פתרון אופטימלי ליצירת שתי רשתות LAN נפרדות בבית

evgenetic · שליחה #1 21/09/2018 12:29

היי,
יש לי שרת ביתי פשוט (ובו עוד כמה מכונות וירטואליות) אליו דרך האינטרנט מתחברים כמה אנשים בודדים לצורכי עבודה. כרגע הוא נמצא ברשת ביתית עם כל שאר המכשירים בהם אני עושה שימוש בבית. מן הסתם זה לא אידיאלי שאנשים שמתחברים אלי יכולים להפעיל את הרסיבר ולעשות עוד כל מיני דברים עם מכשירים שמחוברים לאותה הרשת...

הצלחתי לפתור את העניין על ידי התקנת OpenWRT על הראוטר שלי (Archer C7 v2), יצירת VLAN נפרד לשרת ויעוד של יציאת רשת אחת בראוטר לVLAN זה. באופן כזה שתי הרשתות היו בעלות קבוצת IP שונים, לא ראו ולא יכלו לגשת אחת לשנייה (בעזרת הגדרות firewall בראוטר) ולשתיהן הייתה גישה לאינטרנט. אבל OpenWRT לא עבד באופן יציב, מדי פעם הוא לא פתח עמודי אינטרנט, לפעמים קרס חיבור VPN מבחוץ (מה שעבד מושלם על הקושחה המקורית של הראוטר), ובאופן כללי היה על load מאד גבוה של כ1.5+.

אני לא שולט בתחום מספיק טוב כדי לנסות לפתור את הבעיות בOpenWRT, ומה שכנראה ייקח לי המון זמן, אז אני צריך פתרון אחר. אם אני מבין נכון הפתרון האידיאלי הוא רכישת ראוטר עם יכולות VLAN מובנות, אבל אולי אני מפספס משהו ויש פתרון יותר טוב. מה אתם חושבים?

rm1 · שליחה #2 21/09/2018 14:07

מה שאתה יכול לעשות זה להתקין שרת וירטואלי נוסף ובו להריץ pfsense ואז לקנפג אותו שישמש כ FW על כל השרתים הווירטואליים האחרים.
זה לא מצריך כרטיס רשת פיזי נוסף אחד מספיק שיחובר לצד ה WAN של ה pfsense וצד ה LAN ושאר השרתים יחוברו ל SWITCH לוגי בתוך המכונה עם תת רשת נפרדת ללא כרטיס רשת פיזי.
אתה יכול להגדיר את ה VPN על ה pfsense וב C7 להפנות את הפורט של ה VPN לכתובת ה pfsense WAN.
ב pfsense אתה יכול לחסום גישה לכתובות הרשת הביתית חוץ מה C7 ליציאה לאינטרנט.
יש מדריכים רבים להגדרת pfsense כ FW עבור מחשב וירטואלי לפעמים עם שני כרטיסים אבל אצלך לא צריך את כרטיס ה LAN.
רק להגדיר את הניהול של השרת על הכרטיס הפיזי.
כך אתה יכול לותר על VLAN ו VPN ב C7 ולהקל עליו.

rm1 · שליחה #3 21/09/2018 14:15

לדוגמה:

rm1 · שליחה #4 21/09/2018 14:21

או על HIPER-V

evgenetic · שליחה #5 21/09/2018 15:32

מעולה, תודה!
משום מה חששתי מזה כי חשבתי שהוא קשה להגדרה, אבל אפילו כברירת מחדל אני מקבל כמעט את מה שרציתי.

NegativeIQ · שליחה #6 22/09/2018 12:19

evgenetic כתב:היי,
יש לי שרת ביתי פשוט (ובו עוד כמה מכונות וירטואליות) אליו דרך האינטרנט מתחברים כמה אנשים בודדים לצורכי עבודה. כרגע הוא נמצא ברשת ביתית עם כל שאר המכשירים בהם אני עושה שימוש בבית. מן הסתם זה לא אידיאלי שאנשים שמתחברים אלי יכולים להפעיל את הרסיבר ולעשות עוד כל מיני דברים עם מכשירים שמחוברים לאותה הרשת...

