In navolging van mijn topic uit 2017 ( https://userbase.be/forum/viewtopic.php?f=55&t=49606 ) heb ik dankzij corona toch maar eens de tijd genomen om mijn netwerk onder handen te nemen.
De noden zijn iets veranderd, ipv wat te prutsen met subnets achter een bbox heb ik een paar jaar geleden een Ubiquity Edgerouter-X aangeschaft om daar mijn ganse netwerk achter te smijten.
Kortom dient de bbox dan nog enkel maar als bridge (guest wifi/lan) en wordt de PPPoE sessie vanop de ER-X opgezet.
Nu, voor ik mijzelf buiten sluit heb ik eerst een proof-of-concept opgezet met een VyOS router en een VM op een esx. En dat werkt nu.
(zeer gemakkelijk aangezien zowel ubnt en VyOS afstammen van de oude vyatta (core))
Nu waar ik jullie voor nodig heb ik eigenlijk om te verifieren en na te gaan dat ik niks vergeten ben, dat de juiste firewall rules geconfigureerd zijn etc ...
(hopelijk zijn jullie dus bekend met de VyOS/ubnt configuraties.
Code: Selecteer alles
vyos@VyOS01:~$ show configuration
firewall {
all-ping enable
broadcast-ping disable
config-trap disable
group {
port-group WEBSERVER {
port 80
}
}
ipv6-receive-redirects disable
ipv6-src-route disable
ip-src-route disable
log-martians enable
name WAN_IN {
default-action drop
description "WAN to internal"
enable-default-log
rule 10 {
action accept
description "Allow established/related"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
rule 100 {
action accept
destination {
address 10.1.10.11
port 80
}
log enable
protocol tcp
state {
new enable
}
}
}
name WAN_LOCAL {
default-action drop
description "WAN to router"
rule 10 {
action accept
description "Allow established/related"
state {
established enable
related enable
}
}
rule 20 {
action drop
description "Drop invalid state"
state {
invalid enable
}
}
}
receive-redirects disable
send-redirects enable
source-validation disable
syn-cookies enable
twa-hazards-protection disable
}
interfaces {
ethernet eth0 {
address 192.168.1.221/24
description OLD-LAN
}
ethernet eth1 {
address 10.1.10.254/24
description LAN
}
loopback lo {
}
pppoe pppoe0 {
authentication {
password ****************
user xxxxxxx@PROXIMUS
}
default-route auto
description WAN
firewall {
in {
name WAN_IN
}
local {
name WAN_LOCAL
}
}
mtu 1492
no-peer-dns
source-interface eth0
}
}
nat {
destination {
rule 10 {
description "Port forward 80 to webserver"
destination {
port 80
}
inbound-interface pppoe0
protocol tcp
translation {
address 10.1.10.11
}
}
}
source {
rule 100 {
outbound-interface pppoe0
source {
address 10.1.10.0/24
}
translation {
address masquerade
}
}
}
}
protocols {
}
service {
dhcp-server {
shared-network-name LAN {
authoritative
subnet 10.1.10.0/24 {
default-router 10.1.10.254
dns-server 1.1.1.1
lease 86400
range 1 {
start 10.1.10.10
stop 10.1.10.20
}
}
}
}
dns {
}
lldp {
interface all {
}
}
snmp {
community routers {
authorization ro
client 192.168.1.108
client 192.168.1.114
}
listen-address 192.168.1.221 {
port 161
}
location "Home esx"
trap-target 192.168.1.114 {
community routers
port 162
}
v3 {
engineid xxxxxxxxx
group defaultgroup {
mode ro
seclevel priv
view defaultview
}
user prtg {
auth {
plaintext-key ****************
type md5
}
group defaultgroup
mode ro
privacy {
plaintext-key ****************
type aes
}
}
view defaultview {
oid 1 {
}
}
}
}
ssh {
port 22
}
}
system {
config-management {
commit-revisions 100
}
console {
device ttyS0 {
speed 115200
}
}
domain-name xxxxx.xx
host-name xxxx
login {
user vyos {
authentication {
encrypted-password ****************
plaintext-password ****************
}
}
}
ntp {
server 0.pool.ntp.org {
}
server 1.pool.ntp.org {
}
server 2.pool.ntp.org {
}
}
syslog {
global {
facility all {
level info
}
facility protocols {
level debug
}
}
}
time-zone Europe/Brussels
}
Online port scanner zeggen nochtans dat enkel maar poort 80 open staat, wat ook klopt en de website is te benaderen.
Laat jullie kritische oog hier eens op los en bezorg mij van alle feedback die jullie nodig achten om mij te vrijwaren van boze hackers op het internet.
Schema:
Firewall:
UPDATE:
2020-05-15 Visio tekeningen toegevoegd van firewall en opstelling.
