Netzwerk, aber bitte richtig

[sevEnil]

Hallo zusammen,

Ich bin gelehrter Informatiker aber habe leider mit Netzwerken nicht viel am Hut. Ich bin da eher auf der Programmierer & Hardware schiene. Würde mich als zwar als unwissend bezeichnen jedoch nicht als Super DAU. 😉

Nichts desto trotz will ich zuhause mein Heimnetzwerk aufräumen.

Ich habe als mein Alter WLan Router ausgestiegen ist auf die schnelle einen Centro Grande von Swisscom geholt weil ich mir gedacht habe, die werden schon alles richtig machen da dieses Gerät zu tausenden verkauft/verteilt wird. Ich musste feststellen sie haben auch alles richtig gemacht, meine Mutter kann diesen Router einrichten und das will was heissen. 😉 Ob er jedoch für meine Zwecke geeignet ist will ich als unwissender mal noch ein wenig anzweifeln.

Mein Netzwerk besteht momentan aus 2 Laptops & einem PC & Android Smartphone & Netzwerkdrucker und dem Neuzukömmling dem Thecus n4200pro (NAS). Das Thecus bietet einige dienste an die schön währen wenn ich diese von aussen erreichen könnte. Ausserdem zwingt es mich die Thematik Netzwerk ein wenig genauer unter die Lupe zu nehmen.

Momentan sind die PCs& Laptops mit Comodo Firewall & Avira geschützt. Wobei die Firewalls eigentlich eher die Ausgehenden Verbindungen überprüfen sollten da eingehende Verbindungen vom WAN sowieso nicht wirklich zugelassen sind (Portforwarding oder dergleichen)

Das Ziel ist natürlich jetzt das ganze vom WAN aus zugänglicher zu machen, wichtig für mich wäre

1. das ich den PC zumindest mit WOL wecken und anschliessend darauf verbinden kann.  Ob per VPN oder Remote Desktop ist mir zur Zeit noch wurscht.  Einerseits mag ich nicht auf jedem PC zuerst einen VPN Client installieren andererseits ist wohl RD nicht unbedingt dafür gedacht um übers WAN auf Pcs zuzugreifen.
2. Das NAS von aussen erreichbar ist. Und das per  Secure FTP und WebDisk
3. Das ganze soll dennoch kein loch zwischen Wan und Lan reissen wo jeder ein und ausgehen kann der ein wenig mehr von der Materie versteht als ich. Jedoch sollte es dennoch Komfortabel sein.

Jetzt meine Frage, wie setze ich das am besten um?

1. Router bei DynDNS registrieren – damit ich die IP nachschauen kann.
2. Von aussen habe ich eine Ip wie entscheide ich ob nun das NAS oder mein Desktop gefragt ist? Kann ich das mit dem NAT und verschiedenen Ports machen?
3. Wo setzte ich die WOL Scripte für den rechner an? Am liebsten wäre es mir wenn dies der Router für mich übernehmen könnte da dies das einzige gerät ist das Laufen MUSS.
4. Was gilt es zu beachten ich will nicht das Kreti und Pleti den richtigen Port verwenden muss und bei mir auf den Jeweiligen Rechner landet.
5. Ach schön währe es wenn ich die Firewalls irgendwie Zentralisieren könnte aber das wird Wohl nicht gehen. Oder?

Ihr dürft mir gerne auch einen Link mitteilen wo die Basic der Wan/Lan schnittstellen konfiguration mit den best practice beschrieben wird hinknallen. 😉

 Vielen dank und Liebe Grüsse

Sev

[chrve]

Ich denke, das könnten Dir einige gerne KOSTENPFLICHTIG einrichten.

Kostenpflichtig daher, da Du dies scheinbar kommerziell verwenden möchtest (nehme ich mal an) und dafür wollen die Fachleute die Fachleute beraten halt gerne Bares sehen.

[sevEnil]

Kommerziell? Nein Privat für Private Daten von mir und Familie... Aber ich habe mich unterdessen einigermassen Informiert.

VPN und SSH sind die Zauberwörter. RSync zum synchronisieren/Backupen mit dem NAS eines Kumpels über einen SSH Tunnel.

Und dann halt Portforwarding & Remote desktop

Wake On Lan Problem habe ich noch nicht gelöst. Und ev. muss ein neuer Router her der nicht nur VPN Passtrough unterstützt.

