Newsgroup: it.comp.reti.locali
Titolo: Info 2a rete

Buongiorno , sono un po arruginito....
Ho una rete composta come Hardware da:
Router Iliad con 
            1 rete wifi 2.4 ed 1 5 giga Entrambe usate pochissimo quasi 0
Alle 3 porte di iliad sono collegati 3 switch
        Ad uno di questi switch sono collegati 3 deco mesh M9
        Quest'ultimi generano le vere reti wifi che utilizzo. 
        1 a 2.4+5 unificate ed 1 solo a 2.4 dove tengo collegati vari utilizzi
        domotici.
agli switch sono collegati varie utilizzi cablati.
 Il tutto con ip basati su 192.168.1.xxx
In 1 dei suddetti switch dovrei collegarci alcune telecamere IP e 1 NVR e vorrei che la rete però fosse diversa da l'altra. Tipo 192.168.0.xxx
Domanda... Che settaggi debbo fare?
I deco mi permettono solo di attivare o non attivare il dhcp.
Iliad il dhcp è settato per assegnare fra 192.168.1.2 e 200 (server 254)
settassi fra 192.168.0.1 e 192.168.1.200 su iliad, poi alle varie telecamere e NVR delli indirizzi ip fissi nel range 192.168.0.xxx riservando l'IP nella Iliad, dovrei riuscire?
Giusto? è tanto che non mi occupo di queste cose.
Grazie dell'attenzione e chi vorra dedicarmi un po del suo tempo.

settassi fra 192.168.0.1 e 192.168.1.200 su iliad, poi alle varie telecamere e NVR delli indirizzi ip fissi nel range 192.168.0.xxx riservando l'IP nella Iliad, dovrei riuscire?
 
Non puoi impostare più di un DHCP nella rete, altrimenti i dispositivi
ti prendono a caso 192.168.0.x e 192.168.1.x.
 
Poi c'è un problema: chi prende l'IP 192.168.0.x ha un'indirizzamento
morto: non può parlare col router, perché si trova su una rete
diversa.
 
Per fare quello che vuoi, bisogna che il router supporti più di una
LAN, non so se quello lo faccia.
 
 
---
Questa email è stata esaminata alla ricerca di virus da AVG.
http://www.avg.com
 
 

Il 14/05/23 12:11, Mario Sonteri ha scritto:

Se ho capito tu vorresti avere una rete isolata dalla tua rete 
principale dove collegare le webcam e nvr, che vuoi raggiungere dalla 
tua rete ma che non vuoi che viceversa questa tua rete aggiunta non 
interferisca con la tua.
Se le cose stanno cosi' fai come me, io ho un router esterno, che si 
connette a internet, e un router a valle cui connetto tutti i miei 
dispositivi.
Al router esterno sono collegati tutti i dispositivi che non voglio che 
accedano alla mia rete interna tipo webcam, sonoff, smart tv e in genere 
tutti i dispositivi "curiosi" o vulnerabili.
Il router interno ha la sua wan collegata a una lan di quello esterno e 
un indirizzo di rete differente.
Dalla rete interna e' possibile accedere alla rete esterna ma non viceversa.
Semplice e facile da configurare.
 
angelo
 

 interferisca con la tua.
 
C'e' un "non" di troppo...
 
angelo
 


non sono certo di aver capito
anche se hai un router solo da dentro puoi accedere ad internet e da 
internet non puoi accedere alla lan.
Mario Sonteri pero' vorrebbe avere 2 lan separate.
Vedo due possibilita': se i dispositivi che lui vuole mettere nella 
seconda lan sono tutti wifi, potrebbe usare la rete ospiti mantenendola 
isolata dalla lan privata.
Oppure puo' usare un secondo router (senza la parte adsl/vfsl/fibra o 
quello che e', o se possibile disattivandola per utilizzare una delle 
porte lan come porta wan); questo router avrebbe la porta wan sulla 
rete lan del primo router e l'indirizzo lan sulla lan di sua scelta, 
diversa dalla prima.

 dalla prima.
 
