RPi Secure Appliance

[GTD Bastion]

Hallo Zusammen,

Ich möchte euch mein neuestes Security Projekt vorstellen.
Dabei geht es um eine Low Cost Secure Appliance basierend auf einem Raspberry Pi. Da sich der RPi für mich nur bedingt als Server eignet, ich mit meiner KD Fritte unzufrieden bin, hab ich mich entschlossen mir von KD nur noch ein 08/15 Stellen zu lassen und die Firewall Funktionalität auf den Pi auszulagern.

Dabei heraus gekommen ist eine RPi Secure Appliance, welche alle meine Anforderungen erfüllt:

1. Eine starke Firewall
2. Drei von einander getrennte Netze
3. Proxy / Webcache
4. Intrusion Detection / AV Schutz
5. IPSec zum VServer
6. Socks Proxy für spätere Implementierung
7. Fallback Strategie

Als Distribution läuft die aktuelle IPFire Version ohne zu murren. Den doch sehr geringen RAM habe ich auf einen 8GB Stick ausgelagert, um den Webcache und Proxy vernünftig nutzen zu können.
Da der RPi von Haus bekanntlich nur einen LAN Anschluss mit bringt, habe ich das ganze um einen D-Link DUB E100 und natürlich um einen WLAN Stick erweitert.

Ausgehend vom RPi habe ich durch IPSec eine Standleitung zum Strongswan meines Vservers etabliert und so einen starken durch Zertifikate gescützten VPN Tunnel im Einsatz, welcher auch bei relativ hoher Last stabil bleibt.

Systemische Darstellung:

Orange = Server, Drucker, NAS
Besonderheit: Auf den Server kann von Green und Blue zugegriffen werden. Externe Kommunikation ist für den Drucker und die NAS gesperrt, Server kommuniziert nur via IPSec Tunnel nach extern zum Vserver.

Green = PC, Dreambox, Venton, VDR
Besonderheit: Zugriff auf Orange, Blue und natürlich Red und Green

Blue = Alle WLAN Clients
Besonderheit: Zugriff auf Orange, Blue und natürlich Red und Green

Red = Bildet die externe Schnittstelle zum KD Modem.
Besonderheiten: Kein Red0 ist kein Zugriff auf interne Ressourcen möglich. Zugriff auf Homeserver nur ausgehend vom Homeserver möglich.

Orange -------------- |
############ |
############ |
############ |
############ |-------------RPi SA ====== KD Modem ====== Vserver
Green ------------------------------RPi SA ----------- KD Modem ---------- Internet
############ |-------------RPI SA ----------- KD Modem ---------- Internet
############ |
############ |
############ |
Blue ------------------ |

Das sprichwörtliche i-Tüpfelchen bildet das UMTS Fallback.
In bestimmten Abständen prüft die RPi SA die Internet Konnektivität. Wenn der Verbindungsabruch länger als 15 Sekunden andauert, wird automatisch auf das UMTS Fallback auf Red1 geschaltet.
Alle Dyn-DNS Adressen werden daraufhin automatisch auf die neue IP aktualisiert.

Theoretisch ist auch eine Anwendung zum Lastausgleich über zwei, drei oder vier UMTS Sticks. Die Verfügbare Bandbreite würde sich entsprechend erhöhen. Stichwort wäre hier ein QOS.
Systematische Darstellung mit Fallback Konzept:

Orange -------------- |
############|
############|
############|
############|-------------RPi SA ====== KD Modem ====== Vserver
############|-------------RPi SA ====== UMTS ====== Vserver
Green ------------------------------RPi SA ----------- KD Modem ---------- Internet
Green ------------------------------RPi SA ----------- UMTS ---------- Internet
############|-------------RPI SA ----------- KD Modem ---------- Internet
############|-------------RPI SA ----------- UMTS ---------- Internet
############|
############|
############|
Blue ----------------- |

 

[pr0j3ctx]

AW: RPi Secure Appliance

Hallo.

Interessanter Ansatz.
Mich würde interessieren wie du/IPfire die Bandbreitenerhöhung mit mehreren UMTS-Sticks löst.

Ich habe mal von der Security abgesehen einen ganz anderen Ansatz.

Ich habe von meinem Server/GW zu Hause jeweils einen VPN Tunnel über DSL und UMTS zu meinem vServer.
Zusätzlich läuft auf dem Server zu Hause und dem vServer olsr. Dieser prüft ständig die Internetverbindung und wählt dann den besseren Weg/Route.

Über eine Gewichtung gebe ich dem DSL Anschluss den Vorrang.

Den Vorteil den ich hier sehe ist, das mein Endpunkt (vServer) immer derselbe ist.
Sprich: Es geht die DSL Verbindung Flöten kommen alle ausgesendeten Pakete wieder zu meinem vServer zurück. Dieser leitet diese dann dank olsr über den UMTS Tunnel zurück.

So habe ich bei einem Komplettausfall keine Verbindungsabbrüche. Bei diversen Tests waren es bisher maximal 1 Ping der verloren lief.

Das ganze läuft hier seit 3-4 Jahren sehr zuverlässig.

Des weiteren könnte ich die beiden Tunnel auch zu einem Bonding zusammenführen. Damit hätte ich eine echte Bandbreitenerhöhung, was aber bei den hiesigen UMTS-Datentarifen wenig Sinn macht.

Schönen Gruß
pr0

Gesendet von meinem Nexus 5 mit Tapatalk

 

[GTD Bastion]

AW: RPi Secure Appliance

Moin,

Ich hab selbst noch nicht mit mehreren UMTS Sticks getestet.

IPfire fehlt bzgl. Bonding ein bisschen die Funktionalität. Einzig denkbar wäre aus meiner Sicht ohne es zu testen, ein vernünftig konfigurierter QOS um eine rudimentäre Lastverteilung zu erzeugen...oder eben wie dein Ansatz olsr.

Eventuell kann man das sogar miteinander verbinden.

Es würde auch die Möglichkeit geben, die Funktionalität auf einem Viprinet Adapter auszulagern. Mit dem kannst tatsächlich wie bei einer ISDN Kanalbündelung die UMTS Ressourcen bündeln.

So teuer war das Standard Model glaube ich nicht. Das Problem bei Multi UMTS sehe ich eher da, dass man damit die Kapazitäten einer Zelle soweit ausschöpft, dass es kein Mehrgewinn als Performance ist.

Bzgl der Kosten gebe ich dir recht...die Prepaid Tarife kannst du für Fallbacks wunderbar nutzen...für 2-3 Tage.

Interessant wird es dann wenn es erschwingliche LTE Tarife und Adapter gibt.