Разграничение доступа в домашней сети

[dotter 0]

Добрый день.

Необходима помощь в решении задачи. В построении сетей опыта не имею, заранее извиняюсь за (возможно) идиоские вопросы.

 

Исходные данные: домашняя есть, обычный домашний роутер, кучка беспроводных устройств, кучка проводных.

Что нужно:

1. Ограничить доступ для нескольких проводных и беспроводных устройств ко внутренней сети, оставить доступ в интернет

2. Ограничить доступ к некоторым устройствам для остальных, кроме одного (например, доступ к IP-камерам не должен быть ни у одного устройства, кроме сервера, который пишет, при этом доступ к серверу должен быть из общей сети и интернета)

 

Что я напридумывал:

Купить L2 коммутатор, и поднять на нем VLAN на базе портов, например, для основной сети VLAN1, камер VLAN2, для изолированных по отдельному VLAN, сервер входит в VLAN1 и VLAN2, роутер во все VLAN

 

Вопросы:

1. Правильный подход выбран для решения задач? Если нет, то как это можно сделать?

2. Если подход правильный, как будут назначаться IP для проводных и беспроводных клиентов? DHCP роутера будет работать?

 

[foreverok 95]

Вы для начала укажите что за железо у вас уже стоит. 

[H_U_L_K 281]

Эм, это можно реализовать средствами микротика, разбиванием на бриджы.

Указали бы какой роутер используеться, и что еще есть в сети (помимо камер, сервера, пк, телефонов).

[BlackVS 35]

 

 

Купить L2 коммутатор

 

С поправкой - L2 managed/управляемый/smart.

"Тупарики" L2 Как правило не имеют никаких настроек-VLAN.

Но возникает тогда вопрос - кто будет разруливать политики между вланами (то есть, к примеру, роутер с поддержкой VLAN и фаерволом. Или взять сразу нормальный L3 свич).

В общем сильно зависит от того, на каком железе остановитесь.

В принципе и на микротике можно, а можно и без него.

Со свичами CRS микротика осторожно - там роутинг очень слабый (ибо софтверный). Может оказаться неприятным сюрпризом. Аналогично с бриджами в микротике - они софтверные, то есть нагрузка на проц....

То есть вначале озвучте бюджет и пропускную, какую хочется иметь.

[dotter 0]

Роутер Asus AC66; одна WiFi камера, несколько проводных; телефоны, ноутбуки по WiFi; несколько компьютеров, ТВ, сервер по проводу.

[dotter 0]

То есть вначале озвучте бюджет и пропускную, какую хочется иметь.

 

Гигабит

В пределах 100-150 баксов было бы отлично

Відредаговано 2017-08-05 17:56:02 dotter

[BlackVS 35]

1. В описании АС66 ничего не вижу насчет VLAN.

2. Гигабит где - внутри сегмента/влана, между вланами, Интернет?

При таком бюджете ничего, кроме D-link DGS-1100 с его сегментацией трафика не приходит на ум...

Но у меня с таким железом опыта мало

Відредаговано 2017-08-05 18:29:18 BlackVS

[dotter 0]

Спасибо за ответы.

1. В стоковой прошивке похоже есть, но настраивать только по телнету.

Но есть и сторонние, где настройки VLAN есть в веб интерфейсе: http://tomato.groov.pl/wp-content/gallery/screenshots/vlan.png

Перешить роутер не проблема, при необходимости.

 

2. Интернет пока 100 Мбит, в будущем возможен переход на Гбит, но пока я вижу мало смысла в этом.

Остальное гигабит

[tkapluk 908]

Ну так перешивай свой роутер и попробуй собрать свою схему... если все взлетит то просто докупишь управляемый л2 коммутатор. 

Ибо в подобных схемах на кастомных прошивках грабли могут вылезти на любом шаге...

[H_U_L_K 281]

Эм, мне кажеться что за 130 баксов купить rb2011 (сам такой пользую), и он разрулит абсолютно всё.

