You are viewing a single comment's thread from:
RE: Zu OP und zu geil: Meine neuen Wochenenden-Projekte!
Also mir ist vom Lesen schon schwindelig, hoffe du behältst den Überblick. Stell ich mir im laufenden Betrieb auch nicht so einfach vor.
Ich wünsch dir jedenfalls viel Spaß und gutes Gelingen!
Der Überblick geht eigentlich ;) und ist auch nicht soo kompliziert: Ein VLAN ist praktisch ein virtuelles LAN. Ein LAN ist eine Verbindung von zwei oder mehr netzwerkfähigen Geräten (z.B. ein PC) innerhalb eines kleinen Bereiches, z.B. zu Hause, oder die damaligen LAN-Parties.
Du kannst dir ein VLAN in etwa wie einen erweitertes Gast-WLAN vorstellen. Bei deinem Router zu Hause hast du die Funktion eben so ein Gast-WLAN anzuschalten. Der Unterschied vom Gast-WLAN zum "normalen" WLAN ist der, dass das Gast-WLAN ein isoliertes Netz ist (isoliert vom "normalen" WLAN) und daher nicht zu den Geräten die mit dem "normalen" WLAN verbunden sind kommunizieren kann. Ein VLAN ist eben erweitert, in dem Sinne, dass man per Regeln am Router einstellen kann z.B. VLAN1 darf zu VLAN2 funken/kommunizieren, aber VLAN2 nicht zu VLAN1. Man kann auch einstellen dieses VLAN darf nur ins Internet funken und bekommt von den restlichen VLANs nichts mit.
Der laufende Betrieb geht eigentlich recht gut, der große Brocken ist das einrichten. Besonders wenn schon Netzinfrastruktur da ist, die man austauschen muss, wie eben die beiden Switches auszutauschen gegen managed Switches. Ein managed Switch versteht VLAN: Da stellst du z.B. ein was an Steckplatz A kommt wird nur zu VLAN1 weitergeleitet. Ein normaler Switch versteht das nicht, der leitet alles an alle und das Gerät das es letztendlich betrifft nimmt es sich dann. Aber wenn mal alles eingerichtet ist, dann läuft das ohne große Umstände. Das Einzige was mir grad einfallen würde wäre wenn ich total anonymisiert surfen möchte am PC, muss ich die Netzwerkschnittstelle am PC ändern (was der am wenigsten umständliche Weg ist). Ich habe praktisch ein Pi angeschlossen, in einem eigenen VLAN, das den Traffic über Tor lässt. Praktisch keine .onions aufrufen, dazu bräuchte es mehr, aber wenn ich z.B. Steemit eingebe, dann läuft es nicht direkt von meinem PC/meiner IP an Steemit, sondern wird verschleiert durch die Hops an die Tor-Relais. Dann kann ich beim PC einfach umswitchen und sagen du funkst jetzt über die Torschnittstelle und am managed Switch habe ich am Port an dem der PC angeschlossen ist VLAN1 und VLAN2 verfügbar. Wechsle ich also die Schnittstelle am PC (software-technisch), funkt der plötzlich übers VLAN2 z.B. statt übers 1er. Die Alternative wäre ein eigener Port am Switch der nur VLAN2 hat und wenn ich übers Tor funken möchte, stecke ich den Stecker vom PC um. Das wäre dann der umständliche Weg ;)
Und eben, die wichtigen Dinge sind alle im selben VLAN verbunden (NAS, PC, Remote Desktop, VPN vom Smartphone). Alles unwichtigere oder potenziell unsichere ist in seinem eigenen VLAN drinnen und per Regeln am Router kommen die nur in ihr eigenes VLAN, sehen praktisch z.B. das NAS nicht im anderen VLAN.
Das ist schon eher übertrieben für ein Heimnetz, zugegeben, ist mehr was für Unternehmen, aber es macht mir halt Spaß daran zu basteln ;)
Was total übertrieben ist, ist nachher dann der USB-Stick: Der ist praktisch wie ein Schlüssel. Ich muss den zu Hause ins Pi reinstecken, was zum Monitoren des Netzwerktraffics verwendet wird, dann öffnet sich ein Fenster mit einem Menü und ich kann z.B. SSH aktivieren (praktisch dass ich von PC A einen Befehl an PC B ausführen kann). Ich kann SSH dann wieder manuell deaktivieren, oder einfach den Stick rausziehen, dann wird das sofort wieder deaktiviert. Dann schickt mir die KI, die die Logs auswertet, per Telegram eine Nachricht: Auffälliges Verhalten im VLAN2 z.B. dann kann ich per Telegram den Kill Switch-Befehl schicken und VLAN2 wird abgeschalten. Hat dann kein Internet mehr. Um es wieder zu aktivieren ist die einzige Möglichkeit zu Hause dann den USB-Stick am Monitoring Pi einzustecken und zu sagen VLAN2 wieder aktivieren (total OP->over powered, aber auch total cool^^)
Und joa.. Eben für den Minecraft Server erstelle ich für jeden der mitspielt einen eigenen VPN, der nur auf diesen Server verbinden darf und auch nur an diesen einen Port für Minecraft. Ein Virus auf einem fremden Gerät kann dann höchstens in dieses VLAN rein und sieht nur den Server. Zusätzliche Absicherung: Den Server im Docker betreiben (eine Art Virtualisierung, wie Virtual Box), dann kommt der Virus nichtmal aufs Host-System ;)
Es ist ein sehr aufwändiges Projekt, ich habe das zusammen mit Claude AI geplant, solange bis der Chat richtig träge wurde. Also bat ich es um eine Zusammenfassung und es spuckte mir ein Word mit 9 DIN A4 Seiten aus^^ also ja, aufwändig, viele Aspekte, aber dafür auch richtig cool ;)