Ubiquity L2TP VPN (DNS, verkeer scheiden & Dedicated VLAN)

[MAdD]

Mijn opstelling is alsvolgt:

• UDMB + USW + UAP
• Meerdere VLAN's (voor het scheiden van verkeer)
• L2TP VPN (werkend op Windows, IOS & Android. Nog niet op Synology NAS op externe locatie)

Dat ik de L2TP werkend heb ben ik content mee, alleen nog niet op de manier waarop (alle VLAN's zijn direct benaderbaar en dat is (voor mij) een "security no-no")

Ik wil namelijk met de L2TP het volgende bereiken (en ik weet niet of dat allemaal haalbaar is)

1. L2TP DNS routeren over een Pi-Hole (Pi-Hole setup is geen probleem om uit te voeren.. gaat alleen om het routeren van DNS request van de L2TP naar de Pi-Hole)
2. Verkeer van de L2TP scheiden, zodat deze alleen via Firewall rules onderdelen van mijn netwerk kunnen bereiken
3. L2TP verkeer laten uitkomen op een dedicated VLAN of een VLAN wat ik nu al gebruik

Wat heb ik tot nu toe geprobeerd

• De Radius User een VLAN ID meegegeven, maar het apparaat krijgt een ip uit het VPN Netwerk (wat geen VLAN id heeft)
• DNS van het VPN Netwerk aangepast, maar dit mocht niet baten

Mocht iemand op bovenstaande 3 vragen een antwoord hebben, dan hoor ik dat graag.

[To_Tall]

Je laat je vpn binnen in een netwerk. Je zou dan in de udm een nieuw netwerk moeten maken. Vanuit dat netwerk fw Rules moeten maken.

Je vpn moet je dan opnieuw in richten dat deze op dit nieuwe netwerk binnen komt.

[ Voor 24% gewijzigd door To_Tall op 18-07-2021 00:43 ]

[MAdD]

De vraag is dus hoe @To_Tall ....

Zoals ik boven al beschreef heb ik alles al werkend.. maar zoek de laatste details....

[Morax]

Ik moet zeggen dat ik alleen op de commandline werk, maar je kan het device "l2tp*" toekennen aan een VLAN om je binnenkomende VPN aan een VLAN toe te kennen.

Al je DNS verkeer omleiden, daarvan weet ik niet of de USG dat wel kan. Je kan binnen het L2TP VLAN wel een DNS server meegeven die aan je clients wordt gegeven, maar je kan het denk ik niet verhinderen dat ze een custom DNS gebruiken.

[MAdD]

Thanks @Morax maar volgens mij kan het niet via de CLI met een UDMB...

[MAdD]

antwoord van Ubiquity support:

code:

We cannot configure/tag VLAN on the L2TP VPN. The clients will connect to the L2TP VPN network and they can by default access all corporate networks on the UniFi OS Console.

For the DNS server, you can configure the Manual DNS server on the L2TP VPN Configuration.

[Frogmen]

Kan je een tekening maken van wat je uiteindelijk wil bereiken. Ik heb wel een vermoeden maar ja.

[MAdD]

@Verwijderd tekening maken wordt moeilijk....

Hetgeen wat ik nu heb:

• UDM Base met meerdere VLAN's (VLAN01, VLAN02, VLAN03)

Wat wil ik gaan doen:

• UDM Base met L2TP vpn geactiveerd (standaard optie)
• UDM Base met meerdere VLAN's (VLAN01, VLAN02, VLAN03)
• L2TP Vpn uitlaten komen op een dedicated VLAN (zeg VLAN04)

En dan doormiddel van firewall rules het verkeer zou scheiden (wat ik dus al heb voor VLAN01, VLAN02, VLAN03), zodat L2TP verkeer niet zomaar bij mijn data kan komen.

Daarnaast als er een extra VLAN is (VLAN04) voor L2TP, dan kan ik daar op de ESXi een netwerk toevoegen, zodat ik dmv een extra NIC op de Pi-Hole (deze heeft al 3 NIC's) het verkeer kan ontdoen van advertenties.

hopelijk snijd dit hout