Firewall fürs Heimnetz/HomeLAB (Proxmox, Unifi)

[HydraMc]

Abend zusammen,
vielleicht kann mir jemand Verbesserungsvorschläge mitgeben der schon etwas fitter in dem Thema ist,

Kurze Randnotizen, all mein Netzwerkequipment ist von Unifi (UDM-Pro, USW-Pro-Max-16, U6-IW) und alle Server werden via Proxmox gehostet.

Netzwerke für:

- Privat
- Guest
- IoT
-(Sonos) mir ist bewusst, dass es dort Probleme gegen könnte.

Server:
- Game Server (bis jetzt Minecraft)
- TrueNAS
- Nesxtcloud
- AdGuard
- LAN-Cache

- HomeAssistant (IoT VLAN)

Ich versuche einmal alle Zusammenhänge so gut es geht zu erklären.
TrueNAS stellt SMB Shares an alle Windows PCs & Nextcloud bereit. TrueNAS stellt NFS Shares an Proxmox (Backup) & LAN-Cache (Datenspeicherung) bereit.
Nextcloud dient dem Datenaustausch, wenn ich nicht im Netzwerk bin. (via Wireguard welche die UDM-Pro hostet)
DNS Anfragen laufen. Privat/Guest -> LAN-Cache -> AdGuard -> Internet
IoT ist via Privat zu steuern. Nicht via Guest.
MAC Adresse Zugang von diesem PC auf alle Management GUIs (Proxmox, IPMI, Nextcloud, TrueNAS, Unifi, AdGuard)

Ich freue mich über jegliches Feedback und Kritik und hoffe, dass ich hier einiges lernen kann.

 

[Hexcode]

Mir entgeht gerade die genaue Fragestellung?
Wenn du dir Gedanken gemacht hast wer was wo wie miteinander sprechen kann ist doch super.
Suchst du jetzt eine Lösung wie du das umsetzen kannst oder was genau jetzt?

 

[HydraMc]

Als Erstes stelle ich mir die Frage, ob das nach best Practices so am sichersten ist.
- wäre super, wenn mir jemand mir mehr Ahnung ein paar best Practices auflisten könnte!
Des Weiteren Frage ich mich ob ich nicht die Server TrueNAS, Nextcloud, LAN Cache in Privat legen könnte, um so den Router zu entlasten und da ja meine GUIs isoliert sind, seh ich dort kein Risiko. Übersehen ich etwas?

 

[Hexcode]

Also erstmal sind Filter auf MAC-Adresse für die Katz und im Grunde keine Sicherheit - da gibt es bessere Optionen z.B. nen zweiten Faktor bevor man in das Netz kommt oder dergleichen z.B. Smartcard-Auth bevor man weiterkommt. MAC kann jederzeit gefälscht werden.

Stichwort OAM (GUI) und APP (SMB und co) Trennung macht Sinn, aber man muss sich immer bewusst sein dass man auch das SMB-Protokoll und andere Protokolle angreifen kann. Also haut man sich im Grunde dann doch wieder eine Angriffsfläche ins Netz, verringert aber natürlich die Oberfläche etwas, weil GUI/SSH/Management-Kram eben dediziert woanders hängt.

 

[HydraMc]

Verstehe. Haben sie Verbesserungsvorschläge bzw. wie würden sie an so ein Netzwerk herangehen?

 

[mbc]

Ich habe pfsense als VM in proxmox .
Zwei Interfaces
- ein sfp+ Port an dem die Glasfaser ankommt
- ein 2.5 Gbit Port von dem die fw zu meinem Netzwerk/switch ab geht.

Von dem Switch geht dann wiederum eine Verbindung an den Proxmox Host.

Ob das gut ist, kann ich nicht beurteilen. Läuft halt.

 

[xST4R]

pf/opn sense als vm ist mega schlecht und sollte man nicht tun - das wird überall geschrieben und davon abgeraten ...

auch in pf/opn sense foren ...

 

[p4n0]

pf/opn sense als vm ist mega schlecht und sollte man nicht tun - das wird überall geschrieben und davon abgeraten ...

auch in pf/opn sense foren ...

Gibts dafuer gruende?

 

[mbc]

Die Familie schimpft jedesmal wenn du am Server schraubst.

In der pfsense Doku ist es ganz verständlich erklärt wie man es mit proxmox virtualisiert.

Sicherheitsbedenken kann ich nicht wirklich nachvollziehen.

 

[xST4R]

Gibts dafuer gruende?

sicherheits things - es ist einfach nicht sicher , auserdem wie mbc schon schreibt, bastelst du am server geht einfach plötzlich nichts mehr.

ich würde sowas nicht virtualisieren

vorallem kostet hardware heutzutage nicht mehr die welt, wo ist das problem ein extra gerät für pf/opnsense anzuschaffen

es reicht ja schon sowas :

 

[Shihatsu]

Und was ist daran nicht sicher? Abseits der Verfügbarkeitsgeschichte kenne ich keinen Grund der dagegenspricht.

