Chiarimento DMZ

[saturn]

tra qualche giorno inizio a fare tutto... anche perchè separare le reti comporta che devo passare anche dei nuovi cavi di rete in casa e posizionare nuovi switch (userò quelli unmanaged), man mano che vado avanti ti farò vedere le impostazioni...

leggendo i tuoi consigli, se ho ben capito, se non ho intenzione di mettere online il Nas, quest'ultimo è più sicuro lasciarlo in Lan che metterlo in DMZ, perchè la Lan non ha host esposti direttamente in internet, quindi in DMZ è meglio mettere la PS4.
Se tu non avessi l'esigenza di mettere online il Nas, dove lo collegheresti, in Lan o in DMZ?

[kiokoman]

mi sembrava di averlo spiegato bene ma te continui a chiamarlo DMZ.
non esiste DMZ su pfsense. esiste WAN / LAN / OPT1 / OPT2 / OPT3 etc etc
è l'utente che in base alla configurazione che gli da la fa diventare una DMZ.

la mia rete è più o meno così,.. non sono mai stato bravo a disegnare ...

[saturn]

no scusa, ti sei spiegato bene dall'inizio, effettivamente io mi sono imballato con "DMZ", ma dopo tutto che che mi hai spiegato mi è chiaro WAN / LAN / OPT1 / OPT2 / OPT3 etc etc, però vorrei un tuo consiglio personale:
io ho a disposizione 4 porte, 2 le uso per WAN e LAN, in OPT1 vorrei mettere il WiFi, in ultimo in OPT2 la PS4, a questo punto resta il Nas che non devo mettere online, ma usare solo in Lan, quindi è meglio lasciare il Nas in Lan oppure in OPT2
dove c'è la PS4 che è online?

[kiokoman]

considerando che anche i tuoi pc della LAN e del WIFi sono "online" opterei per metterlo in opt2 dove hai la ps4, secondo me sarebbe la rete più sicura

[saturn]

invece io pensavo alla Lan perchè non ha pc esposti direttamente verso internet, al contrario credevo che su OPT2 c'è la PS4 che è sempre esposta a internet, quindi se violata era più semplice accedere al Nas facendo parte della stessa rete.

Quindi ho fatto bene a chiederti anche questo, di conseguenza collego il Nas in OPT2

[kiokoman]

il problema della tua LAN e' che lì i pc possono prendere virus
mentre la PS4 ad oggi è inviolabile da remoto (il sistema è Orbis OS, basato su freebsd, lo stesso di pfsense) ! e non puoi prendere virus li... da non confondere con hacking e jailbreak, sono un altra cosa ...

[saturn]

quindi in un certo modo anche i pc della Lan sono sicuri, perchè uso Ubuntu 18.04 LTS?

[kiokoman]

sicuramente più di windows

[saturn]

Riflettendo su quello che mi hai detto in merito alla PS4, allora credo che la lascio in Lan e in OPT2 collego solo il Nas?

Approfitto anche per chiederti un parere su Clamav (conviene installarlo / è efficace)?

[kiokoman]

su ubuntu? mai usato antivirus

[federicop]

@kiokoman ma lo switch lo gestisci tramite Vlan's per gli indirizzi ip differenti, oppure colleghi tutto insieme e fai gestire dal pfsense?

finalmente ho un po di tempo per metere mano alla mia rete e sistemarla e vorrei ottenere un risultato simile al tuo - unica nota che pfsens è in virtuale, ma ovviamente posso dedicargli le schede di rete che voglio per ottenere le varie OPT

[kiokoman]

ciao Federico, il mio switch è managed, cisco sg-350x, le porte sono configurate trunk per le varie vlan. le vlan partono da pfsense quindi lo switch e' configurato come L2 e il routing viene effettuato da pfsense. per la mole di dati che ho in casa non otterrei grossi vantaggi nel configurare lo switch in L3.

[federicop]

@kiokoman SCUSA ma non sono ferratissimo sulle vlan. quindi ti chiedo due chiariarimenti...

quando dici che le porte sono configurate trunk come L2 per le varie vlan vuole dire che hai configurato lo switch con il nome della per la porta specifica, poi PFSense aggancia quel nome in vlan e assegna gli ip tramite dhcp ecc....

io ho questa situazione.
pfsense in come macchina virtuale, quindi teoricamente devo assegnare uno switch virtuale nel Vmware, agganciarci una scheda di rete specifica, coniugare lo switch trunk, e PFSense con gestione vlan della OTP1 (webcam).

spero di essermi spiegato bene.

[kiokoman]

non sono molto pratico di vmware, in pratica quello che ho fatto io e' creare le vlan sul pfsense che arrivano tutte all'uplink dello switch poi ad ogni porta dello switch ho assegnato la vlan che volevo

[federicop]

@kiokoman in pratica l’unico dubbio che ho è se assegnare schede di rete fisiche a VMware e collegare alla macchina virtuale o lavorare sullo switch virtuale della lan.... farò dei test

[federicop]

@kiokoman Risolti tutti i problemi di base pfsense metto mano alla configurazione della DMZ ma qualcosa no torna.
1- creo l'interfaccia

2 - creo la vlans

3 - abilito l'intrefaccia e gli assegno l'ip

4 - abilito il dhcp all'interfaccia

5 - edito i ruless e dò tutto passante (per testare)

6 - poi vado sullo switch e configuro la vlan e l'assegno alla porta dove c'è collegata la webacam

però non funziona..... dove ho sbagliato??

[kiokoman]

non prende neanche l'ip dal dhcp?
i dns sono siruamente sbagliati
non puoi assegnare 127.0.0.1 ai client
non so cosa sia 192.168.0.120, un tuo server dns?, c'e' una regola sul firewall che permetta il traffico verso di lui?
hai assegnato vlan ID 3 untagged alla porta GE1, ma come hai configurato il trunk che gliela trasporta ?

se guardi qui c'e' la mia configurazione
https://forum.netgate.com/topic/146045/unable-to-route-between-vlans/7

[federicop]

@kiokoman hai ragione.... il 127.0.0.1 ora lo tolgo, e si il 192.168.0.120 è un mio server dns.
per le regole come ho scritto per il momento (per fare i test) ho messo *

dove verifico come è configurato il trunk?

[kiokoman]

se e' un cisco quello che hai, guarda il link così vedi come è configurato il mio.
il cavo di rete va dal mio pfsense allo switch nella porta XG2 configurato Trunk con vlan1 untagged, vlan 20 tagged e vlan 30 tagged
VLAN Management -> interface settings -> imposti la porta che va al pfsense come trunk
se non hai un cisco non ho idea di preciso cosa devi fare, tieni presente che la porta che va dal pfsense allo switch deve trasportare sia la VLAN1 untagged che la VLAN3 tagged che hai creato, poi distribuisci alle altre porte quello che ti server

[federicop]

la porta è 10 (e id vlan 2 ma tutto configurato come sopra tranne il tag che è il 2 non il tre ) ho fatto due DMZ

@kiokoman