(09/07/2020, 10:29:01)Kevlille a écrit : Du coup avec le ne sais pas trop par ou partir...  Je pensais déjà faire:

* Vlan Core: PCs, Serveur, Imprimante + smartphones
* Vlan Invités/enfants: uniquement accès internet (avec restrictions de site)
* Vlan domotique/IOT: passerelle KNP, HUE, Harmony
* Vlan multimédia: TV, HEOS
* Vlan vidéo: Portier SIP, Camera

Cela vous semble logique? 

Bien sur certains éléments comme OpenHAB devra voir accès à plusieurs Vlans afin de piloter les différents éléments (HUE, KNX, HEOS et SIP + cam).

(09/07/2020, 15:15:26)Kevlille a écrit : Hello Raven

Désolé je ne maitrise pas les Vlans (pas encore). Je pensais qu'un Vlan était valable pour l'Ethernet ET le Wifi et que ce qui permettait de faire le tri était les adresses MAC.....

ps: tant que je t'ai sous la main. Sais-tu s'il existe des switch Gigabit (1 port entrée/ 2 ports de sortie) alimenté en POE éventuellement et très compact? Ce serait pour avoir 2 ports Eth dispo dans les pièces ou il y en a qu'une mais sans mettre un gros bazard (en gros un truc comme les Unifi in-Wall Pro mais sans la partie Wifi )

(09/07/2020, 20:41:17)Kevlille a écrit : Re,

Quel est l'intérêt de ne jamais avoir un même Vlan pour le filaire et le wifi Core? Sachant que l'utilise principalement mes PC en Wifi.

Pour le SIP, pourquoi ne pas le mettre sur le même Vlan "vrai" domotique sachant qu'il va devoir interagir avec tout ce petit monde?

Enfin, pour l'histoire du "switch", c'est exactement cela. Je veux l'équivalent d'un switch mais sans alim et 2 ports dispo pour brancher 2 Enceintes Heos par exemple

(10/07/2020, 13:57:21)Kevlille a écrit : Ce qui me faudrait en fait c'est un switch gigabit qui se branche comme une prise CPL (mais sans la partie CPL) ou a défaut un switch comme celui-ci mais alimenté en POE

EDIT:

J'ai trouvé cela . Ma question est: pourrais-je gérer les Vlans crée sous Unifi avec? Besoin de double paramétrage?

EDIT2:

Je suis con... Unifi a ce genre de petit switch autoalimenter en POE: ici .Assez discret et pas cheret surtout ça reste du Unifi.

(16/07/2020, 13:51:13)Woofy a écrit : L'intérêt des VLANs, c'est surtout de pouvoir segmenter tes différents réseaux sans investir dans de multiples switchs. En revanche il faut bien segmenter les réseaux et gérer les flux qui passent à travers (firewall), les VLANs seulement séparés par un routeur n'ont aucun intérêt niveau sécurité (éventuellement pour de l'équilibrage de charge, et encore, enfin là c'est moins mon domaine).

Mon Donc je mettrais PC + imprimante + éventuellement Wifi interne dans un VLAN, Wifi guest (si tu en as un) dans un autre, serveurs/NAS dans un 3ème (et encore si tu as plusieurs serveurs, voir s'ils ont tous la même criticité), audio multiroom / tv connectée / harmony / philips hue dans un 4ème et le KNX dans un dernier.
Ne pas trop segmenter sinon c'est un enfer à maintenir, et une usine à gaz n'aide pas trop.

R4v3n : ton Wifi doit offrir les mêmes capacités que ton réseau interne. Il faut surtout lui donner une protection optimale. On ne va pas mettre en place du 802.1x, mais une bonne clé WPA2 est nécessaire. Et éviter le WPS. Pour du résidentiel, c'est à mon sens suffisant. Pour une entreprise, du 802.1X serait préférable.

Pour moi, la zone PC est justement risquée : c'est celle qui risque le plus de se prendre un ranswomare (quoique la TV connectée aussi peut s'en prendre un). Donc aussi risquée que le wifi, même si les risques ne sont pas les mêmes (un wifi bien configuré/sécurisé, il n'y a pas de problèmes, sauf éventuellement des attaques en déconnexion mais ça, segmenter ne sert à rien).

