Netwerk splitsen on beveiligd en onbeveiligd deel

[sdy]

Dag mensen,
Zit met het volgende probleem:
Ik ben nu bij mijn zus in Zweden waar ze een bed&breakfast runt. Op het kantoor heeft ze een draadloze modem/router staan (zyxel 660HW-D1 S). Nu wil ze ook draadloos internet aanbieden aan de gasten van de b&b. Alleen will ze graag dat de gasten niet moelijk hoeven te doen met wachtwoorden en mac-adressen enzo, dus eigenlijk moet de verbinding gewoon onbeveiligd zijn.
Probleem is dat haar eigen pc ook op dit netwerk staat en wat dat betreft zou er juist wel een beveiliging moeten zijn . Nu heb ik hier nog een tweede wireless unit staan (linksys WAG200G). Is het mogelijk om twee netwerken te maken, dus 1 via de zyxel en 1 via de linksys. Dan kan ik de ene beveiligen en daar de 'kantoor-pc's' aan hangen en de andere lekker onbeveiligd laten voor de gasten. Andere ideeen zijn ook elkom uiteraard. Ik heb trouwens ook nog een niet-draadloze router staan mocht dat van toepassing kunnen zijn.

edit: de titel van dit topic moet uiteraard zijn:
'Netwerk splitsen in beveiligd en onbeveiligd deel'

[ Voor 5% gewijzigd door sdy op 20-07-2008 16:30 ]

[Vicarious]

En je wil wel gewoon op 1 internetverbinding blijven draaien? Anders (bij 2 verbindingen) kun je natuurlijk gewoon 2 fysiek gescheiden netwerkjes creeren. Dan kun je nog zo goed zijn als hacker, maar dan kom je echt niet op het andere netwerk, behalve als je de WPA key kraakt.

[FireDrunk]

als je het subnet masker van je router (modem ofcourse... ) op 255.255.0.0 zet en de 2 routers elk hun eigen reeks geeft die zelf op 255.255.255.0 zit zou het moeten kunnen... Dus:

Modem: 192.168.0.1 / 255.255.0.0
router1: 192.168.1.1 / 255.255.255.0 default gw op 192.168.0.1
router 2: 192.168.2.1 / 255.255.255.0 default gw op 192.168.0.1

Correct me if i'm wrong...

[ Voor 3% gewijzigd door FireDrunk op 20-07-2008 18:06 ]

[TrailBlazer]

Je kan de volgende constructie maken.

internet
   |
wireless router 1
   |        |
   |	PC van gasten
wireless router 2
   |
kantoor PC van zus

in tegenstelling van wat je standaard niet moet doen moet je hier nu wel doen, namelijk de wan poort van de wireless router gebruiken. Dan ga je gebruik maken van 2 keer nat voor de PC van je zus. Het voordeel is dan dat je gebruik maakt van nat om je pc van je zus te beschermen. Zolang je zus geen poortmappings nodig heeft gaat alles goed in deze constructie. Wel op beide routers een ander subnet gebruiken.

thijs_cramer schreef op zondag 20 juli 2008 @ 18:04:
als je het subnet masker van je router (modem ofcourse... ) op 255.255.0.0 zet en de 2 routers elk hun eigen reeks geeft die zelf op 255.255.255.0 zit zou het moeten kunnen... Dus:

Modem: 192.168.0.1 / 255.255.0.0
router1: 192.168.1.1 / 255.255.255.0 default gw op 192.168.0.1
router 2: 192.168.2.1 / 255.255.255.0 default gw op 192.168.0.1

Correct me if i'm wrong...

gaat niet werken je default gw moet altijd in je eigen subnet zitten.

[ Voor 32% gewijzigd door TrailBlazer op 20-07-2008 18:13 ]

[FireDrunk]

gaat niet werken je default gw moet altijd in je eigen subnet zitten.

Daar heb je gelijk in, maar een fatsoenlijke router kan wel op zijn wan interface een anders subnet aan, en ik bedoel dat de gw op de wan interface 192.168.0.1 moet zijn.

