LAN-netwerk issue (ESXI, http VM's op VLAN?)

[kooimens]

Hallo,

Mijn opstelling lan opstelling thuis is te vinden op de bijgevoegde afbeelding. Op dit moment heb ik een thuisnetwerk waar alle devices, bedraad en onbedraad met elkaar kunnen communiceren. Ik heb op het modem niet de mogelijkheid om een guest wifi aan te maken(en deze zo af te scheiden van het overige lan verkeer).

VM1 is een soort van proxy waar services (die draaien op VM2 t/m VM5) reversed proxied (dmv apache) achterhangen. VM1 is te bereiken vanaf het internet (port 80 en 443) en al het verkeer wordt gedwongen over https te communiceren. Op VM2 draait bijvoorbeeld nextcloud. Deze is dus ook reversed proxied achter VM1. Echter is de communicatie tussen VM1 en VM2 http en dus niet secure. Hier zit het probleem. Eventuele onbekende/besmette devices (bedraad/onbedraad) op het lan kunnen in theorie dit verkeer sniffen. Aangezien hier credentials worden doorgestuurd vind ik dit een serieus probleem en zoek ik hier een oplossing voor. Ik beheer de esxi server vanaf mijn desktop pc in mijn thuisnetwerk.

Mijn eisen zijn als volgt:
- zo simpel mogelijk, het liefste geen managed switch
- de services op het modem (dns / dhcp en firewall) wil ik daar zoveel mogelijk houden. Op die manier levert een 'vertrek' van de esxi doos geen problemen voor het netwerk op.

Kan dit probleem worden opgelost met vlans op de esxi doos? En zo ja, hoe? Wat zijn de beperkingen/consequenties?

[Equator]

Kan je op de ESX doos niet een tweede vSwitch aanmaken en de VM1 daadwerkelijk laten proxien? De VM1 zal dan een pootje in beide netwerken moeten hebben.

Plaat: Ik had Visio toch nog open staan

[ Voor 31% gewijzigd door Equator op 11-11-2016 14:19 ]

[kooimens]

Damn, binnen 5 minuten een antwoord. Hulde!

Ik ben totaal niet thuis in de vlan's (eerste keer dat ik ermee ga rommelen), maar ik kan dit natuurlijk eens proberen op te zetten.

Equator schreef op vrijdag 11 november 2016 @ 14:14:
Kan je op de ESX doos niet een tweede vSwitch aanmaken en de VM1 daadwerkelijk laten proxien?

Wat bedoel je precies met 'daadwerkelijk'?
EDIT: waarschijnlijk dus de situatie die je daarna schetst?
EDIT2: Tweede switch aangemaakt. VM2 t/m VM5 moeten echter wel connectie met het 'internet' hebben omdat updates e.d. uit te voeren. Hier loop ik vast?

[ Voor 19% gewijzigd door kooimens op 11-11-2016 14:44 ]

[Equator]

Tja, VM1 gebruik je nu als "reverse proxy". Kan je hem niet ook als "forward proxy" of "web-proxy" laten fungeren? Dan loopt het verkeer vanaf de VM's naar de proxy en vanaf de proxy naar het Internet.

ook kan je een VM6 in de lucht schoppen die routeert + NAT tussen beide netwerken. En dan alleen maar verkeer naar buiten toestaan.

Bijvoorbeeld een losse firewall.


Oh, en met daadwerkelijk bedoel ik dat hij niet alleen sessies opnieuw opzet, maar dat ook nog eens doet over een andere interface dan waarop het verkeer binnenkomt. Mijn persoonlijke voorkeur

En je hoeft geen VLAN's te gebruiken. Een losse vSwitch is voldoende. Zolang je het verkeer maar splitst.

[ Voor 64% gewijzigd door Equator op 11-11-2016 14:58 ]

[kooimens]

Ok ik begin het te begrijpen (denk ik), maar in de laatste weergave zou VM1 naar de extra vswitch kunnen toch (en dan niet meer in de bestaande)? De firewall komt dan in de bestaande switch en in de extra vswitch? op de firewall alleen de porten 80 en 443 open naar VM1. En dan VM1 t/m VM5 zo configureren dat inkomende internet via de firewall loopt?

Pfsense als beste keuze voor de firewall?

EDIT: al het inkomende verkeer voor VM1 dat nu via de modem loopt vanaf WAN moet dan dus naar de firewall worden geleid (openstaande porten)?

[ Voor 18% gewijzigd door kooimens op 11-11-2016 15:22 ]

[Equator]

Dan krijg je dus weer een Single Legged Reverse Proxy in plaats van een Dual Legged Reverse Proxy. En je krijgt een dubbele NAT naar je Reverse Proxy Server.

Nee het idee was juist dat je via de Reverse Proxy de websites op VM2-5 beschikbaar stelt. Het verkeer van deze VM2-5 zien het verkeer van VM1 als lokaal, dus hebben daar geen gateway voor nodig.

Echter om voor VM2-5 toch nog wel Internet te realiseren, kan je twee dingen doen:

• VM1 als forward / web proxy configureren en VM2-5 via deze proxy naar het Internet verbinden
• Een extra gateway aanmaken met een firewall die het verkeer NAT, en VM2-5 via deze gateway naar het Internet laten verbinden.

[BluRay]

Je kan ook de server waar NextCloud op draait voorzien van selfsigned certificates en de reverse proxy via HTTPS laten praten zodat het verkeer versleuteld wordt.