הצלחתי לפתור את העניין על ידי התקנת OpenWRT על הראוטר שלי (Archer C7 v2), יצירת VLAN נפרד לשרת ויעוד של יציאת רשת אחת בראוטר לVLAN זה. באופן כזה שתי הרשתות היו בעלות קבוצת IP שונים, לא ראו ולא יכלו לגשת אחת לשנייה (בעזרת הגדרות firewall בראוטר) ולשתיהן הייתה גישה לאינטרנט. אבל OpenWRT לא עבד באופן יציב, מדי פעם הוא לא פתח עמודי אינטרנט, לפעמים קרס חיבור VPN מבחוץ (מה שעבד מושלם על הקושחה המקורית של הראוטר), ובאופן כללי היה על load מאד גבוה של כ1.5+.

אני לא שולט בתחום מספיק טוב כדי לנסות לפתור את הבעיות בOpenWRT, ומה שכנראה ייקח לי המון זמן, אז אני צריך פתרון אחר. אם אני מבין נכון הפתרון האידיאלי הוא רכישת ראוטר עם יכולות VLAN מובנות, אבל אולי אני מפספס משהו ויש פתרון יותר טוב. מה אתם חושבים?
...

זה ממש מוזר לי מה שאתה מתאר, גם לי יש Archer C7 v2 עם OpenWRT 17.01.4 ו-OpenVPN והוא יציב לחלוטין. ה-VPN אמנם לא עובר את ה-10 מגה (אין מה לעשות, זה מה שקורה כשלוקחים מעבד שתונן למשימה אחת ומטילים עליו משימה שונה לגמרי) אבל מעולם לא קרס לי.

evgenetic · שליחה #7 22/09/2018 12:41

@NegativeIQ
אני לא השתמשתי בו כשרת VPN, מה שקרס מדי פעם הוא החיבור לsoftether במחשב הביתי שתמיד עבד יציב. עכשיו בpfsense אני כן משתמש בשירות הopen vpn המובנה והוא עובד מצוין. אני מניח שזה יכול להיות קשור להגדרות VLAN/interface/firewall לא לגמרי נכונות כי בשאר הדברים לא נגעתי. אני אגב לא מתנגד לנסות אותו שוב אם תתאר איך הדברים אמורים להיות מקונפגים במקרה שלי, כי זה בכל זאת נראה לי יותר אינטואיטיבי מאשר ראוטר וירטואלי

בסה"כ מה שאני רוצה הוא שיציאת LAN4 בראוטר תהיה מיועדת לרשת אחרת ונפרדת עם גישה לאינטרנט.

eran405 · שליחה #8 22/09/2018 17:28

@evgenetic
·

למיטב הבנתי אתה צריך switch שתומך (כרגיל נקרא managed switch) בשביל לייעד פורט פיזי מסוים ל-VLAN מסוים. בכל הראוטרים הפשוטים - כולל ב-C7 למיטב ידעתי - ה-4 פורטים של ה-LAN מחוברים ל-switch חומרתי שאינו תומך ב-VLANs ולכן כבר ברמה החומרתית יש גישה מכל פורט LAN לכל פורט LAN אחר. כנ"ל לגבי switch זול שאינו תומך ב-VLANs.

עריכה: כנראה שטעיתי לגבי זה. ראה את הפוסט של sys_admin בהמשך.

מה שאני מניח שאתה כן יכול לעשות עם openwrt וכאלה הוא להגדיר את ה-VLAN ברמה הלוגית ולהגדיר את הניתובים אליו וממנו כך שבחיבור switch מנוהל תוכל לבחור איזה פורט יהיה מוגדר על איזה VLAN.

כמובן שאם אתה סומך על הצרכנים האחרים שלך בתוך הבית ואתה רק רוצה להגן שלחיבורים מבחוץ לא תהיה גישה למכשירים אחרים בבית אז אתה לא צריך VLANs. אם נגיד החיבורים מבחוץ הם בעזרת VPN, אז אתה יכול לתת לכל המחשבים שמתחברים ל-VPN כתובות בטווח אחר (לפחות בציוד של ubiquiti זה לא משתמש ב-VLANs זה פשוט עוד רשת לוגית עם טווח כתובות אחר) ולהגדיר את חוקי הניתוב בצורה כזו שתהיה להם גישה רק לציוד שאתה מרשה.

כהערת אגב אציין שלאחרונה עברתי להשתמש ב-edgerouters של Ubiquiti ובדיוק לדברים כאלה הם ממש מצויינים ונוחים (נגיד זה). כמובן שאם אתה מסתדר עם ה-OpenWRT זו אופציה מצוינת ואם נח לך את להריץ pfsense אז זאת בכלל אופציה עוד יותר חזקה.