[TrailBlazer]

Met een fatsoenlijke router kan je alles. Ik heb zelf een AP wat meerdere SSID's kan toewijzen aan verschillende vlans. Dan kan je het prima doen met een device tenminste als je een router hebt die meerdere vlans ondersteunt. Thuis heb ik echter een redelijk achterlijke constructie gemaakt omdat ik nogal graag rotzooi met netwerken.

[ Voor 78% gewijzigd door TrailBlazer op 20-07-2008 18:47 ]

[sdy]

als ik het goed begrijp kan ik dus door de netwerken aparte submasks te geven de netwerken scheiden?

[sdy]

Wat ik me afvroeg.Nu staat er voor het zyxel modem een splitter. Kan ik niet de kabel die uit de splitter komt splitten naar twee kabels en die elk naar een router laten gaan en zo twee netwerken maken?

[SpamLame]

nope dat gaat niet werken.

[sdy]

ok, en als ik het als volgt doe:

       router
       |   \
 kantoor    \
             wireless router
                       |
                    gasten

en dan de wireless een andere range geef ofzo?

[Anoniem: 262170]

Makkelijk is om te checken of de Linksys-router AP-Isolation heeft. Deze moet je dan "on" zetten. Volgens mij kun je dan ook niet bij elkaar komen. Omschrijving Linksys-help: "Creates a separate virtual network for your wireless network. When this feature is enabled, each of your wireless client will be in its own virtual network and will not be able to communicate with each other. You may want to utilize this feature if you have many guests that frequent your wireless network."

Theo

[sdy]

Anoniem: 262170 schreef op zondag 20 juli 2008 @ 19:54:
Makkelijk is om te checken of de Linksys-router AP-Isolation heeft...

dit lijkt me wel een mooie optie ja. Ik zal eens kijken of ik hierover iets kan vinden in de router

[Anoniem: 262170]

check onder tab "wireless" en dan "advanced wireless settings"

[sdy]

Anoniem: 262170 schreef op zondag 20 juli 2008 @ 20:05:
check onder tab "wireless" en dan "advanced wireless settings"

staat niet op de kaart...

[JPS]

De meest simpele en goedkope EN veilige oplossing:

Installeer een Fonera (www.fon.com), die kost bijna niets in aanschaf. Met een invite geloof ik 15 euro incl verzendkosten. Prik 'm in de router en deze Fonera splitst je draadloze netwerk in een Private en Public deel. Je kunt voor het kantoor het private deel gebruiken, maar ook gewoon de bestaande verbinding op de Zyxel in stand houden. Op zich zou ik dat aanraden; in toegang voor het kantoor via het private deel van de Fonera zie ik geen directe voordelen.

Iedereen kan zonder security gedoe verbinding met het publieke deel van de Fonera maken en komt dan op een introductiepagina. Door een Family en Friends wachtwoord in te stellen, en die je aan de gasten kunt geven/binnen het B&B algemeen bekend maakt kun je inloggen op de introductiepagina en vervolgens kun je het www op. Dit voorkomt eveneens dat bijvoorbeeld buren meeliften op je verbinding (tenzij ze natuurlijk het ww weten of FON user zijn).

Het publieke deel zal ook voor alle FON users toegankelijk zijn, al dan niet tegen betaling, maar afhankelijk van je locatie zal dat gebruik wellicht erg meevallen of zelf nauwlijks voorkomen. En bovendien ondersteun je de ideologie van het FON concept, daar is natuurlijk niets mis mee. Beter dan een open AP neer te zetten waar iedereen zonder controle op kan.

Als je de FreeWLAN firmware in de Fonera flasht krijg je de beschikking over nog meer geavanceerde opties.

Tot slot kun je ook een beperkte vorm van QoS instellen door te bepalen welke bandbreedte (Up- en download) je voor het publieke deel maximaal wil reserveren. Dit voorkomt dat je private deel dichtslipt bij intensief gebruik van het publieke deel.

