Gedeeld Internet met netwerk scheiding

[Cyrus The Virus]

Hallo,

Ik zit met een vraag, ik krijg voor enkele maanden een student op bezoek die hier een half jaar studie gaat doen. Nu wil ik die student toegang geven tot internet (bedraad). Dat is normaal geen probleem, maar ik wil niet hebben dat hij op mijn eigen netwerk kan met computers en NAS en ook dat eventuele virussen zich niet kunnen verspreiden.
Nu is het probleem dat de lokatie waar het aparte netwerk moet komen wel via mijn netwerk verbonden moet zijn met het internet. Het kan zijn dat hij nog een wifirouter wil gebruiken om zijn eigen wifi netwerk te maken maar dat weet ik niet.

Ik heb hieronder een tekening gemaakt hoe ik in gedachte heb, nu had ik gelezen dat het zou moeten kunnen met een een VLAN. Nu had ik de Netgear Prosafe GS105E gevonden maar ik weet niet of dit de juiste oplossing is.
Of kan ik wat instellingen veranderen in mijn Linksys E4200 router zodat bijvoorbeeld de router die hij gebruikt een apart subnet krijgt?
En wil eigenlijk geen extra kabels plaatsen

[chickpoint]

Je kan dit makkelijk doen door gebruik te maken van VLAN op bijv je linksys E4200 kun je een custom firmware installeren die VLANs ondersteund (denk aan DD-WRT Tomato of OpenWRT).

Ik weet niet of je enige ervaring hebt met VLAN maar dit is meestal wel de makkelijkste optie.

[Cyrus The Virus]

chickpoint schreef op vrijdag 23 augustus 2013 @ 14:49:
Je kan dit makkelijk doen door gebruik te maken van VLAN op bijv je linksys E4200 kun je een custom firmware installeren die VLANs ondersteund (denk aan DD-WRT Tomato of OpenWRT).

Ik weet niet of je enige ervaring hebt met VLAN maar dit is meestal wel de makkelijkste optie.

Ik heb DD-WRT er wel eens opzet, maar orginele firmware weer terug gezet ivm met slechtere wifi preformance. VLAN's is totaal nieuw voor mij.

Maar moet ik dan instellen dan een bepaald mac adres (van de extra router/switch) een VLAN is. Of werkt dat anders.

[lier]

VLAN stel je (voor zover ik weet) in per poort. Ik zie dat je nog een switch tussen je router en de "andere kant" hebt. Is het mogelijk om een extra kabel vanuit je router te trekken om de VLAN mee op te zetten? Anders zou je (voor zover ik weet) een managed switch neer zetten ter vervanging van de huidige switch waarmee je gaat VLAN-nen.

[NeHoX]

Die jongen heeft enkel een eigen verbinding nodig op een managed/managable switch. Op deze switch stel je 1 of meerdere poorten in met een VLAN ID.

[Cyrus The Virus]

lier schreef op vrijdag 23 augustus 2013 @ 15:12:
VLAN stel je (voor zover ik weet) in per poort. Ik zie dat je nog een switch tussen je router en de "andere kant" hebt. Is het mogelijk om een extra kabel vanuit je router te trekken om de VLAN mee op te zetten? Anders zou je (voor zover ik weet) een managed switch neer zetten ter vervanging van de huidige switch waarmee je gaat VLAN-nen.

Die switch kan er helaas niet tussen uit of extra kabel is ook niet mogelijk. Maar kan die switch wel vervangen. Daarom dacht ik dat die netgear switch wel zou werken.

[Verwijderd]

Vervang die WiFi router waar die student aan zit door een Mikrotik. Daarin zit alles wat je wilt. Je kan twee gescheiden netwerken maken, en toch één gateway hebben (de kabelmodem). Zo kan hij op het internet maar niet op jouw netwerk, en andersom.

Eventueel kan je ook nog VLAN's toevoegen, maar een of twee regels voor een firewall rule, ben je klaar.

Je moet wel wat van netwerken afweten, want op de Mikrotik zit niets voorgeprogrammeerd. Alles (letterlijk alles) moet je zelf configureren.

Maar als het eenmaal draait... prachtig! Geen omkijken meer naar.


Zoek maar naar een Mikrotik RB951-2n. Simpel, goedkoop, heeft 5 poorten en een sterke WiFi.

[ Voor 7% gewijzigd door Verwijderd op 23-08-2013 16:05 ]

[chickpoint]

Verwijderd schreef op vrijdag 23 augustus 2013 @ 16:05:
Vervang die WiFi router waar die student aan zit door een Mikrotik. Daarin zit alles wat je wilt. Je kan twee gescheiden netwerken maken, en toch één gateway hebben (de kabelmodem). Zo kan hij op het internet maar niet op jouw netwerk, en andersom.

Eventueel kan je ook nog VLAN's toevoegen, maar een of twee regels voor een firewall rule, ben je klaar.

