Как разделить WAN по IP адресам?

Question

[Алексей Поваров]

Здравствуйте, друзья!
Имеется офисная сеть, организованная по следующей схеме:

Хотим иметь отдельный доступ к видеонаблюдению извне. Отдельный, то есть не связанный с офисной сетью, чтобы в случае получения доступа к видеонаблюдению злоумышленника, он не смог заодно попасть и внутрь офисной сети.

То, что придумали на сегодняшний день, выглядит следующим образом:

У нас два интернет-провайдера на случай перебоев с одним из них. Провайдера 1 не трогаем, у провайдера 2 заказываем второй IP-адрес, собираем то, что представлено на втором рисунке (после замены чем-то рабочим блока "Что-то") и отключаем коммутатор офисной сети от коммутатора видеонаблюдения. Логика следующая: доступ к видеонаблюдению будем осуществлять по второму ip-адресу провайдера 2, для остальной сети ничего не изменится (её защита обеспечивается уже дальше - маршрутизатором и прокси-сервером). Ну и соответственно, чтобы не забивать интернет-канал, доступ к видеонаблюдению из внутренней сети тоже должен осуществляться не "через интернет", а внутри блока "Что-то".

Следовательно, блок "что-то" должен:
1. На вход WAN получать поток с 2 ip адресами и разделять его на 2 LAN выхода (на каждый LAN свой ip)
2. Уметь пробрасывать порты. Видимо, это уже будет роутер, на WAN которого будет приходить шнурок с ip адресом для видеонаблюдения. Желательно ещё, чтобы он пробрасывал порты только для набора ip-адресов, с которых к нему осуществляется доступ, а остальным ip-адресам "отказывал".
3. Проводить обмен данными между сетями внутри себя, а не "через интернет".

Блоком "Что-то" можно заменить и наш маршрутизатор, если это будет правильнее.
Подскажите, пожалуйста, какое оборудование, или набор оборудования нам нужно купить, и где искать необходимые настройки?

Спасибо!

Comments

[Максим Васильев]

VLAN пробовали?

[Алексей Поваров]

Максим Васильев: А к чему тут можно применить VLAN?

[Максим Васильев]

Алексей Поваров: к порту "видео-провайдера", и ко всей подсетке видеонаблюдения

Answer 1

[АртемЪ]

Как разделить WAN по IP адресам?

Маршруты и файервол.

Подскажите, пожалуйста, какое оборудование, или набор оборудования нам нужно купить

Никакое.

Comments

[Алексей Поваров]

Спасибо за ответ! Будьте добры, подскажите, пожалуйста, более подробно про маршруты и файервол. Гугл по этому вопросу выдаёт всё, что угодно, а в нашем маршрутизаторе мы ничего подобного не нашли.

[Алексей Поваров]

На нашем маршрутизаторе всё это настраивается на уровне "WAN1, WAN2", а у нас будет именно два ip адреса от провайдера на одном WAN/

[Alex Suvoroff]

Алексей Поваров: рискну предположить, что АртемЪ имел ввиду настройку файрвола на проброс порта до управлялки видеонаблюдением и настройку политик маршрутизации для передачи пакетов в интернет через нужный интерфес провайдера.

[АртемЪ]

Все видео вынести в отдельную сеть.
Запретить доступ из этой сети в рабочую сеть предприятия файерволом маршрутизатора.
Разрешить на файерволе входящие соединения по определенным портам в нужную сеть.

[Алексей Поваров]

Alex Suvoroff: Спасибо за пояснение! От провайдера приходит два IP адреса на одном шнурке, а на маршрутизаторе любое управление интерфейсами провайдера происходит только на уровне выбора порта WAN1, WAN2 и тд. Правильно ли я понимаю, что для реализации такой схемы мне нужно перед маршрутизатором добавить коммутатор, на вход которого пустить шнурок от провайдера, а из выходов - 2 шнурка на входы WAN1 и WAN2 маршрутизатора? А на маршрутизаторе для каждого WAN уже указать свой IP? Будет ли в таком случае трафик между офисной сетью и сетью видеонаблюдения идти не "через интернет", а внутри вновь установленного коммутатора?

[Алексей Поваров]

АртемЪ: Понятно, спасибо! В Tp-Link TL480T+ весьма скудные настройки файервола, зато есть NAT. Как думаете, если поставить в соответствие внутреннему IP адресу видеорегистратора один из предоставляемых интернет-провайдером IP адресов, и отключить коммутатор видеонаблюдения от коммутатора офисной сети, получится то, что нужно? Или использование NAT небезопасно? Источник вот здесь: www.tp-linkru.com/faq-381.html

[Алексей Поваров]

Алексей Поваров: Или даже просто пробросить порты до видеорегистратора и отключить коммутаторы друг от друга?

[Alex Suvoroff]

Алексей Поваров:

Правильно ли я понимаю, что для реализации такой схемы мне нужно перед маршрутизатором добавить коммутатор, на вход которого пустить шнурок от провайдера, а из выходов - 2 шнурка на входы WAN1 и WAN2 маршрутизатора?

