Synology RT2600ac Routing zwischen Netzwerken

[alex_at]

Hallo,

Ich habe einen Synology RT2600ax Router mit mehreren Netzwerken.

Netzwerk A - "Hauptnetz" - mein Server, mein Macbook, mein iPhone
Netzwerk B - "Haushalt" - Macbook der Frau, iPhone der Frau, Tablets, alles was nicht in Netzwerk A soll aber auch nicht Smart Home ist.
Netzwerk C - "Smarthome" - alles Smarthome, dass nichts mit den anderen Netzen kommunizieren soll


Jetzt habe ich einen Canon Multifunktionsdrucker in Netzwerk B, der beim Scannen auf den Server in Netzwerk A speichern können sollen darf.

Canon - 192.168.3.2 in Netzwerk B
Server - Samba Server auf OpenSuse 192.168.1.2 in Netzwerk A


Netzwerk A und B sind im Synology eingestellt als nicht isolierte Netzwerke.
Im Samba Server ist eingestellt: hosts_allow: ip meines Macbooks (192.168.1.3) , ip meines iphones (192.168.1.4) , ip des Canon MF Druckers (192.168.3.2)
Im Synology ist eingestellt:
a.) Alle Kommunikation von Netzwerk B zu Netzwerk A DENY
b.) Alle Kommunikation von Netzwerk C zu Netzwerk A DENY
c)Kommunikation von Netzwerk B ip Adresse 192.168.3.2 zu Netzwerk A 192.168.1.2 ALLOW

Ich habe mein Macbook temporär automatisch die IP vom Drucker in Netzwerk B per DHCP eingestellt um die Konstellation zu testen. Ich kann den Server anpingen, aber mich nicht verbinden.
Schalte ich Regel a.) aus und c.) an - pingen ja, verbinden nein
Schalte ich Regel a.) an und c.) an - pingen ja, verbinden nein
Schalte ich Regel a.) an und c.) aus - pingen ja, verbinden nein


Ich müsste doch, wenn Regel a.) aus und c.) an ist - mich mit dem Server verbinden können. Netzwerk Isolation ist aus, 192.168.3.2 in der smb_conf unter hosts_allow eingetragen.

Wo liegt der Fehler? Wo stehe ich am Schlauch?

Ich will als Ziel alle Kommunikation des Druckers von Netzwerk B and A erlauben, aber den Rest aus Netzwerk B nicht die Kommunikation an Netzwerk A erlauben. Netzwerk A ist sozusagen mein sicherer Kern, wo nur wenige Geräte zugriff haben und auch nur Netzwerk A (mit Ausnahme des MF Druckers) soll Zugriff auf den Server bekommen.

 

[Zyxx]

"Alle Kommunikation von Netzwerk B zu Netzwerk B DENY" ist wohl ein Vertipper, was hast du dort genau stehen?
Teste einmal was passiert wenn du deine Regel a) (deny B zu A) rausnimmst, je nach Intelligenz der Weboberfläche könnte das sonst kollidieren.

Alternativ hast du die Möglichkeit die iptables direkt ausgeben zu lassen, die das Webinterface daraus baut?

Und der Synology Router ist der einzige Router im Netzwerk? Oder existiert ein zweiter der dann als Gateway genutzt wird und die Route zu besagtem Netz nicht kennen würde?

 

[alex_at]

Ja ist wirklich ein vertipper, ich korrigiere oben

Iptables muss ich schauen ob das geht

Synology ist der einzige Router

Beitrag automatisch zusammengeführt: Dienstag um 19:40

Regel B zu A raus muss ich testen würde ich aber ungern dauerhaft rausnehmen

 

[kaiser]

Die Regel mit dem Allow muss vermutlich an oberste Stelle. Die Regeln werden ja von oben nach unten abgearbeitet. Wenn du etwas verbietest und dann wieder erlaubst, ist es immernoch verboten, weil Regel 1 wichrtiger als Regel 3 ist

 

[alex_at]

ouh, das ist ein wichtiger Hinweis, danke! Das wusste ich nicht, ich dachte die Regeln stehen nicht in Rangfolge!