{"id":124,"date":"2008-02-23T12:50:56","date_gmt":"2008-02-23T11:50:56","guid":{"rendered":"http:\/\/www.heiniger-net.ch\/archives\/124"},"modified":"2008-02-23T12:50:56","modified_gmt":"2008-02-23T11:50:56","slug":"heimnetzwerk","status":"publish","type":"post","link":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/archives\/124\/heimnetzwerk\/","title":{"rendered":"Heimnetzwerk"},"content":{"rendered":"<p>In diesem Beitrag dokumentiere ich noch einmal ausf\u00fchrlich mein Heimnetzwerk (<a href=\"http:\/\/www.heiniger-net.ch\/archives\/91\">hier der erste Beitrag zu diesem Thema<\/a>) und stelle ein paar \u00dcberlegungen dar\u00fcber an, ob dieses so geeignet ist, oder ob es noch bessere Varianten gibt. Der interessierte Computerheimwerker sollte daher weiterlesen. Ich w\u00fcrde mich sehr freuen, Kommentare dazu zu lesen.<\/p>\n<p><!--more--><br \/>\nGrundkomponenten meines Heimnetzwerkes sind:<\/p>\n<ul>\n<li>B\u00fcro-LAN mit an Switch angeschlossenem PC, Server und Drucker. Zus\u00e4tzliche Ger\u00e4te anschliessbar nach Bedarf, etwa ein Surf-PC f\u00fcr G\u00e4ste oder ein Firmenlaptop. Der Server l\u00e4uft unter Debian\/Adamantix und bietet alle m\u00f6glichen und n\u00fctzlichen Linux-Dienste nach Bedarf, insbesondere DHCP, DNS, Firewall, NAT, Samba, SSH.<img decoding=\"async\" src=\"http:\/\/heiniger-net.blog-net.ch\/files\/2008\/02\/netzwerk-buro-lan.png\" alt=\"B\u00fcro-LAN\" align=\"texttop\" \/><\/li>\n<li>WLAN mittels der beiden Basisstationen AVM Fritz! Box und D-Link-WLAN-Bridge. Sie bilden eine Br\u00fccke zum Anschluss des kabelgebundenen MP3-Spielers im Schlafzimmer. Das WLAN wird selbstverst\u00e4ndlich WPA2-verschl\u00fcsselt betrieben. Zus\u00e4tzliche Ger\u00e4te wie etwa der Firmenlaptop k\u00f6nnen sich jederzeit von jedem Ort der Wohnung her einklinken.<img decoding=\"async\" src=\"http:\/\/heiniger-net.blog-net.ch\/files\/2008\/02\/netzwerk-wlan.png\" alt=\"WLAN\" align=\"texttop\" \/><\/li>\n<li>Die Fritz! Box betreibt zus\u00e4tzlich einen VoIP Knoten mit zwei angeschlossenen Telefonapparaten. Dies erfordert freien Zugang zum Internet mittels SIP, sowie idealerweise bevorzugtes Routing der VoIP-Daten. Die Fritz! Box selber beherrscht entsprechendes Traffic Shaping.<img decoding=\"async\" src=\"http:\/\/heiniger-net.blog-net.ch\/files\/2008\/02\/netzwerk-voip.png\" alt=\"VoIP\" align=\"texttop\" \/><\/li>\n<li>Anschluss ans Internet mittels Cablecom-Modem, also durchs TV-Kabelnetz.<\/li>\n<\/ul>\n<p>Folgende Bed\u00fcrfnisse m\u00f6chte ich gerne durch gelungene Verbindung dieser Teile erf\u00fcllen:<\/p>\n<ol>\n<li>Der MP3-Player ben\u00f6tigt Zugriff auf die auf dem Server gespeicherte Musik, sowie auf Radiostationen im Internet. Das erfordert freien Zugang aufs Internet inklusive funktionierendem DNS, sowie Kommunikation mit dem Server mittels SMB bzw. Samba.<\/li>\n<li>Alle Teile sollen vom B\u00fcro-LAN (PC) aus wartbar sein. Die Konfigurationsseiten der Fritz-Box, beispielsweise, sind nur aus dem (aus der Sicht der Fritz-Box) internen LAN (LAN B) oder dem WLAN her erreichbar.<\/li>\n<li>Der Server soll mittels SSH und\/oder FTP aus dem Internet erreichbar sein f\u00fcr mich selber, aber auch f\u00fcr meine Freunde.<\/li>\n<li>Traffic Shaping \u00fcber alle relevanten Knoten soll gew\u00e4hrleisten, dass\n<ul>\n<li>VoIP-Telefonie ungest\u00f6rt arbeitet<\/li>\n<li>Verkehr, der von aussen angestossen wird (von meinen Freunden, etwa SFTP) den eigenen Verkehr, den ich selber ausl\u00f6se von innen (HTTP, FTP, sonstige Downloads), nicht ausbremst.<\/li>\n<\/ul>\n<\/li>\n<li>Die Sicherheit der restlichen Infrastruktur soll so hoch wie m\u00f6glich sein.