Richtige Verkabelung inkl. DMZ

[Swp2000]

Hallo Leute,

ich betreibe schon seit längerem ein kleines Netzwerk. Nun würde ich mich gerne einmal an die Richtige Verkabelung machen inkl. DMZ.
Momentan sieht es bei mir so aus.

DSL->FritzBox-> (1GB LAN Kabel)Switch SG2216 vom Switch gehts zur DS115,DS215,DS1515, sämtliche Rechner, Kamera, WLAN APs. Die DS115 ist öffentlich im Netz. Um das Ganze sicherer zu gestalten, wie muss ich das Ganze verkabeln um alles ausser DS115 (soll DMZ) zu schützen.
Momentan ist eben noch eine Hardware ala pfsense/Sophos geplant um das Netzwerk zu schützen.

Wie muss ich hier vorgehen?

 

[fdsonne]

Ganz einfach, besorg die Router Hardware und definieren dort ein DMZ Interface mit eigenem IP Subnetz und entsprechende Firewall Regeln. (Möglichst) kein Traffic von DMZ nach intern, möglicherweise Restriktionen von intern nach DMZ und ebenso von DMZ sowie auch intern nach public.

Die NAS Büchse der DMZ kommt dann direkt an das DMZ Interface des Routers, alternativ, wenn da auch mehrere Geräte rein sollen, klemm noch nen Switch zwischen. Oder, wenn du etwas mehr Securityrisiko eingehen kannst, Bau ein zusätzliches VLAN auf deinem Switch und nutze diesen dafür.

Die Fritzbox kommt an das public Interface des Routers und der Router kann/sollte die interne IP der Fritzbox am internal Interface erhalten, sonst musst du alle Geräte umkonfigurieren.
So spielt der neue Router einfach Corerouter bei dir, kennt sowohl DMZ, als auch internes Netz und ermöglicht über den public Port Internet access.

Einziges Problem könnte werden, dass die Fritzbox wohl nach wie vor keine statischen Routen intern kann. Also entweder du betreibst ein Nat am public Interface des neuen Routers auf die IP des public Interfaces, du lässt die Fritzbox als DSL Modem only agieren und der neue Router tätigt die Einwahl selbst (bekommt damit ne public IP am public Interface) oder du besorgst dir ne Alternative, welche statische Routen intern kann als Einwählen für das DSL. Ggf. kann man das der Fritzbox aber auch mit ner Customfirmware beibringen...

Wichtig ist eigentlich nur, dass du selbst keine Lücken in das Konzept baust, also das NAS in der DMZ bleibt auch dort. Kein zusätzliches Bein vom zweiten LAN Port nach intern patchen zum Beispiel! Zugriffe nur über den Router vorn. Sinnvollerweise noch zusätzlich abgesichert über bspw. einen reverse Proxy oder/und andere Techniken. Klicki Bunti würde sich bspw. die Sophos WAF anbieten. Schnell eingerichtet und funktionell. Allerdings eher auf HTTPS Zugriff ausgelegt...

 

[Swp2000]

Hast du sowas wie ein Verkabelungsdiagramm wonach ich mich zum besseren Verständnis richten könnte?

 

[Swp2000]

D.h. die FritzBox und die VoIP kann ich nicht mehr nutzen?