WAN via switch naar firewall

[SteefOne]

Hallo allemaal,

Ik ben al een tijdje opzoek naar een andere oplossing voor mijn Asus AX88U. Ik wil wat extra VLAN's maken om eea aan netwerkscheiding te doen. De AX88U ondersteund helaas geen VLANs.

Nu overweeg ik 2 opties. Een USG van Unifi of een NUC met bijvoorbeeld PFsense/Sophos oid. Ik voel meer voor het laatste, omdat je daar ook eventueel nog wat andere dingen mee kan doen in de toekomst etc. (En het mij ook leuker lijkt om te spelen met andere soorten fw's + geen vendor lock (switches, controller, wifi etc)). Mijn voorkeur gaat overigens naar het geen waar je het meest moeite voor moet doen natuurlijk

Ik zit met het volgende. De WAN komt binnen in de meterkast (via een bridged router van ISP). De meterkast zit echter buiten de voordeur in het portiek. Ik heb vanaf daar een kabel naar binnen getrokken en op de WAN van de huidige ASUS router aangesloten, dit is vervolgens meteen een 8ports switch dus het LAN is dan klaar.

Nu wil ik dus een NUC (heeft doorgaans 1 ETH aansluiting). Deze plaats ik het liefst ook in de meterkast zodat ik ín huis aan 1 switch op een centrale plek genoeg heb. (Geen extra apparatuur binnenshuis). Omdat de NUC maar 1 aansluting heeft moet ik hier een switchje tussenzetten en fungeert de link tussen switch/NUC als trunk met interne en externe VLANs. Hier gaat het mij een beetje mis, kan dit? Concreet heb ik 2 vragen:

1. Hoe voorkom ik dat de switch straks een publiek IP krijgt (van ISP)
2. Hoe voorkom ik dat de switch dan ook publiekelijk te bereiken is

Ik heb zelf het idee dat het als volgt moet:
Interne LANs geef ik een VLAN tag de hele route.Die slaan uiteindelijk rechtsaf naar het LAN want VLAN 10,15 zijn niet bekend op poort 1 van de switch
Het WAN geef ik een ander VLAN. Op de switch zijn dan 2 poorten in het WAN VLAN. Richting de NUC tagged en richting het internet untagged zodat het weer 'schoon' naar ISP gaat.

Omdat een plaatje vaak meer zegt dan 100 woorden:


De bruine streep is zegmaar de voordeur/muur.

Het is een concept. Ik heb de apparatuur nog niet in huis, dus het kan nog alle kanten op. Alvast bedankt voor jullie input.

-Stefan

[plizz]

Heb je Merlin firmware op je Asus AX88U opgezet? Volgens mij ondersteunt jouw Asus dan wel VLANs.

[Tha Render_2]

Je firewall/router moet minstens 2 netwerkkaarten hebben (anders kan het niet routeren...), pfsense heeft ook zelf toestellen zoals deze bijvoorbeeld: https://shop.netgate.com/products/1100-pfsense

Het NUC idee zou ik vergeten, volgens mij zijn er geen NUC's met dual NIC.

[ Voor 9% gewijzigd door Tha Render_2 op 30-08-2021 21:24 ]

[ijske]

in een beeetje switch kan je het management vlan aanpassen ...
ik geloof dat in simpelere tp-link managed switchen je management altijd in vlan1 zat , in mijn HP 1820 bv kan ik dat gewoon kiezen...

[SteefOne]

Bedankt voor jullie antwoorden.

plizz schreef op maandag 30 augustus 2021 @ 21:11:
Heb je Merlin firmware op je Asus AX88U opgezet? Volgens mij ondersteunt jouw Asus dan wel VLANs.

Jazeker. Maar helaas ondersteund de pcb het niet. Op de AC88U werkt dat wel, ik heb echter de AX.

Tha Render_2 schreef op maandag 30 augustus 2021 @ 21:22:
Je firewall/router moet minstens 2 netwerkkaarten hebben (anders kan het niet routeren...),

Ik las hier laatst iemand die dit ook heeft dmv virtual interfaces op de fysieke (vlans of vips), dat zou toch moeten werken lijkt me?

ijske schreef op maandag 30 augustus 2021 @ 21:27:
in een beeetje switch kan je het management vlan aanpassen ...

