Kaskadierte Router mit DMZ

[willy-goergen 0]

Hallo zusammen,

 

ich habe die Tage beim Wälzen der Doku für die bei mir eingesetzte Telefonanlage eine Idee für die Lösung eines Problems gesehen, das mich schon länger stört. In meinen Augen hat die Telefonanlage eine eingebaute Software/Firmware, die halbwegs mächtig ist, bzw. mit der man einiges machen kann.

 

Deswegen denke ich über eine Umstrukturierung des Netzwerks nach außen nach.

 

Kurzerhand einige Visio-Shapes. Die Smartphone-Nutzer unter euch mögen mir das bitte verzeihen.

 

Der Ist-Zustand:

 

Der Soll-Zustand (Variante 1):

 

Der Soll-Zustand (Variante 2):

 

Ich frage deshalb, weil ich mir etwas unschlüssig darüber bin, ob meine Gedanken überhaupt sinnvoll sind. Ich bin mir nicht sicher, ob das nicht nur mein "Spieltrieb" in der Richtung ist. Deswegen hätte ich gerne auch andere Meinungen dazu.

 

Ist das wirklich ein Zugewinn bezüglich der Sicherheit? Gibt es vielleicht etwas das ich im Moment noch nicht sehe? Sollte ich alles so lassen wie es ist, weil es ausreichend ist?

 

Mein momentaner Stand:

Variante 1 finde ich ganz ok, weil ich sie recht einfach umsetzen könnte. Allerdings sehe ich hier den ursprünglichen Gedanken die Netze zu trennen vernachlässigt, weil der VPN-Server im internen Netz trotzdem noch irgendwie über einen offenen Port zu erreichen ist.

 

Variante 2 ist eigentlich meine favorisierte Lösung.

Hier müsste ich nochmal abklären, wie sich der VPN über die Telefonanlage genau gestalten lässt. Das Teil ist finde ich leider vollgepackt mit Restriktionen bzgl. der Lizensierung und evtl. anderer Nebenwirkungen, die ich aktuell nicht sehe. Diesbezüglich bin ich aber gerade dabei mir weitere Informationen zu holen. Allerdings brauche ich hierfür keinen offenen Port ins interne Netz und bin unabhängig von ansonsten eingesetzten VPN-Server.

 

Variante 3, die pauschal immer geht:

Lass das von jemanden machen, der sich damit auskennt.

 

Grüße

 

willy

bearbeitet 12. Januar 2016 von willy-goergen

[NorbertFe 2.034]

Variante 3 ??

[willy-goergen 0]

 

Das muss ich wohl so akzeptieren. ;(

 

Waren meine Gedanken wirklich derart schlecht?

bearbeitet 12. Januar 2016 von willy-goergen

[NorbertFe 2.034]

Musst du nicht. Kannst du aber.

Ich könnte jetzt die Frage stellen, warum man eine Tk Anlage als Router benutzen will. Mir würde das nur begrenzt sinnvoll erscheinen. Aber das musst du dann auch so akzeptieren. ;)

[mba 133]

Bekommst Du für die TK Anlage Support? Einige Hersteller beliefern hier nur eigene Partner.

[willy-goergen 0]

Musst du nicht. Kannst du aber.

Ich könnte jetzt die Frage stellen, warum man eine Tk Anlage als Router benutzen will. Mir würde das nur begrenzt sinnvoll erscheinen. Aber das musst du dann auch so akzeptieren. ;)

 

Ich bin ganz froh über deine Beiträge. Ich sag mal so, weil die TK-Anlage es kann und die Firma, für die ich arbeite, ohnehin dafür bezahlen muss?

 

 

Bekommst Du für die TK Anlage Support? Einige Hersteller beliefern hier nur eigene Partner.

 

Dafür haben wir einen Servicevertrag mit der T-Com. Den hab ich nicht abgeschlossen, aber er ist da....

[NorbertFe 2.034]

Ok anders gefragt. Was prädestiniert eine/deine Tk Anlage, an dieser Stelle im Netzwerk eingesetzt zu werden? Ich kenne sie nicht, aber ich käme da eher auf die Idee Tk Anlage und LAN zu separieren, als die Tk Anlage als zentralen Bestandteil seines Land zu implementieren. Klar, worum es mir geht?

[willy-goergen 0]

Ok anders gefragt. Was prädestiniert eine/deine Tk Anlage, an dieser Stelle im Netzwerk eingesetzt zu werden? Ich kenne sie nicht, aber ich käme da eher auf die Idee Tk Anlage und LAN zu separieren, als die Tk Anlage als zentralen Bestandteil seines Land zu implementieren. Klar, worum es mir geht?

 

Die Anlage ließe sich an der Stelle ohne Probleme als Router mit Firewall nutzen, während sie gleichzeitig den VPN-Zugang ins interne Netz steuern könnte.

 

Alles das hat sie integriert, nur wird es im Moment nicht genutzt. 

[NorbertFe 2.034]

Und was ist jetzt deine Frage?

[willy-goergen 0]

Ist das jetzt nur Spielerei und ich kann ich mir den Aufwand für die Einarbeitung gleich ganz sparen?

 

Dabei belasse ich alles auf dem Ist-Zustand.

[NorbertFe 2.034]

Wäre das nicht eher eine Frage für den Dienstleister der die TK Anlage betreut? Für mich sieht das im Moment zumindest wenig sinnvoll aus. Aber ich bin kein TK Spezi. ;)

[willy-goergen 0]

Unter Umständen.... Und du meinst, das macht Sinn?

 

Sollte ich das wirklch dem DL zumuten, der die TK-Anlage betreut?

 

Eine universelle Antwort wird es dabei nicht geben. Letztlich muss ich mir die Antwort auf die Frage glaube ich selbst geben.

bearbeitet 12. Januar 2016 von willy-goergen

[NorbertFe 2.034]

Ja, du kannst es wie immer dein bestes geben. Dann weißt du es genau. :p

[willy-goergen 0]

Zumindest bin ich dann ja nicht zertifiziert.

[NorbertFe 2.034]

Wenn das dann der Positivfaktor sein soll, was wäre dann negativ?