[Den_LocalNet 1 474]

Как по мне как вообще ничего делать не нужно. Любая камера имеет на доступ логин/пароль, у большинства есть и белый/черный список по айпи на доступ. Что есть сервер видеонаблюдения? Там же точно так же должен быть логин/пароль и файрвол...

[dotter 0]

Как по мне как вообще ничего делать не нужно. Любая камера имеет на доступ логин/пароль, у большинства есть и белый/черный список по айпи на доступ. Что есть сервер видеонаблюдения? Там же точно так же должен быть логин/пароль и файрвол...

Увы, не любая. К тому же вопрос не только в камерах - нужно полностью закрыть доступ ко внутренней сети для нескольких потребителей

 

Эм, мне кажеться что за 130 баксов купить rb2011 (сам такой пользую), и он разрулит абсолютно всё.

Спасибо за рекомендацию, но у меня появилось еще несколько нубских вопросов:

1. Какая схема подключения? Инет-АС66-rb2011-потребители или Инет-rb2011-АС66(как точка доступа)+потребители

2. В rb2011 5 гигабитных портов и 5 по 100 Мбит. Что если мне нужно подключить больше 5 гигабитных устройств с ограничениями?

3. Хотя бы в 2 словах, как будет выглядеть настройка всего этого добра?

[H_U_L_K 281]

Если нужно больше 5 гигабиток то rb3011.

У меня реализовано так:

Rb2011, в котором отключен встроенный wifi (у меня модель с wifi)

Точка доступа - xiaomi mi wifi router 3

Ну и сервак, камеры, точка доступа, компы и т.д. воткнуты в rb2011.

 

Просто камеры, точка доступа, ТВ приставка имеют 100мбит порты, и мне как бы rb2011 хватает.

Производительности тоже хватает (15 правил фаервола, 200 мбит жует на легке).

 

Просто, если с микротиком дел не имели, будт сложности в первоначальной настройке, но потом норм. Я сейчас уже на другой роутер не перееду.

 

 

AC66 - хорош роутер.

Единственный минус что у xiaomi mi wifi 3 роутера нет гостевой/негостевой точки доступа. Но всё это можно реализовать микротиком, разделением пользователей на разные пулы dhcp ip адресов.

Скорости у сяоми роутера, хоть и порт 100 мбит, хватает. 2,4 и 5 ггц.

 

Ну как-то так.

 

Если я в чем то не прав то поправьте.

Відредаговано 2017-08-06 06:55:34 H_U_L_K

[dotter 0]

Xiaomi mi wifi router 3 хорош за свои деньги, но мне 100 Мбит вероятно не хватило бы - 4 активных клиента ас, из которых в среднем половина в инете, вторая с сервера во внутренней сети смотрят/качают.

Да и менять на него мое добро смысла мало

Впрочем, это уже оффтоп.

 

По поводу сложностей в настройке - разберусь, все это затеваю в том числе для самообразовательных целей - всегда интересовала эта сфкра, но только сейчас дошли руки до реальных занятий этим. Главное сейчас выбрать правильно железо, чтобы можно было с ним реализовать все что нужно.

 

Если нужно больше 5 гигабиток то rb3011.

А через обычный свич подключить нельзя? Если на порт роутера подключить свитч с несколькими потребителями, им можно настроить разные для каждого доступы в сети? Відредаговано 2017-08-06 11:35:49 dotter

[BARVIT 113]

Единственный минус что у xiaomi mi wifi 3 роутера нет гостевой/негостевой точки доступа. Но всё это можно реализовать микротиком, разделением пользователей на разные пулы dhcp ip адресов. Скорости у сяоми роутера, хоть и порт 100 мбит, хватает. 2,4 и 5 ггц.

 

 

Нет там этого минуса. Все там на месте, и в  двойке есть и в пятерке.  Хороший роутер но не для задач ТС

 

 

[H_U_L_K 281]

 

Единственный минус что у xiaomi mi wifi 3 роутера нет гостевой/негостевой точки доступа. Но всё это можно реализовать микротиком, разделением пользователей на разные пулы dhcp ip адресов. Скорости у сяоми роутера, хоть и порт 100 мбит, хватает. 2,4 и 5 ггц.