Goeie! Hier heb ik niet eens bij stil gestaan, dat was het geen wat ik eigenlijk zocht!

Het is zeker niet de beste oplossing. Zo'n PFSense Netgate is ook een leuk alternatief, hier was ik niet bekend mee. Wat ik dan wel jammer vind is dat je vast zit aan PFSense, net als met de USG van Unifi.

Ik heb ook nog een Sophos SG330 staan hier. Stel ik zet die op de plek van de NUC, dan heb ik ook geen switch nodig. Echter, de WAN kabel is te kort hiervoor dus zou ik die switch er toch tussen kunnen zetten. Werkt mijn idee dan nog met het taggen van WAN verkeer met VLAN 5 zoals in de tekening? En dan het management in een ander VLAN.


Edit: Typo

[StarWing]

Tha Render_2 schreef op maandag 30 augustus 2021 @ 21:22:
Je firewall/router moet minstens 2 netwerkkaarten hebben (anders kan het niet routeren...), pfsense heeft ook zelf toestellen zoals deze bijvoorbeeld: https://shop.netgate.com/products/1100-pfsense

Het NUC idee zou ik vergeten, volgens mij zijn er geen NUC's met dual NIC.

Ik heb een aantal jaar op een nuc esxi gedraaid, waaronder een pfsense. Werkt perfect icm met vlans en slechts 1 netwerkkaart. Of het een ideale setup is laat ik even in het midden.

Nu nog draait dezelfde setup op een andere machine met slechts 1 nic.
Je kan op pf/opnsense perfect routeren met 1 nic op een esxi.

Waar ik wel niet zeker van ben is of pfsense dit zonder hypervisor kan. Nog niet getest.

[sypie]

Tha Render_2 schreef op maandag 30 augustus 2021 @ 21:22:
Het NUC idee zou ik vergeten, volgens mij zijn er geen NUC's met dual NIC.

Ze zijn er wel, je moet alleen bepalen of je het de prijs waard vind.
https://www.myelectronics...ger-canyon-nuc11tnhi.html
https://www.myelectronics...ger-canyon-nuc11tnhi.html
https://www.myelectronics...ger-canyon-high-dual.html
https://www.myelectronics...iger-canyon-dual-lan.html
https://www.myelectronics...ger-canyon-high-vpro.html

[jadjong]

SteefOne schreef op maandag 30 augustus 2021 @ 21:42:

Ik las hier laatst iemand die dit ook heeft dmv virtual interfaces op de fysieke (vlans of vips), dat zou toch moeten werken lijkt me?

Dat werkt prima.

[To_Tall]

Tha Render_2 schreef op maandag 30 augustus 2021 @ 21:22:
Je firewall/router moet minstens 2 netwerkkaarten hebben (anders kan het niet routeren...),

Het NUC idee zou ik vergeten, volgens mij zijn er geen NUC's met dual NIC.

Nee hoor. Je kan gewoon je lan en wan over 1 kabel laten lopen. De vraag is of het slim is. Verkeer gaat dan niet eerst door een firewall heen maar komt binnen op een switch. En potentieel groot risico.

Het is wel leuk om mee te testen intern. Maar zou het niet aan het internet hangen.

[Frogmen]

Wat je wil kan theoretisch gewoon of het makkelijk te configureren is en/ of secure is een ander verhaal. Persoonlijk zou ik er gewoon een tweede netwerkkaart inzetten en geen NUC maar een ander systeem heel veel is er niet voor nodig qua resources.

[SteefOne]

sypie schreef op dinsdag 31 augustus 2021 @ 06:41:
[...]

Ze zijn er wel, je moet alleen bepalen of je het de prijs waard vind.

Ah thanks voor de suggesties. Inderdaad vrij prijzig. Dat vind ik het niet perse waard.

jadjong schreef op dinsdag 31 augustus 2021 @ 06:46:
[...]

