Ločevanje omrežja na oddaljeni lokaciji (dostop nazaj)

Pozdravljeni,

ker na področju omrežja nisem ravno strokovnjak (razumem določene osnove) se obračam na vas za pomoč. V našem gasilskem domu je postala potreba po internetni povezavi. Ker je gaislski dom vidno dostopen na daljavi 200m od mojega doma, smo se odločili, da kupimo dve Tenda O3 WiFi antene in internet delimo ter prejemo preko teh anten od mojega doma do gasilskega doma. V gasilskem domu imamo potem ločen usmerjevalnik (router), kateri potem servira WiFi signal. Zadevo sem uspešno skonfiguriral in internat v gasilskem domu deluje.

Prilagam sliko mojega domačega omrežja z IP naslovi in oddaljenega omrežja (gasilski dom) z IP naslovi.


No kje pa imam sedaj težavo in zakaj sploh odpiram to temo. Na oddaljeni lokaciji sem kabel iz antene namenoma vtaklnik v port WAN, saj želim, da to omrežje postane popolnoma ločeno omrežje. S tem namenom sem temu omrežju dodelil tudi svojo mejo IP naslovov. Usemerjevalnik ima IP naslov 192.168.2.1, DHCP pa dodeljuje naslove od 192.168.2.100 - 192.168.2.200. Maska pa je v obeh omrežjih /24 oz. 255.255.255.0. Ugotovil pa sem, da lahko iz oddaljene lokacije še vedno dostopam do vseh naprav iz mojega domačega omrežja. To je težava katero imam in katero ne vem kako rešiti. Torej kadar sem v gasilnem domu lahko enostavno vpišem 192.168.1.1 in pridem do usmerjevalnika v mojem domačem omrežju. Prav tako lahko pridem do AP-jev iz mojega domačega omrežja, če vpišem naslov 192.168.1.10 ali 192.168.1.20 ali 192.168.1.30. To se mi zdi varnosnto sporno in moja želja je popolnoma omejiti dostop do mojega domačega omrežja iz oddaljenega omrežja (gasilski dom). Mislil sem, da bom z ločevanjem subneta dosegel ravno to, saj je gasilski dom na subnetu 192.168.2.X/24 moje domače omrežje pa na subnetu 192.168.1.X/24 ampak vidim da temu ni tako.

Kot zanimivost pa sem opazil še to. Kadar sem v moje domačem omrežju, nikakor ne morem dostopati do usmerjevalnika v oddaljenem omrežju. Torej če vpišem naslov 192.168.2.1 ne najde ničesar (host unreachable). Ironično je to, da trenutno zadeva deluje ravno obratno kot si želim. Torej jaz iz mojega doma želim imeti dostop do usmerjevalnika v gasilskem domu, želim pa blokirati dostop naprav povezanih na usmerjevalnik v gasilskem domu, do naprev v mojem domačem omrežju. Zakaj to deluje tako? Zakaj od doma ne morem dostopati do usmerjavlnika v gasilskem domu in zakaj lahko iz gasilskega doma dostop do vseh naprav v mojem domačem omrežju? Zakaj zadeva deluje ravno obratno kot si želim da deluje? Te zadeve mi niso jasne.

Torej kaj delam narobe? Kako lahko dosežem, da bom še vedno serviral internet iz mojega doma do gasilskega doma, hkrati pa blokiral popolnoma ves dostop iz oddaljenega omrežja do naprav v mojem domačem omrežju? Torej želim enosmerni promet do gasilskega doma, prav tako pa želim popolnoma blokrati povezovanje nazaj, saj nočem, da kdorkoli ki se bo povezal na WiFi v gasilskem domu, da lahko enostavno "šara" po napravah v mojem domačem omrežju.

Mi lahko prosim svetujete kaj delam narobe, oz. kako lahko dosežem to kar sem zapisal. Za podrobno shemo mojega domačega in oddaljenega omrežja, ter IP naslovov naprav in anten si oglejte priloženo sliko.

