Simpel Vlan netwerk aanleggen

[mrbamelam1]

Beste allemaal.

Mijn vraag:

Hoe maak ik een simpel Vlan netwerk voor een computer die ik gebruik voor malware testing en analysis?
Ik wil namelijk niet dat de andere computers in huis besmet raken door een of ander eng wannacry achtig virus dat zich het LAN netwerk verspreid.

Hoe de boel nu verbonden is: malwarecomputer --> router (wlr4004) ---> modem(xperiabox v8, telfort). De rest van de computers in huis zitten ook op de router via wifi.

Is het zo simpel dat ik het volgende kan doen: malwarecomputer --->vlan switch ---> router ----> modem
Zo ja: hoe stel ik dat dan in... ik ben zeer verward door tagging en etc.
Zo nee: hoe kan het dan wel?

Groetjess
...

[MAX3400]

Gewoon niet doen. Zeker niet gezien de getoonde kennis in de startpost; jouw router ondersteunt niet eens VLANs dus alles komt daar automatisch weer bij elkaar.

Waarom moet die bak aan het netwerk hangen? Waarom moet 'ie over het modem kunnen? Hoe verwacht je dat jouw ISP reageert als jij (per ongeluk) toch malware test en die gaat via jouw publieke IP naar buiten?

[Hugo!]

Als je niet zo ervaren bent en je wil dit graag doen kan je misschien beter andere dingen eerst proberen.

Je zou een goedkope switch kunnen pakken (unmanaged) en daar alleen de PC's en apparaten aansluiten die jij wil dat besmet raken. In dit geval heb je dan alleen geen internet.

Je zou ook virtueel kunnen testen en kunnen werken met interne netwerken of bridged netwerken. Dit heeft mijn voorkeur.

Verder ondersteund jou router geen VLAN dus kan je dat niet gebruiken.

[anboni]

Gekkejantje schreef op donderdag 13 juli 2017 @ 14:51:
Je zou ook virtueel kunnen testen en kunnen werken met interne netwerken of bridged netwerken. Dit heeft mijn voorkeur.

Ik zou voor dit soort toepassingen absoluut geen bridged netwerk pakken. Daarmee hangt die geinfecteerde machine effectief gewoon in je eigen netwerk! Beter gebruik je NAT, maar ook dan moet je nog steeds voorzichtig zijn. Host-only is het meest veilige (gewoon geen communicatie), maar dan wordt het ook lastiger om de besmetting binnen te halen...

[Yodocus]

Standalone, wifi en tetheren via je smartphone. Zo is ie ook mooi geïsoleerd en blijft je internetverbinding buiten schot.

[Hugo!]

anboni schreef op donderdag 13 juli 2017 @ 14:54:
[...]


Ik zou voor dit soort toepassingen absoluut geen bridged netwerk pakken. Daarmee hangt die geinfecteerde machine effectief gewoon in je eigen netwerk! Beter gebruik je NAT, maar ook dan moet je nog steeds voorzichtig zijn. Host-only is het meest veilige (gewoon geen communicatie), maar dan wordt het ook lastiger om de besmetting binnen te halen...

Had dit inderdaad misschien beter niet hier kunnen neerzetten omdat dit een "onervaren" gebruiker is.

[mrbamelam1]

Tsja, ik krijg op meerdere fora's te horen: niet doen je bent onervaren. Ja maar waar moet ik dan beginnen? Ik zit zelf in de ICT(1e jaarstudie en werk), en ik wil gewoon graag dingen doen en uitproberen. Alleen het netwerk gedeelte met Vlan is mij dus nog niet helemaal duidelijk. Dat mijn router geen vlan ondersteund snap ik.... vandaar ook de vraag kan deze opzet: malwarecomputer --->vlan switch ---> router ----> modem#. Ik wil die malwarecomputer dus isoleren van de rest. Ik wil wel een internet verbinding. Moet toch kunnen analyseren met wireshark en bovendien: veel antivirus software werken met cloud oplossingen. Ook dat wil ik werkende hebben.

Ik was ook zeker van plan om NAT te gebruiken. En uiteraard staat de shared folder op read only in mijn virtuele machine.

Zijn er naast Vlan nog andere oplossingen?

