Jak najlepiej zabezpieczyć domową sieć: Mikrotik czy cienki klient z pfSense?

Question

Witam. Zastanawiam się nad zabezpieczeniem swojej domowej sieci jakimś firewall. Ogólnie jest to standardowa domowa sieć: 2 userów, kilkanaście urządzeń jak np. telefony, odkurzacz, tv, videodomofon, NAS itd. Obecnie jej infrastruktura wygląda tak, że mam światłowód od lokalnego dostawcy...

dt1 · Accepted Answer

Witaj.
Najlepiej skorzystać z tego, co będziesz w stanie skonfigurować i czym będziesz w stanie zarządzać bez większego problemu. UTM Ci do warunków domowych nie jest potrzebny, jakiś ekstremalnie skomplikowany firewall również.

Zapewne wystarczyłoby podzielić sieć na VLANy, gdzie urządzenia SMART z chmurowym dostępem wszelkiej maści skończą w jednej sieci, monitoring i alarm jeśli występują to w kolejnych, i w jeszcze kolejnej sieci osobiste komputery czy magazyny NAS z nimi pracujące.

Prosty firewall wystarczający przed większością zagrożeń z zewnątrz da się na takim mikrotiku bez większego problemu zrobić. Od zagrożeń wynikających z pobierania złośliwego oprogramowania to nie ochroni, ale to rola programu antywirusowego w takiej sieci.

Jeśli chodzi o WiFi to lubię rozwiązania półprofesjonalne, tak więc najczęściej używam Ubiquiti Unifi, albo czasem TP-Link z serii Omada - jedno i drugie centralnie zarządzane przez kontroler, ale w jednym i drugim przypadku ten kontroler można sobie zrobić na swoim komputerze i nie musi on być włączony po konfiguracji do poprawnej pracy tych urządzeń.

Dodano po 2 [minuty]:

hAP AX2 to zupełnie fajny model, spokojnie starczy do sieci domowej, ma dość spore możliwości jak na takie pudełko. Jeśli WiFi jest zbędne, bo będziesz korzystał z AP z centralnym zarządzaniem, to również starsza wersja hAP AC2 będzie OK (też dość rozsądnej wydajności sprzęt, ale jeszcze z radiem wcześniejszej generacji).

netTv · Accepted Answer

Na początek, uwalniasz się od sprzętu operatora.
Nigdy sieci LAN nie tworzymy w oparciu o sprzęt operatora/dostawcy internetu.
W tym celu musisz porozumieć się z operatorem, że chcesz aby jego zakończenie sieci (router) było ustawione w tryb bridge lub podłączasz swój router do ONT.
Od operatora musisz otrzymać dane na temat podłączenia do sieci swojego routera np. login i hasło do sesji PPPoE lub inne warunki, które trzeba spełnić aby podłączyć swój router. Instalujesz własny router z zaawansowanym firewall i możliwością logowania ruchu np. najnowszy Mikrotik hEX refresh [E50UG] https://mikrotik.com/product/hex_2024. Jak poznasz Mikrotik OS to będziesz mógł monitorować ruch w sieci oraz rozwijać swoją wiedzę i konfigurację swojej sieci w zakresie bezpieczeństwa.

m.jastrzebski · Accepted Answer

Sam nie testowałem, ale na innych forach ludzie twierzą że roaming działa bardzo dobrze z ROS 7. Nie wyklikasz tego w 10min jak na ubi ale jak juz postawisz konfig to działa. Dodano po 8 [minuty]: >>21300175 Dwa pomysłów ode mnie, które stosuje z routertem mikrotika. 1. Pi hole, czyli własny DNS. Na wiekszych mikrotikach ze sporą ilością ramu urchomisz go w kontenerze wiec nie potrzebujesz dodatkowego urzadzenia. W pi hole można zapodac listy adresowe z rożnych żródeł, z rzadowymi włączenie. Są listy dzięki którym nie rozwiąaesz nazwy do IP dla reklam, dla stron wyłudzajacych dane, XXX, czy co tam sobie zamarzysz. Nie jest to 100% ochorna ale minimalizujesz szanse kliknecie nawet w przypadkiem w poderzany link. 2. Na samym mikrotiku masz listy adresowe. Można skryptem pobrać RBL, czyli czarne listy adresów IP które rozsyałaj spam i robią jakieś nafajne rzeczy. I wtedy bezpośrednio firewall blokuje jakikolwiek ruch do nich. Mam grubo ponad tysiąc sieci na takich RBLach ze spamhusa i abuse. 3. Do tego rzecz jasna VPN do jakiegokolwiek dostępu zdalnego, ba, VPN dodatkowo zabezpieczony przez port knocking - dzieki temu, port VPNa wyglada na zamkniety, chyba ze zapukasz w umówiony sposób - wyslesz pakiet UDP na port 4567, potem TCP na 1234 i znowu UDP na 8888 w ciągu 1minuty. Wtedy port ale tylko dla danego adrersu z którego przyszło pukanie zostanie otwarty na powiedzmy godzine.

