2 Getrennte Netzwerke erstellen, aber wie?

[hominidae]

...das *kann* man machen, aber die Verbindung DMZ-Router und Heimnetz-Router ist nochmal ein Subnetz.

Das Setup mit zwei Firewalls ist eigentlich dafür da, wenn Du eine weitere Zone zwischen DMZ und Heimnetz einziehen willst....um zB da die Daten für Externe zu lagern.
Dann ist nur der Webserver in der DMZ und Application-Server und Daten für die Cloud liegen in dieser neuen Zone.
Dann brauchst Du aber noch eine VM und eine Netzwerkkarte bzw. ein VLAN Setup um mit zwei Netzwerkkarten in Deinem Setup auszukommen.

...das macht die Sache ja wieder komplizierter.

 

[RSM72]

@RSM72 das mit dem Fertignas ist doch schon längst passe. Da brauchen wir nicht mehr anfangen zu diskutieren. Erstens habe ich schon Teile wie Gehäuse und NT hier und zweitens möchte ich ja selber bauen und die ganze Geschichte wirklich lernen und mich damit ernsthaft befassen.

Ich erinnere nur an die endlose Kostendiskussion im ersten Thread und hier läuft die Lösung jetzt darauf hinaus dass Du eine Windows Server Lizenz brauchst die ähnlich viel kostet wie die ganze Hardware zusammen.

 

[nosferatu68]

Okay, dann versuche ich mal eine Zeichnung nach deiner Anleitung aus Post 30 zu machen und du korrigierst mich dann.

- - - Updated - - -

Ich erinnere nur an die endlose Kostendiskussion im ersten Thread und hier läuft die Lösung jetzt darauf hinaus dass Du eine Windows Server Lizenz brauchst die ähnlich viel kostet wie die ganze Hardware zusammen.

So soll es dann wohl sein. Was muss das muss, nicht war. Oder besser gesagt; ich will was haben, also muss ich dafür bezahlen

 

[nosferatu68]

Ich glaub, ich habs jetzt begriffen;

 

[AliManali]

Hi. Falls die Daten im LAN wirklich sicher sein sollen, taugt ein Router, wo man einen DMZ Host konfigurieren kann, wenig. In dem Falle wäre ein Router mit dediziertem DMZ Port angesagt. Wollte ich nur angemerkt haben,...

Obwohl, bei mir ists auch nicht sicherer, bei mir ist die FW virtualisiert (allerdings hinter einem Router). Da werden jetzt wohl einige aufschreien,... Aber habe auch nicht so die sensiblen Daten, geht mehr ums Labor. Würde ich aber auch in Betracht ziehen, schon nett, was man mit einer FW so alles machen kann. Ich nutze Endian.

Edit:

habe gerade gesehen, Du warst schneller! Was ist das da für eine Verbindung, zwischen vSwitch1 und 2? Gerade da würde sich eine virtuelle FW anbieten.

 

[nosferatu68]

Richtig, ich glaube das war auch das, was Hominidae mit der virtuellen FW gemeint hat.

Was wäre denn so ein Router mit dediziertem DMZ Port?

 

[AliManali]

Hi

Lies Dir mal folgenden Artikel durch, ist zwar schon etwas älter:

DMZ selbst gebaut | heise Netze

Wegen Router hab ich mal nachgeschaut, das wäre wohl zu teuer. Habe in meinem Bekanntenkreis ein paar Kabeltechniker, die empfehlen immer die Fortinet FortiGate. Die Zyxel Geräte gehen bei hohem Durchsatz gerne mal in die Knie, habe ich dort vernommen.

Was für einen Durchsatz soll das Gerät denn bringen?

Edit:

Habe noch etwas nachgeforscht, und keinen einzigen Router zu einem vernünftigen Preis gefunden. Vielleicht kennt ja einer so ein Gerät? Hatte mich eigentlich auf oben genannten Artikel berufen.

Die Endian UTM Geräte haben das, und vielleicht auch mal im Sophos Thread nachfragen. Oder eben, virtualisieren.

 

[nosferatu68]

Das wäre für mich ja leicht realisierbar, da ich ja noch einen Router "rumliegen" habe.