Piu' o meno come ho ipotizzato io.
 
angelo

 usando appunto due router per avere due reti separate.
 
una dmz (o meglio un "exposed host" in questo caso) fa si che ogni 
connessione dall'esterno venga indirizzata verso un ip (in questo caso 
WAN del secondo router).
Esempio: da internet cerchi di accedere ad una telecamera del router 2; 
collegherai l'ip wan del router 1 che mandera' tutto indistintamente al 
router 2. Sul router 2 dovrai fare i port forwarding del caso per 
raggiundere il determinato dispositivo. Se ti dovesse servire accedere 
ad un dispositivo sull'altra lan, ti attacchi al tram, perche' tutto 
verrebbe inoltrato alla rete sbagliata
Nota che i router domestici non e' detto che supportino le dmz e, 
sempre di solito, quelli che lo fanno indicano erroneamente come DMZ un 
Exposed Host (nel documento che hai linkato credo sia nominato Pseudo 
DMZ); Non e' chiaro cosa voglia ottenere Mario Sonteri: solo una lan 
separata? accessibile o non accessibile dall'esterno? se non serve 
accedere dall'esterno non serve un exposed host e il secondo router 
servirebbe solo per avere un'altra rete. Pero' se si dispone della rete 
ospiti si puo' usare quella senza ulteriori complicazioni (anche 
perche' i router dei gestori, come e' il caso di quello di iliad, di 
solito non e' che consentano particolare configurazioni. Sono fatti per 
essere accesi e stop).

Il 14/05/23 17:04, Adriano ha scritto:

Non ci siamo capiti, nel link ho fatto riferimento al capitolo "doppio 
firewall" che e' esattamente quello che serve per avere due reti 
separate delle quali una interna che puo' accedere a quella esterna ma 
non il contrario.
Che poi nei router domestici si chiami erroneamente DMZ quello che e' un 
exposed host esula dal mio discorso. Secondo me dovrebbero chiamarla 
invece CAV (Chiappe Al Vento).
Io ritengo, per quanto ho capito, che Mario necessiti proprio di quello 
che ho suggerito e che, peraltro, utilizzo anch'io per una analoga esigenza.
 
angelo
 
 

 ho suggerito e che, peraltro, utilizzo anch'io per una analoga esigenza.
 
boh...Mario ha detto che vorrebbe mettere certi apparecchi su una 
seconda lan "separata" (non isolata) dalla prima.
Beato te che hai capito altro: io non so nemmeno indovinare se le 
apparecchiature della seconda lan sono wifi o no. Ne' indovino per 
quale motivo ci sono 3 switch (personalmente preferisco un 24 porte a 3 
8 porte); cosi' come non so se questa seconda lan debba essere 
raggiungibile dall'esterno o meno, o se ci sia qualcosa sulla prima lan 
che deve essere raggiungibile dall'esterno; Anche uno switch mediamente 
evoluto con gestione delle vlan potrebbe andare bene

evoluto con gestione delle vlan potrebbe andare bene
 
Questo ti aiuta se vuoi partizionare uno switch, ma se il router
supporta una sola LAN non te ne fai molto.


Ma vedi una soluzione che non costa niente?
 
Una possibile è quella della rete Ospiti, se il router consente di
impostarla su almeno una porta ethernet.


 fatti per essere accesi e stop).
 
 
Molto interessante.
 
Domanda sulla sicurezza di una configurazione come sopra descritta: un 
eventuale hacker da remoto arriverebbe  forzatamente sul router 2 senza 
nemmeno vedere l'esistenza dei dispositivi connessi al router 1?
 
Per dire: un hacker entra da remoto su  una lampadina smart wifi o un 
sonoff avendo craccato il wifi del router 2.
 
Può da lì accedere al router 1 (quello principale), al pc e ai 
dispositivi ad esso connessi?

 verrebbe inoltrato alla rete sbagliata
 
leggi sopra
 
...
 
A parte la VPN tutto questo lo puoi ottenere anche con i router domestici.
 
angelo

dispositivi ad esso connessi?
 
Mi sono perso un attimo chi č 1 e chi č 2.
 
Facciamo cosě: router interno e router esterno
 
 
Internet - router esterno - area DMZ - router interno - LAN
 
Per come sono configurati i router di default, da LAN arrivi a DMZ ma
non viceversa.
 
 
---
Questa email č stata esaminata alla ricerca di virus da AVG.
http://www.avg.com
 
 


quindi resta piu' protetta (dietro 2 router) la rete dove probabilmente 
non c'e' nulla di acceso e piu' esposta l'altra. A questo punto pero' 
mi domando perche' la necessita' di avere una seconda rete
imho, meglio usare un solo router che possa impostare una rete ospiti 
sia wifi che ethernet (i fritz lo fanno, almeno 7490 e 7590) e ci si 
semplifica enormemente la vita


Provo a spiegare meglio....
Diciamo che ho un solo provider intenet, Iliad a cui cì+è collegata una rete mista, wifi e lan. Ho necessita che a questo modem iliad ci sia una seconda rete mista, con classe di ip diversi.
Credo che alla fine l'unica sia collegare ad iliad un altro router...

 riservando l'IP nella Iliad, dovrei riuscire?
 
no. per fare una cosa del genere dovresti "allargare" il netmask; ma 
questo implicherebbe avere una sola rete, ma piu' grande. Non due reti 
separate.
 