\n<ul>\n<li>Es w\u00e4re vorteilhaft, wenn das WLAN in einer besonderen Sicherheitszone w\u00e4re (weil der WLAN-Sicherheit generell nur bedingt zu trauen ist).<\/li>\n<li>Eine DMZ w\u00e4re ebenfalls von Vorteil. Diese kann m\u00f6glicherweise mit der WLAN-Zone zusammenfallen.<\/li>\n<\/ul>\n<\/li>\n<\/ol>\n<p>Es stellt sich nun die Frage, wie genau diese Teile miteinander verschaltet werden sollen. Die einfachste L\u00f6sung ist im folgenden Bild dargestellt. Und das ist auch die, die ich als erstes in Betrieb genommen habe:<\/p>\n<p><img decoding=\"async\" src=\"http:\/\/heiniger-net.blog-net.ch\/files\/2008\/02\/netzwerk-imbisbuehl-1.png\" alt=\"Version 1\" \/><\/p>\n<p>Die Fritz-Box dient als Haupt-Firewall, VoIP und WLAN-Gateway, sowie Router ins B\u00fcro-LAN. Der Server dient nur als Server im internen LAN. Seine Firewall-Funktionalit\u00e4t wird nicht benutzt, da seine zweite Ethernet-Schnittstelle ungenutzt bleibt. Grunds\u00e4tzlich wird an der Fritz-Box jegliche Kontaktaufnahme von aussen gesperrt, ausser SSH und FTP, die mittels Port Forwarding an den Server weitergeleitet werden. Dies ist auch gleichzeitig die einzige Schwachstelle an dem Ganzen: Falls ein Passwort kompromittiert wird und jemand auf den Server kommt, hat er von da aus Zugriff auf den ganzen Rest meines Netzwerks. Diese Problematik gilt allerdings bei genauerer Betrachtung f\u00fcr alle Szenarien, auch f\u00fcr die weiter unten folgenden.<\/p>\n<p>Verglichen mit der obigen Wunschliste weist diese Konfiguration folgende Probleme auf:<\/p>\n<ul>\n<li>Traffic-Shaping: Nur VoIP-Verkehr wird bevorzugt behandelt. Die Fritz-Box k\u00fcmmert sich darum (aber nur darum). FTP-Uploads k\u00f6nnen normales Browsen ausbremsen.<\/li>\n<li>Es gibt keine DMZ und keine WLAN-Zone.<\/li>\n<\/ul>\n<p>Ich \u00fcberlege jetzt, ob die Firewall-Funktionalit\u00e4t des Servers nicht doch auch noch sinnvoll in Betrieb genommen werden kann. Das k\u00f6nnte dann ungef\u00e4hr so aussehen:<\/p>\n<p><img decoding=\"async\" src=\"http:\/\/heiniger-net.blog-net.ch\/files\/2008\/02\/netzwerk-imbisbuehl-2.png\" alt=\"Version 2\" \/><\/p>\n<p>Das B\u00fcro-LAN ist hier also nicht mehr direkt mit der Fritz-Box verbunden, sondern der Server dient als Router dazwischen. Dadurch kann er als Firewall sowie als Traffic Shaper den Verkehr nach innen steuern. Somit wird das gesamte WLAN und das angeschlossene Schlafzimmer-LAN zur DMZ. Das ist sicherlich eine Erh\u00f6hung der Sicherheit des B\u00fcro-LANs. Allerdings erf\u00fcllt das die Forderungen nur teilweise:<\/p>\n<ul>\n<li>Traffic Shaping auf dem Server kann zwar die Bandbreite des von aussen ausgel\u00f6sten Verkehrs beschr\u00e4nken. Allerdings ist es schwierig, dabei zwischen Verkehr aus dem Internet und Verkehr vom MP3-Player zu unterscheiden. Es besteht somit die Gefahr, dass der MP3-Player eingeschr\u00e4nkt wird. Die Zugriffsgeschwindigkeit des via WLAN angeschlossenen Firmenlaptops auf die Dateien auf dem Server w\u00fcrde dabei m\u00f6glicherweise ebenfalls auf DSL-Geschwindigkeit reduziert.<\/li>\n<li>Es m\u00fcssen zwei getrennte Firewalls unterhalten werden. Dabei darf der Server den SMB bzw. Samba-Verkehr von und zum MP3-Player nicht unterbinden.<\/li>\n<\/ul>\n<p>Oder als dritte Variante:<\/p>\n<p><img decoding=\"async\" src=\"http:\/\/heiniger-net.blog-net.ch\/files\/2008\/02\/netzwerk-imbisbuehl-3.png\" alt=\"Version 3\" \/><\/p>\n<p>Hier dient der Server als Haupt-Firewall, anstelle der Fritz-Box. Jene dient stattdessen nur noch als WLAN-AP sowie als VoIP-Knoten. Dies hat folgende Vor- und Nachteile:<\/p>\n<ol>\n<li>+ Es ist nur noch eine Firewall zu unterhalten und diese Firewall bietet viel feinere Einstellungsm\u00f6glichkeiten als das simple Port-Forwarding der Fritz-Box.