Nun eine Zeichnung mit 2tem Router. Das hatt tatsächlich den Vorteil, das mein WLAN auch vom DMZ korrekt getrennt ist. Weiß aber nicht ob's stimmt;

 

[AliManali]

Hi

Die DMZ muss vor den zweiten Router. Versuch mal WAN Rot, LAN Grün, DMZ Orange und eventuell eine vierte Zone in Blau zu halten, der Übersicht wegen. Managen kannst Du das ganze übers LAN, oder auch über eine seperate Schnittstelle.

Und versuche, beim Server die vSwitch rechts von den VM links zu trennen. Die Verbindungen zwischen den Switches kannst Du weg lassen, dafür an jedem vSwitch die virtualisierte VM anbinden.

Und nebenbei: brauchst Du mit Deinem DMZ Router Setup überhaupt noch eine Firewall?

So würde das aussehen:

 

[nosferatu68]

Externer Router ist Router 1, sollte eigentlich nach der von dir geposteten Anleitung stimmen. Stimmt eigentlich, die Verbindung zwischen den V Switches und der V Firewall könnte man in dem Fall eigentlich weglassen. Die sind ja schon getrennt. Oder verstehe ich da was falsch? Muss die DMZ komplett vor der Internen Zone sitzen? Ich checks grad nicht?

 

[AliManali]

Hab noch eine Grafik von einem Teil meiner Host Netzwerkkonfiguration angehängt. An RED ist dann noch das WAN

 

[nosferatu68]

Dann versuch ich mir das ganze nochmals zu zeichnen.

Nun ein neuer Versuch;

 

[AliManali]

Hi

Jo, sieht gut aus! Ich habs WLAN vor der Firewall (bei Dir wär das der primäre Router), da ich nicht auf's LAN zugreifen muss über Funk. Macht das LAN ein wenig sicherer.

Edit: schon zum Schluss gekommen, was für ein Host OS, bzw. was für einen Hypervisor Du einsetzen wirst? ESXi find ich ganz cool, und da kannst Du bis auf Mac OSX so ziehmlich alles virtualisieren,... Da könntest Du auch mal mit der virtuellen Firewall rumspielen, einfach 2-3 weitere vSwitches erstellen (geht auch ohne physikalische NIC) und loslegen.

 

[nosferatu68]

Bei mir muss der Zugriff vom WLAN auf das Lan erfolgen, da im WLAN mein Drucker/Scanner mit drin hängt.

Dan können wir ja zu den jeweiligen OS kommen:

1) Hostserver
2) VM1 DLNA Server intern
3) VM2 Mailserver intern
4) VM3 Server für die restlichen Hostdienste
5) VM4 FTP Server extern
6) VM5 Cloud extern

 

[AliManali]

1.) würd ich ESXi oder Xen bzw. KVM nehmen

2.) evtl. kann das Dein 2. Router? Aber bitte vergewissern, das kein DLNA am DMZ (Router WAN) anliegt. Gibt so Geräte, die haben den "Bug". Ich habe DNLA komplett aus, und professionelle FW's haben das auch nicht integriert.

3.) für was brauchst Du einen Mailserver? z.B. Mail enable, hatte ich mal eine zeitlang in Betrieb

4.) Was für Dienste? Ich hatte mal eine Weile Parallels Plesk auf Windows. Da wär ASP, PHP, MSSQL, MYSQL, Tomcat, NS, Mail Enable, FTP, etc. mit dabei. Für eine Domain ist das kostenlos. Für Linux auch erhältlich, allerdings ohne ASP und sowas.

5. und 6.) Ich nutze Free NAS seit neuestem. Habe aber recht Probleme mit der Bandbreite, da ich kein Controller zum durchreichen habe (kommt eh bald ein NAS)

7.) VPN geplant?

 

[hominidae]

Dann versuch ich mir das ganze nochmals zu zeichnen.

Nun ein neuer Versuch;

Anhang anzeigen 251736

So, bin wieder da
Also das sieht jetzt OK aus.
Als Nachtrag, die Verbindung zwischen den V-Switches - dann aber eben nur mit FW - war dazu da um die Daten für Externe weiterhin nur in der internen Zone zu lassen.
Aber das haben wir ja jetzt vereinfacht und die Daten werden von intern in die DMZ "gespiegelt"...also *keine* Verbindung der V-Switches mehr...ist auch sichererererer

- - - Updated - - -

Bei mir muss der Zugriff vom WLAN auf das Lan erfolgen, da im WLAN mein Drucker/Scanner mit drin hängt.