Še dodatne informacije.

To so trenutne nastavitve usmerjevalnika v gasilskem domu.
Connection Type: Dynamic IP
LAN IP: 192.168.2.1
WAN IP: 192.168.1.252
Subnet Mask: 255.255.255.0
Default Gateway: 192.168.1.1
Preferred DNS Server: 192.168.1.1

Hvala v naprej in lep pozdrav.

DiaMonDer je 27. okt 2024 ob 11:31 izjavil:

Pozdravljeni,

Mi lahko prosim svetujete kaj delam narobe, oz. kako lahko dosežem to kar sem zapisal. Za podrobno shemo mojega domačega in oddaljenega omrežja, ter IP naslovov naprav in anten si oglejte priloženo sliko.

Narobe je to, da oddaljeni Internet strežeš iz svojega LANa.

Rešitvi sta dve:

1) wifi anteno (ki ima verjetno svoj ethernet port) priklopiš na switch od ponudnika Interneta pri tebi. Tako sta tvoj domači internet in gasilski internet v bistvu priklopljena paralelno - ti ne moreš do onega, oni pa ne do tvojega.
Če rabiš priti do njihovega Interneta, si skonfiguriraj VPN na gasilski strani

2) verjetno imaš wifi povezavo v bridging načinu - kar pomeni, da ima tvoja tenda in ona tenda vsaka en IP iz tvojega omrežja. Poišči, če je ta možnost, če lahko vpišeš v svojo tendo filter (access-list) in sicer dovoliš ves promet, kjer je source IP od gasilske tende, destination IP pa od default gatewaya v tvoji mreži, nato pa prepoveš ves drugi promet, kjer je source IP od remote tende.

Tako v bistvu samo dovoliš komunikacijo z internetom, vendar pa ne s tvojimi internimi napravami.

Osebno mislim, da je prva rešitev boljša, ker promet gre mimo tvoje LAN mreže. Morda imaš težavo s kakšno drugo tehnikalijo, recimo da imaš switch od ponudnika Interneta v kleti, ti pa imaš Tendo ne vem, na vrhu hiše.

Ni boljša rešitev dva vlana ?

Ali recimo moj tplink ima pri wi-fi napravah opcijo AP isolation, kar pomeni, da wi-fi povezane naprave lahko dostopajo samo do neta (www), a hkrati nimajo dostopa do lan-a ?



Če prav razumem imaš sedaj že tako nastavljeno ?

tenda 03 pdf oline https://static.tenda.com.cn/tdeweb/down... AP/client mode-a obstajata, stran 32, v tem primeru se obe povezani tenda anteni obnašata kot navaden upt kabel (ni wi-fija od njih)

gasilski dom = sosed

Če želiš deliti internet s sosedom, ne da bi mu omogočil dostop do svojega lokalnega omrežja (LAN), obstaja več korakov, ki jih moraš upoštevati. Ključ je v pravilni nastavitvi anten in ločitvi omrežja za soseda. Tukaj je vodnik, kako to doseči:

### 1. **Nastavitev tvoje Tenda O3 antene**
Najprej moraš pravilno nastaviti Tenda O3 anteno na tvoji strani:

- Poveži se z vmesnikom Tenda O3 in nastavi način **Access Point (AP)** ali **Bridge** (odvisno od tega, kaj omogoča tvoja naprava).
- Dodeli anteni statični IP naslov, ki je izven DHCP območja tvojega usmerjevalnika, npr. **192.168.1.2**.
- Preveri, da se antena povezuje s tvojo mrežo brez napak in da se lahko poveže na internet.

### 2. **Nastavitev sosedove Tenda O3 antene**
Sosed mora svojo Tenda O3 anteno nastaviti kot **Client** ali **Bridge**, da se bo povezala z tvojo anteno:

- Poveži se z vmesnikom sosedove Tenda O3 antene in jo nastavi v način **Client**.
- Vneseš SSID in geslo tvoje Tenda O3 antene, da se bosta lahko povezali.
- Dodeli sosedovi anteni statični IP naslov, ki je izven tvojega DHCP območja, npr. **192.168.1.3**.