(17/07/2020, 10:29:05)Woofy a écrit : Non tu te trompes.
Je vois plutôt le réseau bureautique (PC / imprimantes) comme non sécurisé (bon désolé je reprends les termes que j'utilises d'habitude, je vous laisserais faire la conversion pour le résidentiel).
Pour le Wifi, le soucis est que pour ton réseau Wifi interne il faudra lui donner les accès via la config firewall.
Oui, donner le strict minimum.

Si tu veux avoir les mêmes droits sur ton Wifi interne que sur ton réseau bureautique. Donc tu vas devoir ouvrir comme un porc, ce qui a peu d'intérêt niveau sécurité.
Pas du tout, tout l'intérêt est de limiter au strict minimum, et c'est là aussi l'intérêt du 802.1x.

C'est complexifier l'administration pour n'apporter que très peu côté sécurité.
Tu ne donnes aucun droit à une machine, tu authentifies une machine, puis un user.


Si tu traites du confidentiel défense ou du diffusion restreinte on en reparle, 
Si tu veux en parler, la réglementation actuelle pour le DR est beaucoup trop laxiste. Et le CD aussi d'ailleurs.

mais pour du résidentiel bateau (surfer sur Facebook, Youporn et le reste d'Internet, jouer à des jeux en ligne ou pas, consulter ses comptes bancaires en ligne, faire ses papiers, lire ses mails, écrire l'exposé de son ado, et l'imprimer, ...) tu n'as pas besoin d'une sécurité digne d'une base militaire top secrète à la StarGate.


Oui, le wifi est plus exposé que ton réseau filaire car on n'a pas la protection physique offerte par ta porte d'entrée. Mais à ma connaissance le WPA2 n'est pas encore cassé,
Il semble que tes connaissances ont un paquet d'années de retard.

et reste largement suffisant pour une protection d'un réseau résidentiel. Ou même pour une TPE ou une petite PME.
Pas à mon goût (et en TPE/PME le wifi devrait être interdit).

L'investissement dans une authentification 802.1X se justifie lorsque tu as déjà plusieurs dizaines de personnes qui se connectent au Wifi.
Quel investissement ? Le temps ? Parce que c'est le seul que je vois.

Mais dans ce cas, si tu es une entreprise suffisamment importante, investir dans un WIPS, dans des collecteurs et des points d'accès qui gèrent l'authentification radius devient indispensable (ou couper le Wifi, je l'ai vu également), mais il ne faut pas s'arrêter là et mettre en place de l'authentification forte, du chiffrement sur tes postes, tes serveurs, ...
Pourquoi encore investir ? On fait tout déjà très bien dans l'open source et en plus libre à toi d'auditer le code
Chiffrer tous les storages, c'est une base, pas une feature de sécu.


Pour du résidentiel là on sort quand même le marteau pilon pour écraser une mouche. Tu as quand même plus de chances de te prendre un virus des années 90 en ouvrant le mail de tonton Gaston avec ses blagues powerpoint, ou un ransomware en installant le dernier crack pour Office 2021 ou GTA VI téléchargé sur un réseau chelou que quelqu'un vienne à côté de chez toi et s'amuse à casser ton Wifi pour surfer tranquille via ton Internet ou dérober tes photos de vacances pour te faire chanter.
Tu ne prends surtout pas en compte qu'à partir du moment où ta passerelle KNX/IP est accessible via un wifi, n'importe qui pourra ouvrir tes volets quand il le voudra, péter une fenêtre, voire ouvrir la porte dans les pires cas. On a 116000 cambriolages par an en France. Et c'est comme les voitures, plus c'est accessibles (et sans traces) et plus on y porte d'intérêt.

(17/07/2020, 20:13:09)R4v3n a écrit : Et c'est comme les voitures, plus c'est accessibles (et sans traces) et plus on y porte d'intérêt.

(17/07/2020, 10:29:05)Woofy a écrit : Non tu te trompes.
Je vois plutôt le réseau bureautique (PC / imprimantes) comme non sécurisé (bon désolé je reprends les termes que j'utilises d'habitude, je vous laisserais faire la conversion pour le résidentiel).
Pour le Wifi, le soucis est que pour ton réseau Wifi interne il faudra lui donner les accès via la config firewall. Si tu veux avoir les mêmes droits sur ton Wifi interne que sur ton réseau bureautique. Donc tu vas devoir ouvrir comme un porc, ce qui a peu d'intérêt niveau sécurité. C'est complexifier l'administration pour n'apporter que très peu côté sécurité.
Ou alors tu donnes un traitement et des droits différents aux PC filaires et aux PC Wifi, ce qu'on voit rarement.


