[mirekwirek]

Cześć,

przebudowuję u siebie w domu sieć i tak się zastanawiam czy nie przekombinowuję z dodatkowym ruterem na wejściu. Ale jakoś mam poczucie (mając publiczne IP), że to dobre jednak rozwiązanie.

ISP światłowód 1Gbps/100MBps
Ruter firewall: Mikrotik HEX RB750GR3
Sieć LAN: Mikrotik 2011UiAS-2HnD (stary poczciwy, ale już 7 lat u mnie służy)
AP CAP: Mikrotik RBcAPGi-5acD2n + RB952Ui-5ac2nD (robi też za switch gdzie wpinam urządzenia IoT)
Na osobnym serwerku mam Pi hole DNS + apki do zarządzania domem (część moich apek chodzi na K8s).

Trochę martwi mnie, czy rutery te obsłużą wchodzący 1 Gbps i czy posiadanie takiego łącza ma sens. Podobno nowy routerOS ma sporo poprawek do HEXa i zaczął się wyrabiać. Jeszcze nie miałem okazji tego przetestować.

Na pewno planuję VPN postawić. Myślałem na drugim ruterze Mikrotik 2011UiAS-2HnD. Tylko znów boję się, że to obciąży procki i nie przerobi tego Gbps.

A może ten router HEX na początku nie ma sensu? Jakieś podpowiedz, zmiany, sugestie?
Myślałem część urządzeń podpiąć pod Mikrotik HEX RB750GR3, ale
- znów, czy to nie obciąży go zbytnio
- to wiążę się otwarciem ruchu do sieci lokalnej, a tego chciałem uniknąć i blokować na Fw.

#mikrotik #siecikomputerowe #komputery #sieci #internet

[Bad_Wolf]

@mirekwirek: za bardzo kombinujesz.
Poczytaj o podwójnym natowaniu.

[adii_22]

Trochę za bardzo kombinujesz. O ile @Bad_Wolf: mówi o podwójnym natowaniu, to fakt, nie jest to fajne i jest to upierdliwe w używaniu i diagnozowaniu, to za wiele złego nie ma w tym rozwiązaniu. No dobra, obciąża dodatkowo CPU. Ale staraj się go uniknąć.
Jak ja to widzę:
Jako router, w ramach którego będzie:
- brama domyślna - klient ppp (?)
- nat
- firewall
- serwer vpn (WIREGUARDA SPRAWDŹ BOŻE

[mirekwirek]

Poczytaj o podwójnym natowaniu.

@Bad_Wolf: Ale za bardzo nie widzę problemów w podwójnym NATowaniu. A jednak jest to dodatkowy krok (czy mocno utrudniający?) dla potencjalnych hakerów. Nawet jak ktoś wejdzie na Fw (Mikrotik HEX), to na kolejnym LANowym mogę dać regułę, żeby nie wpuszczał ruchu z interfejsu WAN (drop all from WAN not DSTNATed).

[supra107]

@mirekwirek: Właśnie zastanawia mnie po co stawiać dodatkowy router pomiędzy modemem a routerem głównym, jaki tak naprawdę masz benefit? RouterOS sam w sobie ma bardzo rozbudowany system zapory, więc tak naprawdę większym sensem byłoby zastąpienie tych dwóch routerów jednym, mocniejszym.

Do tego można pomyśleć czy potrzebny ci jest jakikolwiek hotspot przy głównym routerze czy nie, biorąc pod uwagę że i tak MirkoTiki mają słaby zasięg WiFi, więc może bardziej opłacalne będzie

[adii_22]

A co do ruchu z zewnątrz do sieci lokalnej: unikaj chamskiego otwierania wszystkich portów jak leci - nie potrzebujesz SSH mieć wystawionego na świat, prawda? PRAWDA?
Jeśli jakakolwiek usługa może mieć dostęp jedynie przez VPN, wrzucaj to do VPN. Wówczas jedynym portem, jaki będziesz mieć otwarty, to port dla tunelu i elo. A co w tunelu puścisz, to Twoja już spokojna i rozczochrana. Ułatwia to zarządzanie firewallem potem i ewentualne debugowanko.

[adii_22]

@mirekwirek: @supra107: Jeśli chcesz zrobić taką fortecę, to zamiast pierwszego MT #!$%@? jakiegoś dedykowanego firewalla, nie wiem, pfsense czy inny opensense, ale licz się z dropem wydajności

[mirekwirek]

@adii_22: Czyli
Mikrotik HEX - Fv, DHCP, NAT, VPN
Mikrotik 2011 - tak na prawdę w roli switcha, wyłączam WiFi, ale może z niego zrobić CAP Managera (już tak jest)
Reszta Mikrotików jak jako CAP AP + switch

Tak mam rozumieć?
Mnie martwi zabezpieczenie sieci LAN przed potencjalnymi atakami, stąd (m. in. podwójny NAT, choć nic złego w tym nie widzę) Mikrotik HEX miałby się głównie tym zająć.