בהצלחה.

Fish72 · שליחה #9 22/09/2018 18:28

@eran405
· בהמשך לתגובה של ערן - אני מוכר את הנתב הזה של UBIQUITI (עולה כ-600 שח בארץ וחזק בהרבה מהדגם שצויין) :

https://www.hometheater.co.il/vt309892.html

sys_admin · שליחה #10 23/09/2018 0:00

@eran405
·

כמה תוספות, תיקונים ודגשים לנושא. הנתב C7 למשל, כולל גם מתג מנוהל מובנה של כ 4 פורטים שניתן בכל אחד מהם גם להגדיר לא רק שיוך ל VLAN מסויים, אלה גם תיוג וגם לייצר VLAN TRUNK על כל אחד מהפורטים אלה, אם משתמשים ב OPENWRT. בקשר למתג שנדרש ברשת לצורך המשימה, אז מדובר במתג שלא רק תומך ב VLANs, אלה גם ב VLAN Trunking , לצורך חיבור של VLAN Trunk למחשב שמריץ את המכונה הוירטואלית ושכל כרטיס רשת וירטואלי שלה מחובר ל VLAN שונה על ידי כך, דרך כרטיס רשת פיזי אחד שבו מוגדר כבר ה Trunk המדובר. גם, אם משתמשים בנתב כמו C7, עדיין נדרש אותו סוג של מתג, שדובר עליו מקודם. מצורף צילום מסך של ההגדרות VLAN בנתב C7.

eran405 · שליחה #11 23/09/2018 8:09

@sys_admin
·
מעניין. בדקתי ב-linksys הישן שלי שמריץ ddwrt וגם שם נראה כמו שיש את כל האופציות האילו (אני מתעצל לוודא שזה באמת עובד).

אז בעצם בכל ראוטר פשוט יש את האופציה החומרתית להפריד את הפורטי ה-LAN ל-VLANs שונים ופשוט לא חושפים את האופציות האילו בקושחות של היצרן?

sys_admin · שליחה #12 23/09/2018 10:55

@eran405
·
כמובן שלא בכל נתב פשוט קיים מתג מנוהל שלא מנוצל בתוכנה של היצרן, אבל ברוב המכריע של נתבים כאלה כן יש מתג כזה ואת זה ניתן לבדוק במפרטים שונים לפי דגם מדויק של הנתב, שבדרך כלל ניתן למצוא באתרים של הסברים לחומרה שמתאימה OPENWRT. ולשאלה השנייה השימוש ב VLANS במתג שב C7 ואפילו שב TP-Link TL-WDR4300 העתיק כן מתפקדים בצורה שמניחה את הדעת. הדבר נדרש גם כאשר משתמשים במוצרים האלה כבנקודות גישה שמשדרות מספר SSID, שכל אחד מהם מקושר ל VLAN שונה ברשת קווית או כאשר משתמשים בהקצאה של VLAN דינאמי לפי שם משתמש וסיסמה עם SSID יחיד.

NegativeIQ · שליחה #13 23/09/2018 11:19

sys_admin כתב:@eran405
·
כמובן שלא בכל נתב פשוט קיים מתג מנוהל שלא מנוצל בתוכנה של היצרן, אבל ברוב המכריע של נתבים כאלה כן יש מתג כזה ואת זה ניתן לבדוק במפרטים שונים לפי דגם מדויק של הנתב, שבדרך כלל ניתן למצוא באתרים של הסברים לחומרה שמתאימה OPENWRT. ולשאלה השנייה השימוש ב VLANS במתג שב C7 ואפילו שב TP-Link TL-WDR4300 העתיק כן מתפקדים בצורה שמניחה את הדעת. הדבר נדרש גם כאשר משתמשים במוצרים האלה כבנקודות גישה שמשדרות מספר SSID, שכל אחד מהם מקושר ל VLAN שונה ברשת קווית או כאשר משתמשים בהקצאה של VLAN דינאמי לפי שם משתמש וסיסמה עם SSID יחיד.
...

