Firewall fürs Heimnetz/HomeLAB (Proxmox, Unifi)

[HydraMc]

Abend zusammen,
vielleicht kann mir jemand Verbesserungsvorschläge mitgeben der schon etwas fitter in dem Thema ist,

Kurze Randnotizen, all mein Netzwerkequipment ist von Unifi (UDM-Pro, USW-Pro-Max-16, U6-IW) und alle Server werden via Proxmox gehostet.

Netzwerke für:

- Privat
- Guest
- IoT
-(Sonos) mir ist bewusst, dass es dort Probleme gegen könnte.

Server:
- Game Server (bis jetzt Minecraft)
- TrueNAS
- Nesxtcloud
- AdGuard
- LAN-Cache

- HomeAssistant (IoT VLAN)

Ich versuche einmal alle Zusammenhänge so gut es geht zu erklären.
TrueNAS stellt SMB Shares an alle Windows PCs & Nextcloud bereit. TrueNAS stellt NFS Shares an Proxmox (Backup) & LAN-Cache (Datenspeicherung) bereit.
Nextcloud dient dem Datenaustausch, wenn ich nicht im Netzwerk bin. (via Wireguard welche die UDM-Pro hostet)
DNS Anfragen laufen. Privat/Guest -> LAN-Cache -> AdGuard -> Internet
IoT ist via Privat zu steuern. Nicht via Guest.
MAC Adresse Zugang von diesem PC auf alle Management GUIs (Proxmox, IPMI, Nextcloud, TrueNAS, Unifi, AdGuard)

Ich freue mich über jegliches Feedback und Kritik und hoffe, dass ich hier einiges lernen kann.

 

[Hexcode]

Mir entgeht gerade die genaue Fragestellung?
Wenn du dir Gedanken gemacht hast wer was wo wie miteinander sprechen kann ist doch super.
Suchst du jetzt eine Lösung wie du das umsetzen kannst oder was genau jetzt?

 

[HydraMc]

Als Erstes stelle ich mir die Frage, ob das nach best Practices so am sichersten ist.
- wäre super, wenn mir jemand mir mehr Ahnung ein paar best Practices auflisten könnte!
Des Weiteren Frage ich mich ob ich nicht die Server TrueNAS, Nextcloud, LAN Cache in Privat legen könnte, um so den Router zu entlasten und da ja meine GUIs isoliert sind, seh ich dort kein Risiko. Übersehen ich etwas?

 

[Hexcode]

Also erstmal sind Filter auf MAC-Adresse für die Katz und im Grunde keine Sicherheit - da gibt es bessere Optionen z.B. nen zweiten Faktor bevor man in das Netz kommt oder dergleichen z.B. Smartcard-Auth bevor man weiterkommt. MAC kann jederzeit gefälscht werden.

Stichwort OAM (GUI) und APP (SMB und co) Trennung macht Sinn, aber man muss sich immer bewusst sein dass man auch das SMB-Protokoll und andere Protokolle angreifen kann. Also haut man sich im Grunde dann doch wieder eine Angriffsfläche ins Netz, verringert aber natürlich die Oberfläche etwas, weil GUI/SSH/Management-Kram eben dediziert woanders hängt.