Tweede router isoleren van eerste router

[GianniDPC]

Hallo,

Ik probeer twee routers van elkaar te isoleren, mijn bedoeling is de tweede router te gebruiken om wat legacy apparatuur op aan te sluiten die geen toegang zouden mogen krijgen tot mijn eerste router, dit is de router van mijn ISP waarop enkele toestellen zijn aangesloten.

Ik heb deze twee subnetten aangemaakt.

• Router 1: 192.168.10.0/24
• Router 2: 192.168.11.0/24

Ik stop de Ethernet kabel in een LAN poort in mijn eerste router en verbind deze met de tweede router naar de WAN poort. Alles werkt in de zin dat ik internet verbinding heb en dat ik in het juiste subnet zit maar ik kan indien ik mijn laptop verbind via Router 2 mij toegang verschaffen tot devices die verbonden zijn met Router 1. Dit snap ik niet helemaal, maar ik vermoed dat dit komt omdat mijn WAN IP eigenlijk het ip adres is van Router 1 en dat daarom alle toestellen op Router 2 ook ineens bereikbaar zijn op deze manier?

Ik zit hier misschien domme dingen te verkondigen maar ik ben hier ook niet helemaal in thuis en leer ook graag iets bij

Ik las ook dat gebruik maken van VLANs een optie is? Maar jammer genoeg ondersteund enkel Router 2 dit en niet deze van mijn ISP.

Alvast bedankt.

[ Voor 5% gewijzigd door GianniDPC op 12-04-2025 02:20 ]

[CH4OS]

Ik zou router 2 in AP modus zetten en device isolation op router 1 instellen, als die daarvoor de optie heeft.

[dion_b]

Draai het om:

Internetverbinding in WAN van router met apparaten die beperkte toegang zouden moeten hebben, dan WAN van andere router (waar de 'onbeperkte' spullen draaien) op een van de LAN-poorten van die eerste router aansluiten.

[FredvZ]

De kortste klap is de WAN-poort van beide routers aan te sluiten op een LAN poort van de modem/router van je provider.

[F_J_K]

Dan heb je drie routers.

Wat dion_b zegt ja: de 'onvertrouwde' router het dichtst bij het grote boze internet. Wel even nadenken over of er iets van portmapping nodig is.

Beter zou zijn 1 router en gebruik maken van VLANs. Maar dat is complexer om in te richten en beheren.

[The_Doman]

FredvZ schreef op zaterdag 12 april 2025 @ 09:27:
De kortste klap is de WAN-poort van beide routers aan te sluiten op een LAN poort van de modem/router van je provider.

Inderdaad, de 3 router oplossing.

Google: Three Router Solution to IOT Insecurity

[Ben(V)]

Segmentering gebruiken voor security is net als vlan's niet erg secure.
Als je er vanuit gaat dat een van je iot devices gecompromitteerd kan worden, dan is van daaruit het vrij simpel om een ander segment te bereiken.
Hetzelfde geld voor vlan's, want vlan hopping is niet echt ingewikkeld.

Beide technieken zijn bedoelt voor functionele scheiding en niet voor security.
Wil je een beetje serieus secure zijn dan moet je dat iot segment afschermen met een firewall.

[mash_man02]

Het hangt er allemaal maar vanaf op wat voor apparaat je je gateways zet, als deze policies of nat translaties tussen de glans ondersteund zou je er iets mee kunnen.

Dan zou mijn vraag zijn wil je dat perse doen met de spullen die je hebt of wil je algeheel een stapje omhoog doen met je setup en netwerk kennis.

Met het eerste zit je al snel aan 3 routers en de port translatie van de huis tuin en keuken routers gebruiken als inkomend filter. Dan heb je portmaps / forwards nodig om het segment binnen te komen. De mogelijkheden daarvan zijn bij consumer grade producten echt beperkt, je zult dus als je door ontwikkeld al snel tegen limitaties van de producten aanlopen.

Voor de 2e route is het misschien een idee dat je een kleinen firewall op de kip tikt of installeert.