#om van vlan gebruik te maken moet zowel de switch als de router vlan ondersteunen zeker?

[ Voor 5% gewijzigd door mrbamelam1 op 13-07-2017 17:29 ]

[anboni]

Niks mis mee om routing en vlanning e.d. te willen snappen, maar wees verstandig en doe dat niet met een honeypot. Een brandweerman in opleiding wordt ook niet meteen een vuurzee ingestuurd. Een netwerk met verschillende vlans kun je ook uitproberen met een simpel webservertje in het ene vlan en een browser in het andere.

Een paar termen waarmee je je via Google kunt inlezen: 802.1Q, VLAN trunking, OSI model (wordt wat theoretisch, maar wel nuttig).

En om een virusscanner te testen, kun je prima gebruik maken van EICAR.

[CyBeR]

mrbamelam1 schreef op donderdag 13 juli 2017 @ 17:27:
Tsja, ik krijg op meerdere fora's te horen: niet doen je bent onervaren. Ja maar waar moet ik dan beginnen?

Ja. Stom he? Zo kom je toch nergens?

Je kunt dit op zich prima doen, maar je hebt wel apparatuur nodig die ondersteunt wat je wilt. Goede VLAN-ondersteuning kom je niet echt tegen in consumentenspullen. Je hebt een switch nodig die VLANs ondersteunt, ten eerste. Daarna heb je ook een router nodig die dat snapt. (Kan in 1 doosje zijn trouwens.) In die router en switch maak je dan 1 vlan voor je malware doos, en een vlan voor je gewone spullen. De firewall in je router stel je vervolgens in zodanig dat de malware doos nergens bij kan behalve wat jij wil dat 'ie kan. Ik zou je aanraden om 'm niet zomaar bij het internet te laten, bijvoorbeeld, behalve om precies dat te doen wat je op 't internet wilt doen zoals bijvoorbeeld software downloaden.

VLAN tagging overigens, is een manier om een ethernet frame van een extra labeltje te voorzien zodat de ontvanger ervan weet bij welk VLAN het hoort. Je kunt daarmee meerdere VLANs over één fysieke kabel sturen, en ze toch nog scheiden.

Je hoeft dit overigens niet per se met VLANs te doen -- je kunt ook gebruik maken van een router met drie of meer fysieke interfaces en er dan één gebruiken voor je netwerk en één voor je malwaredoos (en één voor je internet natuurlijk.) Een ubiquiti EdgeRouter X of Lite bijvoorbeld.

[ Voor 10% gewijzigd door CyBeR op 13-07-2017 17:40 ]

[MAX3400]

Wederom: als je je malware-machine en de rest van je omgeving over dezelfde internet-verbinding laat lopen: niet handig. Heb je je ideeen al overlegd met je ISP? Of wil je expres het risico lopen dat je zometeen de halve buurt besmet als het over de wijkkast gaat? Neem aan dat je weet dat je VLAN tot je eigen voordoor loopt en daarna "publiekelijk" het internet op gaat?

Ik begrijp ook niet wat je denkt te leren van "malware analyse" als je de hele bende tegen een cloud-solution zoals GravityZone laat praten. Dan analyseert BitDefender namelijk het issue, zet een eventueel virus in quarantine en dan is het weg van je testbak. Handig; ben je dus geen steek verder anders dan dat je virussen op je PC zet.

En, denk dan ook even hier over na: hoe wil je een (besmettelijk) iets binnenhalen over het internet zonder dat het de machine besmet waar het op binnenkomt? Ongeacht of dat de testbak is, een andere VM, een USB-stick aan je router of whatever?

Ik probeer je na te laten denken zodat je misschien ziet/snapt dat jouw infra en jouw kennis hier niet op berekend zijn. En dat je je mogelijk ook niet realiseert wat voor virussen/malware er zijn en van welke onverwachte vulnerabilities ze gebruik maken. Zo zijn er bijvoorbeeld meerdere "keygens" die ineens ongewenst een backdoor in je router prikken.

[mrbamelam1]

Dankje @CyBeR aan zo'n antwoord heb ik wat! Dat wordt een investering dus. Tagging is duidelijk nu. Gezien het geld houd ik het voorlopig wel even offline dan.