 

[xST4R]

Und was ist daran nicht sicher? Abseits der Verfügbarkeitsgeschichte kenne ich keinen Grund der dagegenspricht.

 

[Shihatsu]

Öhm ja, ich wiederhole meine Frage: Was hat das - abseits der Verfügbarkeit - mit Sicherheit zu tun?
Hint: Wenn dein Hypervisor befallen ist hast du eh verkackt. Und da wir in diesem Szenario immer davon reden das es ein Proxmox gibt wird die Sicherheit nicht weniger wenn man opnsense virtualisiert. Wenn jemand es schafft aus KVM rauszukommen und in eine sense hinein ist eh Hopfen und Malz verloren - der kommt dann auch in einer nicht virtualisierte sense...

 

[Zeitmangel]

Geht so. Mir ist das auch zu viel Balanceakt mit der Verfügbarkeit und vor allem Redundanz. Ist aber eher eine Frage der Philosophie... Zeug was sich direkt um den Weg nach draußen kümmert läuft als alleiniger Herrscher auf der eigenen HW und diese gibt es tatsächlich auch immer doppelt und Plug&Play konfiguriert.

Kann man aber natürlich auch mit der VM-Kiste machen. Ist nur bisschen mehr Aufwand das Ersatzexemplar up to date zu halten

Wenn jemand es schafft aus KVM rauszukommen und in eine sense hinein ist eh Hopfen und Malz verloren - der kommt dann auch in einer nicht virtualisierte sense...

Hmm...

PS:
Früher hab ich dank Kleinanzeigen auch immer 2 komplette und gleiche Fritten fertig gehabt, falls was sein sollte. Und tatsächlich schon 1x im Leben gebraucht. HW defekt, 15min. später war alles wieder online.

 

[magicteddy]

Öhm ja, ich wiederhole meine Frage: Was hat das - abseits der Verfügbarkeit - mit Sicherheit zu tun?

Du hast an der Grenze zum "bösen" Internet mit den wahscheinlich vorhandenen Schwachstellen im Hypervisor und in der Firewall zu kämpfen, also höhere Wahrscheinlichkeit für einen erfolgreichen Angriff. Wie relevant das für den OP ist muss er selber entscheiden. Ich baue an dieser Stelle auf eigene Hardware.

-teddy

 

[p4n0]

Man kann sich ‚Probleme‘ auch kuenstlich konstruieren. Ich sehe im Homelab ueberhaupt kein Problem darin ne FW zu virtualisieren. Mit ner passthrough NIC hast du quasi nix mit dem Host zu tun. Hinreichend sicher und effizient. Man muss auch mal die Kirche im Dorf lassen. Nicht jeder kann und will sich 20 Geraete hinstellen

 

[Zeitmangel]

Wobei eine Minikiste für Router/FW und den Rest wie sonst, ist jetzt nicht gleich direkt ein Thema von "20" Geräten Oder einer allgemeinen Abneigung (what ever?) gegenüber der Virtualisierung. Wenn man schon selbst das Thema Kirche im Dorf ansprichst.

Wobei pöses Web für mich auch kein Grund wäre. Eher Überlegungen über Verfügabrkeit und Redundanz. Das Ding stellt den Zugang zum Netz her. Wenn man das Glück hat nicht alleine zu leben weiß man, daß es mittlerweile kein größeres Gut daheim gibt als das Ich krieg da sonst Albträume über abgerauchte Hosts um 19Uhr am Samstag...

 

[FieserOstfriese]

meine Pfsense ist seit 2 Jahren ohne irgendwelche Probleme Virtualisiert und dümpelt vor sich hin. So viel Leistung benötigt sie nicht sodass man das gerät für mehre andere wichtige Dienste nutzen kann.

 

[Zeitmangel]

@FieserOstfriese
Bisher noch keiner gemeint, daß es nicht laufen kann

 

[Shihatsu]

Du hast an der Grenze zum "bösen" Internet mit den wahscheinlich vorhandenen Schwachstellen im Hypervisor und in der Firewall zu kämpfen, also höhere Wahrscheinlichkeit für einen erfolgreichen Angriff. Wie relevant das für den OP ist muss er selber entscheiden. Ich baue an dieser Stelle auf eigene Hardware.

-teddy

Damit der Hypervisor betroffen ist, muss das KVM jail gebrochen werden, aus einem BSD heraus, durch iommu isolation und hardware abstraction. Wer das schafft schafft auch ganz andere Dinge.
Ja, die angreifbare Fläche ist minimal erhöht, nur: Ich sehe keinen Vektor!