iptables Firmen-/Maschinennetz

[Waldbone]

Hallo liebe Community,

ich habe in der Firma eine kleine Netzwarkherausforderung bei der ich eure Unterstützung brauche und hoffe das ihr mir helfen könnt.



Aktueller Stand: Bestehendes Firmennetzwerk (192.168.1.0/24) mit Internetzugang

Aufgabenstellung: Anbindung einer Maschine (192.168.100.0/24) an das Firmennetzwerk über einen zweiten Router (TP-Link WR841N mit OpenWRT und iptables)

Folgende Möglichkeiten sollten vorhanden sein:

Internetzugang aus dem Maschinennetz –> funktioniert schon mit default Konfigurations von OpenWRT

2. Aktiver Verbindungsaufbau (nur) vom Rechner PC2 (192.168.1.2) auf Dienste einzelner PC's im Maschinennetzwerk (192.168.100.0/24). Hierzu würde ich eine lokale Route auf dem PC2 festlegen (192.168.100.0/24 –> Ziel: 192.168.1.99) Was fehlt ist noch eine FORWARD-Regel in den iptables auf dem Router 2 (über OpenWRT oder direkt in iptables).

3. Ein Zugriff auf die SQL-Datenbank (192.168.1.3) aus dem Maschinennetz (192.168.100.0/24). Dies würde ich gerne über ein (Destination-)NAT Eintrag auf dem Router 2 lösen (z.B. 192.168.100.3 –> 192.168.1.3). Alternativ über Portforwarding auf Router 2(z.B Port 3306 → 192.168.1.3:3306).

Könnt ihr mir bitte da Konfigurationstips geben, wie ich die Punkte 2 und 3 in OpenWRT (oder auch direkt über die iptables) lösen kann. Vielen Dank!

[Routerdilettantin]

Erst mal ein großes Lob für den Netzwerkplan und ein Kompliment, dass du nicht ungeplant rumbastelst.

Dann überlege genau, ob ein Maschinennetz wirklich Intzernetzugang benötigt! Du machst das bitte nicht per Routing - sondern mittels Firewall-Regelwerk und hälst Zugriffe möglichst intern!
Stuxnet:
https://en.wikipedia.org/wiki/Stuxnet
Und die Firewall-Regeln machst du bitte nicht auf einer Client-/Steuer-/Management-Maschine, die auch von Innen-Angreifern leicht kompromittiert werden kann. Oder bist du sicher, dass Management-/Büro-Rechner unkompromittiert sind, keinen Internet-Zugang haben?

Dann zu OpenWRT: Das ist ein System für Plastikrouter von Privatkunden (Hauptaugenmerk neueste WLAN-Features), die 100 Euro für einen Router/Firewall zahlen möchten oder können (Consumer-Billig-Router), wie getestet? Von wievielen Forenmitgliedern? Welche und wieviele Maintainer? Regelmäßige, unverzügliche Updates, nach welcher Zeit nach Erkennung von Sicherheitslücken? Einträge und unverzügliche Bearbeitung von CVE-Datenbank-Einträgen?
http://cve.mitre.org/cve/

Ich bin bestimmt kein Freundin von Cisco, Juniper & Co - somit würde ich für eine Firma überlebenswichtige Maschinen in ein Management-Netz einordnen - ohne jedweden Internetzugang und ohne Zugang von Clientrechnern mit Internetzugang - abgekoppelt von Einkauf, Buchhaltung, Geschäftsführung, Dienstleistern - die ja nicht auf Internet verzichten wollen und können. Bedienung durch namentlich bekannte und vertrauenswürdige Mitarbeiter.
https://www.heise.de/security/meldung/E ... 54308.html

Wer einen Praktikanten an das Management-/Maschinennetz unbeobachtet lässt, hat es auch nicht anders verdient.

Wenn das jetzt irgendwelche Hausaufgaben eines FiSi sind, bitte anmerken. Dann könnte Mama lockerer bleiben.
Ansonsten VyOS, OPNSense, PFSense als Router- und Firewall-Distributionen. Und für ein Maschinennetz immer abgekoppelt von Internet, Büro, Dienstleistern. Ein explizites Managementnetz mit vertrauenswürdigen Admis und ohne Praktikanten (oder wenn, dann beaufsichtigt) wäre der Stichpunkt. VLAN01 von Switches und WLAN wäre zu vermeiden!

[Waldbone]

Hallo Kuechenphilosophin,
vielen Dank für das Kompliment.

Leider kann ich mit dem anderen überhaupt nix anfagen. Es verändert weder mein Vorhaben noch hilft es mir in irgendeiner Weise.

Dann überlege genau, ob ein Maschinennetz wirklich Intzernetzugang benötigt!

Ja, hab ich gemacht BEVOR ich den Post hier erstellt habe. JA, brauch ich.

Und die Firewall-Regeln machst du bitte nicht auf einer Client-/Steuer-/Management-Maschine

Diese werde in erster Linie auf der Firmen-Firewall / Router 1 gemacht.

Oder bist du sicher, dass Management-/Büro-Rechner unkompromittiert sind

Welcher Administrator kann SICHER gewährleisten das kein Angriff/Schadware von innen kommen kann? Ich denke keiner.
Ich denke hier ist es sinnvoll, die Andriffsmöglichkeiten Innen so klein wie möglich zu halten. Jeder Mitarbeiter kann irgenwo ein Netzwerkkabel ziehen oder ein anderes Gerät einstecken. Da kann auch kein IT-Administarot was machen.
Für die Angriffe von Aussen ist in erster Linie auch die erste Anlaufstelle (Firmen-Firewall / Router 1) zuständig).