[sdy]

las op een ander forum een ander idee, maar verder geen reacties meer, vrij oud topic (hier):

internet
   |      
router1 ------------------> router2
   |                           |
range                         range  
10.10.0.2-254             192.168.1.10-254
            

Zou deze setup werken?

[sdy]

Anoniem: 262170 schreef op zondag 20 juli 2008 @ 19:54:
Makkelijk is om te checken of de Linksys-router AP-Isolation heeft...

heb even gecheckt maar met ap isolation vorkom je geen communicatie tussen wireless en wired en dat is nu juist de bedoeling

[TrailBlazer]

sdy schreef op zondag 20 juli 2008 @ 20:28:
las op een ander forum een ander idee, maar verder geen reacties meer, vrij oud topic (hier):

internet
   |      
router1 ------------------> router2
   |                           |
range                         range  
10.10.0.2-254             192.168.1.10-254
            

Zou deze setup werken?

dit is precies mijn idee maak ik daarom van die mooie ascii art

[sdy]

TrailBlazer schreef op zondag 20 juli 2008 @ 20:53:
[...]

dit is precies mijn idee maak ik daarom van die mooie ascii art

sorry, zie het inderdaad... Dus zo moet het werken, maar hoe moet ik dan inderdaad andere ranges gebruiken. Zijn de netwerken dan gescheiden?

[TrailBlazer]

Je moet inderdaad verschillende ranges gebruiken. De ranges in jouw voorbeeld zijn prima. De netwerken zijn niet volledig gescheiden. Het netwerk achter router 2 zal sessies op kunnen zetten naar de machine achter router 1. Andersom niet je moet dus zorgen dat de office pc's achter router 2 zitten.

[sdy]

ok, ik ga morgen maar eens op zoek naar kabels enzo. Bedankt alvast, al morgen weer ff updaten...

[sdy]

Nog een idee zou dan deze opstelling zijn:

internet
   |
router (niet draadloos)
   |                 |
draadloos1      draadloos2
   |                 |
gasten            kantoor

Dit moet dan toch ook werken?

Deze opstelling zou fijner zijn gezien de aanleg van kabels. Het komt ervan bovenaf zo uit te zien:

                                      -----------------------
           --------- 15 meter -------|     gasten-kamers    |
internet -|                           -----------------------
            kantoor

[ Voor 59% gewijzigd door sdy op 21-07-2008 10:27 ]

[JPS]

sdy schreef op maandag 21 juli 2008 @ 10:06:
Nog een idee zou dan deze opstelling zijn:

internet
   |
router (niet draadloos)
   |                 |
draadloos1      draadloos2
   |                 |
gasten            kantoor

Dit moet dan toch ook werken?

Deze opstelling zou fijner zijn gezien de aanleg van kabels. Het komt ervan bovenaf zo uit te zien:

                                      -----------------------
           --------- 15 meter -------|     gasten-kamers    |
internet -|                           -----------------------
            kantoor

Dit kan, maar is een onveilige oplossing. Beide netwerken hangen namelijk direct achter dezelfde router.

[/edit: qua beveiliging valt het mee, als het in beide gevallen om Wireless routers gaat. Als er een AP bijzit ligt dat anders...]

Heb je ook stilgestaan bij de FON oplossing die ik hierboven heb beschreven? Vanaf de router waarop het internet binnenkomt trek je een kabel van 15 meter naar de gastenkamers en daaraan hang je een Fonera.

Nadeel is dat je er eentje moet aanschaffen en met een verzendtijd zit. Voordelen zijn dat je op een zeer veilige en makkelijk te beheren manier alleen hotelgasten en evt. Fonners op je publieke netwerk hebt. Ook de begrenzing van de bandbreedte is zoals ik in de mogelijkheden hierboven zie denk ik niet mogelijk waardoor bij veel gastgebruik de internetverbinding kan dichtslibben en daar ook het kantoornetwerk last van kan hebben.