<\/li>\n<li>&#8211; Daf\u00fcr ist auch das Risiko gr\u00f6sser, bei fehlerhaften Firewall-Einstellungen T\u00fcr und Tor zu \u00f6ffnen.<\/li>\n<li>+ Das Traffic-Shaping l\u00e4sst sich mit Hilfe der \u00fcblichen Linux-Hilfsmittel viel feiner und vielf\u00e4ltiger einstellen als das VoIP-Traffic-Shaping der Fritz-Box.<\/li>\n<li>&#8211; Die Fritz-Box l\u00e4sst sich nur noch aus dem WLAN bzw. aus dem Schlafzimmer konfigurieren, weil Zugriff auf die Konfigurationsseiten \u00fcber das aus Sicht der Fritz-Box nun externe B\u00fcro-LAN gesperrt sind.<\/li>\n<li>&#8211; WLAN und Schlafzimmer-LAN bilden jetzt ebenfalls ein eigenes Netzwerksegment. Allerdings ist der Zugriff vom B\u00fcro-LAN zum WLAN gesperrt und nicht umgekehrt. Der Sicherheitsaspekt l\u00e4uft also genau in der anderen Richtung als eigentlich gew\u00fcnscht.<\/li>\n<li>&#8211; Damit ich telefonieren kann, m\u00fcssen jetzt noch mehr Ger\u00e4te eingeschaltet sein und funktionieren, als in den anderen Szenarien. Bisher musste Cablecom-Modem und Fritz-Box laufen, um die Telefonfunktion zu gew\u00e4hrleisten. Jetzt m\u00fcssen zus\u00e4tzlich der Server sowie der Switch aktiv sein.<\/li>\n<\/ol>\n<p>Genau genommen war diese dritte Variante meine allererste.  Wegen der obigen Punkte 4 und 6 ging ich allerdings rasch zur aktuellen und nun als Variante 1 bezeichneten Kombination \u00fcber.<\/p>\n<p>Nach all diesen \u00c3\u0153berlegungen bin ich noch unschl\u00fcssig, ob und wie ich etwas \u00e4ndern soll und belasse daher erst mal alles so, wie es grade ist, sondern bitte um Kommentare.<\/p>\n","protected":false},"excerpt":{"rendered":"<p>In diesem Beitrag dokumentiere ich noch einmal ausf\u00fchrlich mein Heimnetzwerk (hier der erste Beitrag zu diesem Thema) und stelle ein paar \u00dcberlegungen dar\u00fcber an, ob dieses so geeignet ist, oder ob es noch bessere Varianten gibt. Der interessierte Computerheimwerker sollte <span class=\"excerpt-dots\">&hellip;<\/span> <a class=\"more-link\" href=\"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/archives\/124\/heimnetzwerk\/\"><span class=\"more-msg\">Lire la suite &rarr;<\/span><\/a><\/p>\n","protected":false},"author":2,"featured_media":0,"comment_status":"open","ping_status":"open","sticky":false,"template":"","format":"standard","meta":{"footnotes":""},"categories":[11],"tags":[32,37,38,39],"class_list":["post-124","post","type-post","status-publish","format-standard","hentry","category-computer","tag-avm-fritz","tag-lan","tag-network","tag-wlan"],"_links":{"self":[{"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/posts\/124","targetHints":{"allow":["GET"]}}],"collection":[{"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/posts"}],"about":[{"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/types\/post"}],"author":[{"embeddable":true,"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/users\/2"}],"replies":[{"embeddable":true,"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/comments?post=124"}],"version-history":[{"count":0,"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/posts\/124\/revisions"}],"wp:attachment":[{"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/media?parent=124"}],"wp:term":[{"taxonomy":"category","embeddable":true,"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/categories?post=124"},{"taxonomy":"post_tag","embeddable":true,"href":"https:\/\/heiniger-net-archive.blog-net.ch\/fr\/wp-json\/wp\/v2\/tags?post=124"}],"curies":[{"name":"wp","href":"https:\/\/api.w.org\/{rel}","templated":true}]}}