Pardalot
Usuari@ ADSLzone
- Mensajes
- 23
Buenas a todos.
Puesta en escena de la chapuza que alguien ha hecho:
En un edificio hay un videoportero con salida a Internet, con su propia red dentro del segmento 192.168.1.0/24, con un router propio en la 192.168.1.1 y dicho videoportero tiene su IP dentro de dicho rango (192.168.1.30). Cada vivienda accede al videoportero a través de la domótica de cada uno mediante una pantalla táctil o bien mediante una app en los dispositivos móviles de dicha vivienda.
Obviamente, lo suyo sería hacer las cosas bien implementando VLANs. Pero han dejado todo abierto de manera que todas las viviendas acceden con su red interna a la red del videoportero "a pelo". O sea, están con IP dinámica dentro del mismo rango de red. A tomar por saco privacidad, conflictos de IPs, que alguien asigne la IP del videoportero a algún dispositivo suyo, choques entre routers etc... En cada vivienda tienen también internet, y con toda probabilidad un router con la misma IP que el de la red del videoportero. Ya sé que en cualquier momento puede explotar todo y que lo suyo es que lo hagan bien, pero es un cristo hablar con los vecinos y con los distintos instaladores, por lo que he decidido tirar por la calle de enmedio para tener seguridad en mi red mientras se subsana de alguna manera.
Lo que se me ha ocurrido, que he probado "en seco", sin conectar al videoportero pero con equipos de prueba es lo siguiente y quería pediros opinión para ver si es una cosa muy burra o sería válida:
Tengo un RB3011 con un bridge para la LAN en el segmento 192.168.0.0/24 y el puerto ether10 para la conexión como cliente DHCP a mi router de Internet en la red 192.168.1.0/24. Sí, ya sé que es la misma red que el videoportero, pero no quiero cambiar ninguno de mis rangos.
Se me ha ocurrido poner en el rack del videoportero un hAP ac que tengo por ahí sin usar y configurar una VPN entre el ether1 del hAP y el ether9 de mi RB3011, el cual he sacado del bridge, y asignarles una ip a cada uno fuera del rango de las demás (192.168.50.1/30 y 192.168.50.2/30). Una vez establecido el túnel, le asigno a la VPN las IPs 10.20.20.1/30 y 10.20.20.2/30 respectivamente. En mi RB3011 (casa) hago una regla de firewall para que únicamente permita la entrada de tráfico VPN desde la MAC del ether1 del hAP ac, y que permita el paso únicamente al tráfico de esa VPN previamente marcado con mangle (podría poner algún filtro más, relativo a los puertos que se utilicen en la comunicación entre dispositivos pero eso ya lo haré cuando los tenga funcionando). Y creo dos tablas de enrutamiento, en el RB3011 le digo que todo lo que vaya a la 192.168.1.30 (la IP real del videoportero) lo tire por la 10.20.20.2 (la IP VPN del hAP ac en el rack comunitario) y en el hAP ac le creo la ruta inversa, que todo lo que vaya a la 192.168.0.0/24 (mi LAN) lo tire a la 10.20.20.1 (la IP VPN de mi RB3011).
He hecho una prueba poniendo un PC con la IP del videoportero y accediendo desde mi red a él por SMB, pudiendo acceder a los archivos y respondiendo al ping, por tanto el videoportero debería funcionar sin problemas desde mi red.
Al no ser un dispositivo que tenga que estar constantemente accediendo, no necesito crear VLANs ni dejar ese puerto dentro del bridge para nada, por eso se me ha ocurrido lo de la VPN con filtrado MAC.
¿Qué os parece la ñapa que he hecho para solventar el problema? Se admiten sugerencias
Un saludo a todos y feliz 2022.
Puesta en escena de la chapuza que alguien ha hecho:
En un edificio hay un videoportero con salida a Internet, con su propia red dentro del segmento 192.168.1.0/24, con un router propio en la 192.168.1.1 y dicho videoportero tiene su IP dentro de dicho rango (192.168.1.30). Cada vivienda accede al videoportero a través de la domótica de cada uno mediante una pantalla táctil o bien mediante una app en los dispositivos móviles de dicha vivienda.
Obviamente, lo suyo sería hacer las cosas bien implementando VLANs. Pero han dejado todo abierto de manera que todas las viviendas acceden con su red interna a la red del videoportero "a pelo". O sea, están con IP dinámica dentro del mismo rango de red. A tomar por saco privacidad, conflictos de IPs, que alguien asigne la IP del videoportero a algún dispositivo suyo, choques entre routers etc... En cada vivienda tienen también internet, y con toda probabilidad un router con la misma IP que el de la red del videoportero. Ya sé que en cualquier momento puede explotar todo y que lo suyo es que lo hagan bien, pero es un cristo hablar con los vecinos y con los distintos instaladores, por lo que he decidido tirar por la calle de enmedio para tener seguridad en mi red mientras se subsana de alguna manera.
Lo que se me ha ocurrido, que he probado "en seco", sin conectar al videoportero pero con equipos de prueba es lo siguiente y quería pediros opinión para ver si es una cosa muy burra o sería válida:
Tengo un RB3011 con un bridge para la LAN en el segmento 192.168.0.0/24 y el puerto ether10 para la conexión como cliente DHCP a mi router de Internet en la red 192.168.1.0/24. Sí, ya sé que es la misma red que el videoportero, pero no quiero cambiar ninguno de mis rangos.
Se me ha ocurrido poner en el rack del videoportero un hAP ac que tengo por ahí sin usar y configurar una VPN entre el ether1 del hAP y el ether9 de mi RB3011, el cual he sacado del bridge, y asignarles una ip a cada uno fuera del rango de las demás (192.168.50.1/30 y 192.168.50.2/30). Una vez establecido el túnel, le asigno a la VPN las IPs 10.20.20.1/30 y 10.20.20.2/30 respectivamente. En mi RB3011 (casa) hago una regla de firewall para que únicamente permita la entrada de tráfico VPN desde la MAC del ether1 del hAP ac, y que permita el paso únicamente al tráfico de esa VPN previamente marcado con mangle (podría poner algún filtro más, relativo a los puertos que se utilicen en la comunicación entre dispositivos pero eso ya lo haré cuando los tenga funcionando). Y creo dos tablas de enrutamiento, en el RB3011 le digo que todo lo que vaya a la 192.168.1.30 (la IP real del videoportero) lo tire por la 10.20.20.2 (la IP VPN del hAP ac en el rack comunitario) y en el hAP ac le creo la ruta inversa, que todo lo que vaya a la 192.168.0.0/24 (mi LAN) lo tire a la 10.20.20.1 (la IP VPN de mi RB3011).
He hecho una prueba poniendo un PC con la IP del videoportero y accediendo desde mi red a él por SMB, pudiendo acceder a los archivos y respondiendo al ping, por tanto el videoportero debería funcionar sin problemas desde mi red.
Al no ser un dispositivo que tenga que estar constantemente accediendo, no necesito crear VLANs ni dejar ese puerto dentro del bridge para nada, por eso se me ha ocurrido lo de la VPN con filtrado MAC.
¿Qué os parece la ñapa que he hecho para solventar el problema? Se admiten sugerencias
Un saludo a todos y feliz 2022.