 

Нет там этого минуса. Все там на месте, и в двойке есть и в пятерке. Хороший роутер но не для задач ТС

Ну, из коробки нет.

И мне проще было развести пользователей на уровне dhcp, нежели колдовать с прошивкой падавана.

[tkapluk 908]

Как по мне как вообще ничего делать не нужно. Любая камера имеет на доступ логин/пароль, у большинства есть и белый/черный список по айпи на доступ. Что есть сервер видеонаблюдения? Там же точно так же должен быть логин/пароль и файрвол...

Не любая. И чем дальше тем больше попадается бытовых устройств (телевизоры, медиаплееры, кондиционеры, и т.д.) где или нет пароля или нельзя поменять стандартный.... Странная тенденция однако. 

[olnet 52]

1) Что за камера то такая что пароль на нее не вещается.

2) Вы мониторили траффик в своей сети? Я на 90% уверен, что полку в 100 Мбит/с вы не используете... P.S. из опыта мониторинга траффика пользователей в сетях провайдеров.

[Den_LocalNet 1 474]

Огласите камеру к которой нельзя ограничить доступ штатными средствами.

[dotter 0]

1) Что за камера то такая что пароль на нее не вещается.

Xiaomi Ants Xiaoyi Smart Camera. Забрать RTSP поток можно без авторизации, доступ к записям, которые на карте памяти тоже открытый. Механизмы ограничения доступа в принципе отсутствуют. Также в сети будут чужие люди, у которых может появиться желание поковырять мои устройства, а в их степени защиты, даже, если она и есть, я совсем не уверен. Чтобы минимизировать вероятность таких ковыряний и затруднить их я и хочу разграничить доступ на уровне сети.

 

2) Вы мониторили траффик в своей сети? Я на 90% уверен, что полку в 100 Мбит/с вы не используете... P.S. из опыта мониторинга траффика пользователей в сетях провайдеров.

Я не утверждаю что у меня 100% времени нагрузка больше 100 Мбит/с, но после перехода на гигабитный роутер во время пиковых нагрузок пропали подлагивания при просмотре видео как с сервера так и с ютуба и остального инета.

В любом случае это оффтоп, имхо.

 

Повторю свой вопрос:

А через обычный свич подключить нельзя? Если на порт роутера подключить свитч с несколькими потребителями, им можно настроить разные для каждого доступы в сети?

[foreverok 95]

Повторю свой вопрос:

А через обычный свич подключить нельзя? Если на порт роутера подключить свитч с несколькими потребителями, им можно настроить разные для каждого доступы в сети?

 

Нужен свич с поддержкой VLAN. Тогда можно.

[H_U_L_K 281]

Если использовать имеющийся роутер и обычный свич-тупарик то так не получиться.

[dotter 0]

Ок, спасибо за ответы.

Т.е. как я понимаю, одним из вариантов будет покупка роутера типа Mikrotik RB2011, и если мне не будет хватать портов докупить практически любой L2 свич, а текущий роутер поставить как точку доступа.

 

Еще раз всем спасибо за помощь

[dotter 0]

Вдогонку еще один вопрос.

Если подключить к RB2011 мой AC66 как ТД, беспроводных абонентов, котоорые к ней подключены можно будет загонять в разные VLAN средствами RB2011?

Или нужно будет перешивать AC66 на стороннюю прошивку с нормальной работой с VLAN и настраивать это уже на нем?

[Goblin 1]

А не проще залить на существующий роутер прошивку openwrt и потом создать интерфейсы изолированные друг от друга, хоть проводные, хоть беспроводные. И никаких дополнительных финансовых затрат. Автор ведь сказал что сеть домашняя, для себя ведь делает. Насоветовали, только деньги вытаскивай...