WAN isolation op een router

[P-e-t-j-e]

Beste medetweakers,

een collega moest een gast-netwerkwerk opzetten bij een klant en heeft hiervoor een aantal AP's gekocht en een 3tal wireless routers (d-link dir-615) om het gehele gebouw van dekking te voorzien. De meest simpele weergave is dit:

[internetrouter] (1.1.1.1)
|
[switch] -- Server, werkstations, printers,etc (1.1.1.x)
|
[Wireless router] (wan: 1.1.1.2, lan 2.2.2.1)
|
[Access point] (2.2.2.x)

Hij heeft de routers dus met de WAN poort in het regulieren netwerk geprikt en er dus voor gezorgd dat iedereen bij het regulieren netwerk kan. Volgens mij kunnen ze vanuit het 2.2.2.x subnet alle devices in het 1.1.1.x subnet bereiken.

Hoe kan ik er voor zorgen dat mensen in het 2.2.2.x subnet wel de 1.1.1.1 router kunnen bereiken voor internettoegang maar niet naar de server kunnen met bijv 1.1.1.3? Ik zie in de routers uiteraard geen optie voor 'wan-isolation' staan.

De switches zijn unmanaged helaas.

[Fish]

dlink routers anders aansluiten
niet op de wan poort maat op de lan poort , een fatsoenlijk ip geven welke buiten de dhcp van de internetrouter ligt maat wel in het subnet) en dhcp uitzetten op de dlink

-Of -

Voeg routes toe op je gateway, daarmee kun je de internetrouter vertellen welk subnet hij acchter welke router zit (mischien moet je nog een firewall of nat of oid op de dlink router uitzetten)

[ Voor 10% gewijzigd door Fish op 30-12-2013 11:27 ]

[P-e-t-j-e]

als ik dhcp op de dlink routers uitzet krijgen de wireless clients geen ip meer (ap's geven dhcp door van de dlink's). Ook het aansluiten van de lan poorten op de switch zorgt ervoor dat ze direct in het subnet zitten als de apparaten die ze nou juist niet moeten kunnen bereiken?

Aangepaste weergave:

[internetrouter - merk X] (1.1.1.1)
|
[switch] -- Server, werkstations, printers,etc (1.1.1.x)
|
[Wireless router - Dlink Dir 615] (wan: 1.1.1.2, lan 2.2.2.1)
|
[Access point - Dlink AP] (2.2.2.x)

Dus nogmaals: WAN van de routers en de 'servers/werkstations/etc' zitten in hetzelfde subnet. De mensen die draadloos verbinden met een access point moeten wel kunnen internet maar niet naar de server/werkstations/etc kunnen.

Ik heb op de internetrouter of switches geen mogelijkheid tot splitsing voor zover mij bekend.

[ Voor 5% gewijzigd door P-e-t-j-e op 30-12-2013 11:41 ]

[treinentom]

Kan je alleen 1.1.1.1 niet afdwingen met een subnetmasker van 255.255.255.254?

[Fish]

ok verkeerd begrepen ik er moet een firewall op/tussen je servers dan.

[P-e-t-j-e]

Ja, dan zou ik dus 2 hosts afschermen maar dat kan alleen als het wan-ip van de routers dicht genoeg bij die 1.1.1.1 liggen en in dit geval zijn de eerste 19 adressen al in gebruik. Dus de 1e router heeft wan 1.1.1.19 en de anderen hoger. Ik kan dit niet zomaar aanpassen aangezien er veel externe en interne systemen op die vaste ipadressen zijn afgesteld.

[PerfectPC]

treinentom schreef op maandag 30 december 2013 @ 11:42:
Kan je alleen 1.1.1.1 niet afdwingen met een subnetmasker van 255.255.255.254?

Dat is een zeer vuile truukje, maar wel goed gezien
Als je teminste .252 (.0 tot .3) gebruikt zal dit werken. Wel even voor zorgen dat er niemand op de .3 zit dan !

[treinentom]

Je kan toch ook beginnen bij 1.1.1.19? Dus dat je dan route 1.1.1.19 255.255.255.254 (of subnetmasker verlengen naar aantal routers) krijgt.

[treinentom]

PerfectPC schreef op maandag 30 december 2013 @ 11:48:
[...]

Dat is een zeer vuile truukje, maar wel goed gezien
Als je teminste .252 (.0 tot .3) gebruikt zal dit werken. Wel even voor zorgen dat er niemand op de .3 zit dan !

True, vuil is het wel, maar het werkt vrijwel gegarandeerd. Inderdaad wel rekening houden bij ontwerp ip plan.

[Fish]

PerfectPC schreef op maandag 30 december 2013 @ 11:48:
[...]