@MAX3400 Als ik wat malware samples van internet afhaal, kijk hoe ze werken(wireshark, register, PE explorer), kijken welke antivirus software het beste presteert(voor fun). Dat allemaal in mijn virtuele machine. Die mag dus helemaal naar de kl$te he? Binnen twee tellen heb je schone windows erop. Dat allemaal via NAT en via Vlans. Da moet dat toch kunnen? en die laptop waarop de virtuele machine draait mag ook naar ze grootje. Kan altijd nieuwe HDD in. Tot zover geen probleem. Wat betreft die wijkkast schik ik van. Heeft u daar een voorbeeld van? Hoe zou ik de buren kunnen besmetten?

@MAX3400 Ik heb nog even zitten denken en u heeft ergens wel gelijk. Een Wannacry achtig virus binnenhalen, hoe interessant ik het ook vind, is geen goed idee. Stel dat die ontsnapt en een bank target. Dan staat mijn IP erbij .

[ Voor 13% gewijzigd door mrbamelam1 op 13-07-2017 18:10 ]

[BrainCrash]

Zoals ik lees, is de vraag die je stelt eigenlijk gewoon om twee gescheiden netwerken binnen je huis te maken. Of meer specifieker: je wilt je normale apparatuur gescheiden hebben van die malware-testPC, maar waarbij je op die test-PC wel de beschikking hebt over een internetverbinding.

Je hebt het vervolgens over VLANs, maar volgens mij heb je die helemaal niet nodig, en kan je het simpel op de volgende manier opzetten:


Thuisnetwerk ===> router wlr4004 ---> | LAN poort 1 van experiabox
.................................. Malware-PC ---> | LAN poort 2 van experiabox

Uitleg: Je experiabox heeft ook een router en switch ingebouwd.
Die gebruik je om je wlr-router en de malware-PC op aan te sluiten
Alles in je thuisnetwerk hangt vervolgens áchter de ingebouwde firewall/NAT van de wlr-router.
Vanuit je thuisnetwerk/wlr gezien hangt de malware-PC dus aan de WAN / internet kant, en heeft per definitie geen toegang tot alle andere apparaten die in het Thuisnetwerk zitten.
Klaar.
(wel even ervoor zorgen dat je wlr voorzien is van laatste firmware, wachtwoorden ingesteld zijn, en geen management vanaf de WAN poort heeft open staan of zoiets dergelijks)

Oh ja, en je moet de ingebouwde wifi van de experiabox natuurlijk NIET gebruiken om thuis-apparatuur op aan te sluiten. Beste gewoon uitschakelen of zo

[ Voor 8% gewijzigd door BrainCrash op 13-07-2017 18:13 ]

[MAX3400]

@BrainCrash En hoe heeft de Experiabox (die ik vermoed als DHCP-server) geen connectie van LAN1 naar LAN2? En al zou dat niet zo zijn; welk argument bestaat er om een "continu geinfecteerde machine" aan het WAN aan te sluiten?

@mrbamelam1 Klinkt dom maar bel je ISP eens op en leg je idee voor? Ik wil wel eens weten wat ze erover te zeggen hebben.

[Frogmen]

Ik snap dat je het een en ander wilt leren en bestuderen maar begin dan alles van netwerken te begrijpen en wat daar gebeurt. Lees je in over malware etc.. vergaar eerst heel veel kennis voordat je begint met een besmette PC want nu weet je waarschijnlijk ook niet waar je hem mee besmet en wat de karakteristieken zijn.
Bedenk wel dat malware etc over het algemeen de meest complexe zaken zijn met veel risico voor jezelf maar ook voor anderen.

[BrainCrash]

MAX3400 schreef op donderdag 13 juli 2017 @ 18:14:
@BrainCrash En hoe heeft de Experiabox (die ik vermoed als DHCP-server) geen connectie van LAN1 naar LAN2? En al zou dat niet zo zijn; welk argument bestaat er om een "continu geinfecteerde machine" aan het WAN aan te sluiten?