Dann zu OpenWRT: Das ist ein System für Plastikrouter von Privatkunden

Ja, ich weiss. Und ja an dieser Stelle SOLL auch ein kostengünstiges Gerät dran. Und es wäre hier auch Unglaubwürdig zu behaupten, das in einem Unternehmen intern keine günstigen Geräte (Switche, Router, ..) verbaut werden. Die Hardware zu den Servern oder für den Internetzugang sollte industrietauglich sein. Aber darum geht es bei meinem Versucht nicht.

https://en.wikipedia.org/wiki/Stuxnet

Woher weisst du ob ich SPS-Steuerungen (insbesondere von Siemens) im Einsatz habe?


Daher Bitte Bitte Bitte, hier nur antworten was mir wirklich hilft und bei dem ich an MEINEM Vorhaben weiter komme. Danke!

[Routerdilettantin]

3. Ein Zugriff auf die SQL-Datenbank (192.168.1.3) aus dem Maschinennetz (192.168.100.0/24). Dies würde ich gerne über ein (Destination-)NAT Eintrag auf dem Router 2 lösen (z.B. 192.168.100.3 –> 192.168.1.3). Alternativ über Portforwarding auf Router 2(z.B Port 3306 → 192.168.1.3:3306).

NAT (und damit Portforwarding) auf Router 2 ist sinnlos. Router 2 kennt beide Netze out of the box (nach IF-Konfig.), da direct connected - und kann dazwischen routen.

Jeder Mitarbeiter kann irgenwo ein Netzwerkkabel ziehen oder ein anderes Gerät einstecken. Da kann auch kein IT-Administarot was machen.

Kann ein richtiger Admin weitgehend unterbinden, indem er einen Authentifizierungsserver (Domaincontroller, Radius) und Berechtigungskonzepte einsetzt und Enterprise-Switches mit Portsicherheit konfiguriert. Notfalls bittet er den Chef, bei Ebay gebrauchte Switches zu beschaffen.
https://de.wikipedia.org/wiki/Port_Security
Beispiel Cisco: https://itsecblog.de/cisco-port-security/
(Hoffentlich steckt bei euch nicht mal ein beleidigter Mitarbeiter eine einfache Schleife, brückt 2 Switchports, dann geht das gesamte Segment nicht mehr. Viel Spaß bei der Suche mit Logs von Consumertechnik.)

Woher weisst du ob ich SPS-Steuerungen (insbesondere von Siemens) im Einsatz habe?

Ich weiss auch nicht, ob schon die Nachfolger von Stuxnet für eure NC-Maschinensteuerungen, IoT und Soft-SPS, Datenbanken und ERP-Systeme installiert wurden, Botnetze, Industriespionage sowie Locky" & Co. sind wohl etwas üblicher heutzutage. Also nimm meine Worte einfach als Beispiel, als Warnung, ob ihr größere Ausfallzeiten tolerieren wollt, du als Anfänger-Admin von Billigsttechnik dafür den Kopf hinhälst, währenddessen der Chef lieber produzieren lassen und Geld verdienen möchte, was dann hoffentlich allen MA zumindest teilweise zugute kommt.

Internetzugang aus dem Maschinennetz –> funktioniert schon mit default Konfigurations von OpenWRT

Das weist darauf hin, dass mit deinem "Default" NAT aktiv ist (*), was auf Router 2 sinnlos und kontraproduktiv ist, jedoch ootb dem Netz dahinter Zugang auf das Netz davor - aber nicht umgekehrt - beschert. Du mögest dich also mit statischen Routen und Routing-Tabellen beschäftigen, beide Router müssen die Netze hinter dem Partnerrouter kennen. Router 1 benötigt also eine statische Route zum 100er Netz, Router 2 (ohne NAT) eine Default-Route über Router 1. Iptables auf OpenWrt / Router 2 benötigst du nur, um Zugänge zu beschränken, nicht um zu verbinden, NAT mit Portforwarding zu vergewaltigen/aufzubohren!

Tipp
Weiterhin ungünstig geplant: Router 1 (Default Gateway für Firmennetz) empfängt und sendet auf dem gleichen IF Richtung Maschinennetz. 1 Router mit 3 IFs genügt hier - verbessert und vereinfacht. OpenWrt kann VLANs, VLAN-fähige Switches vervielfachen Ports. Und OpenWrt kann man auch auf vernünftiger (gebrauchter) Server-Hardware mit Reserveserver (cold standby) installieren. Dazu vielleicht 2 hübsche Netzwerkkarten I350-T4 von Ebay? Moderne, kleine, stromsparende, leise Firewalls von Netgate bzw. Deciso sind für eine Firma, die nicht kurz vor der Insolvenz steht, wohl angemessener. Bei Bedarf kauft man eben Support oder Erstkonfiguration. Man kann billig und gleichzeitig verantwortungsvoll bauen. Mit Plastikroutern bist du an xWRt für ARM-CPUs gebunden und hoffst auf die richtige Forenhilfe (hier eh falsch, Debian <> xWrt). OPNSense und pfSense mit möglichem hot standby installieren viele Firmenadmins, OpenWrt kaum.

hier nur antworten was mir wirklich hilft und bei dem ich an MEINEM Vorhaben weiter komme. Danke!

Es ist eher ein Vorhaben deiner FIRMA mit Verantwortung für ein menschenwürdiges Einkommen aller Mitarbeiter. Aber gern geschehen.

(*) Admin-Sprichwort: Hinter jeden Router passt immer noch ein NAT-Router.