Poi servirebbe sapere da dove questa seconda rete debba essere 
accessibile: solo da se' stessa? da se' stessa e dall'altra lan? anche 
da internet? solo da internet?
 
una possibilita' e' come detto un secondo router da mettere in cascata 
a quello di iliad. A seconda di cio' che vuoi ottenere, la "seconda 
lan" puo' essere quella direttamente uscente dal router iliad oppure 
l'altra.
Se il router iliad puo' configurare un exposed host potrai fare 
determinate configurazioni; altrimenti dovrai fare due port forwarding 
una sul primo e una sul secondo router, se dovessi raggiungere da fuori 
i dispositivi della lan del secondo router.
 
Insomma, le possibilita' sono tante, e scegliere l'una o l'altra 
dipende dalla situazione e da cosa vuoi ottenere. posso solo aggiungere 
una cosa:
se prendi un router piuttosto evoluto, tipo un fritzbox 7590AX potresti 
gestire tutto solo con quello (in cascata al router di iliad che si 
occuperebbe solo della connessione e autenticazione. Purtroppo con 
iliad al momento si deve usare per forza il loro apparecchio...altro 
motivo per cui me ne sto alla larga). Su questo router potrest 
disattivare tutto il disattivabile: dhcp, wifi ecc. O al limite un dhcp 
con un solo indirizzo disponibile che andrebbe alla wan del fritz. Il 
fritz sarebbe da configurare come connessione via cavo. 
Indifferentemente puoi fargli prendere quell'unico indirizzo dal dhcp 
dell'altro router o metterlo fisso e disattivare l'altro dhcp. Sul 
fritz puoi configurare la rete ospite sia sul wifi che su una presa del 
suo switch integrato. Quindi otterresti con un solo router cio' che 
vuoi ottenere. Se il router iliad consentisse la configurazione di n 
exposed host, ancora meglio: gli configuri l'indirizzo del secondo 
router e in pratica diventa passante. Tutto viene passato al secondo 
router che gestisce tutte le tue reti. Un domani dovessi cambiare 
operatore, non dovresti cambiare nulla: riconfiguri l'exposed host e 
tutto funzionerebbe come prima. Oppure colleghi direttamente il fritz 
all'ONT e fai a meno del router del gestore.

 Credo che alla fine l'unica sia collegare ad iliad un altro router...
 
 
se il router ti da la possibilità di assegnare un secondo ip su subnet
diversa all'interfaccia lan sei a cavallo.
Altrimenti ti serve per forza un secondo router o un mikrotik (che mi
pare sia l'unica o una delle poche marche che ha router compatibili).
io andrei immediatamente su mikrotik.
 
 
 
-- 
MirkoB.   
ne...@bsi-net.it
 
Motoretta BMW R1200R Lightgrey
 
L'indirizzo ema@il non è da considerarsi pubblico,
ma utilizzabile solo per temi inerenti il NG corrente

 con altri clienti)
 
Ormai sempre piu' provider eseguono la condivisione degli ip
dato che gli indirizzi IPv4 son terminati da mo'...per dire
la tanto strombazzata Sky Wifi impiega una condivisione addirittura
di 1:16 :D

 non viceversa.
 
Internet - router esterno 7590 - area DMZ - router interno 7490 - LAN2
LAN1

Rispondo qui sotto a ArchiPit

Partito da solo....
 
Internet - router esterno 7590 - area DMZ - router interno 7490 - LAN2
                           |
                           + LAN1
 
Quello che volevo sapere è se da LAN2 si può accedere o no a LAN1

 Quello che volevo sapere è se da LAN2 si può accedere o no a LAN1
 
 
Lo puoi fare andando a giocare sulle tabelle di routing, in pratica,
assumendo che le varie reti abbiano indirizzamenti diversi, potresti
configurare il router esterno in modo che il traffico indirizzato da
LAN2 alla sottorete di LAN1 venga indirizzato al router interno, su
quest'ultimo dovrai poi gestire il filtraggio per decidere quale tipi
di traffico possano transitare da LAN1 a LAN2 o, volendo far passare
tutto, impostare una regola che lasci passare tutto il traffico che
proviene da LAN1 indipendentemente da protocolli e porte
 
La configurazione è abbastanza anomala, mi chiedo a cosa ti serva una
roba del genere...
 