@MAX3400
Tuurlijk creeert die experiabox gewoon een local network van LAN1 naar LAN2. Maar de experiabox wordt aangesloten op de WAN poort van de wlr router.. dus LAN verkeer komt niet door de wlr4004 heen richting de rest van zijn thuisnetwerk. (windows filesharing, SMB, etc) tenzij je handmatig poorten op de wlr4004 open gaat zetten.

Verder zou ik zelf persoonlijk ook geen continue geinfecteerde machine aan het internet (of any netwerk whatsoever) hangen, maar ja, ik geef de TS alleen maar een mogelijkheid om de rest van zn apparatuur enigszins veilig te houden,
ik ga niet de TS overtuigen om het niet te doen, als ie per-se zo graag daarmee wil testen.

Overigens moet je als je dit gaat doen ook wel goed vertrouwen hebben in de firewall-capaciteiten van de WLR-router om zeker te weten dat je malware niet gebruik maakt van een security-lek in de wlr-router die de rest van je netwerk veilig moet houden...

[ Voor 12% gewijzigd door BrainCrash op 13-07-2017 18:29 ]

[MsG]

Kan je dit niet gewoon in een virtuele machine doen? Waarbij je het internet eventueel uitzet voor die virtuele machine zodra je de benodigde malware binnen hebt? Zo ging ik altijd in een Virtuele Machine met een ongepatchte Windows XP het internet op om te kijken hoe snel je al rommel kreeg als je ja drukte op dingen.

[CyBeR]

mrbamelam1 schreef op donderdag 13 juli 2017 @ 17:52:
Dat allemaal via NAT en via Vlans. Da moet dat toch kunnen?

Met goede voorbereiding wel. Veel van dat soort shit wil ook gewoon random meuk op 't internet besmetten. Daar wil jij niet aan meewerken (hoop ik toch), dus je moet goed opletten dat die malware niet zomaar bij het internet kan.

[mrbamelam1]

Ik was ook niet van plan om met die malware computer 24/7 connected bezig te zijn..... Ik had meer in gedachte wat fishie troep binnen te halen op de vm. Die vervolgens te analyseren. Met wireshark kijken wat er gebeurd. Wellicht wat antivirus programma's testen. Die internetkabel gaat er daarna gewoon uit, of al tijdens als het mij te "druk" wordt. Na afloop wordt de virtuele disk gewoon gedelete en begin ik opnieuw. Voor de zekerheid wilde ik dus mijn thuisnetwerk scheiden. Heb er niet zo bij stil gestaan dat virussen die zich willen verspreiden dat dan natuurlijk via mij (en mijn IP...) doen....

#dat was misschien niet helemaal duidelijk in het begin. maar het testen gebeurd dus op een windows 10 omgeving in virtualbox.

Maargoed het is duidelijk zo. Genoeg opties & genoeg gevaren. Ik test voorlopig lekker offline en studeer door . Ik kan soms wat overenthousiast zijn. Ontzettend bedankt voor de reacties iedereen!

[ Voor 7% gewijzigd door mrbamelam1 op 13-07-2017 18:43 ]

[Frogmen]

Als ik je een tip mag geven begin dan eerst eens met een software matige router firewall waar je ook verkeer op kan analyseren etc. Zeker zo boeiend en als je inzicht in normaal verkeer krijgt kan je het vreemde ook zien!

[mrbamelam1]

Bedankt voor de tip @Frogmen :)!Kunt u mij ook een merk/type aanbevelen?

[mrbamelam1]

@BrainCrash De firewall capaciteiten van de WLR4004 router zijn volgens mij zeer basic.

De firewall kan je aan of uit zetten met deze optionele opties:

Ping of Death: Protection from Ping of Death attacks
Discard Ping From WAN: The router‟s WAN port will not respond to any Ping requests
Port Scan: Protects the router from Port Scans.
Sync Flood: Protects the router from Sync Flood attack.

[Deze staan uiteraard allemaal aan. ]

[Hugo!]

Ten eerste, het is goed om te willen leren. En daar willen we je zeker niet voor behoeden. Lees een hoop over VLAN's en koop misschien een simpele switch om het begin te leren (zelf ben ik erg fan van de edgerouter en switches). Er zijn ook virtuele omgevingen waar je dit kan leren. Op school gebruikte wij altijd Cisco packet tracer.