m.jastrzebski · Accepted Answer

A tego to najstarsi górale nie wiedza. Wydaje mi się że kluczowe żeby taki człowiek ogarnął, to posiadana przez niego generalnie wiedzy na temat sieci komputerowych. Jak wiesz co chcesz zrobić i po co, to rozwiązanie w necie znajdziesz i przeklikasz. Na dowolnym urządzeniu. Jak nie wiesz ze chcesz lub wręcz musisz cos skonfigurować to z braku śwaidomości możesz pozostawić dziurę i sobie zrobić krzywdę. Ale podjerzewam że powyższe dotyczy zarówno mikrotika jak i pfsensa. Ba, na tplinku domowym mozna zostawic admin/admin i zrobić se kuku. Pewnie parę procent urzadzeń dostępnych w necie ma hasło admin/admin. Dodano po 3 [minuty]:Na forum mikrotika są relacje sprzed póltora roku że działa i że jest stabilne. Sam nie testowałem. Chwilowo brak budzetu czasu i parcia na zakup AXów Ubi Lity ciągle robią robotę.

Konto nie istnieje · Accepted Answer

No to 1,5 roku temu niestety z CAPsMANem ne działało mimo wielu zapewnień, że działa ale dzięki za info, przetestuję ponownie.

Konto nie istnieje · Answer

Ja bym tylko dodał, że najlepszy firewall to jest drop all na porcie WAN dla nowych (niepowiązanych) pakietów. Jest to jeden wpis i to wszystko. Przed tym wpisem zezwala się na ruch z zewnątrz, który jest potrzebny ale jeśli żaden ruch z zewnątrz nie jest potrzebny to praktycznie ten jeden wpis wystarczy za najlepszy firewall. Inną sprawą jest przeglądanie ruchu szyfrowanego (np. HTTPS) ale w warunkach domowych spokojnie wystarcza program antywirusowy zainstalowany na komputerze i do tego UTM nie jest w domu potrzebny tym bardziej jak to miałby być UTM bez wsparcia (czyli UTM bez UTM) bo ze wsparciem (z aktualizacją) to trochę co roku będzie kosztowało dlatego pozostałbym przy programie antywirusowym na komputerze. Innym rodzajem zagrożeń są wszelkiego rodzaju chmury producenta. Dobrze jest takie urządzenia wydzielić do osobnej sieci (VLAN) by w razie draki włamywacz nie dostał się do reszty sieci. Osobiście nie używam rozwiązań chmurowych tylko rozwiązanie w sieci lokalnej + VPN (dla potrzeb sterowania z zewnątrz). Dodano po 7 [minuty]: Nie używaj pojęcia mesh bo to ma zupełnie inne znaczenie (sieć kratowa) i przez marketing jest źle wykorzystywane. Ciebie może interesować roaming WiFi (802.3 k,v,r) czyli automatyczne przełączanie wędrujących klientów do mocniejszego AP. Możesz dokupić drugiego AX23 (lub kompatybilne modele) i będzie to działać całkiem przyzwoicie. Jak chcesz mieć bardzo dobrze skorzystaj z Ubiquiti. Router mikrotik - TAK, AP mikrtotik - NIE gdyż nie działa na nim roaming WiFi. Ponoć wszedł w wersji RoS 7 ale jak to zwykle bywa - początki wdrożenia są ciężkie i np. nie działa to z CAPsMANem (kontrolerem WiFi). Gdybyś się jednak uparł na AP Mikrotika to można zasymulować roaming i mimo, że to nie będzie roaming to ja stosuję i ta symulacja roamingu działa przyzwoicie.

kamyk9988 · Answer

>>21300813 Ten router od operatora to coś takiego . Na wejściu jest światłowód, a na wyjściu RJ45, który idzie do głównego switcha, którego chcę zastąpić mikrotikiem z firewallem. Kiedyś pytałem dostawcę o ten ich router i dostałem info, że jest konieczny i mam go nie ruszać. Ogólnie ten dostawca trochę kombinuje, bo pierwotnie nie miałem nawet publicznego IP i kazali mi dopłacać za to 18 zł miesięcznie, ale się wytargowałem i zostało za free, a było mi to niezbędne do pracy przez zdalny pulpit i vpn.

Konto nie istnieje · Answer

Masz RDP wystawione na routerze poprzez przekierowanie ? No wiesz... oni też za publiczne IP płacą a skoro go nie miałeś to i nie ponosiłeś jego kosztów. Moim zdaniem to uczciwe podejście a nie kombinowanie. Kombinowaniem byłoby gdyby od razu kazali Ci płacić te 18 zł nawet wtedy gdy IP publiczny nie byłby Tobie potrzebny (a ogromnej większości nie jest potrzebny). Zapytaj dostawcę o tryb bridge.

kamyk9988 · Answer

>>21301056 no tak, tylko zazwyczaj publiczne IP jest wliczone w cenę (koszty operatora + marża = cena abonamentu) i klient nie musi o tym wiedzieć. A jak w umowie nie ma info jakie masz IP i dowiadujesz się po fakcie, że musisz dopłacać coś ponad abonament, żeby móc pracować, to jakiś niesmak pozostaje. Taki marketingowy bullshit, żeby ceny wydawały się niższe i bardziej atrakcyjne. Choć uważam, że 109 zł za 800mb/s to nie jest mało. Ale co muszę przyznać internet jest stabilny i niezawodny, więc nie narzekam. Ogólnie jestem zadowolony z operatora.