Je moet wel wat van netwerken afweten, want op de Mikrotik zit niets voorgeprogrammeerd. Alles (letterlijk alles) moet je zelf configureren.

Maar als het eenmaal draait... prachtig! Geen omkijken meer naar.


Zoek maar naar een Mikrotik RB951-2n. Simpel, goedkoop, heeft 5 poorten en een sterke WiFi.

Volgens mij smeer jij iedereen een mikrotik aan

Ik weet trouwens niet of dat helemaal gaat lukken als je die switch vervangt voor een managed switch. Volgens mij zou dan het deel na die switch als gescheiden VLANs zijn en het stuk ervoor komt alles weer bij elkaar waardoor het nog steeds niet gescheiden is. Of beredeneer ik het nu verkeerd?

[Verwijderd]

chickpoint schreef op vrijdag 23 augustus 2013 @ 16:22:
[...]


Volgens mij smeer jij iedereen een mikrotik aan

Nou, ik "smeer" ze niet aan. Het zijn gewoon goede dingen, GOEDKOOP (en dat vinden heel veel mensen leuk), en hij doet precies wat de meeste mensen nodig hebben.

Neem er maar eens eentje, en speel er even mee. Kijk maar wat je er allemaal mee kan.

Bv. in het probleem wat hier wordt voorgesteld om met VLAN's te werken. Ja, dat kán. Maar daar is (vaak) duurdere apparatuur (L3 switch etc...) nodig.
Mikrotik doet het al standaard, en dat voor een prijsje van rond de 35 euro (incl. WiFi).


Uiteraard, iedereen mag zijn eigen keuze maken, en ik smeer dit niemand aan. Puur als alternatief, t.o.v. de "standaard" consumenten spul.

[Cyrus The Virus]

chickpoint schreef op vrijdag 23 augustus 2013 @ 16:22:
[...]


Volgens mij smeer jij iedereen een mikrotik aan

Ik weet trouwens niet of dat helemaal gaat lukken als je die switch vervangt voor een managed switch. Volgens mij zou dan het deel na die switch als gescheiden VLANs zijn en het stuk ervoor komt alles weer bij elkaar waardoor het nog steeds niet gescheiden is. Of beredeneer ik het nu verkeerd?

Dat vermoeden had ik dus ook, daar hoopte ik achter te komen via hier.

[wwwFan]

chickpoint schreef op vrijdag 23 augustus 2013 @ 16:22:
[...]
Ik weet trouwens niet of dat helemaal gaat lukken als je die switch vervangt voor een managed switch. Volgens mij zou dan het deel na die switch als gescheiden VLANs zijn en het stuk ervoor komt alles weer bij elkaar waardoor het nog steeds niet gescheiden is. Of beredeneer ik het nu verkeerd?

Dat een gedeelte over de zelfde kabel loopt maakt niet uit, dat is juist het idee van vlan's. Over 1 verbinding kunnen meerdere vlans gerouteerd worden (vaak ook trunks genoemd). De switches aan beide zijde splitsen dit per poort dan weer uit.
In dit geval zal je dan op je linksys (met alternatieve software) twee vlans moeten aanmaken, zeg vlan1 voor je eigen netwerk en vlan2 voor de student. Waarbij je in moet stellen dat beide vlans alleen gerouteerd mogen worden naar internet en niet onderling. Op de poort naar de rechter switch stel je in dat daar beide vlan overheen mogen, de andere poorten stel je in op vlan1.
De tweede switch moet ook vlans ondersteunen (de gs105e doet dat). Daar stel je dan de aansluiting naar de linksys ook weer in voor beide vlans. De poort voor je eigen pc weer op vlan1 en de poort voor de student op vlan2. Deze switch zorgt dan voor de scheiding tussen jouw netwerk en het netwerk van de student.
De switch in de tekening die je getekend hebt op de grens van netwerk1 en 2 is dus niet nodig.

[Cyrus The Virus]

wwwFan schreef op zaterdag 24 augustus 2013 @ 13:33:
[...]

Dat een gedeelte over de zelfde kabel loopt maakt niet uit, dat is juist het idee van vlan's. Over 1 verbinding kunnen meerdere vlans gerouteerd worden (vaak ook trunks genoemd). De switches aan beide zijde splitsen dit per poort dan weer uit.
In dit geval zal je dan op je linksys (met alternatieve software) twee vlans moeten aanmaken, zeg vlan1 voor je eigen netwerk en vlan2 voor de student. Waarbij je in moet stellen dat beide vlans alleen gerouteerd mogen worden naar internet en niet onderling. Op de poort naar de rechter switch stel je in dat daar beide vlan overheen mogen, de andere poorten stel je in op vlan1.
De tweede switch moet ook vlans ondersteunen (de gs105e doet dat). Daar stel je dan de aansluiting naar de linksys ook weer in voor beide vlans. De poort voor je eigen pc weer op vlan1 en de poort voor de student op vlan2. Deze switch zorgt dan voor de scheiding tussen jouw netwerk en het netwerk van de student.
De switch in de tekening die je getekend hebt op de grens van netwerk1 en 2 is dus niet nodig.

