Isolamento delle reti guest

2

Sto configurando un guest wifi secondario sul mio router e voglio assicurarmi che sia impossibile per i client connessi al wifi guest accedere alla mia rete principale.

Inizialmente, ho usato il filtro IP con iptables, ma immagino che un ospite che altera il suo IP possa ancora accedere alla mia rete primaria.

Al momento, sto usando un filtro basato su interfaccia con iptables. Ho ragione nel ritenere che ciò sia a prova di spoof e che gli ospiti non potranno accedere alla mia rete principale?

Grazie!

PS: il mio router sta eseguendo OpenWRT.

Modifica

Dopo la risposta dell'utente3192427, ho bisogno di aggiungere alcuni dettagli sui miei requisiti. Innanzitutto, non ho alcun controllo sulla crittografia della rete primaria (potrebbe essere aperta, WEP, WPA2 o 802.1x). In secondo luogo, la rete ospite deve essere aperta. Terzo punto e, cosa più importante, la mia preoccupazione principale è che l'aggiunta di una rete ospite non aggiunge le vulnerabilità aggiungi .

Quindi, capisco dalla risposta di user3192427 che la mia soluzione attuale consente ancora agli hacker di ottenere approfondimenti nella topologia della mia rete primaria. Quello che voglio sapere è se aggiunge un punto di ingresso nella mia rete principale che prima non c'era. Ad esempio, se la mia rete primaria era aperta e insicura, l'aggiunta di una rete ospite aperta non la renderebbe più insicura. Se la mia rete primaria disponeva di WEP o WPA2, gli hacker potevano comunque penetrarvi annusando il traffico e "indovinando" la chiave anche senza una rete ospite aperta. Se la mia rete primaria aveva 802.1x (correttamente configurata), gli autori di attacchi AFAIK non potevano entrare. Quindi, la mia domanda riformulata è: Supponendo che la mia rete primaria sia impenetrabile, l'aggiunta di una rete ospite aperta lo renderà penetrabile (come nel rendere possibile l'interruzione letterale in uno dei dispositivi su di esso o nel router).

    
posta rmanna 14.01.2014 - 12:20
fonte

2 risposte

2

Detesto dire che la risposta è sì / no ma date le informazioni che devo e spiegherò perché. Dipende molto dai tuoi ospiti e dal tuo livello di paranoia / quanto tempo vuoi dedicare alla gestione di questo AP.

È possibile scrivere regole iptable per impedire a un ospite di ottenere informazioni su / accedere alla propria rete interna, ma è necessario scrivere una regola per ogni tipo di protocollo che potrebbe perdere tra cui arp, dns, smb, bonjour, ecc. Sebbene ciò sia fattibile, è necessario rivisitare queste regole in modo abbastanza regolare e confrontarle con le acquisizioni di pacchetti che si stanno raccogliendo dalla rete ospite per assicurarsi che funzionino ancora.

Se i tuoi ospiti sono tipi di hacker, cose come 802.1q non li fermeranno. Le VLAN sono progettate per il routing e l'identificazione della rete, non per la sicurezza. I VLAN hanno bisogno di qualcosa su di loro per fare ulteriore sicurezza. Se vai su Google VLAN hopping puoi trovare risorse per farlo abbastanza facilmente.

Per rendere sicura la configurazione che hai menzionato guarderei questo articolo: link (ha pochi anni ma la tecnologia è la stessa). È possibile configurare l'autenticazione 802.1x su DD-WRT.

Un rapido esempio potrebbe essere qui: link

Non dimenticare di utilizzare chiavi diverse per la rete principale e ospite. Se un ospite può decrittografare il tuo traffico, potrebbe non essere in grado di accedervi, ma fare i cap pacchetto darebbe loro molte informazioni a riguardo.

    
risposta data 14.01.2014 - 14:38
fonte
1

Su OpenWRT, è possibile eseguire due SSID allo stesso tempo, grazie alla tecnica 802.1Q Trunking . Si prega di trovare maggiori dettagli nel seguente articolo:

Multiple Access Points oltre -802.1Q utilizzando Open WRT

Basta controllare all'inizio se il tuo router è in grado di gestirlo.

    
risposta data 14.01.2014 - 12:30
fonte

Leggi altre domande sui tag