Dan können wir ja zu den jeweiligen OS kommen:

1) Hostserver
2) VM1 DLNA Server intern
3) VM2 Mailserver intern
4) VM3 Server für die restlichen Hostdienste
5) VM4 FTP Server extern
6) VM5 Cloud extern

...Du hast doch ne WHS2011er Lizenz oder?
Kann der nicht Hyper-V?

Dann erstmal für 1-4 den WHS mit Hyper-V..mehr brauchst Du IMHO nicht.
Für 5+6 würde ich mal Owncloud angucken....gibts da nicht schon ne VM fertig? OS wäre dann irgendein Linux drunter.

 

[nosferatu68]

1) HostserverOS meinte ich. Müsste das nicht ein Windoofserver sein wegen HyperV? Ich habe in einem vorhergehenden Post schonmal die vom MB offiziell unterstützten OS gepostet Super Micro Computer, Inc. - Support | OS Compatibility Chart
2) das mit dem DLNA Server auf dem Router lassen wir lieber. Der hat genau den von dir beschriebenen Bug
3) Um Mails zwischen zu speichern und zu Archivieren
4) PHP, Apache, FTP und PS3 Server
5)+6) Habe ich mir schon angeschaut evtl. OpenMediaVault oder Nas4free oder doch was anderes
7) VPN ist nicht geplant

 

[AliManali]

WHS 2011 scheint nach WHS 2011, Hyper-V? keine HyperV Rolle zu haben. Ausserdem unterstützt er anscheinend nur 8 GByte RAM.

Ich würd einfach mal alle genannten Host OS Systeme antesten, und mich dann entscheiden. Soweit ich weiss, ist der grösste Unterschied, dass bei den einen Hypervisoren keine Bedienung der Gastsysteme am Host möglich ist (ESXi), oder im Gegensatz dazu die VMs am Host "in Fenstern" abgebildet werden (XEN ?, HyperV, KVM).

Ich habe nur Erfahrung mit ESXi, und ich habe auch ein Board, welches offiziell nicht unterstützt wird. Kannst ja mal testen, ob bei einer Standardinstallation NICs und Storage korrekt installiert werden. Bin ich fast schon überzeugt davon bei dem Super Micro Board. Sonst die genannten Controller mal bei der HCL abfragen. Von Custom Installationen mit eingebundenen Treibern distanziere ich mich, da ich mit solchen Spielchen mein System instabil gemacht habe. Könnte aber, ziehmlich sicher sogar, an einem Mac Patch gelegen haben.

Die genannten Hypervisoren lassen sich, glaub ich, alle for free testen und eingeschränkt brauchen,...

 

[hominidae]

...soweit ich mich erinnere wollte der TE auch nicht 24/7 sondern mit suspend+WOL arbeiten.
Deshalb würde ich einfach ein Windoof basiertes OS auf dem Host empfehlen....gutes, funktionierendes Powermanagement.
Hyper-V deswegen, weil da auch das Thema V-Switch gut funzt *und* das durchreichen von physikalischen Disks mit der SCSI Emulation gut und einfach geht (wenn man kein vt-d braucht;
in der DMZ wird die Performance schon reichen, wenn es nicht ein synchroner Zugang über Gbit ist

ESXi oder Proxmox-VE (kvm) für 24/7...XEN nur für "schweinereien", wie GPU an VM durchreichen.

BTW...wie sieht das Thema VSwitch bei Virtualbox aus?

 

[AliManali]

Windows Server Standard 2012, inkl. Hyper-V, OEM -D- kostet halt so um die 500 Euro und erlaubt höchstens 2 VM's. Wär für mich ein no-go als Host.

Was bei der Überlegung auch mit einfliessen sollte, wie, mit was, und wohin Backups gemacht werden sollen. Da kanns dann richtig teuer werden (Lizenztechnisch).

Hierzu auch mal http://www.zdnet.de/41555853/servervirtualisierung-so-findet-man-den-optimalen-hypervisor/ lesen.