Dat werkt prima.

Goed om te weten, bedankt.

To_Tall schreef op dinsdag 31 augustus 2021 @ 08:04:
[...]

De vraag is of het slim is. Verkeer gaat dan niet eerst door een firewall heen maar komt binnen op een switch. En potentieel groot risico.

Dat is een beetje waar ik mee zit. Maar als ik het WAN verkeer in 1 VLAN zet, zou het dan niet gewoon goed moeten zijn? Waar zit het risico precies in?

Frogmen schreef op dinsdag 31 augustus 2021 @ 08:49:
Persoonlijk zou ik er gewoon een tweede netwerkkaart inzetten en geen NUC maar een ander systeem heel veel is er niet voor nodig qua resources.

Thanks, zo denk ik nu ook een beetje. Heb inmiddels een Sophos firewall in de meterkast hangen, werkt prima ook natuurlijk. Maar stel ik wil de Sophos binnen hebben, moet ik de WAN kabel eigenlijk verlengen. Enig idee hoe ik dit kan doen via een switch? Keystones kan uiteraard, maar switch is misschien net wat mooier. Of zou je dan zeggen; isoleer die switch en gebruik het verder nergens voor?

[To_Tall]

VLAN is geen fysieke scheiding. Maar een administratieve scheiding.

Al het verkeer gaat dan over een en dezelfde kabel. Dat zou onderschept kunnen worden.

Je zou het kunnen oplossen met een usb ethernet adapter.

Je moet ook rekening houden dat verkeer van en naar een ander VLAN altijd via de router loopt. Dat is weer op te lossen middels een later 3 switch die ook kan routeren.

[jadjong]

To_Tall schreef op dinsdag 31 augustus 2021 @ 15:15:
VLAN is geen fysieke scheiding. Maar een administratieve scheiding.

Al het verkeer gaat dan over een en dezelfde kabel. Dat zou onderschept kunnen worden.

Alleen als iemand lokaal de kabel tussen router en switch onderbreekt.

Je zou het kunnen oplossen met een usb ethernet adapter.

Je moet ook rekening houden dat verkeer van en naar een ander VLAN altijd via de router loopt. Dat is weer op te lossen middels een later 3 switch die ook kan routeren.

De NUC met PFsense (of wat dan ook) is in dit geval de router tussen WAN en LAN met NAT en firewall. Een layer3 switch is gemaakt om subnetten aan elkaar te knopen, niet voor huis tuin en keuken functies waarbij 1 publiek IP gedeeld wordt door 52 tablets en een smartTV.
Of bedoel je dat niet?

[To_Tall]

@jadjong

Layer 3 kan meer dan alleen subnetten koppelen. Ook intervlan routing wordt het voor gebruikt. Zo hoeft je verkeer niet eerst helemaal naar de router zelf om dan naar een ander VLAN te hoppen.

Daarnaast is VLAN verkeer nog steeds een administratieve scheiding tussen netwerken, geen fysieke scheiding. LAN en WAN verkeer hoort daarom ook niet op 1 kabel thuis.

[jadjong]

Intervlan routing is handig, maar ik heb niet het idee dat de TS tien lokale vlans met intensief dataverkeer tegen elkaar wil laten praten. Voor WAN<>LAN mist het de vitale functies zoals NAT en een bruikbare firewall.

Verder lukt het mij nog niet helemaal om gevaar te zien in wan op een vlan. Zo goed als elke huis tuin en keuken router is tegenwoordig stiekem een 5-poorts switch met wan op vlan1 en lan op vlan2

[SteefOne]

To_Tall schreef op dinsdag 31 augustus 2021 @ 15:15:
Je moet ook rekening houden dat verkeer van en naar een ander VLAN altijd via de router loopt. Dat is weer op te lossen middels een later 3 switch die ook kan routeren.

De firewall is in dit geval ook de router. Mbv firewall regels routeer ik het verkeer.