### 3. **Nastavitev sosedovega Wi-Fi usmerjevalnika**
Sedaj mora sosed pravilno nastaviti svoj Wi-Fi usmerjevalnik:

- **WAN povezava**: Poveži sosedov Wi-Fi usmerjevalnik z njegovo Tenda O3 anteno prek WAN porta.
- WAN port sosedovega routerja bo prejel IP naslov iz tvojega omrežja (npr. **192.168.1.101** preko DHCP-ja).
- **LAN omrežje**: Na sosedovem usmerjevalniku ustvari ločeno LAN omrežje, ki se razlikuje od tvoje omrežne sheme.
- Na primer, nastavi LAN IP naslov njegovega routerja na **192.168.2.1** z ustreznim DHCP območjem (npr. **192.168.2.100 - 192.168.2.150**).
- Tako bo imel sosed svoje ločeno omrežje (192.168.2.x), ki bo omogočalo dostop do interneta, vendar ne do tvojega LAN omrežja (192.168.1.x).

### 4. **Ločitev omrežij (Routing in Firewall)**
Za dodatno varnost in da preprečiš dostop soseda do tvojega LAN omrežja:

- Na svojem Wi-Fi usmerjevalniku preveri, ali imaš možnost nastaviti **VLAN** (Virtual LAN) ali **Firewall** pravila.
- Če imaš možnost, lahko ustvariš pravilo, ki preprečuje promet med **192.168.1.x** (tvoje omrežje) in **192.168.2.x** (sosedovo omrežje).

Na primer, pravilo bi izgledalo takole:
- **Source IP**: 192.168.2.0/24
- **Destination IP**: 192.168.1.0/24
- **Action**: Deny
//to nastaviš na vsaj eni tenda 03 anteni

Če tvoj usmerjevalnik ne omogoča nastavitve VLAN-ov ali pravil požarnega zidu (firewall), bo sosed s pravilno nastavitvijo svoje antene in Wi-Fi usmerjevalnika vseeno ločen od tvojega omrežja, saj bo v svojem podomrežju (192.168.2.x).

### 5. **Preverjanje delovanja**
Ko vse pravilno nastaviš:

- Preveri, da imaš še vedno dostop do interneta prek svoje Tenda O3 antene.
- Preveri, da se sosed lahko poveže na internet prek svoje antene in Wi-Fi usmerjevalnika.
- Preveri, da sosed ne more dostopati do tvojega omrežja (npr. do naprav znotraj 192.168.1.x).



tvoj router je na 192.168.1.1, subnet mask 255.255.255.0
packet filter in Vlan sta v tenda pdf-ju na strani 84/91.

Fak no, a ne morete iti do operaterja, da vam da internet za 20 EUR mesečno?

Al boste raje porabiti 1000 EUR, da boste vzpostavili link z enim, ki ga že ima ?!?!?!?

Hvala vsem za pomoč. Na koncu mi je uspelo izolirati obe omrežji. Potrebne so bile manjše spremembe kaj je kam priključeno ampak zadeva sedaj deluje.

Storil sem sledeče. Usmerjevalnik Zyxel podpira definiranje VLAN-ov, tako da mi ni bilo treba kupiti nove opreme. Torej naredil sem dva VLAN-a na svojem glavnem usmerjevalniku Zyxel.

VLAN Home: Vsa vrata razen LAN3
VLAN FireHouse: vrata LAN3

Potem sem konfiguriral omrežje za "VLAN Home" da uporablja podomrežje 192.168.1.0/24 in "VLAN FireHouse" da uporablja podomrežje 192.168.2.0/24. Poleg tega sem moral pripeljati kabel od antene Tenda O3 direktno do glavnega usmerjevalnika Zyxel, ki sem ga priključil v vrata LAN3. To je vse, kar sem naredil, in omrežja so sedaj pravilno izolirana.

Lp