Kako da izolujem ruter od lokalne mreze 100 %?

[WeekeenG]

Pozdrav ljudi,

situacija je sledeca, nakacio sam na lokalnu mrezu (opseg 192.168.0.0) preko WAN porta TP-Link TL-WR842ND Wifi ruter na lokalni switch i napravio otvorenu WIFI mrezu bez passworda za korisnike koji dolaze u firmu i koji cekaju servis. Default gateway sam stavio gateway od lokalne mreze a DNS servere sam stavio spoljne zbog sigurnosti.
Takodje, kao mere zastite sam novu mrezu stavio na drugi subnet od lokalne (opseg 192.168.5.0), ukljucio AP Isolation, iskljucio WPS, ugasio uPnP, storage sharing, Media, FTP i Printer Server, za potrebe remote administracije obezbedio sam pristup uredjaju jakom sifrom i samo sa mog kompjutera moze da mu se pristupi sa WAN porta tj lokalne mreze i to jedino preko random porta koji sam generisao, sa wireless strane ne moze da mu se pristupi...znaci sve moguce metode zastite koji pruza uredjaj sam implementirao.
Problem je u sledecem, kada se nakacim sa laptopom na tu otvorenu mrezu mogu i dalje da vidim racunare na opsegu 192.168.0.0 ako skeniram recimo sa NetScan-om sto je najgore on izbaci i shareove tih kompjutera, tako da nista nisam uradio... Ok, serveri su mi zasticeni jakim passwordima ali ja bi ovo voleo da izbegnem totalno ako je moguce. Njegove vec dodate rute ne mogu da brisem a ne bi znao sta da dodam u statickoj ruti. Ima li ovde nekog resenja?

[orange47]

mozda bi trebalo da ti lokalna bude 192.168.1.0 ili slicno? onda bi mogao na ruteru da napravis staticku rutu za 192.168.1.0 da ide negde bezveze.
(mozda ruter ne podrzava 'ip subnet zero' ili kako vec)

[Bryan Fury]

orange47 kaže:

mozda bi trebalo da ti lokalna bude 192.168.1.0 ili slicno? onda bi mogao na ruteru da napravis staticku rutu za 192.168.1.0 da ide negde bezveze.

I kako će onda videti gateway?

[orange47]

a jel taj tplink nema access_liste/firewall ?

[WeekeenG]

orange47 kaže:

a jel taj tplink nema access_liste/firewall ?

Nema ACL, sto se tice firewall-a ima u Security tab-u Basic Security podtab u kome ima opcija SPI firewall koja je enable-ovana. Takodje enable-ovane su opcije za VPN passtrough i ALG.
U advanced tabu ima opcija Dos Protection koju sam enable-ovao, mada to nema veze sa ovim problemom.
Dakle fora je u tome kad se nakacim sa laptopom na taj ruter ja dobijem regularno IP adresu od DHCP npr 192.168.5.100, on je izolovan ne vidi uredjaje oko sebe koji su takodje na WIFI, ne moze da se pristupi ruteru, pingovi ne rade... medjutim, da bi testirao sigurnost ja uzemem otvorim net scan ukucam da mi skenira opseg od 192.168.0.0-192.168.0.254(opseg na kome je glavna mreza) i on ladno iskenira ceo moj domen sa sve sherovima! To sam mislio nekako da mu zabranim a opet da mu ostavim mogucnost da komunicira sa default gateway-om koji je na 192.168.0.254, kapiram da preko neke njegove auto ruting tabele izvlaci sve ovo. Zaista ne bi voleo da mi dodje neki "radoznali" pajser sa laptopom "koji se razume" da mi vrslja po mrezi.

Smaracina..

[orange47]

pa podesi taj firewall, tome valjda i sluzi.
mozda bi moglo nesto i sa statickim rutama. recimo da na svakom racunaru u lokalnoj mrezi definises permanentnu rutu za 192.168.5.0, kao neku dodatnu sigurnost.
najbolje bi bilo da podesis firewall (i) na gateway od lokalne mreze.

[WeekeenG]

orange47 kaže:

pa podesi taj firewall, tome valjda i sluzi.
mozda bi moglo nesto i sa statickim rutama. recimo da na svakom racunaru u lokalnoj mrezi definises permanentnu rutu za 192.168.5.0, kao neku dodatnu sigurnost.
najbolje bi bilo da podesis firewall (i) na gateway od lokalne mreze.

Ma ne vredi, firewall na ruteru moze samo da se ugasi i upali i to je to, kao sto rekoh nema ACL a naprednije opcije sam vec pomenuo. Izgleda da cu morati sa VLAN-ovima da se zezam nema treceg.

[water wizard]

možda ti treba neka naprednija oprema, ili neki profesionalac da ti to podesi

[Bryan Fury]

water wizard kaže:

možda ti treba neka naprednija oprema, ili neki profesionalac da ti to podesi

Bolji ruteri obično imaju opciju 'guest network' ili slično, nije komplikovano podesiti, ali ne verujem da će sa tim tp linkom moći to da se izvede