[ Voor 4% gewijzigd door JPS op 21-07-2008 13:52 ]

[leuk_he]

sdy schreef op zondag 20 juli 2008 @ 20:28:
las op een ander forum een ander idee, maar verder geen reacties meer, vrij oud topic (hier):

internet
   |      
router1 ------------------> router2
   |                           |
range                         range  
10.10.0.2-254             192.168.1.10-254
            

Zou deze setup werken?

Zeg het nogmaal ten overvloede:

op router 2 je kantoor, op router 1 je gasten. Andersom kunnen je gasten op het kantoor.

[sdy]

leuk_he schreef op maandag 21 juli 2008 @ 14:12:
[...]


Zeg het nogmaal ten overvloede:

op router 2 je kantoor, op router 1 je gasten. Andersom kunnen je gasten op het kantoor.

ja maar op deze manier moet ik eerst met een lange kabel naar router1 en dan weer met een lange kabel terug naar router2 (de telefoonaansluiting zit in het kantoor....)

[leuk_he]

sdy schreef op maandag 21 juli 2008 @ 16:37:
[...]


ja maar op deze manier moet ik eerst met een lange kabel naar router1 en dan weer met een lange kabel terug naar router2 (de telefoonaansluiting zit in het kantoor....)

Het kan ook via 1 kabel. moet je wel zelf die kabel knijpen.

kijk maar in de faq.

FAQ - Netwerken:Kan ik ook twee pc's aansluiten met één UTP-kabel?

Uiteraard zou je kunnen volstaan met de office pc goed te beveiligen (wachtwoord & firewall, maar standaard staat een windows firewall het verkeer wat uit het lan komt toe!, dus goed instellen)

[ Voor 22% gewijzigd door leuk_he op 21-07-2008 16:41 ]

[Equator]

sdy schreef op maandag 21 juli 2008 @ 10:06:
...

Modbreak:

Topic Starter, zou je in het vervolg gebruik willen maken van de edit knop.. Het telkens omhoog schoppen van een topic is niet de bedoeling..

[sdy]

Equator schreef op maandag 21 juli 2008 @ 17:08:
[...]

[modbreak]Topic Starter, zou je in het vervolg gebruik willen maken van de [afbeelding] edit knop.. Het telkens omhoog schoppen van een topic is niet de bedoeling..[/modbreak]

Sorry, misschien begrjip ik iets niet goed, maar dit is toch een forum? Dan mag ik toch gewoon reageren ook al is het een topic dat ik gestart ben? Of moet ik dan continu mijn startpost gaan editen in de hoop dat mensen die steed opnieuw gaan lezen? Misschien dat er iets anders bedoelt wordt maar ik kan je even niet volgen.

[TrailBlazer]

Je hebt een aantal keer een reactie geplaatst terwijl jouw reactie de laatste reactie in de thread was. In dat geval wordt je geacht je laatste post te editten. Doe je dit niet dan kan dit worden opgevat als onterecht schoppen van je topic.

[sdy]

TrailBlazer schreef op maandag 21 juli 2008 @ 18:39:
Je hebt een aantal keer een reactie geplaatst terwijl jouw reactie de laatste reactie in de thread was. In dat geval wordt je geacht je laatste post te editten. Doe je dit niet dan kan dit worden opgevat als onterecht schoppen van je topic.

Aha, ik zal er in het vervolg op letten.

[JPS]

sdy schreef op maandag 21 juli 2008 @ 19:28:
[...]


Aha, ik zal er in het vervolg op letten.

En lees je ook eerdere reacties dan alleen de laatste? Ik doe moeite om met je mee te denken naar een goede oplossing maar heb nog geen reactie van je ontvangen.

[sdy]

JPS schreef op maandag 21 juli 2008 @ 20:46:
[...]


En lees je ook eerdere reacties dan alleen de laatste? Ik doe moeite om met je mee te denken naar een goede oplossing maar heb nog geen reactie van je ontvangen.

