Netzwerksegmentierung: IoT- vs. NoT-Netzwerke
Dutzende IoT-Geräte im eigenen privaten Netzwerk zu haben, ist eine Sicherheitslücke — Geräte, die nach Hause telefonieren, können still und heimlich eine Route vom Internet in dein lokales Netzwerk öffnen.
Maschinell aus dem Englischen übersetzt, vom Autor geprüft. Englisches Original
IoT-Geräte sind in den letzten Jahren sehr populär geworden. Alles ist ständig vernetzt. Was nach einer guten Idee klingt, kann tatsächlich zu einer Sicherheitslücke in deinem Netzwerk führen. Da nur der Hersteller weiß, was ein Gerät tatsächlich tut, könnten deine IoT-Geräte Funktionen mitbringen, die dir nicht gefallen.
Was ist das Problem mit meinem IoT-Gerät?
Die kurze Antwort lautet: Du besitzt es, aber du kontrollierst es nicht. Aber…
Nehmen wir als Beispiel ein IoT-Gerät mit Sprachassistent. Die kleinen Boxen, die in jedem Zimmer stehen, reagieren auf deine Spracheingaben. Die aktuelle Wettervorhersage ist nur einen Sprachbefehl entfernt. Aber was passiert eigentlich im Hintergrund? Der smarte Lautsprecher zeichnet deine Stimme auf, sendet die Aufnahme an einen öffentlichen Cloud-Anbieter, der analysiert, was du gesagt hast, und führt einfach aus, was ihm von der Cloud befohlen wird. In unserem Beispiel: die aktuelle Wettervorhersage vorlesen.
Ein weiteres, eher physisches Beispiel wäre ein Bewegungsmelder, der an einen Internetdienst meldet, ob jemand erkannt wurde. In deinem lokalen Netzwerk werden keine Befehle ausgeführt, aber wer sich Zugang zu den Daten im Cloud-Dienst verschafft, könnte leicht herausfinden, ob du zu Hause bist. Wäre ich der Bösewicht, würde ich warten, bis die Cloud mir ’niemand zu Hause’ meldet, bevor ich in dein Haus einbreche.
Was ist hier also eigentlich passiert? Dein IoT-Gerät führt Befehle aus oder gibt Informationen preis, die nicht unter deiner Kontrolle stehen. Wie stellst du sicher, dass ein solcher Befehl nicht darin besteht, deine Bankdaten von deinem PC in die Cloud hochzuladen? Würdest du ein großes Schild an deine Haustür hängen, auf dem steht “Haus ist leer, niemand zu Hause”?
IoT- und NoT-Geräte in einem segmentierten Netzwerk platzieren
IoT — das Internet of Things — ist ein bekannter Begriff. Er beschreibt Geräte, die mit dem Internet verbunden sein müssen, um richtig zu funktionieren. NoT — Network of Things — beschreibt Geräte, die mit deinem Netzwerk verbunden sind, aber kein Internet benötigen, um richtig zu funktionieren. Beide Geräteklassen sollten von deinem lokalen Netzwerk isoliert werden. Falls dein Router jedoch keine 3 separaten Netzwerke unterstützt, gibt es auch Alternativen, um das mit weniger als 3 umzusetzen.
Falls dein Router ein Gastnetzwerk unterstützt, aber keine weiteren zusätzlichen Netzwerke, kannst du das Gastnetzwerk als kombinierten Ersatz für die hier beschriebenen IoT- und NoT-Netzwerke nutzen.
Geräte für das IoT-Netzwerk sind Geräte, die ohne Internetverbindung nicht funktionieren. Beispiele dafür sind smarte Lautsprecher, Internetradios oder webbasierte Wetterstationen.
Geräte für das NoT-Netzwerk sind Geräte, die mit deinem Heimnetzwerk kommunizieren müssen, aber nicht mit dem Internet. Zum Beispiel smarte Glühbirnen oder WLAN-Überwachungskameras.
Wie man IoT- und NoT-Geräte in einem von Unifi verwalteten Netzwerk segmentiert
Ubiquiti-Netzwerkkomponenten[arch] sind erschwingliche Geräte, die viele professionelle Funktionen mitbringen. Eine dieser Funktionen ist die Aufteilung deines Netzwerks in mehrere VLANs. Genau das nutzen wir in unserem Setup.
