Apparatuur beschermen tegen overige netwerkgebruikers?

[Spinez0r]

Mijn vader is sinds kort verhuisd met zijn bedrijfje naar een bedrijfverzamelpand.

Hier is het zo dat er 1 100mbit glasvezelverbinding binnen komt in een Zyxel routertje, deze doet NAT en maakt een 192.168.1.0/24 netwerkje.
Elke “huurder” in dit pand wordt gewoon in de switch geplugd en krijgt dus een ip in het 192.168.1.0/24 netwerk.

Nu is er laatst een uitbraak geweest van een cryptolocker omdat één van de huurder iets had geopend/geklikt.

Nu is mijn vraag, wat is de makkelijkste manier om mijn vaders apparatuur“af te schermen” van de rest van dat 192.168.1.0/24 netwerk?

Ik dacht zelf aan een fatsoenlijke router (Ubiquiti ER-6) die ik met de WAN kant aan het 192.168.1.0 newerk hang, en aan m’n vaders kant een eigen subnet maakt, en dan de firewall zo instellen dat er zo min mogelijk doorheen mag/kan (liefst geen WAN-->LAN traffic inbound) (Non established)

Maar het probleem wat ik dan zie is dat je Dubbel aan het NATTEN bent, en dat is niet ideaal (veel overhead in de TCP headers).
Weten jullie misschien een alternatief? bestaat er iets van een firewall die 2 interfaces kan bridgen en daar tussenin gaat zitten? (dus de systemen van m’n pa krijgen gewoon een ip in 192.168.1.0/24, maar de mensen aan de “buitenkant” van de firewall kunnen niet communiceren met de appratuur van de “binnenkant”.

Het is overigens niet zo dat m'n vader allemaal spannende port-forwards doet o.i.d., hij wil gewoon lekker werken en internet hebben, zonder dat de overige huurders potentieel verbinding kunnen maken met zijn apparatuur.

Het is overigens NIET mogelijk om toegang te krijgen tot de router achter de glasvezelverbinding, anders had ik misschien hierop e.e.a kunnen configureren (2e vlan o.i.d.)

Hoor graag of jullie een idee hebben wat hier een potentiele oplossing zou kunnen zijn.

[Tha Render_2]

In jouw scenario zou ik écht niet wakker liggen van dubbel NAT, je geeft het zelf al aan 'dubbel NAT is niet ideaal wegens overhead in the TCP headers' en dan daarna 'hij wil gewoon lekker werken en internet hebben'. Dus zwier er een router achter en blok inkomend alles (tenzij je iets nodig hebt). Enkel voor UPnP en online games kan dubbel NAT wat lastig doen maar voor de rest is daar echt niets mis mee.

[laurens0619]

Met @Tha Render_2 dat dubbel nat qua performance zo erg is, is een hardnekkig sprookje

[Spinez0r]

Aah ok, goed om te horen dat dubbel NAT niet zo'n groot probleem is als gedacht.

Er komt sowieso een goede router tussen (ER-6) dus die heeft mogelijk ook wel de "performance" om makkelijker te routeren met extra NAT laag.

Bedankt voor jullie reacties.

[Jaapio_B]

Je kan ook het hele netwerk van het bedrijfverzamelpand laten voor wat het is en een eigen router met 4/5g datakaartje neerzetten.

De kosten zullen wel iets hoger zijn maar dan heb je wel de controle over de verbinding en weet je zeker dat je geen last hebt van eventuele acties van de andere huurders.

[Wolfboy]

Je kan natuurlijk alleen een firewall ertussen zetten, maar ik zou persoonlijk gewoon voor de dubbel-nat oplossing gaan en een standaard routertje pakken.

De overhead is naar mijn ervaring minimaal en je bent direct klaar met niet alleen cryptolockers maar ook andere broadcast dingen in het netwerk. Het is bijvoorbeeld irritant als je aan het zoeken ben naar een printer dat je 30 printers van andere bedrijven in je netwerk ziet

[Cpt.Morgan]

Spinez0r schreef op vrijdag 13 november 2020 @ 11:52:
Aah ok, goed om te horen dat dubbel NAT niet zo'n groot probleem is als gedacht.

Zelfs "niet zo'n groot probleem" is nog een understatement. Het hele internet hangt aan elkaar van routers die met elkaar verbonden zijn, en ook binnenshuis werkt dat prima. Zelfs zonder iets in te stellen, en gewoon 2 routers te koppelen werkt dit voor 99% van alle huis-tuin-en-keuken, en ZZP/MKB situaties.

Het enige aandachtspunt is als je wel inbound verkeer wilt hebben naar een server in het tweede subnet, dan zul je echt moeten zorgen dat alle poorten goed ingesteld staan. En sommige UPnP functionaliteit zal niet meer werken, omdat die alleen de poorten in de eerste router zullen openzetten (maar dat kun je ook als een voordeel zien ).

Dus iets meer handmatig instellen in geval van portforwarding, en voor de rest zal dit gewoon werken.

[Spinez0r]

Cpt.Morgan schreef op vrijdag 13 november 2020 @ 12:10:
[...]

Zelfs "niet zo'n groot probleem" is nog een understatement. Het hele internet hangt aan elkaar van routers die met elkaar verbonden zijn, en ook binnenshuis werkt dat prima. Zelfs zonder iets in te stellen, en gewoon 2 routers te koppelen werkt dit voor 99% van alle huis-tuin-en-keuken, en ZZP/MKB situaties.

Het enige aandachtspunt is als je wel inbound verkeer wilt hebben naar een server in het tweede subnet, dan zul je echt moeten zorgen dat alle poorten goed ingesteld staan. En sommige UPnP functionaliteit zal niet meer werken, omdat die alleen de poorten in de eerste router zullen openzetten (maar dat kun je ook als een voordeel zien ).

Dus iets meer handmatig instellen in geval van portforwarding, en voor de rest zal dit gewoon werken.

Behalve dat deze routers geen NAT doen, maar gewoon routeren met verschillende routing protocollen.

[Will_M]

Ik zou ook eens een 'balletje' opgooien bij de IT/Netwerkbeheerder van het bedrijfsverzamelgebouw. Hoe moeilijk kan het zijn om daar iets van PORT-ISOLATION of VLAN segmentering op z'n L3 router in te regelen zodat dit soort akkefietjes voor de toekomst meteen de das om gedaan worden? Nu los je het voor jezelf (lees: Je pa) op middels een extra NAT router maar er zullen vast meer bedrijfjes/zzp'ers in dat pand zitten welke een professionele accomodatie, dienstenverlening en houding vanuit het verzamelgebouw verwachten.

Security Incidenten moet je overigens ook ergens kunnen melden

[ Voor 38% gewijzigd door Will_M op 13-11-2020 12:23 ]