יש סיבה לזה שזה ככה. בד"כ בראוטרים הזולים הפורטים של ה-LAN וה-WAN נמצאים על אותו Switch ורק מופרדים לשני VLAN-ים שונים. זה יותר זול ככה כי היצרן לא צריך לחבר שני כרטיסי רשת נפרדים. כפועל יוצא של התמיכה ב-VLAN-ים אז אפשר לעשות קונפיגורציה יותר חכמה עם OpenWRT.
נ.ב. כן, זה תיאורטית פוגע בביצועים אבל כל עוד זה מגיע ל-1Gbps זה גם ככה לא יהיה צוואר הבקבוק. אגב, לפעמים יש גם בעיות אחרות עם זה, לדוגמה ב-WR1043NDv1 עד שהקושחה עולה ומקנפגת את ה-VLAN-ים אז ה-Switch מעביר תקשורת חופשית בין ה-LAN ל-WAN, פוטנציאלית מאפשר לחדור לכם לרשת (אם כי כנראה שרק הספק יוכל לעשות את זה).

evgenetic · שליחה #14 23/09/2018 13:23

תודה על עזרה חבר'ה, בינתיים נראה לי שאשאר עם pfsene. מה שבעיקר קנה אותי זה ההגדרות המאד נוחות אך באותו הזמן גם מאד משוכללת של שרת openvpn (בעזרת Client Export Package).
ואם בעתיד ארצה, בעזרת כרטיס רשת כזה ומתג פשוט אוכל לעשות הפרדה פיזית של הרשתות די בקלות ממה שהבנתי.

rm1 · שליחה #15 23/09/2018 15:10

אם לא הפעלתה את אופצית ה VLAN ב C7 אתה יכול גם לאפשר ולחסום גישה לרשת הביתית מהשרתים הוירטואלים וה VPN
ע"י חוקים ב pfsense

evgenetic · שליחה #16 23/09/2018 15:42

@rm1
הC7 כרגע הוא עם קשחה מקורית, בלי כל מיני משחקים עם VLAN. אני חושב שpfsense חוסם גישה כברירת מחדל, אני כרגע לא יכול לעשות ping מהמכונות וירטואליות שמחוברות לpfsense למחשבים שברשת הביתית שמחוברות לC7.
(עריכה - טעות, אני דווקא כן יכול, אבל להיפך לא. צריך לטפל).

sys_admin · שליחה #17 23/09/2018 16:32

NegativeIQ כתב:
...
...
יש סיבה לזה שזה ככה. בד"כ בראוטרים הזולים הפורטים של ה-LAN וה-WAN נמצאים על אותו Switch ורק מופרדים לשני VLAN-ים שונים. זה יותר זול ככה כי היצרן לא צריך לחבר שני כרטיסי רשת נפרדים. כפועל יוצא של התמיכה ב-VLAN-ים אז אפשר לעשות קונפיגורציה יותר חכמה עם OpenWRT.
נ.ב. כן, זה תיאורטית פוגע בביצועים אבל כל עוד זה מגיע ל-1Gbps זה גם ככה לא יהיה צוואר הבקבוק. אגב, לפעמים יש גם בעיות אחרות עם זה, לדוגמה ב-WR1043NDv1 עד שהקושחה עולה ומקנפגת את ה-VLAN-ים אז ה-Switch מעביר תקשורת חופשית בין ה-LAN ל-WAN, פוטנציאלית מאפשר לחדור לכם לרשת (אם כי כנראה שרק הספק יוכל לעשות את זה).
...

·

למעשה המצב הוא בדיוק הפוך. ברוב הנתבים הזולים, כאלה כמו אותו C7 למשל קיימים שני כרטיסה רשת עצמאיים, שאחד מהם כבר מחובר למתג מנוהל של חמישה פורטים. ובשביל לראות את הנקודה המדוברת צירפתי כבר מקודם את הממשק ניהול של שעוסק בכרטיסי רשת פיזיים, במתג וב VLANS של הנתב C7. בממשק זה ניתן לראות בבירור את שני כרטיסי רשת עצמאיים, בעלי מעבד מרכזי נפרד לכל אחד מהם. אבל אני אצרף עוד הפעם את הצילום הרלוונטי וגם אסמן את הנקודות באדום. כמובן, אחרת גם לא יכול להיות, כי כל נתב שחייב לספק מהירות LAN TO WAN של יותר מ 450MBPS חייב לכלול שני ממשקי רשת עצמאיים.
באמת שפעם לפני שנים רבות עוד היו נתבים בעלי כרטיס רשת אחד שמחובר למתג של שישה פורטים שהייה על ידי שימוש ב VLANS מייצר הפרדה בין LAN ל WAN. דוגמה לכך, היא TP-Link TL-WDR4300 למשל. כל הנתבים האלה שהיו נפוצים לפני יותר מעשור תמכו גם במהירויות חיבור לאינטרנט של עד ל 300MBPS. אבל מדובר על היסטוריה רחוקה.

sys_admin · שליחה #18 23/09/2018 16:46

rm1 כתב:אם לא הפעלתה את אופצית ה VLAN ב C7 אתה יכול גם לאפשר ולחסום גישה לרשת הביתית מהשרתים הוירטואלים וה VPN
ע"י חוקים ב pfsense
...