Gehe in deinem UniFi-Controller zu Settings -> Network. Erstelle ein neues IoT-Netzwerk mit den hier gezeigten Einstellungen:
Mach jetzt einfach dasselbe mit dem NoT-Netzwerk:
Da wir jetzt zwei Netzwerke haben, kannst du auch zwei WLANs konfigurieren, damit auch kabellose Clients mit deinem Netzwerk verbunden werden können. Ich zeige hier nur das IoT-WLAN, da die Einstellungen für das NoT-WLAN weitgehend identisch sind:
Jetzt ist alles eingerichtet: 2 zusätzliche VLANs / Netzwerke stehen zur Verfügung, du musst nur noch deine Geräte damit verbinden.
Firewall-Konfiguration
Die Netzwerke können momentan noch mit deinem Hauptnetzwerk und auch untereinander kommunizieren. Um das zu verhindern, müssen wir die Firewall entsprechend konfigurieren.
Gehen wir die Regeln durch:
| ID | Name | Beschreibung |
|---|---|---|
| 2000 | Established und Related erlauben | Erlaubt Verbindungen, die bereits aufgebaut sind. Wir kontrollieren nur den Verbindungsaufbau. Ist dieser durch eine andere Regel erlaubt, sorgt diese Regel dafür, dass der weitere Datenfluss innerhalb derselben Verbindung nicht blockiert wird. |
| 2001 | Alle lokalen zu NTP | Erlaubt NTP-Verkehr (Network Time Protocol) aus allen lokalen Netzwerken. Dadurch können NoT- und IoT-Geräte die aktuelle Uhrzeit von einem Zeitserver beziehen |
| 2002 | Alle NoT verwerfen | Verwirft alle Verbindungen, die das NoT-Netzwerk aufzubauen versucht. Verbindungen, die vom LAN zum NoT-Netzwerk initiiert werden, sind davon nicht betroffen — hier sorgt Regel 2000 dafür, dass Daten frei fließen können |
| 2003 | IoT zu MQTT-Server | Erlaubt Verbindungen zu meinem Smart-Home-Server für das MQTT-Protokoll. Das ist erforderlich, damit sich meine smarten Geräte mit meinem Home-Assistant[arch]-Server verbinden können. |
| 2005 | IoT zu NoT verwerfen | Verwirft alle Verbindungsversuche vom IoT- zum NoT-Netzwerk |
| 4000 | IoT zu LAN verwerfen | Verwirft alle Verbindungsversuche vom IoT-Netzwerk zum LAN |
Dieses Setup führt zu folgendem Ergebnis:
- Das IoT-Netzwerk kann nur Verbindungen zum Internet aufbauen
- Das NoT-Netzwerk kann überhaupt keine Verbindungen aufbauen
- Das LAN kann Verbindungen zum IoT- und NoT-Netzwerk aufbauen
Da keines deiner IoT- oder NoT-Geräte mehr mit deinem Hauptnetzwerk (LAN) kommunizieren kann, sind die vertrauenswürdigen Geräte in diesem Netzwerk jetzt sicher.
mDNS-Erkennung aktivieren
Mit dem obigen Setup könntest du Probleme bekommen, deine NoT- und IoT-Geräte z. B. von deinem Smartphone im LAN-Netzwerk aus zu finden. Das liegt daran, dass diese Geräte oft mDNS[arch] verwenden, um die Anwesenheit eines Geräts zu erkennen. Da mDNS keine VLAN-Grenzen überschreiten kann (auch nicht mit einer dedizierten Firewall-Regel!), müssen wir sicherstellen, dass die Geräte ihre Ankündigungen über alle Netzwerke hinweg senden können.
Glücklicherweise erlaubt uns UniFi genau das zu konfigurieren, indem wir den Schalter “Enable Multicast DNS” aktivieren. Du findest diesen Schalter unter Settings -> Services -> MDNS.
Dadurch können nur die Ankündigungen über VLAN-Grenzen hinweg fließen, aber nicht die eigentlichen Verbindungen. Daher werden dadurch keine der zuvor eingerichteten Sicherheitsmaßnahmen ausgehebelt.