Kleine firewall's zijn wat dat aangaat best heel leuk en bruikbaar voor home setups. Ik gebruik zelf en fortigate 40f met bundeled UTM licenties, maar vanwege de steep learning curve als daar nog nooit iets mee gedaan hebt, de kosten van eventuele subscriptions en de benodigde kennis om te weten wat je kunt als je iets zonder licentie of scubscription koopt is best een steep learningcurve.

[ Voor 4% gewijzigd door mash_man02 op 12-04-2025 11:13 ]

[ewoutw]

Dit werkt zoals ik zou verwachten dat het werkt en is dit een probleem?
In deze setup moet verkeer van netwerk .11 door het netwerk .10 naar het internet. Maar verkeer van .10 kan niet naar .11 netwerk.

Routers verbinden 2 (of meer) netwerken met elkaar. En op basis van wat ze weten sturen ze het verkeer een kant op.
Router 2 kent zowel .10 als .11 netwerk. En zou dit netjes routeren en alles wat hij niet kent naar zijn gateway (router 1). Daarom is vanuit .11 het .10 netwerk bereikbaar. En dat wil je ook, want je wil router 1 bereiken.

Router 1 kent het netwerk van je ISP en het .10 netwerk. Niet het .11 netwerk. Als hij verkeer krijgt voor een onbekend netwerk stuurt hij het naar zijn gateway dat ergens bij de ISP zit. Oh hij gooit het weg omdat hij geen RFC1918 adressen die kant op mag sturen.

Andere apparaten in het .10 netwerk hebben net als router 1 geen idee dat het .11 netwerk bestaat en zullen nooit verkeer voor .11 netwerk aanbieden bij router 2.

Waarom komt verkeer dan wel terug? Nou als je vanuit netwerk .11 iets in netwerk .10 benaderd denken zij dat het de wan interface van router 2 is waar ze mee praten. NAT doet zijn werk. Maar je ziet niets van het het netwerk achter NAT.

[DiedX]

Als je alleen lokaal er bij moet, fixed ip zonder default gateway?

[GianniDPC]

Het is het niet echt waard om er veel geld in te steken om bv. een derde router aan te schaffen. Ik had hier gewoon nog een oude router liggen waarop ik OpenWRT kon zetten en jammer genoeg is (Router 1) een van Orange die dichtgetimmerd is.

Ik zou dus enkel willen spelen met Router 2 maar als het vanaf Router 2 niet mogelijk is toegang te blokkeren tot het LAN van Router 1 dan ga ik inderdaad niet anders kunnen dan een andere oplossing zoeken. In essentie wil ik gewoon het internet kunnen bereiken met Router 2, meer niet.

[FredvZ]

GianniDPC schreef op zondag 13 april 2025 @ 18:47:
Het is het niet echt waard om er veel geld in te steken om bv. een derde router aan te schaffen. Ik had hier gewoon nog een oude router liggen waarop ik OpenWRT kon zetten

[...]
In essentie wil ik gewoon het internet kunnen bereiken met Router 2, meer niet.

Doordat je OpenWRT gebruikt is dat simpel op te lossen met firewall regels in router 2:

Source 192.168.11.0/24 Destination [LAN IP router 1] ACCEPT
Soucre 192.168.11.0/24 Destination 192.168.10.0/24 DROP

Je devices in 192.168.11.0/24 kunnen dan wél naar het internet en de DNS op router 1 benaderen, maar kunnen niet bij alle andere devices in 192.168.10.0/24

[GianniDPC]

FredvZ schreef op zondag 13 april 2025 @ 19:45:
[...]

Doordat je OpenWRT gebruikt is dat simpel op te lossen met firewall regels in router 2:

Source 192.168.11.0/24 Destination [LAN IP router 1] ACCEPT
Soucre 192.168.11.0/24 Destination 192.168.10.0/24 DROP

Je devices in 192.168.11.0/24 kunnen dan wél naar het internet en de DNS op router 1 benaderen, maar kunnen niet bij alle andere devices in 192.168.10.0/24

Dit werkt inderdaad. Bedankt! Wel belangrijk dat deze rules bovenaan komen te staan in de firewall rules.