 

[nosferatu68]

1) Hostsystem Microsoft Windows Server 2008 R2 + StableBit Drivepool + Hypervisor (die Serversoftware gibt es gerade bei Jacob für 220€ als OEM Version)
2) VM1 WHS 2011 (Das habe ich schon rumliegen)
3) VM2 Ubuntu + Owncloud + Filezilla

Das kommt dan wohl hin oder

Backups habe ich auf eSata Platten geplant. Dies soll nicht automatisch sondern manuell von mir durchgeführt werden

 

[AliManali]

Ich würds erst mal testen:

http://www.microsoft.com/de-ch/server/DemoDownloads.aspx

 

[hominidae]

Ja, ich kenne mich den Winzigweich Produkten nicht soooo aus.
Was kann denn die Demo-Version?...wäre der Hyper-V Server nicht der Richtige...und was kostet dann das aktivieren "nach der Demo" ?
siehe: Mit dem kostenlosen Microsoft Hyper-V Server 2008 R2 virtualisieren - Installation, Einrichtung, Praxis | TecChannel.de

Ich habe mein altes Serverboard zur Workstation umgewidmet (war auch ein whitelist HCL für ESXi von SM)
und da mit Win8-Pro und Hyper-V meinen Backup-Server virtualsiert...läuft dafür astrein.
Aber ich brauche auch keine Nutzer-Verwaltung, DC/AD und son Kram.
Das die Anzahl der VMs beschränkt ist, bei manchen Lizenzen ist krass...

 

[AliManali]

Das die Anzahl der VMs beschränkt ist, bei manchen Lizenzen ist krass...

Vor allem, für den HyperV Server ganze 2 VM's,...

Dafür sind dann aber z.T. die Gastlizenzen dabei, das ist hingegen nett!

 

[nosferatu68]

Hyper-V wäre schon der richtige. Muss dann nur noch das System auf VM2 ändern, da HyperV mit Linux-Derivaten nicht so gut kann. Warte aber dann bis 18 Oktober bis es die 2012 R2 gibt

 

[hominidae]

Vor allem, für den HyperV Server ganze 2 VM's,...

Jo, aber unterstützt Cluster, Live-Migration und 1TB RAM oder was?... ...muss man wohl auf nested virtualisation gehen um das potential der Hardware auszunutzen

- - - Updated - - -

Muss dann nur noch das System auf VM2 ändern, da HyperV mit Linux-Derivaten nicht so gut kann.

??? ...sagt wer?...Ein CentOS6.4 dürfte keinen Unterschied zum offiziellen RHEL6.4 machen...aber auch ein Ubuntu-Server oder Debian Wheezy liess sich bei mir einwandfrei installieren und läuft ohne Probleme.

 

[nosferatu68]

Echt, habe ich in diesem Link Servervirtualisierung: So findet man den optimalen Hypervisor gelesen

 

[hominidae]

...naja, die Zeit schreitet voran.
Alle Linux-Distros mit nem aktuellen PVOPS Kernel sollten unter nem Hypervisor laufen und evtl schon die Treiber für Hypervisor (netz, storage, memory, ...) dabeihaben.
Selbst bei den RHEL, die noch auf 2.6er Kernel sind, sind Backports drin, sonst würde genau die Distro ja nicht gelistet.

 

[nosferatu68]

Okay, das heißt soviel wie das da wohl keine Probleme auftreten werden.
Dann also folgendes;
1) Microsoft Windows HyperV Server 2012 R2
2) VM1 WHS 2011 (Das habe ich schon rumliegen) + StableBit Drivepool
3) VM2 Ubuntu 12.04 + Owncloud + Filezilla

Dateien werden zur externen Freigabe in den DMZ-Bereich gespiegelt und über Filezilla an externe User freigegeben. Mit Owncloud werden für externe User Ordner mit Kontingentbegrenzung angelegt. Kommt das so hin?

 

[hominidae]

...das mit dem Filezilla erschliesst sich mir noch nicht.
Ich dachte eigentlich, dass Du den benutzt um die Daten von intern in die DMZ-VM zu "spiegeln" ...also sie via FTP zu puschen
Sind denn die Owncloud Nutzer und die Filezilla Nutzer nicht die gleichen?..Owncloud sollte doch reichen oder brauchst Du FTP-Server nach extern?