 
 
 
 

 di 1:16 :D
 
e ora chi lo va a dire a tutti quelli che "premiato come la miglior 
connessione.... e bla bla bla"?

 Quello che volevo sapere è se da LAN2 si può accedere o no a LAN1
 
direi di si. il tuo router interno esce con un ip della lan del router 
esterno.
Io ho una situazione simile (che rimarra' tale almeno fino a che non 
avro' finito di pagare  il router del gestore ;-) e dalla lan interna 
inserisco l'ip del router "esterno" e accedo tranquillamente (non ho 
altri dispositivi sulla rete del router esterno. Mantengo attiva la 
rete wifi a 2.4 ghz al minimo della potenza per utilizzo diagnostico 
(se non dovesse funzionare qualcosa sulla rete del router interno, 
posso verificare con un cellulare se almeno la rete del router esterno 
funziona)
Finito di pagare lo zyxel...francamente non so se manterro' i due 
router. Anzo, potrei vendere il 7590 e i 2 7490 che fanno da access 
point in punti critici e passare al 7590ax  e relativi access point. 
Tutto da vedere pero': toccare qualcosa che funziona non porta mai bene

 roba del genere...
 
In realtà volevo che LAN2 fosse accessibile da remoto, e fosse vietato 
da LAN2 accedere a LAN1.

 esterno.
 
Già, vero!
 
Però se il router esterno di fatto fa solo da modem per quello interno, 
e se la LAN interna ha solo componenti di cui mi frega nulla anche se 
la craccano, perchè si fermano lì...
 
Invece cercavo di capire quanto la rete LAN connessa al router esterno 
fosse isolata da quella interna, sperando il massimo isolamento.

 e l'ip V6? verra' usato quando saranno quasi esauriti anche quelli?
 
La vedo dura a esaurire l'IPv6 considerando
che puo' gestire uno spazio d'indirizzamento pari a 128bit...forse
sara' sgli sgoccioli quando l'umanita' avra' colonizzato tutto
il sistema solare :D

Il 15/05/23 11:49, ArchiPit ha scritto:

Perche' complicarsi la vita? Con due router in cascata, dalla rete piu' 
interna, la LAN2, puo' accedere all'esterno, quindi alla LAN1 oltre che 
a internet mentre la LAN1 trova un router con cui deve fare i conti se 
vuole accedere a LAN2, allo stesso modo se chiunque da internet vuole 
accedere a LAN1 deve fare i conti col modem/router del provider.
Niente di diverso.
Quindi, mentre e' facile da LAN2 accedere a LAN1 in via naturale senza 
strane contorsioni firewallesche, per accedere viceversa da LAN1 a LAN2 
occorre impostare precise regole di inoltro di porte verso indirizzi, 
esattamente come si fa per accedere da internet.
Quindi si dispongono i propri dispositivi da proteggere nella LAN2 
mentre in LAN1 si mettono quelli che devono essere raggiunti da internet.
Cosa c'e' di complicato?
 
angelo

Rispondo qui sotto a angelo

Hai ragione, mi sa che lascio perdere questa che mi pareva essere una 
possibile soluzione, mentre invece rischia di essere un problema... :-(
 
DA un lato volevo saperne di più, dall'altro volevo capire se i miei 
scopi potevano essere raggiunti da una dmz o exposed host, ma da quanto 
dici capisco che non risolvo e che l'aggiungere dispositivi e 
configurazioni possono solo portare problemi e vulnerabilità 
impreviste.

Quello che volevo sapere è se da LAN2 si può accedere o no a LAN1
 
In generale, ti servirebbe una rotta sul 7490 che indica il 7590 come
gw per LAN1.
 
In pratica, però, non mi è chiaro come vuoi impostare DMZ e LAN1 sul
7590.
 
-- 
Ci sono 10 tipi di persone al mondo: quelle che capiscono il sistema binario
e quelle che non lo capiscono.