Mein ziel ist es ja auch mir das benötigte Wissen anzueignen und NICHT es einfach machen zu lassen.

[Tux0ne]

---

@sevEnil schrieb:

Wake On Lan Problem habe ich noch nicht gelöst. Und ev. muss ein neuer Router her der nicht nur VPN Passtrough unterstützt.

Mein ziel ist es ja auch mir das benötigte Wissen anzueignen und NICHT es einfach machen zu lassen.

---

Sehe ich auch eher so.

Ein solider Router für dein Ansinnen wäre zb die Fritzbox 7390. VPN (ipsec) und wol sind möglich.

Allerdings endet es bei diesem Router schon bereits dort wo es anfängt spannend zu werden.

Die DNS und "Web" Proxys gehören auch eher in die Kategorie trauriges Elend.

Ob man davon etwas merkt? Wohl die wenigsten 🙂

Dafür ist alles in einem Gerät. Für viele Hui, für mich pfui.

Aber da du ja auch noch etwas lernen möchtest gäbe es noch ipfire.

Diese Distro kann dieses Zeugs ebenfalls und noch viel viel viel vieeeeeeel mehr.

Da wäre zB die Samba Lücke bereits gefixt, falls man ein NAS aufgebaut hätte, bei Synology werde ich wohl noch lange warten müssen. 

Als Zwischenlösung gäbe es noch dd wrt oder open wrt. Die können auch viel. Der Vorteil hier gegenüber ipfire wäre, das die hier auf viele Router portiert wurden.

Bei ipfire musst du schon eigene Hardware bringen oder zb ein ALIX verwenden.

[sevEnil]

Jetzt ist zumindest VPN und SSH kein thema mehr...

Samba bringt das NAS schon von haus aus mit. Ipfire hab ich schon einiges davon gehört  und eigendlich nur gutes abgesehen vom Nerdigen ruf und der 200 Seite doku.

Da ich aber eigentlich keine Lust habe 240 franken für die Fritz!Box auszugeben schaue ich mal wie ich mit dem Centro Grande nach ner Telnet session zurecht komme 😄

[skratchi]

Ich habe es so gemacht:

Habe zu Hause VMWare am laufen. Die Maschine ist 24H online. Da habe ich eine Astaro (neu Sophos) Firewall virtualisiert -> Home-Version ist gratis. Dann den Centro-Grande ge-bridged und ab sofort ist die Astaro FW für alles zuständig. NAT/VPN/WWW/SMTP/DynDNS .. etc. ist nun alles kein Problem. Natürlich war das etwas Aufwand, und der ist nicht zu unterschätzen. Dafür habe ich nun soliden Schutz für Email und Surfen. Bin totaler Astaro-Fan geworden.

http://www.sophos.com/de-de/products/free-tools/sophos-utm-home-edition.aspx

Grüsse

[WalterB]

---

@skratchi schrieb:

Ich habe es so gemacht:

Habe zu Hause VMWare am laufen. Die Maschine ist 24H online. Da habe ich eine Astaro (neu Sophos) Firewall virtualisiert -> Home-Version ist gratis. Dann den Centro-Grande ge-bridged und ab sofort ist die Astaro FW für alles zuständig. NAT/VPN/WWW/SMTP/DynDNS .. etc. ist nun alles kein Problem. Natürlich war das etwas Aufwand, und der ist nicht zu unterschätzen. Dafür habe ich nun soliden Schutz für Email und Surfen. Bin totaler Astaro-Fan geworden.

http://www.sophos.com/de-de/products/free-tools/sophos-utm-home-edition.aspx 

Grüsse

---

Du hast aber kein Swisscom TV ?

[skratchi]

Nein, brauche ich auch nicht. Habe von ADSL auf VDSL gewechselt und habe eben das Centro Grande dazu erhalten. Eigentlich hätte mir die Zyxel-Bridge genügt, aber wenn man schon etwas geschenkt erhält?! Habe dann Anleitungen gefunden wie man das Motorola Centro-Grande in den Bridge-Modus versetzt. Ist dann aber kein richtiges bridgen, denn das PPPoE-Passthrough geschieht gar nicht. Man muss dann die FW lediglich auf DHCP stellen. Dies nur als Info.

