Configuration DMZ

Banbara

Bonjour à tous,

Voila l’architecture de mon réseau, je voudrais le sécuriser un peu et installer une DMZ dans un premier temps, et par la suite rajouter un VPN. Mais là je ne sais pas comment faire. Au niveau de l’adressage, je ne sais pas trop ou et quoi mettre comme adresse comme adresse. Merci a ceux qui maîtrise le sujet de m’éclairer sur le sujet. 

Banbara

Configuration de DMZ

ludovick

@Banbara
belle installation et shéma


Il y a t'il deux WAN sur le RT2600 ?
Entre internet et Freebox tu met IP Statique c'est IP Publique
Le WIFI c'est celui du B715 ou du RT2600 ?
Tu as un poêle connecté !!!!

Une DMZ pour qui, pourquoi faire ?

Banbara

Bonjour Ludovick,
Oui la Freebox et le Huawei B715 sont tous les deux reliés au RT2600 qui gère soit l'un soit l'autre, et qui peut basculer sur le secondaire en cas que le principal "tombe".
Le Wifi c'est bien celui du RT2600. En ce qui concerne le poêle, oui c'est un Rika que je peux commander à distance. Une DMZ, dans mon esprit pour isoler mon LAN et éviter autant qu'il est possible des intrusions internet. Mais c'est peut-être pas la meilleure solution, c'est pour cela que je demande l'avis de ceux qui maîtrisent le sujet. mes connaissances sont très limités sur le sujet.

ludovick

Une DMZ c'est un sous-réseau séparé du réseau local et isolé de celui-ci mais il n'est plus protégé par le routeur, ni par le pare-feux.

Banbara

Donc concrètement pour mon installation, qu'est ce que je peux faire de plus pour être un peu protégé vis à vis de l'internet et naviguer sereinement, et que je puisse quand même avoir accès de l'extérieur à mon installation, Nas, caméras. un VPN sera t'il utile dans ce cas.

ludovick

Oui le VPN est utile pour avoir une IP publique et un accès extérieur.
@oga83 ou @Nicolas ou @Zal pour mieux te conseiller.

oga83

Il faut distinguer les VPN d'accès à internet (express vpn, nordvpn, safervpn, ...) et les VPN client-vers-site ou site-vers-site (vers un serveur que l'on maitrise).

VPN d'accès à Internet :

Les principaux intérêts sont l'anonymisation (le point de sortie sur internet ne se trouve pas à l'endroit où on est physiquement) et la possibilité d'outrepasser les limitations géographiques (on peut faire croire à un site qu'on est dans un autre pays).

En 4G, cette solution permet de contourner le bridage de certains opérateurs qui dégradent la connexion après une durée de session donnée (généralement entre 1h et 6h).

C'est une solution simple à mettre en oeuvre.

L'inconvénient est qu'on a pas d'adresse IP fixe et qu'on ne maitrise pas le routage des ports : impossible de faire des connexions entrantes directes avec cette solution (mais ngrok reste possible).

VPN client-vers-site ou site-vers-site

L'idée est de créer un tunnel entre son PC (client) ou l'intégralité de son LAN (site) vers un serveur qu'on maitrise (serveur loué, d'entreprise, ...). Le principal intérêt de cette solution est qu'il permet de faire des connexions entrantes directes (on se connecte au serveur et le trafic est routé vers le LAN par le tunnel). Idem pour le contournement du bridage de certains opérateurs.

L'inconvénient est qu'il faut avoir un serveur sur un autre site. La bonne nouvelle est qu'on peut en louer un pour pas très cher (3€/mois chez Scaleway). La configuration est aussi beaucoup plus complexe (mise en place du VPN côté LAN et sur le serveur, règles de routage).

Sécurité du LAN

Côté sécurité du LAN, un VPN n'apporte pas grand chose de plus car la box reste connectée à Internet. S'il y a un trou de sécurité à cet endroit (port ouvert par exemple), le LAN est exposé de la même manière.

Maintenant, pour répondre à tes questions :

- Accès aux caméras et Nas :

La plupart des caméras et Nas permettent un accès de l'extérieur en passant par le site du fournisseur. Pas besoin d'ouvrir des ports ou d'avoir une IP fixe pour y accéder.

- Sécurisation du LAN :

Tu as déjà un routeur Synology qui fait office de firewall devant tes 2 accès internet (dont chacun dispose déjà d'un firewall dans sa box). Tu peux difficilement faire mieux. Vérifie que toutes les règles du firewall sont activées et que tous les ports sont bloqués.

Si tu as un Wifi invité, vérifie qu'il n'a pas accès au LAN.

Banbara

Merci beaucoup pour ces réponses pleines d'informations et de bon sens. je vais suivre ces conseils et regarder un peu l'ouverture des ports, car là ça pêche, il me semble en avoir beaucoup d'ouvert et surtout regarder de près l'UPnP. Merci aussi a oga83 pour le travail concernant le flashage du B715, qui m'a permis de mettre l'interface de ce routeur en Français version (1217).