Dat Fon verhaal is leuk, maar ik heb al een router en twee draadloze routers staan. Volgens mij moet het hietmee prima kunnen. Helaas krijg ik het niet aan de praat. De gewone router krijgt geen verbinding wat ik ook doe, de linksys heeft alleen een utp-poort voor de dsl lijn terwijl uit de splitter alleen gewone telefoonlijn komt en de linksys aansluiten via de zyxel lukt me niet (moet het nou bridged, routed of iets anders zijn).
Een andere reden waarom de fon momenteel geen optie is, is omdat ik over een paar dagen weernaar nederland ga. Nu ben ik er (blijkbaar) al niet handig mee, maar ik heb tenminste wel enige ervaring

[JPS]

sdy schreef op maandag 21 juli 2008 @ 21:09:
[...]


Dat Fon verhaal is leuk, maar ik heb al een router en twee draadloze routers staan. Volgens mij moet het hietmee prima kunnen. Helaas krijg ik het niet aan de praat. De gewone router krijgt geen verbinding wat ik ook doe, de linksys heeft alleen een utp-poort voor de dsl lijn terwijl uit de splitter alleen gewone telefoonlijn komt en de linksys aansluiten via de zyxel lukt me niet (moet het nou bridged, routed of iets anders zijn).
Een andere reden waarom de fon momenteel geen optie is, is omdat ik over een paar dagen weernaar nederland ga. Nu ben ik er (blijkbaar) al niet handig mee, maar ik heb tenminste wel enige ervaring

Bij het koppelen van router achter router etc komt wel enige kennis van netwerken kijken (DHCP, subnetten, routering). Zoek ook maar eens op GOT naar 'router achter router'.

Jammer dat je maar een paar dagen hebt want FON zou nou juist heel simpel te installeren zijn...

[sdy]

Ok, ben druk bezig om het een en ander te proberen maar het lijkt erop dat de niet-draadloze router dood is. Voordat ik verder ga (en eventueel een nieuwe ga halen) hoop ik dat jullie me kunnen vertellen of de volgende opstelling klopt als ik het op die manier ga proberen:

     dsl
      |
     router (ip: 192.168.1.1, geen dhcp)
     range 192.168.1.2-254
     |                  |
wireless1               wireless2
ip:192.168.1.2          ip:192.168.1.2
dhcp-range:             dhcp-range:
192.168.4-254)          10.10.0.1-254 

Kan dit nu wel of niet? Iets zegt me dat het mis gaat met de range van wireless2 maar uit andere berichten opmakend moet het wel kunnen. Is er misscien iets dat mist aan het schema. Anyway, ik hoop dat iemand me kan vertellen of dit werkt zonder dat ik eerst een nieuwe moet kopen (terwijl het misschien niet werkt...)

[LuckY]

sdy schreef op dinsdag 22 juli 2008 @ 12:39:
Ok, ben druk bezig om het een en ander te proberen maar het lijkt erop dat de niet-draadloze router dood is. Voordat ik verder ga (en eventueel een nieuwe ga halen) hoop ik dat jullie me kunnen vertellen of de volgende opstelling klopt als ik het op die manier ga proberen:

     dsl
      |
     router (ip: 192.168.1.1, geen dhcp)
     range 192.168.1.2-254
     |                  |
wireless1               wireless2
ip:192.168.1.2          ip:192.168.1.2
dhcp-range:             dhcp-range:
192.168.4-254)          10.10.0.1-254 

Kan dit nu wel of niet? Iets zegt me dat het mis gaat met de range van wireless2 maar uit andere berichten opmakend moet het wel kunnen. Is er misscien iets dat mist aan het schema. Anyway, ik hoop dat iemand me kan vertellen of dit werkt zonder dat ik eerst een nieuwe moet kopen (terwijl het misschien niet werkt...)

sdy schreef op maandag 21 juli 2008 @ 21:09:
[...]


