Gescheiden netwerk voor camera's. Maar toch niet helemaal.

[D-Three]

De topic titel omvat misschien niet mijn volledige vraag. Maar hier gaan we

De huidige situatie; een nieuwbouw woning waar ik in de meeste kamers en naar buiten UTP kabels heb gelegd. De isolatie zorgt voor een slechte ontvangst van gsm binnen en ook voor een slechte ontvangst van de WiFi buiten. Momenteel maak ik gebruik van de standaard Telenet modem/router/AP. Boven staat nog een bedrade AP ook van Telenet.

Aangesloten apparaten zijn naast de gebruikelijke smartphones, laptops, radio's en consoles ook een Hikvision videofoon die met een app is te bekijken, een Synology NAS en de omvormer van de zonnepanelen die verbonden is met de WiFi.

In de nabije toekomst wil ik gaan uitbreiden en ik wil dan ook de beveiliging in orde hebben. Niet dat ik paranoïde ben maar better safe than sorry. En ik heb graag controle

Momenteel op het verlanglijstje:
- Een guest WiFi binnen vanwege het slechte gsm signaal (al wil ik nog een extender voorzien want bellen binnen lukt enkel tegen het raam). Enkel internet-toegang.
- Een rommel WiFi met enkel internet toegang. Momenteel voor de omvormer maar in de toekomst zal er waarschijnlijk nog zo'n spul komen. Waarschijnlijk is het niet aangeraden om hiervoor ook de guest te gebruiken?
- een POE AP buiten met zowel een privé als guest wifi. Moet ik hier op iets letten?
- POE camera's: deze wil ik op een apart netwerk zonder toegang tot het privé netwerk of internet. De enige uitzondering hierop is de videofoon die wel internettoegang nodig heeft.

Het bovenstaande lijkt mij wel doenbaar met een POE switch, enkele AP's en VLAN's. Hiervoor dacht ik enerzijds aan Ubiquiti of het prijsgunstiger TP-Link.

De camerabeelden wil ik echter ook bekijken op het privé netwerk en opslaan op de NAS. En daar zit mijn vraag dan, hoe regel ik dit? Uiteraard heb ik al wat zitten googlen en de enige oplossing lijkt mij een firewall en een NAS met twee ethernet aansluitingen? Is de NAS dan niet een zwakke schakel? Zijn er nog andere oplossingen?

[DiedX]

Ik zie je probleem voorlopig niet. Gewoon je router ook laten firewallen, probleem opgelost?

[jvanhambelgium]

Een NAS als Synology is behoorlijk "rock solid" op vlak van security ook mits goed ingesteld.
Lijkt me perfect mogelijk op een veilige manier.

Maar vooral, laat ons niet overdrijven ... is blijft een simpele thuis-installatie...

[vso]

@D-Three je hebt niet perse 1 met 2 netwerk kaarten nodig, en dat op zich brengt ook een andere complexiteit met zich mee..

Er is veel beveiliging mogelijk, maar je moet iets vinden dat voor jou werkt. en eigenlijk alleen informeert als op specifieke niet generieke events.

[D-Three]

DiedX schreef op zondag 15 maart 2020 @ 22:22:
Ik zie je probleem voorlopig niet. Gewoon je router ook laten firewallen, probleem opgelost?

De huidige router is heel erg beperkt qua instelmogelijkheden.

jvanhambelgium schreef op zondag 15 maart 2020 @ 22:23:
Een NAS als Synology is behoorlijk "rock solid" op vlak van security ook mits goed ingesteld.
Lijkt me perfect mogelijk op een veilige manier.

Maar vooral, laat ons niet overdrijven ... is blijft een simpele thuis-installatie...

Tot nu toe geen klagen van mijn Synology. Maar het ding is reeds 8 jaar oud en zal ooit wel vervangen worden. En sowieso heb ik toch nog een switch nodig. Dus dan die ik het liever meteen goed

vso schreef op zondag 15 maart 2020 @ 23:03:
@D-Three je hebt niet perse 1 met 2 netwerk kaarten nodig, en dat op zich brengt ook een andere complexiteit met zich mee..

Hoe hou ik het camera verkeer dan gescheiden van het privé gedeelte?

Er is veel beveiliging mogelijk, maar je moet iets vinden dat voor jou werkt. en eigenlijk alleen informeert als op specifieke niet generieke events.

Waarschijnlijk wel dat er veel mogelijk is. Maar zoals @jvanhambelgium zegt: het is en blijft een simpele thuis-installatie

[vso]

D-Three schreef op maandag 16 maart 2020 @ 00:22:
Hoe hou ik het camera verkeer dan gescheiden van het privé gedeelte?

als je het vraagt, moet je nog veel meer leren over beveiligingen doe eens een search op hacker video's bv ..

Poort veranderen .. verkeer met IP + poort alleen van locatie(s) x.y of z toestaan ..
- ipsec , radius of andere verkeer encryptie mogelijkheden.

Toegang via MFA methodieken ..

[DiedX]

D-Three schreef op maandag 16 maart 2020 @ 00:22:
[...]

De huidige router is heel erg beperkt qua instelmogelijkheden.

Maar het vervangen hiervan in bijvoorbeeld een mikrotik hex lost je probleem wel op. Of als je voor ubiquity gaat voor een firewall van hun.

[Sethro]

Ik blokkeer via de firewall al het inkomende en uitgaande verkeer van/naar de camera’s. Binnen het netwerk zijn deze wel gewoon toegankelijk.

Dit zal niet perfect zijn maar doet wel iets

[ijske]

telenet bied zelf "wifi business" aan , waarbij je provider zelf het gastenwifi netwerk voor zich neemt (als in aparte vlan's met aparte dhcp pools etc)
nadeel is dat het geloof ik 20€/maand kost dus als je het op meerdere jaren uitstrijkt is het best n duur product ... maar je mot zelf niks doen of kopen ;-)

als je toch liever alle touwtjes in handen wil nemen zou ik eerst zeggen.. ligt er in de kamers waar je digitaal tv wil dubbele utp's ? de digicorders mogen namelijk niet achter een private router hangen ...
als dat niet is mag je jezelf is goed gaan inlezen over vlan's ...

vlan is op zich niet moeilijk , het staat voor "virtueel netwerk" , en het is basically een extra stukje info bij elk datapakket dat zegt "ik ben een datapakketje van virtueel netwerk 20", of "ik ben een datapakketje voor virtueel netwerk 10"
je moet wel overal apperatuur gaan plaatsen die dat ook kan lezen en verwerken naar de juiste uitgangspoort .. dus als je geen aparte datapoorten hebt moet je overal managed switches zetten ... word de vrouw meestal niet vrolijk van

als je wel aparte datapoorten hebt kan je dat op de switch in je datarack.. kan je zeggen "slaapkamer linkse poort is vlan10 , slaapkamer rechtse poort is vlan20"
maar ga echt is lezen want als je daar geen kaas van hebt gegeten gaat het erg vreemd lijken allemaal in het begin