To_Tall schreef op dinsdag 31 augustus 2021 @ 18:28:
@jadjong

Layer 3 kan meer dan alleen subnetten koppelen. Ook intervlan routing wordt het voor gebruikt. Zo hoeft je verkeer niet eerst helemaal naar de router zelf om dan naar een ander VLAN te hoppen.

Daarnaast is VLAN verkeer nog steeds een administratieve scheiding tussen netwerken, geen fysieke scheiding. LAN en WAN verkeer hoort daarom ook niet op 1 kabel thuis.

Ik ben van mening dat het netter en onder aan de streep ook veiliger is om te scheiden. Ik ben alleen niet met je eens dat het alleen een administratieve scheiding is. Het hele doel van een VLAN is dat je niet voor ieder netwerk fysieke hardware hoeft aan te schaffen. Vanuit die gedachte lijkt het mij veilig genoeg om te zeggen dat een VLAN even veilig is als een LAN; het deelt het zelfde principe alleen dan virtueel, juist om minder fysiek in huis te hebben.

jadjong schreef op dinsdag 31 augustus 2021 @ 19:05:
Intervlan routing is handig, maar ik heb niet het idee dat de TS tien lokale vlans met intensief dataverkeer tegen elkaar wil laten praten. Voor WAN<>LAN mist het de vitale functies zoals NAT en een bruikbare firewall.

Klopt inderdaad. Ik wil maximaal 3 VLANs, GuestWifi/IoT, LAN en eigen WiFi. Een firewall biedt dan daarbovenop nog de extra functies zoals NAT en IPS etc. Het vervangt overigens de router dus wat dat betreft is enkel L3 switch niet voldoende.

jadjong schreef op dinsdag 31 augustus 2021 @ 19:05:
Zo goed als elke huis tuin en keuken router is tegenwoordig stiekem een 5-poorts switch met wan op vlan1 en lan op vlan2

Dat klopt ook wel, maar dan heb je de poorten wel fysiek gescheiden, ik denk dat To_Tall dat bedoelt.


Thanks voor jullie hulp allemaal. Leuk onderwerp sowieso

[To_Tall]

Je laat via een nuc je wan over dezelfde kabel lopen als voor je lan. Het vuile internet gaat dus over dezelfde fysieke kabel.

Ik gebruik ook vlans en vlans zijn redelijk veilig. Maar je laat verkeer dat nog niet door de firewall heen als over de kabel die ook nog eens achter een firewall zit.

Dat is security wise niet heel handig.
Al je VLAN verkeer moet gerouteerd worden. Dus als jij in VLAN 10 tegen VLAN 20 bestanden heen en weer laat lopen. Zal dat verkeer via je router lopen. Over dezelfde kabel als waar ook nog eens een hoop hackers portscans en andere meuk los proberen te laten.

[spone]

Voor mijn beeld: wat is exact het gevaar dan als het over dezelfde kabel loopt? Door middel van de tagging wordt het door de aangesloten apparatuur als 2 aparte kabels behandeld namelijk en blijft het dus gescheiden.

[_JGC_]

To_Tall schreef op dinsdag 31 augustus 2021 @ 08:04:
[...]

Nee hoor. Je kan gewoon je lan en wan over 1 kabel laten lopen. De vraag is of het slim is. Verkeer gaat dan niet eerst door een firewall heen maar komt binnen op een switch. En potentieel groot risico.

Het is wel leuk om mee te testen intern. Maar zou het niet aan het internet hangen.

Zo'n groot probleem hoeft dat niet te zijn. Bijna elke standaard consumentenrouter is gebouwd met een 5 poorts switch met vlans en een SoC CPU interface waar die weer uitelkaar worden getrokken. De TP Link Archer C7 heeft dan bijvoorbeeld twee CPU interfaces voor LAN en WAN, maar het verkeer gaat nog altijd over een switch ipv rechtstreeks.

Verder, als het KPN glasvezel betreft gooi je toch PPPoE over dat VLAN, het internetverkeer loopt dan alsnog door een tunnel en je LAN zal nooit kunnen lekken naar WAN (wat je bij goedkope switches wel vaak hebt tijdens booten van de switch).