Ah oke dat is vrij duidelijk, ik moet mijn linksys router dus voorzien van van DD-WRT, en bijvoorbeeld de GS105E erbij halen.

[Jeroen_ae92]

De E4200 heeft toch ook een "gast" wifi mogelijkheid met WPA sleutel? Lijkt me de meest eenvoudige manier. Wellicht een WIFI brug maken die van het draadloze signaal weer een UTP aansluiting maakt. Dit kan met eenvoudige apparatuur zoals een Apple Airport Express.

[MdBruin]

Er is eventueel nog een manier om het te bereiken en dat is via het subnetmask
Je zou het als volgt kunnen doen

Eigen router LAN IP 192.168.1.1/24 (255.255.255.0)
Tweede router WAN IP 192.168.1.2/30 (255.255.255.252)

Wat dit doet is als volgt.
De range welke de tweede router kan bereiken is 4 hosts (incl het broadcast adres). Dit heeft dus als gevolg dat als je de DHCP IP range van de eerste router hoger zet als 192.168.1.4 (dus vanaf 192.168.1.5) de tweede router er dus nooit bij kan komen door de beperking in het subnetmask.
Maar natuurlijk werkt het andersom ook niet omdat dit geblokkeerd wordt door de firewall van de tweede router

Op deze manier kan je op een relatief goedkope en makkelijke manier een scheiding in het LAN netwerk maken. Wat je natuurlijk wel moet doen is dat je het beheer over de tweede router in eigen beheer houd anders kan de blokkade natuurlijk opgeheven worden

[ Voor 0% gewijzigd door MdBruin op 24-08-2013 16:32 . Reden: LAN WAN ip duidelijker neergezet ]

[Cyrus The Virus]

MdBruin schreef op zaterdag 24 augustus 2013 @ 16:28:
Er is eventueel nog een manier om het te bereiken en dat is via het subnetmask
Je zou het als volgt kunnen doen

Eigen router LAN IP 192.168.1.1/24 (255.255.255.0)
Tweede router WAN IP 192.168.1.2/30 (255.255.255.252)

Wat dit doet is als volgt.
De range welke de tweede router kan bereiken is 4 hosts (incl het broadcast adres). Dit heeft dus als gevolg dat als je de DHCP IP range van de eerste router hoger zet als 192.168.1.4 (dus vanaf 192.168.1.5) de tweede router er dus nooit bij kan komen door de beperking in het subnetmask.
Maar natuurlijk werkt het andersom ook niet omdat dit geblokkeerd wordt door de firewall van de tweede router

Op deze manier kan je op een relatief goedkope en makkelijke manier een scheiding in het LAN netwerk maken. Wat je natuurlijk wel moet doen is dat je het beheer over de tweede router in eigen beheer houd anders kan de blokkade natuurlijk opgeheven worden

Ja daar had ik dus ook aan zitten denken, maar mij lijkt de VLAN optie toch beter. Betreft veiligheid.

Jeroen_ae92 schreef op zaterdag 24 augustus 2013 @ 15:57:
De E4200 heeft toch ook een "gast" wifi mogelijkheid met WPA sleutel? Lijkt me de meest eenvoudige manier. Wellicht een WIFI brug maken die van het draadloze signaal weer een UTP aansluiting maakt. Dit kan met eenvoudige apparatuur zoals een Apple Airport Express.

Klopt maar die wou ik juist niet gebruiken, ivm de afstand. En de kabel ligt er al. Z'n netgear VLAN switch kost maar 25 euro.

[MdBruin]

Dan moet je wel opletten dat je een GS105E krijgt en geen GS105GE want die heeft geen VLAN ondersteuning zover ik kan zien (ben er zelf ook mee bezig voor mijn netwerk ).

VLAN kan ook maar dan blijf je wel met het probleem zitten hoe je het IP verkeer voor beide netwerken gaat routeren.
In het geval van 2 VLAN netwerken zal je een router moeten hebben welke 2x een routing kan doen, ik weet niet of DD-WRT daar ondersteuning voor bied.
Het veiligste is dan dat ieder VLAN z'n eigen IP range/subnet krijgt.

[Wolly]

Verwijderd schreef op vrijdag 23 augustus 2013 @ 17:18:
[...]


Nou, ik "smeer" ze niet aan. Het zijn gewoon goede dingen, GOEDKOOP (en dat vinden heel veel mensen leuk), en hij doet precies wat de meeste mensen nodig hebben.

Voor 35 euro zie ik ze nergens?