Dat Fon verhaal is leuk, maar ik heb al een router en twee draadloze routers staan. Volgens mij moet het hietmee prima kunnen. Helaas krijg ik het niet aan de praat. De gewone router krijgt geen verbinding wat ik ook doe, de linksys heeft alleen een utp-poort voor de dsl lijn terwijl uit de splitter alleen gewone telefoonlijn komt en de linksys aansluiten via de zyxel lukt me niet (moet het nou bridged, routed of iets anders zijn).
Een andere reden waarom de fon momenteel geen optie is, is omdat ik over een paar dagen weernaar nederland ga. Nu ben ik er (blijkbaar) al niet handig mee, maar ik heb tenminste wel enige ervaring

Je probeert nu je router als modem te gebruiken .. en dat gaat niet ... dat kabeltje past er ook niet goed in he

Dus je opstelling moet zijn Spillter --> modem-->router-->WiFi 1 (public)
-----------------------------------------------------------------------------|---> WiFi2 (closed)

[sdy]

LuckyY schreef op dinsdag 22 juli 2008 @ 12:52:
[...]


[...]


Je probeert nu je router als modem te gebruiken .. en dat gaat niet ... dat kabeltje past er ook niet goed in he

Dus je opstelling moet zijn Spillter --> modem-->router-->WiFi 1 (public)
-----------------------------------------------------------------------------|---> WiFi2 (closed)

Ja, inderdaad ga ik doen

update:
Spank my ass and call me judy, ik wordt helemaal gek hier. Als ik twee verschillende ranges instel dan krijg ik helemaal geen verbinding. Is er een geheime truc ofzo met die ranges dat het wel werkt? Ik heb nu de instelling gebruikt die ik al eerder had als idee

DSL
|
router1 -- router2
|                 |
gasten      kantoor  

Heb ze nu even in dezelfde range staan en nu heb ik via bijde routers verbinding, helaas dus ook tussen de computers in bijde netwerken.

[ Voor 37% gewijzigd door sdy op 22-07-2008 15:51 ]

[JPS]

Tja, wireless1 en wireless2 hetzelfde ip-adres geven (192.168.1.2) gaat natuurlijk sowieso niet werken.

[sdy]

JPS schreef op dinsdag 22 juli 2008 @ 23:18:
Tja, wireless1 en wireless2 hetzelfde ip-adres geven (192.168.1.2) gaat natuurlijk sowieso niet werken.

nee dat snap ik. Heb nu bijde in dezelfde range staan en zo lijkt het te werken. Kan wel pingen van pc's achter router 2 naar alle andere pc's maar van de pc's achter router 1 alleen naar de pc's die ook achter router 1 zitten.

[Anoniem: 235502]

de Fonera was hier idd een oplossing geweest;
kost idd amper 12 euro per stuk bij eg Multimediamachines.nl

er is niet alleen de client isolation; het herbergt ook 2 netwerken...
een WPA netwerk waar het personeel op kan (veilig afgeschermd dmv iptables)
en het FON netwerk met captive portal waarmee de klanten alleen mee op internet kunnen en niet op je intern netwerk;

elke avond worden ook je logs geupdate zodat je ziet hoeveel ze verbruikt hebben;

je kunt het gratis aanbieden of per betaling (visa of sms payments)

ook komt je hotel/bed&breakfast op maps.fon.com terecht en heb je dus opeens 1 miljoen potentiele klanten(foneros) die gebruik willen maken van je FONaansluiting.

dmv Freewlan uitbreidingen kan je personeel zonder probleem "roamen" van fonspot tot fonspot...
je kunt je bestaande routers gebruiken om vanaf te takken ...
gewoon 1tje die je als uplink aan je internet modem hangt
en alle anderen in serie LAN poort aan lan poort; zodat er maar 1 router de ip's uitdeelt;
met Freewlan kun je ook opteren dat je "private" verbinding slechts ip's van die 1ne router gebruikt.

de la Fonera ondersteund tot WPA2/AES indien security voor jouw belangrijk is...

bekijk ook even http://status.fonera.be voor een leuke iphone status indicator