Dat is een zeer vuile truukje, maar wel goed gezien
Als je teminste .252 (.0 tot .3) gebruikt zal dit werken. Wel even voor zorgen dat er niemand op de .3 zit dan !

en houd waarchijnlijk op met werken zodra iemand een route aanmaakt op zijn machine die de router als gateway aanmerkt voor een server ip adres

[PerfectPC]

treinentom schreef op maandag 30 december 2013 @ 11:49:
Je kan toch ook beginnen bij 1.1.1.19? Dus dat je dan route 1.1.1.19 255.255.255.254 (of subnetmasker verlengen naar aantal routers) krijgt.

Nee, dat gaat niet werken, tenzij je ook de DG op de eerste router aanpast

[PerfectPC]

fish schreef op maandag 30 december 2013 @ 11:51:
[...]


en houd waarchijnlijk op met werken zodra iemand een route aanmaakt op zijn machine die de router als gateway aanmerkt voor een server ip adres

Nee hoor, als iemand in de 1. range dat doet zal de .2 daar nog steeds geen verkeer naar kunnen sturen (uitgezonderd iemand op .3).
Als iemand in de 2. range dat doet is die alle routing kwijt omdat die in het verkeede net zit...

[Fish]

mja de route terug is er nog niet idd

maar het blijft een vieze oplossing hoor.


wss toch wel

[ Voor 13% gewijzigd door Fish op 30-12-2013 12:06 ]

[pickboy]

kun je het verkeer naar de Dlink routers niet op een appart Vlan zetten in de switches?

[Paul]

Als het echt zo el-cheapo moet: Je hebt toch 3 routers?

internetrouter (3.3.3.1) <--> (3.3.3.2) router zakelijk (1.1.1.1) <--> (1.1.1.x) Server,werkstations,printers,etc
internetrouter (3.3.3.1) <--> (3.3.3.3) router wifi (2.2.2.1) <--> (2.2.2.x) AP's / clients

En de volgende keer eerst de requirements duidelijk krijgen en beter kijken welke hardware je nodig hebt

[P-e-t-j-e]

haha.. el-cheapo moest het niet zijn, gewoon kennisgebrek bij de collega's :-). Even kleine toelichting:

de 'hoofdrouter' is van de provider en is een modemrouter. Het reguliere subnet bestaat uit 128 ipadressen waarvan de meeste statisch en ook niet te wijzigen ivm beveiligde zorgverbinding. Ze gaan dus met hun statische ipadres internet op en worden aan de hand daarvan op bepaalde sites toegelaten.

De hoofdrouter is een zyxel router en ik heb daar nu een ip-alias aangemaakt dat ik de dlink-routers met hen wan in een apart subnet kan zetten. Ik krijg nu echter bij alle ipadressen die ik op de wan van de dlink invul de foutmelding 'invalid ip adresss'. Ik snap er geen drol meer van!

Lan hoofdrouter: x.x.x.x
Lan alias hoofdrouter: 192.168.168.1

Dlink dir-615 nummer1 wan momenteel: x.x.x.x (in subnet van lan hoofdrouter)
Dlink dir-615 nummer1 wan gewenst: 192.168.168.2
Dlink dir-615 nummer1 lan: 192.168.3.1
Dlink dir-615 nummer1 dhcp: .10 tot .99

Alles wat ik bij statisch wan ip invul geeft dezelfde fout: 192.168.0.2, 192.168.168.2, 10.0.0.2, etc

*zucht*

[Fish]

Alleen kennisgebrek bij je collega's als jij het wel had geweten had je het niet gepost toch

het reguliere subnet is dus /25

vertel gewoon even je lan instelingen ipv die verzonnen adressen, wan mag je verzinnen
ik gok zomaar dat je die adressen in je dhcp server probeert te reserveren op je hoofdrouter
dat kan alleen als het binnen het subnet ligt.
als je die adressen in probeert te stellen op de wan kant van je routers kan het zijn dat de gewoon geen gereserveerde prive range adressen accepteert/ zou wel een tikje vreemd zijn

[DJSmiley]

Je hebt het over een zorgverbinding enz. Krijg je überhaupt wel publieke IP adressen? Ik weet (bv) dat Medicom een eigen netwerk heeft waarbij iedere PC dus direct op die router zit, maar dat ze geen publieke IP's krijgen, maar dit een eigen beveiligde netwerk is.

Los daarvan zou ik een (consumenten)lijntje pakken. (VDSL of kabel). Dan heb je het gastennetwerk gescheiden, zit je ook niet met potentieel risico van security, en zal een gast ook je verbinding niet dichttrekken. En je kunt 'm zelf verder dichtspijkeren.

Mijn voorkeur zou trouwens ook wat intelligentere accesspoints zijn, waarop je guest traffic beter kunt afhandelen en ratelimiten enz, en seamless handover kan doen ipv een stapel losse consumentenAPtjes. Denk dan aan bv Unifi / Aerohive / Ruckus / Aruba / Cisco / HP

Bijkomend voordeel is dat je ze dan ook meteen met POE kan voeden, vermoedelijk mag je nu ook nog met losse adaptertjes kloten.

[ Voor 7% gewijzigd door DJSmiley op 30-12-2013 22:05 ]