indien je IP ACL's kan maken op de BEFSR41 moet je ze eens proberen zoals ik schreef met de Cisco "methodiek" van de wildcard mask.
Indien het IP ACL menu op de Vigor was ... tja ... dan heb je nog steeds een probleem ;-)

Jan

Haaj Jan,

Het IP ACL menu is van de Linksys SRW2008, de VLAN switch die dus na het Linksys modem komt.
De BEFSR41 die hierna dus komt heeft geen IP ACL mogelijkheden.

[jvanhambelgium]

Je moet dan eens proberen om op de SRW208 slecht 1 VLAN te maken (anders heb je toch weer een probleem omdat deze swich PORT BASED VLAN's doet en geen L3-switch is met volle IP-routing capaciteiten)

Als je gewoon alles in 1 VLAN stopt en vervolgens zo een filter aanmaakt -> IP filter met een DENY/DROP van de DHCP-ranges van LAN2 naar de DHCP-ranges van LAN1 kan je de oplossing wel hebben.

Ik veronderstel dat deze filter binnen een VLAN het verkeer zal checken, dus IP-packets komende op elks van de poorten zal screening ondergaan.

Dus :
- zwier alle (allez, minstens 3) poorten in 1 VLAN dewelke liefst niet de "management VLAN" is
- definieer een ip-acl (probeer desnoods met 1 host ipv gans de DHCP van LAN2)
* ik heb even gekeken en de wildcard-bits zijn zoals de Cisco implementatie.
- vervolgens eens kijken bij de Security TAB - ACL "binding" om de ACL een poort te zetten (vb op de poort waar de BEFSR41 richting LAN2 in zit) en dan proberen maar.

PAS OP : Ik heb de indruk dat je een 2e IP ACL moet maken om de rest van het verkeer erdoor te laten anders heb je een "drop" op alles verkeer die buiten de ACL valt.(device is nogal security centric)
Dus vb 1e ACL met een DENY/DROP van LAN2 naar LAN1
Dan een 2e ACL (of de DEFAULT RULE aanpassen) met een PERMIT van al de rest, anders gaat er niet veel meer werken ;-)

Lees sowieso de handleiding eens door ,staat redelijk goed beschreven.
Succes!
Jan

[sjongenelen]

heb je wel de goede gateway op je clients?

[Rickstah]

jvanhambelgium schreef op maandag 21 mei 2007 @ 12:24:
Je moet dan eens proberen om op de SRW208 slecht 1 VLAN te maken (anders heb je toch weer een probleem omdat deze swich PORT BASED VLAN's doet en geen L3-switch is met volle IP-routing capaciteiten)

Als je gewoon alles in 1 VLAN stopt en vervolgens zo een filter aanmaakt -> IP filter met een DENY/DROP van de DHCP-ranges van LAN2 naar de DHCP-ranges van LAN1 kan je de oplossing wel hebben.

Ik veronderstel dat deze filter binnen een VLAN het verkeer zal checken, dus IP-packets komende op elks van de poorten zal screening ondergaan.

Dus :
- zwier alle (allez, minstens 3) poorten in 1 VLAN dewelke liefst niet de "management VLAN" is
- definieer een ip-acl (probeer desnoods met 1 host ipv gans de DHCP van LAN2)
* ik heb even gekeken en de wildcard-bits zijn zoals de Cisco implementatie.
- vervolgens eens kijken bij de Security TAB - ACL "binding" om de ACL een poort te zetten (vb op de poort waar de BEFSR41 richting LAN2 in zit) en dan proberen maar.

PAS OP : Ik heb de indruk dat je een 2e IP ACL moet maken om de rest van het verkeer erdoor te laten anders heb je een "drop" op alles verkeer die buiten de ACL valt.(device is nogal security centric)
Dus vb 1e ACL met een DENY/DROP van LAN2 naar LAN1
Dan een 2e ACL (of de DEFAULT RULE aanpassen) met een PERMIT van al de rest, anders gaat er niet veel meer werken ;-)

Lees sowieso de handleiding eens door ,staat redelijk goed beschreven.
Succes!
Jan

Thnx! Ik ga het zo snel mogelijk proberen
Ik hou je op de hoogte!

