On 2011-03-21 22:13, Nicolai Clemmensen wrote:
> On 2011-03-21 21:57, Nicolai Clemmensen wrote:
>> On 2011-03-12 09:29, Sørensen wrote:
>>> Jeg har intern net f.eks. 192.168.1.1 fra udbyderens router, jeg gerne
>>> have et "usikkert net" til gæster.
>>>
>>> Jeg har prøvet med en ekstra router tilsluttet en port på udbyderens
>>> routeren og f.eks sat til 192.168.5.1
>>>
>>> Men hvis jeg er på "gæstenettet" kan jeg stadig taste 192.168.1.1 og se
>>> udbyderens router, og det er jeg ikke tryg ved.
>>>
>>> udbyders router understøtter DMZ hvis det kan bruges til noget.
>>>
>>> udbyderens router kan ikke skiftes ud.
>>
>> De 2 hurtigste løsninger som jeg kan komme i tanke om:
>>
>> Hvis du har et eksternt modem (ikke indbygget i udbyderens router), så
>> kan du tilslutte en switch og sætte modem og begge routere til denne
>> switch. Dette er selvfølgelig forudsat at du har ledige IP-addresser fra
>> udbyderen.
>> Dette er nok den foretrukne metode.
>>
>> Ellers
>>
>> 1. Konfigurer udbyderens router med en DMZ-addresse.
>> 2. Skift LAN IP-området til noget andet, og læg routeren på en meget
>> uigennemskuelig addresse. F.eks. 10.5.8.43.
>> Det kræver også at du omkonfigurerer DHCP, men det lyder som om du har
>> styr på det meste.
>> 3. Bloker ICMP (ping), fra LAN-siden, sådan at man ikke vil kunne bruge
>> trace-route værktøjer.
>> 4. Tilslut din gæste-router's WAN port til en LAN port på udbyderens
>> router.
>> 5. Konfigurer gæste-routeren's WAN side med DMZ IP-addressen, som du
>> opsatte på udbyderens router.
>> 6. Flyt web-interfacet på udbyderens router til en anden port end 80.
>>
>> Når det er gjort vil man enten skulle port-scanne udbyderens-router,
>> (som man ikke umiddelbart kender addressen på), eller skulle vide
>> addresse og port-nummer for at kunne komme ind.
>>
>> Dermed ikke sagt at det ikke kan lade sig gøre. Det er bare blevet svært.
>>
>>
>> Håber at det giver godt stof til eftertanke :)
>>
>>
>> Med Venlig Hilsen
>> Nicolai Clemmensen
>
> Lige som en tilføjelse.
>
> Hvis du skal tilgå routeren, skal du derefter bruge f.eks.:
>
http://10.5.8.43:PORT
> Hvor PORT svarer til det port-nummer du valgte.
>
> Det hele er grundet NAT/PAT allerede begrænset en hel del, men
> kommunikation er stadigvæk delvist tilladt, fra gæste-nettet til det
> andet net.
>
> Hvis det skal være helt perfekt, f.eks. i (semi-)professionelt brug,
> anbefaler jeg også kraftigt at du opsætter firewall restriktioner, så
> brugere fra gæste-nettet ikke kan tilgå computere på det andet net.
>
> Derudover kan du med en firewall også begrænse hvilke porte som
> gæste-nettet må komme ud til internettet på, hvilket kan være en fordel,
> hvis man eksempelvis vil blokere til alt andet en port 80 (HTTP-trafik).
>
>
> Med Venlig Hilsen
> Nicolai Clemmensen
Vås!
Nu kommer jeg op at diskutere med mig selv! :D
Når gæste-routeren ligger i DMZ, vil den selvfølgelig ikke kunne nå
computere på den anden router, men vil stadigvæk kunne nå routeren selv
(selvfølgelig, for at kunne komme ud).
Oh well, but better safe than sorry ;)
Firewall'en kan dog stadigvæk være en god ting, da du stadigvæk kan
bruge den til at blokere for alle porte, med undtagelse af dem du vil
åbne til gæste-nettet. Derfor vil du kunne blokere for adgang til
web-interfacet.
F.eks. kan man opsætte en firewall regel lige før gæste-routeren (evt.
på gæste-routeren, hvis den har firewall) der hedder:
(Fra gæste-nettet til det andet net)
Hvis destinationen er udbyderes-router, og porten er DINPORT, så smid
pakkerne.
Med Venlig Hilsen
Nicolai Clemmensen