von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Re(9): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Srv-02 — Sun, 12 Feb 2017 10:13:39 GMT

https://forum.geizhals.at/t886146,7755834.html#7755834 Wir vl.

SNMP würde ich brauchen um z.B. den Tintenfüllstand abfragen zu können oder um zu sehen ob der Drucker online ist.

Die Segmentierung bringt mir den Vorteil dass ich den Outbound Traffic des Druckers im selben Subnetz ebenfalls steuern und überwachen kann. Es gibt Exploits für Multifunktionsgeräte wo ich eine komplette Shell hab und mir z.B. die Credentials für den Zugriff aufs NAS auslesen kann, im Optimum die Domain Credentials der Benutzer.

Re(8): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Desolationrob — Sun, 12 Feb 2017 09:48:11 GMT

ich kann nicht folgen...

wir lassen wir ja die nötigen ports dazu garnicht durch, höchstens 9100 oder so um Druckaufträge sendne zu können. Bitte erklär mir mal welches angriffsszenario damit möglich sein soll.

Re(7): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Srv-02 — Fri, 10 Feb 2017 16:10:32 GMT

Wenn ich auf den beiden Clients je kritische Daten habe, dann wäre der unsichere Drucker DER Punkt an dem ich ansetzen würde um Zugriff zu beiden Netzen zu erhalten. SNMP trap ist sicher public, eine veraltete SMB Version usw.

Re(6): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Desolationrob — Fri, 10 Feb 2017 15:32:51 GMT

kommt auf die hosts an. Kritische Daten drauf,dann ja. Drucker,nein

Re(5): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Srv-02 — Fri, 10 Feb 2017 11:23:38 GMT

Wenn die Umgebung so klein ist, dann machen auch zwei getrennte Office Netzwerke keinen Sinn. Ist aber trotzdem falsch. Ich habe für Kunden schon Netzwerke segmentiert wo nur je 2-3 Hosts drinnen waren.

Re(4): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Desolationrob — Fri, 10 Feb 2017 11:17:56 GMT

aber ein VLAN mit nur einem Device in einem kleien Setup macht keinen Sinn, das war gemeint

Re(3): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Srv-02 — Fri, 10 Feb 2017 08:39:07 GMT

Ein Device VLAN macht durchaus Sinn, allein zur Verwaltung. Ich nehme an dass er noch mehrere Geräte im Netzwerk hat. Es ist ja auch kein Aufwand das einzurichten.

Re: von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

ashley77 — Fri, 10 Feb 2017 07:53:35 GMT

spricht was gegen die verwendung von (3 IP bereichen &) subnet masks?

Re(2): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Desolationrob — Fri, 10 Feb 2017 06:58:26 GMT

weil er dann laut admin dann einen printserver mit 3 NICs bräuchte

ne, also für einen einzigen Drucker Drucker macht man kein eigenes LAN. Wenn es mehr sind kann man drüber reden, so macht es wohl wenig Sinn.
Einfach auf der Firewall (dann aber nicht Port any, sondern nur den wo der Drucker auch Aufträge entgegennimmt) freischalten und gut ist

Re: von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Srv-02 — Thu, 09 Feb 2017 17:34:49 GMT

Du trennst die Netze um sie dann wieder zu verbinden, richtig?

Wieso machst nicht ein eigenes VLAN für den Drucker und stellst ihn nach 192.168.3.0/24?

Re(4): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

poff — Thu, 09 Feb 2017 14:46:20 GMT

Okay. Super !
Vielen Dank

Re(3): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Blacktronix — Thu, 09 Feb 2017 14:11:38 GMT

Genau so

Netz 192.168.0.1/24 --> Port any --> IP Drucker 192.168.1.200

Netz 192.168.0.1/24 --> Port any --> IP NAS 192.168.1.122

dann sind diese Zugriffe von der Firewall geregelt... sämtlich andere Anfragen z.B. vom PC 192.168.0.32 auf 192.168.1.99 funktioniert nicht.

Anstatt ganzer Netze (192.168.0.1/24) können auch einzelne Clients also PCs den Zugriff bekommen (Host-Group)

Virenmäßig isses dahingehend ghupft wie ghatscht... Virenscanner (am Besten einer der Anomalien erkennt) brauchts sowieso auf jedem Endgerät.
Wenn ein Virus auf eine andere IP als auf diese 2 im anderen Netz will muss es die Zywall aushebeln oder die NAS so infizieren dass halt wenn ein PC aus dem anderen Netz diese Datei aufmacht halt auch wieder infiziert ist.

Re(2): von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

poff — Thu, 09 Feb 2017 12:44:36 GMT

okay.
Verstehe ich das richtig:
Damit kann ich also dem PC (zb. 192.168.0.32) sagen, dass er Drucker XYZ unter 192.168.1.200 und eine NAS unter 192.168.1.122 findet, ohne dass er aber Zugriff auf irgendwas anderes im Netz 192.168.1.XXX hat?
Nur diese beiden Adressen werden von der ZyWall dorthin geroutet?

Wie "sicher" ist das?
Könnte sich dadurch ein Virus leichter von einem ins andere Netz schwindeln?

Re: von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

Blacktronix — Thu, 09 Feb 2017 10:19:49 GMT

es sollte auch ohne Druckserver gehen... in der Zywall muss nur ein Zugriff dementsprechend vom Netzwerk zur IP des Druckers ermöglicht werden.

Dateiaustausch funktioniert auf die selbe Weise. In einem der beiden Netze (oder von mir aus auch in einem Dritten) muss eine Dateiablage realisiert werden auf welche die einzelnen Netze zugreifen können.

Mein Vorschlag wäre Drucker und Dateiablage in irgendeinem der beiden Netze realisieren und in der Zywall dementsprechende Regeln bauen die den jeweiligen Zugriff erlauben. Dann funktioniert das

von 2 getrennten Netzen auf gemeinsame Daten zugreifen ?

poff — Thu, 09 Feb 2017 08:06:39 GMT

Hi zusammen.

Da meine Netzwerkkenntisse eher bescheiden sind, mal folgende Frage:

Wir haben hier hinter einer "ZyXEL ZyWALL USG20" zwei getrennte Netzwerke
(192.168.0.XXX und 192.168.1.XXX) Damit kann keiner so einfach Schaden im jeweils anderen Netz anrichten. Soweit so gut

Jetzt sollen beide Seiten auf einen Drucker zugreifen.
Lt. Admit mit einem Printserver (mit 2 Netzwerkkarten) problemlos umsetzbar.

Jetzt meine Frage:
Kann man in irgendeiner Form einen "Datenaustauchordner" einbinden?
Es sollen das 0er und das 1er Netzwerk weiterhin getrennt bleiben, aber beide z.B. auf ein drittes (192.168.2.XXX) zugreifen. Oder kann der Printserver Daten bereitstellen (selbst ein paar GB auf einem angesteckten USB Stick würden schon reichen)?

Wie macht man das "richtig"?
Oder geht das aus irgendeinem Grund erst gar nicht ?
Gibts GOs und NOGOs ?

Danke