[Rickstah]

jvanhambelgium schreef op maandag 21 mei 2007 @ 12:24:
Je moet dan eens proberen om op de SRW208 slecht 1 VLAN te maken (anders heb je toch weer een probleem omdat deze swich PORT BASED VLAN's doet en geen L3-switch is met volle IP-routing capaciteiten)

Als je gewoon alles in 1 VLAN stopt en vervolgens zo een filter aanmaakt -> IP filter met een DENY/DROP van de DHCP-ranges van LAN2 naar de DHCP-ranges van LAN1 kan je de oplossing wel hebben.

Ik veronderstel dat deze filter binnen een VLAN het verkeer zal checken, dus IP-packets komende op elks van de poorten zal screening ondergaan.

Dus :
- zwier alle (allez, minstens 3) poorten in 1 VLAN dewelke liefst niet de "management VLAN" is
- definieer een ip-acl (probeer desnoods met 1 host ipv gans de DHCP van LAN2)
* ik heb even gekeken en de wildcard-bits zijn zoals de Cisco implementatie.
- vervolgens eens kijken bij de Security TAB - ACL "binding" om de ACL een poort te zetten (vb op de poort waar de BEFSR41 richting LAN2 in zit) en dan proberen maar.

PAS OP : Ik heb de indruk dat je een 2e IP ACL moet maken om de rest van het verkeer erdoor te laten anders heb je een "drop" op alles verkeer die buiten de ACL valt.(device is nogal security centric)
Dus vb 1e ACL met een DENY/DROP van LAN2 naar LAN1
Dan een 2e ACL (of de DEFAULT RULE aanpassen) met een PERMIT van al de rest, anders gaat er niet veel meer werken ;-)

Lees sowieso de handleiding eens door ,staat redelijk goed beschreven.
Succes!
Jan

Ik kom er toch niet helemaal uit..

Je zegt dat ik de DHCP range van LAN2 naar LAN1 moet blokkeren...moet ik dan bij source ip en destination ip de ip's van beide routers invullen?? want ik kan niet instellen dat ie van 10.10.1.100 tot 10.10.1.200 bijvoorbeeld niet naar destination 10.0.0.100 tot 10.0.0.200 mag komen.

Om maar even een voorbeeld te geven.

[jvanhambelgium]

Toch wel ?? Daar dient nou het die wildcard mask voor !

Source-ip : 10.0.0.10 met wildcardmask 0.0.0.127
Destination-ip : 10.10.1.10 met wildcardmak 0.0.0.127

dit gaat dus over de volledige DHCP-range van BEFSR41 zijne 10.0.0.10/25 richting DHCP-range van LAN1 zijnde 10.10.1.10/25
Als je kleine stukken wilt definieren moet je spelen met de wildcard-mask .. zie handleiding ;-)


all de rest zo laten en enkel bovenaan kiezen dat je een drop/deny wilt doen ipv permit/pass of zoiets.
Vervolgens die rule nog op de poort gooien waar BEFSR41 aan hangt.

Succes!

Jan


Zo moet je toch 1 "rule" kunnen maken ??

[Rickstah]

jvanhambelgium schreef op woensdag 23 mei 2007 @ 07:25:
Toch wel ?? Daar dient nou het die wildcard mask voor !

Source-ip : 10.0.0.10 met wildcardmask 0.0.0.127
Destination-ip : 10.10.1.10 met wildcardmak 0.0.0.127

dit gaat dus over de volledige DHCP-range van BEFSR41 zijne 10.0.0.10/25 richting DHCP-range van LAN1 zijnde 10.10.1.10/25
Als je kleine stukken wilt definieren moet je spelen met de wildcard-mask .. zie handleiding ;-)


all de rest zo laten en enkel bovenaan kiezen dat je een drop/deny wilt doen ipv permit/pass of zoiets.
Vervolgens die rule nog op de poort gooien waar BEFSR41 aan hangt.

Succes!

Jan


Zo moet je toch 1 "rule" kunnen maken ??

Okeee...dus die wildcard zorgt ervoor dat ie alles in die range pakt ik snap m!
Ik ga er vanavond weer verder mee

Thanks!

[Verwijderd]

Verwijderd schreef op woensdag 16 mei 2007 @ 21:39:
Waarom geen VLAN?

Omdat een switch / router met VLAN mogelijkheden veel duurder is... ?

Sorry, niet goed gelezen...

[ Voor 8% gewijzigd door Verwijderd op 23-05-2007 11:25 ]