Netwerk 2 gescheiden zones, router na router

[thomke]

Dag iedereen

Ik zit met volgende situatie:
afbeelding


Dus ik zit met een o zo leuke telenet router opgezadeld.


We zitten met de digicorders van telenet die rechtstreeks op de telenet router aangesloten zitten.
en ook het volledige 'huis' netwerkt (blauwe netwerk in de afbeelding)

nu zou ik graag een router bijplaatsen en een 2e netwerk maken (het gele netwerk)
(telenet router LAN zijde aan de 2de router WAN kant aangesloten)

Op dit gele netwerk wil ik internet (die via de Telenet router komt) maar ik wil niet dat toestellen uit het gele netwerk toegang hebben tot toestellen op het blauwe netwerk.

Is dit mogelijk?

In de situatie zoals getekend snap ik dat toestellen uit het blauwe netwerk geen toegang hebben tot het gele. Maar ik wil vooral dat het gele netwerk geen toegang heeft tot het blauwe netwerk.


Groeten,
Thomas

edit: schrijffout

[RobinF]

Dat gaat je alleen lukken ALS:

De Telenet router een soort ACL/Firewall heeft die je daarvoor kan gebruiken. Veel consumenten routers bieden dat niet dus dat betwijfel ik.
OF
Je een extra router voor het blauwe vlak gebruikt, dan wordt er NAT gedaan met NAT/Firewall waardoor er automatisch geen toegang is. Je moet dan wel de TV ontvangers op de Telenet ontvanger laten waarschijnlijk.
OF
Achter de Telenet router 1 goede router plaatsen (OPN Sense, EdgeRouter) en dan daarachter het blauwe en gele netwerk maken met de TV Ontvangers apart

[ Voor 16% gewijzigd door RobinF op 27-02-2018 09:19 . Reden: Derde optie toegevoegd! ]

[royalt123]

Ik kan 3 manieren bedenken.

1: Koop goeie router (die vlan ondersteund) of maak zelf eentje met bijvoorbeeld PfSense. En koop dan 1 managed switch. Sluit alles eropaan behalve Digibox (die moet rechtreeks naar telenet gaan).
En zet 2 vlan op voor gele en blauwe zone.

2. Koop 2 budget router zoals @RobinF RobinF suggereert. zodat je elk zone eigen router is.

3. Ben niet zeker voor deze optie, ik vermoed dat als je maar 1 gewone router koopt voor gele zone en dat die vanuit geel normaal gezien niet naar blauwe zou kunnen gaan omdat router dropt RFC 1918 (private adressen) die naar buiten gaan (wan).

Voor alle 3 oplossingen heb je uiteraard double nat maar dat is niet echt een probleem (Ik doe dat thuis ook).

[ Voor 8% gewijzigd door royalt123 op 27-02-2018 09:23 . Reden: Double nat ]

[RobinF]

@royalt123 , je optie 3 is niet helemaal waterdicht maar komt bij mijn 2e optie in de buurt. De router voor de gele zone zal NAT doen (neem ik aan) en dropt daarom niet, maar translate die adressen. Je kan dan naar blauw tenzij je een aparte router voor blauw gebruikt.

Je optie 1 is trouwens een super idee! Dat ik daar niet aan gedacht heb (inmiddels toegevoegd)! Je kan dan namelijk alle VLANs distribueren (eventueel zowel Telenet als VLAN blauw en geel) door je hele huis.

[Verwijderd]

Dubbele NAT is in geen geval nodig. De (netwerktechnisch) simpelste manier is om er een netwerk van te maken maar vervolgens de gele zone te isoleren via een packet filter of een "protected port" feature in je switch.

Merk op: Je kan natuurlijk je PCtjes in de gele zone stoppen en alles wat er in de gele zone zat in de blauwe. Dan hou je het probleem dat de digibox bij "het gespuis" erbijinzit maar met "protected port" heeft'ie daar geen last meer van. Nu nog even opletten hoe je dat netjes doet zonder NAT te gaan.

Zo'n packet filter kan op L2 werken, of op L3. Doe je L3 moet je routeren, maar dan moet je OF NAT doen (onnodig), OF je zet een statische route op naar dat tweede subnet in je telenet router (als die dat kan), OF je doet proxy ARP en DHCP relay als nodig.

Is de telenet router in bridge mode te zetten met behoud van digibox? Dan kun je het zelfs allemaal in een apparaat oplossen, al zit je dan aan iets beters dan stock HTK. Een mikrotik, openwrt, of pfsense doosje met genoeg interfaces moet het wel kunnen.

VLANs heb je niet specifiek nodig, je moet dat zien als handige vervanging van meerdere switches om meerdere LANs mee te maken. Het scheelt apparaten en maakt management overzichtelijker.

[thomke]

Oke, het is net iets grotere investering dan oorspronkelijk gedacht.

Ik dacht dat misschien iets mogelijk was met een soort 'Parental Control' in router 2? of is dit niet mogelijk
ik heb nog nooit gebruik gemaakt van parental control in een router.. maar dit blokeert toegang tot bepaalde sites dacht ik? zou het niet mogelijk zijn om dit te gebuiken om toegang tot een bepaalde range van ip-adressen te blokeren? of zie ik het verkeerd?

[Verwijderd]

"Parental control" is een marketingterm dus heeft het geen eenduidige definitie. Het is dus niet te zeggen wat het precies doet zonder te weten welke precieze router je in wil zetten, en gedetailleerde productkennis.

Termen als "NAT" en "routeren" hebben wel precieze technische betekenis. Lees je je daarover in, dan merk je vrij snel dat wat jij "router" noemt een apparaat is dat een half dozijn of meer functies vervult, en je hebt ze met zulke netwerkuitbreidingen niet allemaal nodig.

Het is heel goed mogelijk om toegang te blokkeren, op verschillende manieren, maar er zitten dus ook verschillende haken en ogen aan. Het allersimpelste is wellicht nog om op je telenet router te kijken of je daar niet een "gast wlan" kan aanmaken, en of dat genoeg is voor jouw doelen.