Zapytam o tryb bridge.

Odnośnie RDP nic na routerze nie ustawiałem, mam klienta vpn od gościa z IT firmy dla której pracuję i skonfigurowany plik do łączenia się przez RDP i tyle.

Konto nie istnieje · Answer

Zapytam jeszcze raz - czy wszyscy ci, którzy nie potrzebują publicznego IP (a jest ich zdecydowana większość) mieliby mieć wliczone w cenę te 18 zł i Twoim zdaniem byłoby to bardziej uczciwe ? Moim nie ale masz prawo sądzić inaczej i nie ma co kruszyć kopii. Dodano po 1 [minuty]: No tak... rozumiem teraz Twoje pojęcie uczciwości. Przenieść na klienta dodatkowy koszt, który zupełnie jemu nie jest potrzebny. To trochę tak jakbyś kupił samochód bardzo kiepsko wyposażony ale od razu zapłacił za pełne wyposażenie.... Dodano po 5 [minuty]: To dobrze, że taka wersja. p.s. klient VPN nie wymaga adresu publicznego

kamyk9988 · Answer

>>21301116 Dotychczas miałem internet w UPC i Orange i tam miałem publiczne IP bez dodatkowych kosztów, więc tutaj, może błędnie, założyłem że taki jest standard i tak też będzie. Stąd moje rozczarowanie. Po prostu moje doświadczenie było takie, że nie musiałem za nic dopłacać i abonament który płaciłem pokrywał wszystko co było mi potrzebne. Zwłaszcza, że w przypadku obecnego operatora cena do najniższych nie należy. Myślę, że to kwestia doświadczenia z rynkiem i nie ma tu opcji właściwej czy nie. Jednak jeśli nie ma publicznego IP, to w umowie powinien być zapis, co operator oferuje w zakresie umowy. Ale to na osobny temat.

Konto nie istnieje · Answer

Także uważam, że kota w worku się nie kupuje i zapis o adresie prywatnym / publicznym powinien być.

kamyk9988 · Answer

>>21301116 Odnośnie klienta VPN, to w firmie pracodawcy mam 2 opcje:
1. preferowana przez dział IT Open VPN, który jest skonfigurowany w taki sposób, że po połączeniu z nim cały ruch sieciowy idzie przez VPN i jest szyfrowany 256 bit, co powoduje taki spadek wydajności, że ciężko mówić o komforcie pracy.
2. Shrewsoft vpn, skonfigurowany tak, że przez VPN idzie tylko to co musi, czyli np. serwery licencji oprogramowania, zasoby sieciowe itd. YouTube czy inne tematy idą siecią domową.

Przy opcji nr 2 bez publicznego adresu IP efekt był taki, że klient VPN pokazywał, że tunel zrobiony i i jest połączenie, natomiast faktycznie go nie było.

Jeszcze wracając do tematu samego firewalla, to lepiej kupić takiego mikrotika jak wkleiłem, czy jakiś mały komputerek i postawić na nim pfsense lub opensense? Ogólnie jestem zwolennikiem rozwiązań, których nie trzeba ciągle doglądać i tracić czasu i energii na ciągłe ingerencje, poprawki, udoskonalenia itd. Super jakby po prostu robiło co ma robić

Konto nie istnieje · Answer

Działa - owszem - ale nie z CAPsMANem. No chyba, że już to naprawili. Dodano po 4 [minuty]: [edyta] Mikrotik jest naprawdę porządnym narzędziem i przy swojej cenie nie znam niczego co by dawało tak szerokie możliwości konfiguracyjne. Niestety konfiguracja jego wymaga to wiedzy bo nie zrobisz tam nic na zasadzie jak w sprzętach SOHO typu Tp-link czy inne. W Mietku stosuję port knocking, blokuję obce DNS (pozwalam tylko na lokalne), VPNy i pewno jeszcze by się trochę znalazło. DNS używam głównie OpenDNS w wersji FamilyShield blokujące między innymi strony pornograficzne i phishingowe.

kamyk9988 · Answer

>>21302940 Pytanie czy przy pomocy internetu w miarę kumaty człowiek techniczny da radę to ogarnąć

kamyk9988 · Answer

Decyzja podjęta. Kupię router mikrotika, na którym będzie firewall. Dziękuję wszystkim za pomoc. Temat do zamknięcia.

[Rozwiązano] Jak najlepiej zabezpieczyć domową sieć: Mikrotik czy cienki klient z pfSense?

Post #1

Post #2

Post #3

Post #4

Post #5

Post #6

Post #7

Post #8

Post #9

Post #10

Post #11

Post #12

Post #13

Post #14

Post #15

Post #16

Post #17

Podsumowanie tematu