Ubiquity Unifi til hjemmebrug

 KlausDM skrev:

 elendil skrev:

Jeg vil have fire kameraer op uden for huset. Jeg vil ikke have dem på mit hjemmenetværk (det private) (altså: jeg vil ikke have, at en ondsindet person kan tage kameraets netstik og tilgå mit indvendige net med NAS osv.).

Hmmm, det øjeblik en "ondsindet person" tager stikket ud af dit kamera, så har du allerede en alarm.
Den har du så allerede fået en af, når personen ses af dit kamera.....

Og, afhængigt af, hvilke kamera du køber (og hvordan de monteres) så er det ret umuligt at komme til netværkskablet.

Hvis en suspekt person vil ind på dit netværk, så går han(hun) det via dine trådløse netværk!

Første lørdag i vinterferien kom jeg hjem til 8 kroner på min bagtrappe, pænt placeret med femmeren nederst, tokronen ovenpå og enkronen øverst.
Der var klart nogen der ville teste om vi var taget på vinterferie.
Lørdagen efter kom vi hjem til et tændt tv (en B&O fjernbetjening virker gennem et vindue).

Så om søndagen bestilte jeg to kamera, to POE switche, to accespoints, en USG og en cloudkey.
Netværket er godt (forstærkeren i stuen er kommet på wifi og har ikke haft brug for en reboot siden), kamera kører ganske fint og cloudkey gør det hele let at betjene.

Nej, jeg har segemnteret netværket og nej, jeg har ingen gæste wifi, men det sidste er let at lave. Jeg har oprettet brugergrupper med hastighedsbegrænsning (ellers æder knægten det hele ind i mellem), det tog 5 minutter at finde ud af.

Klaus

Jeg er enig med dig i at der nok ikke er stor sandsynlighed i at nogen trækker netværkstikket ud af et kamera, for at forsøge at hacke sig ind.
tilgengæld er CCTV notorisk kendte for at have utrolig dårlig sikkerhed implementeret, og af den grund alene, kan der være god grund til at isolere sine kamera fra resten af sit netværk.

Alt efter hvad man har på sit netværk kan det være en god idé at segmentere det,
med segmentering følger dog også en del kvaler.
Men det tager ikke lang tid at lave en simpel segmentering, og der er ofte ikke nogen grund til at have 10 VLAN's osv.

Man kan starte med:
Gæst/IOT
CCTV
NAS
Main.

CCTV og IOT enheder kan være et godt sted at starte.
CCTV: næsten per definition har CCTV ikke behov for at kunne oprette en forbindelse til andet end en NVR, som alligevel er på samme netværk, så hvorfor give den muligheden?

Så sætter man sit netværk op til at "rejecte" at CCTV kan oprette forbindelse til lokalnetværket (Lav en gruppe der hedder LANS og tilføj følgende netværk: 192.168.0.0/16, 172.16.0.0/12 og 10.0.0.0/8)
da kommunikation mellem CCTV og NVR (hvis på samme netværk) ikke passerer firewall, har firewall regler ingen indflydelse for dit CCTV, og dermed ikke bliver afvist! - Så afvis "LANS" gruppen, imens at man evt. giver telefon, pc osv. god for at oprette forbindelse til CCTV netværket.
Allerede her, har man fjernet en stor del af risikoen for at CCTV ødelægger noget på sit netværk.

IOT enheder er ofte rene cloud løsninger, og har dermed ikke behov for at kunne kommunikere lokalt på netværket, derfor får de samme skæbne som CCTV (Kan evt. placeres sammen med gæstenetværket)

NAS serveren kan også være en god idé hvis man har sådan en.
Igen, kig på hvilke enheder som har behov for at kunne kommunikere med NAS serveren.
Telefoner har sikkert ikke behov for at kunne snakke med den, ligesom at børnenes iPad's eller computere måske heller ikke har behov for det.

Og mens man er i gang, så gør jer selv den tjeneste at fjerne skrive/slette adgang for alle brugere.
Har din ShieldTV/AppleTV brug for at kunne skrive på din NAS server? tvivlsomt,
så opret en Mediecenter bruger med læserettigheder.
Lad hver med at oprette automatisk forbindelse med skriverettigheder til jeres NAS fra jeres PC,
hvor ofte har man i virkeligheden behov for skrive adgang til sin NAS server?
Vil man gå med livrem og sele, så kopier filer ind på NAS serveren via web interface, da det er tvivlsomt at virus inficere via webinterface, hvor at NFS/Samba har en lidt skidt historik for ransomware (Wannacry anyone??)

Jeg tror jeg læser 1-2 tråde om måneden på brugere som har fået krypteret alle filer på deres NAS server, enten fordi at de har port forwarded direkte til den, eller har haft en PC med virus, men det er ikke svært at minimere risikoen en anelse.

Får man så problemer med at segmentere sit netværk??
JA.. det gør man, i hvert fald hvis man segmentere for meget.
Hvis mobiltelefoner og Sonos ender på forskellige VLAN's, så gør klar til en hovedpine.
eller hvis man har en IOT enhed som skal sættes op via mobil på lokalnetværk først, (Home Connect)
så skal man først forbinde sin telefon til IOT netværket, sætte det hele op, og så husk at fjerne netværket igen fra telefonen, da man ellers risikere at telefonen fra den ene dag til den anden synes at IOT netværket ikke er så tosset alligevel.

Så nogle ting bliver en smule mere besværlige,
men hvor ofte køber du nye hvidevarer?


Skift forum	Forum-tilladelser Du kan ikke oprette nye emner i dette forum Du kan ikke besvare indlæg i dette forum Du kan ikke slette dine indlæg i dette forum Du kan ikke redigere dine indlæg i dette forum Du kan ikke oprette afstemninger i dette forum Du kan ikke stemme i dette forum


Besvar	Side <1 38 394041 42 81 >