Verder als je het dan toch echt op je thuisnetwerk wil doen. Zorg er dan voor dat je zeker weet dat je het goed gescheiden hebt met firewalls en VLAN's. Misschien kun je dit VLAN ook laten lopen via een VPN zodat KPN hier in ieder geval al geen last van heeft.

[jan99999]

Simpelste manier is "3 dumb routers",
dit is het simpelste, en dacht ik veilig.

1 router waar internet binnenkomt,
1 router je gewone internet,
1 router je onveilige netwerk

Google hier maar op.

Deze opstelling kun je ook gebruiken voor thuis algemeen, en in de toekomst wordt dit nodig:
1 netwerk waar hardware wordt geupdate
2 netwerk waar hardware niet wordt geupdate

Andere manier, en als je veel wilt leren,
Pfsense box maken met meerdere netwerkkaarten, zodat je de netwerken kunt scheiden,
dit is de beste manier.
Met pfsense kun je ook je netwerk in de gaten houden, dus veel mogelijkheden.


Misschien kun je voorlopig je gewone internet apparaten ontkoppelen,
en dan alleen je virussen testen.

[ Voor 5% gewijzigd door jan99999 op 14-07-2017 10:23 ]

[jeroen3]

Kun je een RouterOS or pfSense in een vm zetten met twee netwerk interfaces, één NAT en één host only?
Dan kun je diverse vm's aan je host only netwerkje knopen, welke via je router/firewall vm aan je echte netwerk vast zitten.

Let wel op dat als de malware bekend is en het internet op wil. Je provider dit gedrag wellicht herkent met geautomatiseerde detectie en je in quarantine zet. Ik zou ook een VPN zoeken.

[ Voor 30% gewijzigd door jeroen3 op 14-07-2017 10:56 ]

[mrbamelam1]

Bedankt voor de goede tips Een VPN is al reeds aanwezig. Deze heeft ook een killswitch, dus wanneer hij uitvalt is er helemaal geen internet meer. Voorlopig test ik nog offline. @jan99999 die dumb routers spreken mij ook wel aan. Hoef ik maar 1 extra routertje aan te schaffen.

Ik heb dan de xperiabox waar het internet binnenkomt.
De WLR4004 voor het onveilige netwerk.
Een nieuwe router met goede firewall wordt dan gebruikt voor het "veilige" netwerk.

De malware computer krijgt dus een virtuele windows 10 in virtualbox met NAT. Op het OS van de pc zelf zet ik dan de VPN met killswitch. En voor wat het waard is ook Norton security.

Ik heb al een aantal websites gevonden waar je malware samples vandaan kunt halen. Ze hebben ook links naar virustotal. Dus dan heb ik "enigszins" een idee wat ik binnenhaal. Ik blijf voorlopig bij de wat simpele trojans/PUP varianten. Die fishie troep als conduit en varianten, je kent ze wel! Die browser hijack dingen met vaak ook vage processen op de achtergrond. Ik haal ze regelmatig van computers af bij familie & vrienden:P . En voorlopig gaat de internet kabel eruit als ik een virus heb binnengehaald

[Frogmen]

Om wat van routering en VLAN's te leren zou ik je aanraden een Edgerouter X 5 poorten met veel mogelijkheden voor VLAN's etc zijn niet duur. Anders oude PC met Pfsense of iets anders erop persoonlijk ben ik fan van ClearOS maar dat is meer server gateway opties en minder VLAN's. Kortom er is genoeg om mee te spelen en te leren. Succes.

[Thralas]

jeroen3 schreef op vrijdag 14 juli 2017 @ 10:53:
Kun je een RouterOS or pfSense in een vm zetten met twee netwerk interfaces, één NAT en één host only?
Dan kun je diverse vm's aan je host only netwerkje knopen, welke via je router/firewall vm aan je echte netwerk vast zitten.

Inderdaad. Er is geen enkele reden om hiervoor hardware aan te schaffen, virtueel is nog praktischer ook.

Let wel op dat als de malware bekend is en het internet op wil. Je provider dit gedrag wellicht herkent met geautomatiseerde detectie en je in quarantine zet. Ik zou ook een VPN zoeken.

En dit is ook een hele goede. Absoluut een VPN of Tor-uplink gebruiken.