[Tux0ne]

Selbst wenn man Swisscom TV hinter einer Astaro betreiben möchte, sehe ich da kein grosses Problem.

http://www.astaro.org/local-language-forums/german-forum/24182-t-home-entertain-iptv-11.html

Habe aber keine Zeit und Astaro bietet mir zu wenig relevantes um dies in den nächsten 2 Wochen mal zu probieren.

Die benötigten Daten zu Swisscom sind ja bekannt.

[sevEnil]

Also bin unterdessen soweit das IPFire Green/Red/Blue/orange ein thema wird. Hat jemand vorschläge zur Hardware? WLAN und GB lan Passiv und möglichst klein.

Und dennoch leistungsfähig genug ist um IDS und Webproxy mit SquidClamAV sowie VPN  zu betreiben?

Ich dachte zuerst an ein AMD-e350 Mainboard+zusätzliche Netzwerkkarte doch mini-itx ist dann mit netzteil + gehäuse doch eher etwas gross.

eigentlich währe doch etwas wie Zotac ZBOX perfekt geeignet nur das dort der 2te RJ-45 stecker fehlt.

Vorschläge?

danke und Gruss

Sev

[Herby]

Hast Du den Thread von TuxOne schon gesehen?

[Tux0ne]

---

@sevEnil schrieb:

Also bin unterdessen soweit das IPFire Green/Red/Blue/orange ein thema wird. Hat jemand vorschläge zur Hardware? WLAN und GB lan Passiv und möglichst klein.

Und dennoch leistungsfähig genug ist um IDS und Webproxy mit SquidClamAV sowie VPN  zu betreiben?

Ich dachte zuerst an ein AMD-e350 Mainboard+zusätzliche Netzwerkkarte doch mini-itx ist dann mit netzteil + gehäuse doch eher etwas gross.

eigentlich währe doch etwas wie Zotac ZBOX perfekt geeignet nur das dort der 2te RJ-45 stecker fehlt.

Vorschläge?

danke und Gruss

Sev

---

Die Frage ist ob du zB. das blaue IF wirklich brauchst oder du nicht einfach einen Access Pint in dein Netzwerk stellst und so WLAN betreibst. Das blaue IF macht nur Sinn wenn man auch dort Firewalling betreiben möchte, was kaum der Fall sein wird.

Und dennoch leistungsfähig genug ist um IDS und Webproxy mit SquidClamAV sowie VPN  zu betreiben?

Wenn du das alles ernsthaft betreiben möchtest, reicht ein ALIX Board nicht. In der Summe stösst der RAM dort rasch an die Grenze. Gerade ein Webproxy braucht anständigen RAM und IDS alleine verbraucht diesen bei einem ALIX schon fast.

Obwohl ein Mini-ITX relativ gross wird, habe ich so eines im Betrieb.

Weil ich genau das alles und noch mehr aktiviert habe.

Ich verwende ein Intel D2500CC mit zusätzlicher Netzwerkkarte. Ich wollte schon lange mal den Durchsatz zwischen WAN und LAN messen. Wenn ich Zeit habe, hole ich dies noch nach.

Ideen findest du auch hier: http://forum.ipfire.org/index.php?topic=550.45

[sevEnil]

mhmmm unter umständen währe es schön wlan firewalling zu betreiben so das auch zwei getrennte netze möglich sind. z.b. nur dmz + WAN und mit mac addressen hinterlegung auch das lan aber ich weiss garnicht ob das so geht.andereseits währe ein AP deutlich einfacher 😉

Unterdessen bin ich wieder zurück auf mini itx oder gar micro atx. jeh nachdem wenn ich sogar nen apache drauf laufen lassen könnte währe das ein zusätzlicher plusspunkt. Das scheint ja zu gehen laut ipfire Forum.

Intel D2500CCE scheint mir mit 106.- digitec preis die kostengünstigste Variante zu sein jedoch ist das Board auf 4 gb Ram beschränkt. Was betreibst du den noch mehr auf board? Und wieviel Ram benötigst du momentan?

das einzigste mini itx board das mehr RAM verträgt das ich finde ist das ASUS C60M1-I und  Asus E45M1-I Deluxe

[Tux0ne]

Zusätzlich läuft der igmpproxy für Swisscom TV uä.

Dieser braucht aber kaum RAM. Nur die CPU wird doch mit max. 50% gefordert weil das IDS und der Virenfilter da suchen. Entgegen dem IPfire Wiki ist mit dieser CPU auch bei Clamav und IPTV Streams kein Problem.

