Dotaz: Zabezpeční vnitří síťe proti přístupu z veřejné wifi

[Toadie]

Dobrý den,

máme kabelový modem (s jedním ethernetovým portem), který je zapojen do sítového rozhraní na serveru s Debianem. Druhé síťové rozhraní slouží jako router pro naši vnitřní síť. V ní máme připojen také wifi AP, na kterém bychom chtěli vytvořit otevřenou wifi síť s omezeným přístupem na internet pro veřejnost (dostupnou v zázemí našich kanceláří).

Lze v této konfiguraci dobře zabezpečit naši vnitřní síť před neoprávněnými přístupy z námi poskytovaného wifi připojení?

Děkuji.

---

---

Odpovědi

[Toadie]

Asy bych to řešil tak že bych do serveru dal 3 síťovky.

Jedna připojení na internet, druhá podniková síť a na třetí zapojené AP pro WI-FI.

A prostě na WI-FI přiděloval jednu sadu IP které by mohly přes server pouze do internetu a z toho rozhraní blokovat jiné IP s omezením rychlosti do internetu aby neohrožovaly provoz podnikové sítě no a do vnitřní sítě jinou sadu IP.

Pokud teda nemá být propojení mezi wi-fi a podnikovou sítí.

[Toadie]

Děkuji za reakci, tohle asi bude cesta pro nás.

A jak se to vlastně na tom serveru poté nastavuje? Na omezení přístupu do vnitřní sítě iptables, na omezení rychlosti a filtrování obsahu SQUID?

[Petr Šobáň]

Prostě firewall tj. iptables tak aby se nemohly ty sítě ovlivňovat prostě aby ta část kde je AP nemohla na rozhraní vnitřní sítě. Prostě ve vnitř budu přidělovat třeba 10.0.y.x a na AP budu používat 192.168.y.x a pomocí iptables nedovolím průchod 192.168.x.y na rozhraní vnitřní sítě 10.0.x.y.

Squid bych tam asi dal aby nebyla síť tak vytížená na www.

A omezení rychlostí nevím nikdy jsem to nedělal pohledejte na internetu HTB a pod...

[pht]

Prostě ve vnitř budu přidělovat třeba 10.0.y.x a na AP budu používat 192.168.y.x a pomocí iptables nedovolím průchod 192.168.x.y na rozhraní vnitřní sítě 10.0.x.y.

Nevím jestli to tak bylo myšleno, ale místo omezení na IP adresy bych spíše omezil vzájemnou viditelnost interfaců.

Tedy něco jako -i wifi_síťovka -o vnitřní síťovka -j DROP a na druhou stranu taky. Pak samozřejmě nějaká pravidla typu aby na wifi byly brány v potaz pouze IP adresy z daného subnetu.

Pokud NATujete a máte na routeru k dispozici 2 IP adresy tak by bylo bezpečnější použít jednu pro privátní síť a druhou pro wifi.

Squid bych tam asi dal aby nebyla síť tak vytížená na www.

Tohle asi přinese víc opruzu než užitku.

A omezení rychlostí nevím nikdy jsem to nedělal pohledejte na internetu HTB a pod...

Podívejte se na Queueing Disciplines for Bandwidth Management. Je to na chvíli, než to pochopíte, ale pak už to jde "samo". Taky se na netu asi bude válet spoustu příkladů.

Optimálně můžete nastavit shapování tak, že pokud z vnitřní sítě internet nevyužíváte, pojede wifi na plnou rychlost, a v případě konfliktu o rychlost stahování mezi firmou a wifi dostane např. firma 3/4 kapacity.

[NN]

Toeoreticky,lze nicmene zalezi na podrobnostech. VLAN, Acecsslisty, sifrovani, firewall, subnety atd..

NN

[lukas]

Squid pri kompilacii poskytuje prepina --enable-delay-pools, kde mozete vyuzit traffic shaping.