:: On Mon, 15 May 2023 11:49:09 +0200
:: (it.comp.reti.locali)
:: <mn.7ac57e75d6...@LeTreDiNotteVirgilio.it>

Ops, ho letto male, beh lo puoi fare allo stesso modo
 

 isolata da quella interna, sperando il massimo isolamento.
 
no. non puo' essere isolata, visto che fa da tramite fra il tuo router 
interno e internet. Certo che se disattivi (sul router esterno) sia 
wifi che dhcp ed eventuali altri servizi (che so...print server, file 
serve o le altra cazzate che ci mettono di solito, gli unici punti 
deboli sono un accesso dall'esterno che ti buca il router (e non mi 
pare la cosa piu' semplice del mondo), o qualcuno nella tua lan 
interna, tramite trojan o simili. Ma in questo caso non c'e' router che 
tenga.
Altro vantaggio....gli omini di telecom non ti sputtanano il fritz 
quando gli gira di usare tr069 ;-)
 
in pratica avresti:
- internet
- router 1. ip pubblico verso internet e 192.168.0.1 verso lan
- dmz su 192.168.0.2
- router 2 con wan con ip 192.168.0.2
- tua lan 192.168.1.xxx
 
router 2 avra' come default gateway 192.168.0.1 (lan router 1).
Se usi la pseudo dmz, ogni richiesta di connessione dall'esterno verra' 
passata a router 2.
Nota che essendo una pseudo dmz, non hai tutta la sicurezza di una vera 
dmz
Puoi anche evitare la pseudo dmz, ma in questo caso su router 1 dovrai 
fare tutte le regole di port forwarding necessarie. La pseudo dmz in 
pratica e' un "fai passare tutto verso xxx"

 il sistema solare :D
 
ma questa abbondanza non ci mette al sicuro dai provider che 
preferiscono condividere l'ip....mortacci loro

 "fai passare tutto verso xxx"
 
Grazie, sei stato molto chiaro.
 
Ok, ora ho capito abbastanza.
 
@tutti
Ragazzi, vi ringrazio tutti, mi avete chiarito dubbi importanti.
 
L'unica è fare una prova sui fritz: cercherò di applicare quanto hai 
detto sopra e vedere se va come voglio.
 
Ci metterò giorni, perchè potrò occuparmene poco tra problemi di 
salute, 110%, altre noie.

 7590.
 
ma...7590 normalmente connesso direttamente a internet, configurando 
dmz per il 7490 che gestirebbe la domotica.
Lan1 sul 7590 sarebbe di fatto ridotta quasi a nulla, magari a wifi 
spento.
 
Per motivi di sicurezza mi piacerebbe che chi dovesse mai craccare la 
wlan del 7490 (che gestirebbe la domotica) non riuscisse a vedere 
niente del 7590.

Sembra che Adriano abbia detto :

Finche' ci saranno apparati/servizi che continuano ad usare ipv4
allora la condivisione degli ip sara' presente...con ipv6 non
servira' a nulla fare cio' e in teoria col nuovo spazio
d'indirizzamento volendo non servira' piu' nemmeno il source e il 
destination natting.

 pratica e' un "fai passare tutto verso xxx"
 
Non c'e' motivo di usare la "falsa DMZ" e far passare tutto da LAN1 a 
LAN2, salvo si sia masochisti cronici.
Se qualche dispositivo (solo webcam, controlli remoti ecc, non PC o NAS 
con dati importanti) deve essere raggiunto da internet lo si mette sulla 
LAN1 esterna, tutto il resto che deve stare protetto va sulla rete 
interna LAN2. Se si desidera accedere a questi da internet si usa una VPN.
 
angelo

 servira' solo la rete separata o altro?
vlan niente?

 io andrei immediatamente su mikrotik.
ottima scelta, ma configurare un Mikrotik non è proprio una passegiata 
di salute se non si conoscono le reti

spento.
 
E la LAN normale, quella che vuoi proteggere, dov'è in questo schema?


 Poi torni qui...
 
Mi sa che ho detto qualcosa di sbagliato... :-(

 E la LAN normale, quella che vuoi proteggere, dov'è in questo schema?
 
Mi sa che la lan 2, quella interna, in questo schema sarebbe quella più 
sicura, esattamente il contrario du quello che ho detto finora...
 
Cavolo, ma 'ste reti sono troppo complicate!

Cavolo, ma 'ste reti sono troppo complicate!
 
Io ho l'impressione che tu tenda a complicartele da solo...


 il costo che uno switch layer2 ha oggi forse si risparmierebbe pure...
 
io sarei anche d'accordo. Ma se uno viene a chiedere una info del 
genere (oltretutto senza spiegare piu' di tanto la situazione), non 
credo sia una soluzione praticabile fargli sostituire gli switch (io 
ancora non so perche' 3 switch invece di uno con piu' porte)