DMZ für WG

JKuehl

Grand Admiral Special
★ Themenstarter ★
Mitglied seit
22.06.2003
Beiträge
7.905
Renomée
145
Standort
Stockholm, Schweden
  • SIMAP Race
  • QMC Race
  • RCN Russia
  • Spinhenge ESL
  • Docking@Home
  • BOINC Pentathlon 2012
  • BOINC Pentathlon 2011
  • BOINC Pentathlon 2014
  • BOINC Pentathlon 2015
Hallo Netzwerkspezialisten!

Für eine WG suche ich folgende Lösung:

Router (NETZ 1)
PC A0 (WLAN)
PC B0 (WLAN)
PC C0 (WLAN)

PC A (Ubuntu 12.04 LTS) greift also über WLAN und Router aufs Internet zu.
Nun gibt es noch PC A1 und PC A2
A0, A1, A2 sind untereinander durch einen Switch per 1GB-Ethernet verbunden (NETZ 3)
A1 und A2 sollen über A0 transparent ins Internet gelangen können (also also ob A1 und A2 direkt am Router hängen würden).

Es soll kein Traffic zwischen PC A1 und A2 <--> PC B0, PC C0 möglich sein.

Spontan fällt mir da eine DMZ und NAT ein:
NETZ1: PC A0, B0, C0
NETZ2: PC A0
NETZ3: PC A0, A1, A2

wer kann mir sagen wie ich das auf A0 - Ubuntu (da auch gerne mit einer VM unter QEMU / KVM oder Virtualbox) einbruchsicher realisiere?
 

SPINA

Grand Admiral Special
Mitglied seit
07.12.2003
Beiträge
18.094
Renomée
977
Ich würde das einfacher angehen und hinter den Router einen Managed Switch mit 802.1Q Unterstützung hängen.
Dann kannst du für jedes der Teilnetze ein statisches VLAN auf dem entsprechenden Port aufspannen und fertig.

Dann sparst du dir den ganzen Aufwand mit den fehleranfälligen Firewallregeln für eine DMZ.
 

JKuehl

Grand Admiral Special
★ Themenstarter ★
Mitglied seit
22.06.2003
Beiträge
7.905
Renomée
145
Standort
Stockholm, Schweden
  • SIMAP Race
  • QMC Race
  • RCN Russia
  • Spinhenge ESL
  • Docking@Home
  • BOINC Pentathlon 2012
  • BOINC Pentathlon 2011
  • BOINC Pentathlon 2014
  • BOINC Pentathlon 2015
Das geht nicht.

Die Strecke Router <--WLAN---> PC A0 ist vorgegeben.

Das muss doch mit einer einfachen VM die eine DMZ realisiert, oder einem VLAN einfach machbar sein....
 

SPINA

Grand Admiral Special
Mitglied seit
07.12.2003
Beiträge
18.094
Renomée
977
Dann setz an die Stelle von PC A0 einen WLAN Access Point, der einen Client Mode beherrscht und häng dahinter das Switch für die VLANs.
 

JKuehl

Grand Admiral Special
★ Themenstarter ★
Mitglied seit
22.06.2003
Beiträge
7.905
Renomée
145
Standort
Stockholm, Schweden
  • SIMAP Race
  • QMC Race
  • RCN Russia
  • Spinhenge ESL
  • Docking@Home
  • BOINC Pentathlon 2012
  • BOINC Pentathlon 2011
  • BOINC Pentathlon 2014
  • BOINC Pentathlon 2015
Und wer zahlt das? ;-)

Wobei, ich hätte noch ne Easybox 80x, mal schauen ob die da was bietet... Das löst aber immer noch nicht das VLAN-Problem; den Switch müsste ich auch erst kaufen.

Sowei ich verstehe braucht man für eine DMZ drei NICS:
1) eine externe (WLAN)
2) eine die zwischen extern und intern vermittelt (eine VM - ich könnte auch eine dritte Karte einbauen) und
3) eine interne (das ist die Gigabit-NIC)
 
Zuletzt bearbeitet:

ghostadmin

Grand Admiral Special
Mitglied seit
11.11.2001
Beiträge
24.817
Renomée
138
Standort
Dahoam Studios
Nimm doch einfach "Passwörter" oder vermutest du potentielle Hacker unter den Mitbewohnern?

Eine DMZ erfordert entweder mehrere NICs oder VLANs.
 

JKuehl

Grand Admiral Special
★ Themenstarter ★
Mitglied seit
22.06.2003
Beiträge
7.905
Renomée
145
Standort
Stockholm, Schweden
  • SIMAP Race
  • QMC Race
  • RCN Russia
  • Spinhenge ESL
  • Docking@Home
  • BOINC Pentathlon 2012
  • BOINC Pentathlon 2011
  • BOINC Pentathlon 2014
  • BOINC Pentathlon 2015
2 NICs sind vorhanden (WLAN und ETH), eine dritte kann man ja per VM bereitstellen oder ich baue dort noch eine PCIe ein.

Die Netzwerkstruktur an sich ist noch etwas komplexer, daher soll es in dieser kleinen Einheit gelöst werden.

Leider hat der Ubuntu Rechner keine Intel - dort gibts nämlich die Möglichkeit direkt in der Karte VLANs einzurichten (bei meinem Sabertooth geht das z.B.)
 
Zuletzt bearbeitet:

JKuehl

Grand Admiral Special
★ Themenstarter ★
Mitglied seit
22.06.2003
Beiträge
7.905
Renomée
145
Standort
Stockholm, Schweden
  • SIMAP Race
  • QMC Race
  • RCN Russia
  • Spinhenge ESL
  • Docking@Home
  • BOINC Pentathlon 2012
  • BOINC Pentathlon 2011
  • BOINC Pentathlon 2014
  • BOINC Pentathlon 2015
Okay.. aber dennoch die Frage: wie erreiche ich mein Ziel am besten ohne zusätzliche Hardware zu kaufen?
 

eR1K1

Vice Admiral Special
Mitglied seit
12.01.2008
Beiträge
797
Renomée
10
Standort
Berlin
  • BOINC Pentathlon 2012
Wie schon gesagt wurde, durch Firewallregeln auf den jeweiligen Clients, das ist die billigste Lösung.
Aber dafür auch die aufwendigste.
Wenn du je Netz ein Gateway hast, dann reicht es wenn du auf den Gateways die ACLs anlegst.
 
Oben Unten