·

בשביל ש PFSENSE שמותקן על מכונה וירטואלית שמחוברת דרך כרטיס רשת פיזי בודד לרשת ישמש כנתב לרשת זו, נדרש שהחיבור של המחשב פיזי שמארח את המכונה הוירטואלית יהיה מחובר לרשת זו דרך מתג שתומך ב VLANS וב VLAN TRUNKING. המתג, זה יכול להיות מתג שבנתב C7 או מתג מנוהל ייעודי שבו כבר יוגדר VLAN TRUNK על אותו פורט שמחובר בו כרטיס רשת של מחשב שמריץ את המכונה וירטואלית. ואז, VLAN אחד ישמש לחיבור למודם שדרכו PFSENSE יחובר לאינטרנט ו VLAN אחר ישמש לרשת LAN ועוד VLAN יוגדר לצורך רשת של אותם השרתים הווירטואליים שאליהם כבר מתחברים מרחוק דרך VPN ושהם צריכים להיות מבודדים מהרשת LAN הביתית. אחרי זה, כמובן נדרש להגדיר את החוקים של FIREWALL ב PFSENSE, בין VLANS השונים. אחרת, לא ניתן להפריד בצורה אמתית את תתי רשתות אלו, שללא השימוש ב VLANS מחוברות בתווך משותף. צירפתי שרטות פשוט שממחיש את המבנה של רשת זו

rm1 · שליחה #19 23/09/2018 17:57

@sys_admin
תמיד אתה צריך לדחוף VLAN ומתג מנוהל לכל מקום.
במקרה הזה לא צריך בכלל. !!
סה"כ צריך לחבר את השרת לרשת רגיל בחיבור רגיל ללא כל VLAN שמילן.
את הכרטיס הפיזי מנתבים לצד ה WAN של ה pfsense
הצד ה LAN שלו הוא מחובר לסויץ וירטואלי במכונה ולשאר המכונות הוירטואליות.
בנתב C7 צריך להפנות את פורט ה VPN לכתובת ה WAN שמוגדר ל pfsense.
זהו.
שאר ההגדרות והניתובים ו OPENVPN מוגדר רגיל ב pfsense כאילו הוא השרת שמחובר ישירות לאינטרנט.
אפשר לחסום את הגישה לרשת הביתית דרכו ואפשר לפתוח סלקטיבית מה שרוצים.

sys_admin · שליחה #20 23/09/2018 18:21

@rm1
·

מה לעשות. כמו שתגיד. כל פעם שצריכים רשת מחשבים ישר דוחפים שם כרטיסי רשת, כבלים ומתגים. כך גם שצריכים להפריד רשתות על גבי תשתית פיזית יחידה, אז לצורך זה משתמשים ב VLANS. ומדובר על דבר טריוויאלי שבשימוש ברשתות מחשב כבר משנות התשעים.
כמובן שבמקרה זה, כמו גם במקרים אחרים ניתן להשתמש במקום ב VLANS בהתקנה של כרטיס רשת פיזי נוסף במחשב שמריץ את השרת הווירטואלי, רק שזה יהיה מיותר ועדיף גם לשימושים עתידיים לא לבצע את זה עם כרטיס רשת פיזי נוסף. וכל זה מסיבה פשוטה, והיא ש PFSENSE הוא נתב שצריך לשרת את הרשת המדוברת ומה לעשות שנתב מצריך יותר ממשק רשת אחד, שיכול להיות ממשק פיזי או וירטואלי ( VLAN ). כך, שבמקום לחבר את הכניסת WAN של PFSENSE למודם עם כרטיס רשת נוסף, ניתן לבצע את זה בקלות על ידי הגדרות מתאימות על גבי תשתית קיימת עם VLANS. זה כל הסיפור.