если исходить из решения в лоб, то оно должно сработать

А на маршрутизаторе для каждого WAN уже указать свой IP?

да, каждый ВАН со своим ИП

Будет ли в таком случае трафик между офисной сетью и сетью видеонаблюдения идти не "через интернет", а внутри вновь установленного коммутатора?

если у вас маршрутизация настроена правильно, то внутренняя сеть будет ходить внутри и в обход коммутатора, единственное придется указать дополнительный маршрут для интернета, чтобы выходить с одного из двух ИП в сеть, например: 0.0.0.0 gw WAN1/WAN2, какой нужен для выхода в сеть сами решайте.

А вообще, я бы посоветовал посмотреть возможности вашего маршрутизатора TP-Link, немного почитав гугл сложилось впечатление, что для организации безопасного доступа во внутреннюю сеть из вне его может не хватить. В качестве альтернативы можно присмотреться к продуктам Mikrotik, там довольно просто реализовывается проброс портов + настраиваются необходимые ограничения по доступу из вне

Answer 2

[VitGun]

А чем VPN с авторизацией по сертификату не угодил?

Comments

[Алексей Поваров]

Спасибо за ответ! Непонятно, как реализовать при помощи VPN с авторизацией по сертификату данную схему. Для оборудования видеонаблюдения нужен самый простой доступ по IP:port, а офисная сеть должна быть закрыта.

[VitGun]

Алексей Поваров: Выделить видеонаблюдение в отдельный vlan и заворачивать на него траффик vpn. VPN даст защиту от, а vlan ограничит сегмент доступа из vpn.

Answer 3

[Андрей Корытов]

Мне кажется все гораздо проще можно сделать, тем более у вас стоит микротик. Посмотрите в сторону DMZ, мне кажется это именно то, что вам нужно, в микротике настраивается на раз, в гугле много информации.

Comments

[Алексей Поваров]

У нас TP-Link. Но всё равно спасибо за ответ )

[Андрей Корытов]

Алексей Поваров: Извиняюсь, видимо совсем заработался, что померещилось. Но в TP-Link тоже конечно это все есть.

Answer 4

[Алексей Поваров]

Alex Suvoroff: Огромное спасибо за ответ! Есть ещё один момент: всё, что поступает на маршрутизатор, перенаправляется на прокси, где почти всё и запрещается, в том числе и наш выход на видеонаблюдение, поэтому из того, что было в наличии, собрали вот такую схему

Как думаете, будет правильно работать? Естественно, с учётом Вашего замечания о правиле дополнительного маршрута, т.е. к видеонаблюдению из внутренней сети будем обращаться только через порт маршрутизатора, соответствующий IP1

Comments

[Alex Suvoroff]

Если у вас стоит прокси, то вам маршрут по-умолчанию для сети интернет (0.0.0.0) надо отправлять на прокси. А трафик для камер наблюдения перенаправлять на выход IP2, в противном случае будет ситуация, когда вы подключаетесь к камерам через IP2, а они отправляют вам ответы с IP1 (либо вообще не отправляют из-за блокировки проксей). И для того, чтобы работала схема, нужно пробрасывать порты на Роутере с IP2 (соответственно он должен уметь это + иметь возможность закрыться от несанкционированного доступа). Я бы посоветовал вам вывести видео-наблюдение в отдельную сеть/подсеть, чтобы было проще управлять маршрутами, либо использовать VLANы

[Алексей Поваров]

Alex Suvoroff: Большое спасибо за ответ! Сейчас так и есть: для офисной сети и для видеонаблюдения отдельные VLANы, но т.к. директор хочет иметь возможность смотреть видео со своего компьютера, то совсем разделить сети не получилось. Отсюда, собственно, и идёт всё вышеизложенное изобретательство )
Введя схему, которую благодаря Вам и удалось придумать, мы сможем вообще физически отключить видеонаблюдение от офисной сети и иметь отдельный доступ к видео и к сети офиса, при этом трафик между сетями можно будет гонять как раз внутри коммутатора, соединяющего маршрутизатор с IP1 и роутер с IP2. Насчёт перенаправления трафика, повезло, на маршрутизаторе как раз есть функция выбора порта для взаимодействия с каким-либо IP-адресом, вот и свяжем с помощью неё IP1 и IP2. Протестировать пока не получилось, потому что ещё не получили от провайдера второй IP адрес, но думаю, должно работать. Ещё раз спасибо!

[Alex Suvoroff]

Алексей Поваров: вы можете настроить доступ к VLANу IP-камер из сети офиса для хоста директора, остальные хосты денайить (Я правда не уверен, что маршрутизатор это умеет), но это одно из решений по взаимодействию, либо как вариант разжиться еще одной сетевой картой и запихнуть туда IP из подсети IP-камер. Есть еще один вариант - это использовать для подключения VPN, но это уже отдельная тема) Отпишитесь потом, получилось или нет, так то это все теории, которые практикой надо проверять

[Алексей Поваров]

Alex Suvoroff: Собственно, сейчас на коммутаторах именно так VLAN'ы и настроены, но начальство хочет суперпупер безопасность ) Чтобы злоумышленник не попал через компьютер директора в офисную сеть, да и на сам компьютер директора тоже. Понятно, что тот, кому всё это будет очень нужно, просто придёт и изымет всё оборудование, не разбираясь во всех этих хитросплетениях, но нам-то свою работу сделать нужно, и схема, согласитесь, выглядит красиво и даже вполне может убедить в своей некоторой надёжности и безопасности ) По результатам сборки, конечно же, отпишусь!

