我可以将NAS用作调制解调器和路由器之间的桥梁吗?


0

我目前的家庭网络设置如下:

ISP <-> Modem <-> Router(with NAT)/Wireless AP <-> Home Network

我的NAS在家庭网络上。我正在使用FreeNAS,一个基于FreeBSD的操作系统。我机器上有5个以太网端口。FreeNAS让你使用你的NIC作为桥梁。我不太了解这是如何工作的。

桥接通常与交换机进行比较,交换机不能放在调制解调器和路由器之间。但是,我认为桥接也可以类似于集线器使用。我可以用它来监控我的调制解调器和路由器之间的网络流量吗?

从本质上讲,我可以将我的NAS用作下面的网桥来监控网络流量吗?

ISP <-> Modem <-> NAS (as bridge) <-> Router(with NAT)/Wireless AP <-> Home Network

我不认为我想做的事情是可能的,但我只想在解雇之前先咨询一些知识渊博的人。

我知道您可以使用pfsense设置一台机器作为路由器。我认为我上面描述的设置也类似于DMZ?真的吗?


不要忘记您仍然需要将NAS设备连接到家庭网络。我不熟悉FreeNAS,但是如果它有工具允许你窥探桥接流量并允许你只选择两个接口来桥接而没有桥接器上的IP地址,它应该可以正常工作。
大卫施瓦茨2017年

Answers:


1

它可能,但我当然不相信这是明智的。

FreeNAS基于FreeBSD,完全有能力使用pf内置的防火墙/路由包,可以轻松创建可以满足您需求的桥接接口。本质上,交换机/网桥只是一个传递数据包的网络设备,一旦外线成为调制解调器的数据包数据,任何以太网交换机/网桥都可以轻松地将它连接到调制解调器,如果你想在它们之间建立一个交换机或网桥。因此,如果您坚持这样做,那么是的,您可以配置3个NAS的5个端口,这样端口0 + 1就可以在没有IP地址的情况下桥接(至关重要,否则外面的人可以访问它)并用于连接调制解调器路由器和端口2用于NAS - > LAN,其上设置了管理IP。

但上帝知道,我永远不会这样做。

首先,您的路由器正在(理想情况下)作为将本地设备保护在外部的网关。即使没有IP,网桥也是不受保护的内部设备。假设您配置错误,或者FreeNAS更新不符合您的确切网络配置(特别是如果必须在GUI之外手动设置)?然后你的NAS及其数据可能没有防御能力,并且因为它也通过其他接口在路由器的LAN端,你只是给了别人钥匙绕过路由器上的任何东西。

是的,公司将服务器放入DMZ。但他们会考虑他们身上的内容以及如何获得这些内容,更深入地了解您或我的内容。即便如此,他们经常代理它(因此外部用户实际上到达代理或'保镖'而不是实际服务器)以提高安全性并控制发生的事情。

为了什么好处?要监控数据?如果你想监控它们之间的流量,可以在路由器上进行监控,甚至可以通过端口镜像获得廉价的交换机并将其粘贴在它们之间。即使是10年或15年前在EBay上的二手100Mbit 4-8端口管理交换机也可能具备这种能力。或者你提到pfSense -it在连接到调制解调器的端口上具有内置的日志记录和数据包捕获功能(如果用作路由器)。购买旧主板和2GB内存,并做到这一点。但是对于上帝的爱,除非你非常确定自己和你的诀窍,否则不要做你所描述的:)

有关镜像和安全性的更新

您有3个选项 - 在软件中监控(在FreeBSD上使用pf或tcpdump),使用集线器或使用托管/智能交换机。

使用软件,即使你已经桥接,你仍然需要在CLI中独立设置数据包镜像或(对于FreeNAS)数据包捕获,因为即使它存在于已安装的操作系统中,这也不是FreeNAS GUI中的功能。因此,您需要了解如何做到这一点,尽管并不难。您可以在FreeBSD中进行端口镜像,使用pf.conf选项dup-to,或使用tcpdump几乎总是内置的,以点击和复制流量或将其捕获到文件,但我不知道详细信息。不过,那些将是实现它的方法。由于上述安全问题,我不会这样做。

一个旧的消费者网络集线器(不是“交换机”!)可能很便宜并且也可以工作,但由于(可寻址)安全问题,我不会走这条路。集线器的本质是它反映了所有端口的所有流量。如果您运行有线[调制解调器 - >集线器 - >路由器],那么任何设备都可以收听。但我不会这样做有两个原因 - 首先是集线器更加过时并且可能很难获得,但更重要的是,如果它可以窥探,它可以被检测到并且可能产生可以被黑客攻击/穿透的弱点,因为它再次直接链接到外部并绕过路由器。所以我提到这个是完整的,不是因为它一定是个好主意!

一个托管交换机可能是最好的,因为它隔离了来自你的NAS的流量,它专为这项工作而设计,而小型智能交换机在eBay等上非常便宜。正如我所说,即使很多年前也可以完成这项任务。但请确保在其上设置了一些安全配置,并仔细检查/考虑安全性,原因与我为集线器提供的原因完全相同。也许镜像端口的设计本质上是安全的,这就是你所需要的,但我不知道更多可以说更多。您可能需要单独询问,关于保护连接到WAN的管理型交换机端口,该端口仅用于监控WAN(镜像流量),并且不受路由器或防火墙的屏蔽。infosecurity堆栈交换可能对此有所帮助。


很棒的答案!谢谢!有时候,你不得不问,如果你可以做一些事情,即使你知道这是不是一个好主意。
Yoshiyahu

我使用pfSense并彻底推荐它。“设置并忘记”,可扩展,坚如磐石,积极开发/大型社区,BSD不是基于Linux(可能更强大?),以及长期/及时性别+功能更新。“只是工作”。请注意,虽然pfSense对于通常的路由器秤/功能不需要超过Pentium 3或4,但在不久的将来它将需要AES-NI指令,这限制了Sandy Bridge或更高版本的芯片使用时间。也缺乏镜像。获得最便宜的二手LGA1155 / 6 CPU +板,便宜的双端口Intel NIC卡,用于第二和备用/镜像端口,2GB内存和4GB + ssd / hdd,享受!
Stilez

我已经用更多信息更新了答案。如果你需要镜像,它可能在FreeBSD中,但为什么要让自己很难,并冒险配置更新消除你的更改。从EBay获得廉价的旧托管/智能交换机(netgear,cisco或其他) - 它们几乎都内置了GUI Web控件和端口镜像(先检查!)。是的,我同意,你做:)
Stilez
By using our site, you acknowledge that you have read and understand our Cookie Policy and Privacy Policy.
Licensed under cc by-sa 3.0 with attribution required.