[mirekwirek]

może bardziej opłacalne będzie zainwestowanie więcej w bardziej potężniejszy router bez WiFi,

@supra107: A coś z Mikrotików polecasz?
Osobiście boję się, że ciężko będzie znaleźć sprzęt co pociągnie zarządzanie CAP, Fv, NAT, VPN i do tego nie wysiądzie przy łączu 1 Gbps.

[adii_22]

@mirekwirek: wiesz, podwójny nat traktujemy raczej jak coś upierdliwego, coś w rodzaju złych nawyków, ale jeśli to ogarniasz, to kim jesteśmy żeby mówić ci jak masz żyć? ( ͡º ͜ʖ͡º)
Mam jednego MT w sieci w roli switcha i sprawdza się doskonale, a wynika on z konstrukcji mieszkania i farta. Miałem zbędnego MT a do pokoju tylko jeden LAN xD
No i w sumie dość dobrze

[adii_22]

@mirekwirek: zdefiniuj wysiadanie przy przerzucaniu 1gbps (✌ ﾟ ∀ ﾟ)☞

[mirekwirek]

@adii_22: Z deklarowane 1Gbps wyciągam 350Mbps o czym wielu użytkowników MT HEX o tym pisało. Choć podobno nowy soft sporo zmienił.

A cały wjazd do sieci planuję tylko właśnie przez VPN. WIREGUARDA Mikrotika? Jak to potem z dostępem z PC/Mobile?

[adii_22]

@mirekwirek: są apki na chyba każdy os, nawet gdybyś BDSM... Znaczy się bsd postawił.

[krzywy_kanister]

@mirekwirek: @adii_22: podwojne natowanie nie ma jakiegokolwiek sensu i nie wprowadza bezpieczenstwa zwlaszcza w domu co jest absurdem, swoja droga pierwszy nat tez nie wprowadza bezpieczenstwa, je masz na firewallu, nat to translacja adresow a nie firewall i sa dziury w sofcie ktore pozwalaja sie przebic pomimo tego, ze niby odrzucane sa polaczenie nieprzychodzace.

[eFFF256]

@mirekwirek: ja podejdę do tego stricte technicznie i wydajnościowo. Cap AC (RBcAPGi-5acD2n) powinien być twoim głównym routerem bo jest najwydajniejszy (jak ktoś nie wieży niech sprawdzi tabelki na stronie MT), na jednym porcie robisz wan na drugim lan i do switcha (majlepiej z poe). hex'a można użyć jako firewall (dodatkowo jakiś failover i VPN). 2011 i RB952Ui-5ac2nD powinny być switchami i AP-kami.
TL;DR: zamień miejscami cap ac i 2011UiAS-2HnD ( ͡

[mirekwirek]

@eFFF256: Właśnie problemy wydajnościowe mnie martwią. HEX ma być pożyczony. Stąd uznałem, że jednak trzeba robić zakupy. Wybór padł na RB4011 ale... nie ma tego nigdzie. Dostawy na koniec stycznia, początek lutego. Tyle czasu bym nerwowo nie wytrzymał, więc wybór padł na HAP AX3. Powinien dać radę.

Finalnie:
- HAP AX3 robi za główny ruter, + NAT, DHCP, CAP Manager i Wireguard (ciut nie jestem przekonany jako VPN)
- HEX stanie

[adii_22]

@mirekwirek: nie przejmował bym się wydajnością pihole jako serwera DNS. Nie do końca wiem ile hostów w sieci będziesz miał, ale jeśli nie postawiłeś tego na ziemniaku to nie przejmował bym się. To tylko DNS i nie przerzuca ruchu a jedynie rozwiązuje nazwy domenowe na IP. W sieci domowej wątpię abyś wygenerował taka ilość zapytań na DNS.
U mnie pihole przy 10 urządzeniach (regularnie) w sieci i kilku listach nie powoduje

[mirekwirek]

nie postawiłeś tego na ziemniaku to nie przejmował bym się

@adii_22: Problem, że ta maszyna ma co robić:
- domoticz
- Minikube i kilka apek do mojego IoT
- Influx
- Grafana
- Pi hole
- Shinobi (rejestrator wideo do kamer) - w planach zakupić dedykowane urządzenie chcę i odciążyć serwer

load average: 4.49, 2.66, 1.87

vendor_id : GenuineIntel
cpu family : 6
model : 58
model name : Intel(R) Core(TM)

[adii_22]

@mirekwirek: o kurde. Trochę się jednak nie nudzi ta maszyna

[mirekwirek]

@adii_22: Minikube i Shinobi zabija maszynę - 4 kamery HD i rejestracja. Choć Influx też tam trochę rejestruje danych.