[Alex Suvoroff]

Алексей Поваров: не надо пробрасывать порт на компьютер директора, либо только камеры, либо вообще ничего. В случае если руководство хочет иметь доступ к наблюдению, используя рабочий комп в офисе, настраивайте VPN, наделяйте его высоким уровнем безопасности (авторизация по ключу и т.д.) и всё будет хорошо.

[Алексей Поваров]

Alex Suvoroff: Ок, с этим понятно, спасибо! Отписываюсь по результатам сборки вышеуказанной схемы. Работает, только доступ к видеонаблюдению идёт не внутри коммутатора, а через интернет. Пока что ломаем голову над этим )

[Alex Suvoroff]

Алексей Поваров: немного неясно, что значит не внутри коммутатора. Если вы вывели видео-наблюдение в отдельную сеть и не связали её с сетью офиса, тогда вам надо либо наладить между ними маршрутизацию, либо добавить какой-нибудь компьютер в сеть видео.

, а через интернет

камеры из интернета доступны?

Answer 5

[Raul Duke]

Я бы смотрел в сторону настройки VLAN'ов. Видеонаблюдение - в одном VLAN'е, офисная сеть - в другом. К тому же, оборудование ваше VLAN (в том числе 802.1q) поддерживает.

P.S. А чтобы из офисной сети потом иметь доступ к просмотру видеонаблюдения, обращаемся к видеосерверу по внешнему IP, используя "обратную петлю" (loopback).

Comments

[MrJeos]

Как понять "в том числе 802.1q"? 802.1q это и есть VLAN.

[Алексей Поваров]

Конечно, Вы правы! Всех этих изобретений и не было бы, так вся загвоздка в том, что директор тоже хочет иметь возможность смотреть видео со своего компьютера, поэтому независимых VLAN'ов не получается..

[Raul Duke]

MrJeos: 802.1q - это тегированный VLAN. А есть еще VLAN на основе портов.
@Алексей Поваров А что мешает директору получать доступ к видеонаблюдению через внешний IP, а не внутренний?

[Алексей Поваров]

Raul Duke: Большое спасибо за участие в теме! Даже не поленились сделать картинку ) Правда, очень приятно! Всё же директору мешает получить доступ к видеонаблюдению через внешний IP наш прокси - через него проходит всё, что идёт в нашу сеть, и как правило, он всем отказывает ) С этой идеи мы впринципе и начали, но "потыкавшись", поняли, что лучше не соваться. Никто толком не знает, как работает этот прокси и что он там делает, зато начальство спокойно ) Поэтому и изобрели схему, представленную выше. По сути, это то же самое, что Вы предлагаете, только видеонаблюдение и офисная сеть физически на разных коммутаторах (сейчас так и есть, только коммутаторы соединены друг с другом и настроены VLAN'ы, чтобы в офисной сети не болтались камеры и видео мог смотреть только директор), всю "кухню" офисной сети мы не трогаем, а просто соединяем её с видеонаблюдением через коммутатор. У офисной сети свой внешний IP, у видеонаблюдения - свой. Обращаться через этот внешний IP и будем, а трафик пойдёт внутри коммутатора и не будет забивать интернет-канал. Всё это в теории, пока ещё провайдер не предоставил второй IP адрес. Как соберём, обязательно отпишусь о результатах. Ещё раз спасибо!

[Laskka]

имхо я бы делал на основе VLAN.
разделяем сегменты на уровне пакетов (текущее оборудование позволяет), для роутера это становится два различных виртуальных интерфейса, далее настраиваем на роутере маршрутизацию для директора., и файрволы на ван интерфейсе и влан 11 чтоб никто в локалку не забрался.
почему так - имея 2 независимых провайдера грешно не сделать отказоустойчивый доступ с балансировкой нагрузки.
приложенная схема подразумевает что прокси задается на локальных компах.

Answer 6

[nApoBo3]

Коммутировать второй коммутатор к маршрутизатору. Настроить на маршрутизаторе фаервол и роутинг.
Есть два варианта атаки, первая атака периметра, т.е. попытка получить контроль над маршрутизатором извне, вторая атака на сервисы за "границей" маршрутизатора. Если вы хотите обезопасить сеть и полагаете, что сервисы в сети видеонаблюдения могут быть уязвимы, то следует относиться к ней как не доверенной сети и соответствующим образом настроить фаервол( т.е. считать, что это второй такой же интернет ).
Но не следует забывать, что получив доступ к сети видеонаблюдения, злоумышленник может использовать весьма изощренную атаку основанную на данных видеонаблюдения, начиная от подсмотра паролей, заканчивая хитрой социальной инженерией.