Zudem läuft noch Nagios.

Am Webproxy werde ich noch schrauben. Zwar arbeitet dieser schon ziemlich effektiv. Aber nur ein gut genutzer RAM ist guter RAM. Momentan hab ich hier noch genügend Reserven obwohl ich jetzt nur 3GB nutze da ich einen Entwicklerkernel einsetze der noch ohne PAExtension läuft.

Ich bin mit dem D2500CC sehr zufrieden.

[sevEnil]

Nur damit ich es richtig verstanden habe, du nutzt 50% von den 3GB die dir zur verfügung stehen. Es stehen dir "nur" 3 GB zur verfügung weil du ein Entwicklerkernel verwendest der nur 3gb von max 4gb verwalten kann.

Richtig?

was meinst du darauf zusätzlich einen webserver unter qemu laufen zu lassen? Ist das hardware technisch noch möglich oder stosse ich hier an eine grenze? Kenne mich mit den Webserver anforderungen nicht aus... bisher war die Hardware immer deutlich überdimensioniert für meinen gebrauch.

danke und Gruss

Sev

[Tux0ne]

---

@sevEnil schrieb:

Nur damit ich es richtig verstanden habe, du nutzt 50% von den 3GB die dir zur verfügung stehen. Es stehen dir "nur" 3 GB zur verfügung weil du ein Entwicklerkernel verwendest der nur 3gb von max 4gb verwalten kann.

Richtig?

---

Ja richtig.

Mit qemu habe ich auf dieser Platform keine Erfahrung.

Schätze die Leistung aber als genügend ein.

Auf einem hübschen NAS wie der Synology DS 712+ und schwächer kann man schon anständige Websites laufen lassen. Dort hat man eine schwächere CPU und nur 1GB DDR2 RAM. Ich würd also schon meinen das dies für private Sachen locker reicht.

Allerdings bin ich persönlich nicht so Fan auf einer UTM noch unnötige Sachen laufen zu lassen.

Jedes Paket mehr ist ein Stück Software mehr welches einen Fehler enthalten kann, auch wenn die Entwickler von ipfire sehr schnell fixen.

Klar, der Reiz alles zu bündeln ist immer da.

[sevEnil]

Ich geb dir recht mit nicht zuviel auf der UTM laufen zu lassen. Mein ansatz währe es sowieso gewesen das ganze zeuch auf dem NAS laufen zu lassen und nur als fallback auf die UTM zurückzugreiffen bin unterdessen nicht mehr so überzeugt vom NAS. Es scheint eine ziemliche Bastellösung zu sein die vieles jedoch nur halb unterstützt.

Was halt ist ich will kein serverrack zuhause installieren 😉

Hast du viel konfiguration benötigt um diesen Memory Footprint zu bekommen oder war das ganze schon von Haus aus relativ schlank?

[sevEnil]

Hi,

Ich habe noch weitere fragen,

1. hast du die Kühlung komplett Passiv?

2. Welches gehäuse setzt du ein?

3. Bin ich noch auf der suche nach einer Low Profile netzwerk Karte. Hast du da vorschläg?

Gruss Sev

[Tux0ne]

Hi Sev.

Die Kühlung ist ausgenommen von der Abluft durch das Netzteil passiv.

Als Gehäuse habe ich diese Thermaltake Kiste. http://www.thermaltake.com/products-model.aspx?id=C_00001514

Als NIC sind Intel Karten immer gut.

Diese Karte hat ein Low Profile Bracket inkl. Habe diese Karte in meinem Gehäuse aber full profile.

https://mediaserver.digitec.ch/dokumente/115717.pdf

Die CPU hat ist für ihre Art sehr kühl. Der Vorgänger war wesentlich hitziger. 55Grad waren dort kühl 🙂

[sevEnil]

Ich bin gerade über das Streacom fc8 evo Gehäuse gestolpert. 

Da es in meinem büro ist und egentlich alle rechner (Bis auf das NAS das einen kleinen cpu lüfter verbaut hat und mich noch zuwenig nervt um das zu beheben) die dort stehen Lautlos sind würde mir eine komplett passiv lösung sehr entgegen kommen.

denkst du deren kühllösung ist mit intel board kompatibel? Ich konnte im netzt nichts dazu finden. Geschweige denn überhaupt eine Kompatibilitätsliste vom hersteller.