Internet Router & Home server op 1 pc

[Verwijderd]

Hoi,

Wil me deze vakantie wat meer gaan bezighouden met de *Nix familie, en zou bijgevolg graag de volgende uitdaging aangaan:

Een internetrouter combineren met een allround home sharing systeem van documenten etc.

Huidige infrastructuur:

Modem (dhcp) => US Robotics Router (100mbps, DHCP, Wifi)

1 Poort gaat vervolgens naar een tweede US Robotics router met printerpoort, de rest van de poorten gaat naar andere computers alsook de wifi de nodige draadloos-verbonden computers voorziet doorheen het huis.


Nieuwe vooropgestelde infrastructuur

Modem (dhcp) => netwerkkaartje 1, doorgemapt naar netwerkkaartje 2 met de nodige firewalling en port forwarding ertussen => US Robotics router als switch en wifi.

Nu, aangezien de computer die de internetsharing zal verzorgen waarschijnlijk de enige computer is die 24/7 gaat kunnen en mogen aanstaan van de ouders (staat in de garage dus geen gewhine over lawaai), zou ik deze graag zo sterk mogelijk benutten.

Het zal tijd vergen om de firewall helemaal goed in te stellen, maar eenmaal alle verbindingen goed ingesteld kan dit toch veilig verlopen lijkt me?

Vervolgens had ik gedacht aan debian als distro, met behulp van openVZ om webserver en evt torrentdownloading van elkaar te scheiden, alsook de persoonlijke documenten in een ander vakje te plaatsen.

Concreet:
Llijkt het jullie veilig om deze computer (die rechtstreeks aan het internet hangt) ook tegelijkertijd te gebruiken voor het delen van documenten in het thuisnetwerk?
Heeft virtualisatie zin in deze situatie (op veiligheidsvlak)?

Zijn er verder nog mensen tevreden over bepaalde programma's die de internetsharing afhandelen, mag dit natuurlijk ook gemeld worden, aangezien ik daar nog niet volledig uit ben.

[Mr_gadget]

Het kan veilig, veel mensen doen het ook zo. Alleen als je het uitdaging ziet en er van wil leren zou ik eerst met een test systeem beginnen. Waarschijnlijk heb je nog geen optimale kennis ervan.Gelijk een test systeem zo gebruiken zou ik niet doen, als je ergens niet uitkomt zitten je ouders zonder internet of documenten.

Je zou de fileserver als aparte VM kunnen inrichten dan kunnen eventuele hackers er niet zomaar bij. Voor zover ze achter je documenten aangaan, ze zullen er eerder een spam machine van maken.

[ Voor 19% gewijzigd door Mr_gadget op 15-12-2007 18:09 ]

[deadinspace]

Verwijderd schreef op zaterdag 15 december 2007 @ 18:00:
Vervolgens had ik gedacht aan debian als distro

Dat lijkt me een goede keuze, maar ik ben natuurlijk bevooroordeeld
Ik zou dan in ieder geval wel voor Debian Stable gaan, en zorgen dat je de security updates volgt.

Llijkt het jullie veilig om deze computer (die rechtstreeks aan het internet hangt) ook tegelijkertijd te gebruiken voor het delen van documenten in het thuisnetwerk?

Ja hoor, dat moet gewoon kunnen. Het is belangrijk dat je zo weinig mogelijk services van buitenaf toegankelijk maakt, en dat je de services die naar buiten open staan goed configureert.

Als er helemaal geen services naar buiten openstaan dan is het in principe onmogelijk dat er op die manier iets of iemand inbreekt, en dan zijn de enige risicobronnen van "binnenuit", bijvoorbeeld een security probleem in je torrent client, of een aanval vanuit een gecrackte machine op je interne netwerk.

Had je uberhaupt services naar buiten open willen zetten?

Heeft virtualisatie zin in deze situatie (op veiligheidsvlak)?

Ik ben zelf niet zo heel wild van virtualisatie. Als je bijvoorbeeld je documenten sharen in een virtual host doet en daar wordt op ingebroken, dan is het onderliggende systeem misschien veilig, maar je documenten lopen dan alsnog risico (om bekeken/gewijzigd/verwijderd te worden), want die staan in de virtual host die gecomprommiteerd is. Verder brengt het ook extra beheer met zich mee.

Aan de andere kant, virtualisatie zorgt natuurlijk voor meer compartimentalisatie, wat de schade in het geval van een inbraak kan beperken. Het is dan ook niet nutteloos, maar naar mijn idee wel wat overhyped.

Virtualisatie zou in dit geval waarschijnlijk het nuttigst zijn voor services die naar buiten open staan, omdat die het grootste risico lopen. Als je die niet hebt, dan zou ik zelf van virtualisatie afzien.

Mocht je je zorgen maken om je torrent client, dan zou je kunnen overwegen die onder een andere user te draaien, dan heb je een soort virtualisatie op "Unix user" nivo in plaats van op "Het hele OS" nivo.

Zijn er verder nog mensen tevreden over bepaalde programma's die de internetsharing afhandelen, mag dit natuurlijk ook gemeld worden, aangezien ik daar nog niet volledig uit ben.

Mja, firewalling en NAT gebeurt in GNU/Linux door netfilter in de Linux kernel. De user interface daarvoor is het command-line iptables programma.

Er zijn (al dan niet grafische) programma's die iptables/netfilter rulesets voor je kunnen genereren, en op het internet zijn ook voorbeeld rulesets te vinden. Het beste is in mijn ervaring om goed te begrijpen hoe netfilter werkt, en om je eigen ruleset te schrijven (en die te begrijpen!), en die goed te vergelijken met anderen. Dat kost wel het een en ander aan moeite, maar het is ook erg leerzaam.

Mr_gadget schreef op zaterdag 15 december 2007 @ 18:07:
Alleen als je het uitdaging ziet en er van wil leren zou ik eerst met een test systeem beginnen.

Absoluut. Ik zou aanraden om de computer gewoon aan je interne netwerk te hangen, en hem dan proberen in te richten als firewall/NAT. Dan kun je gewoon een andere computer er achter hangen om te testen of NAT en files sharen leuk werkt, terwijl je de "buitenkant" van je server vanaf je interne netwerk kunt inspecteren.

[Verwijderd]

Alvast bedankt voor bovenstaande reacties, wat ik in gedachten heb gaat als volgt:

* Debian etch als hostOS installeren.
* OpenVZ installeren voor virtualisatie met hierin de volgende systemen:
1. Server Deamons naar de buitenwereld (web,ftp,..)
2. Download systeem naar buiten- en binnenwereld (torrent,ftp)
3. Filesharing naar binnenwereld

De host zal instaan voor firewalling en internetsharing, alsook monitorring van het netwerkverkeer. Alle poorten zullen geforward worden naar het interne IP adres van de desbetreffende virtual host, zodanig dat de main host beperkt gevaar loopt. Stel je voor dat de main host gekraakt wordt, dan zit ik daar mooi met mijn virtual hostjes natuurlijk

Ik zie een leerrijke vakantie in aantocht komen.

[autostatic]

Ik zou de server achter de router hangen en alleen de poorten forwarden op je router die je nodigt heb op het internet en de rest (het filesharing gedeelte) lekker dicht houden. Virtualisatie heeft mijns inziens geen meerwaarde in jouw situatie. Ik zou het lekker simpel houden, hoe gecompliceerder je het maakt, hoe moeilijker de boel te beheren is.

[Jungian]

Verwijderd schreef op zondag 16 december 2007 @ 15:48:
* OpenVZ installeren voor virtualisatie met hierin de volgende systemen:

Linux-VServer is ook het checken waard.