Si tu traites du confidentiel défense ou du diffusion restreinte on en reparle, mais pour du résidentiel bateau (surfer sur Facebook, Youporn et le reste d'Internet, jouer à des jeux en ligne ou pas, consulter ses comptes bancaires en ligne, faire ses papiers, lire ses mails, écrire l'exposé de son ado, et l'imprimer, ...) tu n'as pas besoin d'une sécurité digne d'une base militaire top secrète à la StarGate.
Oui, le wifi est plus exposé que ton réseau filaire car on n'a pas la protection physique offerte par ta porte d'entrée. Mais à ma connaissance le WPA2 n'est pas encore cassé, et reste largement suffisant pour une protection d'un réseau résidentiel. Ou même pour une TPE ou une petite PME. L'investissement dans une authentification 802.1X se justifie lorsque tu as déjà plusieurs dizaines de personnes qui se connectent au Wifi. Mais dans ce cas, si tu es une entreprise suffisamment importante, investir dans un WIPS, dans des collecteurs et des points d'accès qui gèrent l'authentification radius devient indispensable (ou couper le Wifi, je l'ai vu également), mais il ne faut pas s'arrêter là et mettre en place de l'authentification forte, du chiffrement sur tes postes, tes serveurs, ...
Pour du résidentiel là on sort quand même le marteau pilon pour écraser une mouche. Tu as quand même plus de chances de te prendre un virus des années 90 en ouvrant le mail de tonton Gaston avec ses blagues powerpoint, ou un ransomware en installant le dernier crack pour Office 2021 ou GTA VI téléchargé sur un réseau chelou que quelqu'un vienne à côté de chez toi et s'amuse à casser ton Wifi pour surfer tranquille via ton Internet ou dérober tes photos de vacances pour te faire chanter.

(17/07/2020, 20:13:09)R4v3n a écrit : [quote pid='48344' dateline='1594978145']
et reste largement suffisant pour une protection d'un réseau résidentiel. Ou même pour une TPE ou une petite PME.
Pas à mon goût (et en TPE/PME le wifi devrait être interdit).

(20/07/2020, 16:05:00)Woofy a écrit : L'investissement, ce n'est pas que le coup des licences, mais aussi du temps que tu y passes, du matériel à acheter si celui que tu as déjà ne gère pas tout ça. Le temps passé à la mise en place, puis à l'exploitation et à la maintenance. Un système plus complexe demande toujours un peu plus de temps à être géré.
Pour les attaques sur WPA2, hormis Kraack, et des faiblesses du WPS (qui se désactive) je ne vois pas. Mais le protocole n'est pas cassé, il souffre de faiblesses d'implémentations. Mais si tu penses à autre choses je suis preneur.
il n'y a pas grand chose compatible WPA3 encore, si ?

Enfin, ton KNX, il est sur un réseau séparé et tu appliques bien la politique de défense en profondeur couches par couches. Donc depuis ta zone KNX, tu ne fais pas confiance à ta zone non KNX. Ou tu met du KNX Secure dans ce cas.

(20/07/2020, 16:30:53)Du21 a écrit :

(17/07/2020, 20:13:09)R4v3n a écrit : [quote pid='48344' dateline='1594978145']
et reste largement suffisant pour une protection d'un réseau résidentiel. Ou même pour une TPE ou une petite PME.
Pas à mon goût (et en TPE/PME le wifi devrait être interdit).

(20/07/2020, 17:02:25)R4v3n a écrit : Si tu te poses encore la question de pourquoi, c'est que tu n'as toujours pas compris que le Wifi reste une porte avec une clé dessus.

(20/07/2020, 17:02:25)R4v3n a écrit : Des techniques tu en as plein, que ce soit des vulnés connues comme krack ou kr00ck, des CVE en pagailles sur du matériel et/ou des chips, du simple bruteforce. C'est pas le nombre de techniques qui manque.

Je ne prône pas WPA3, je prône le sans Wifi, ou du moins la segmentation des Wifis avec le reste du réseau filaire.