Netzwerk "richtig" aufbauen

[Hubertus81]

Und bitte auch and das Thema USV und POE denken ...

Wofür USV? Also zumindest in Deutschland fällt dermaßen selten der Strom aus, dass dann wohl fast eher die USV ausfällt.
Ich mein gibt auch ne ganze Reihe von Fehlern da hilft dir ne USV nix, wenn zB eines der Netzteile deiner Geräte nen Fehler hat und die Leitung kurzschließt, oder defekte Stecker/Kabel im Server (vor einigen Monat gehabt obwohl im Schrank und da absolut niemand dran ist).

Kommt vielleicht auch bisschen auf die Immobilie drauf an aber in vielen Fällen würde ich ne USV als nicht etwas so notwendiges ansehen. Auf das Netzwerk kann man auch verzichten und wie gesagt greift ne USV auch nicht bei allen Fehlern. Wenn ich meinem Netzwerk den Strom abschalte ist es halt aus, mehr passiert dann nicht

Ja, der Gastzugang mit Ticket geht nur mit Controller. Mir ist aber wirklich unklar, warum das nicht auf dem USG läuft und man nun min. 4 Geräte laufen haben muss.

Das USG hat doch kaum Leistung. Beim 3P gehen selbst bei VPN meine ich nicht mehr wie 20 oder 30Mbit/s. Wieso sie den Controller nicht in das Gerät packen wird auch einfach sein weil die Netzwerke doch halt sehr unterschiedlich groß und komplex sein können. Dass man ihn auf dem NAS laufen lassen kann finde ich sehr klever.

[coliflower]

Genau. Denk aber dran - Mikrotik hat keine Modems verbaut.

An dieser Stelle, vielleicht hilft das hier ... https://knx-user-forum.de/forum/projektforen/edomi/1135824-mikrotik-über-lbs-steuern-edomi?p=1162885#post1162885

[coliflower]

Wofür USV?

Darüber lässt sich natürlich vorzüglich streiten, auch sind die hier angeführten Punkte gegen eine USV nicht von der Hand zu weisen - meine intention war nur auch über die USV nachzudenken ...

Ich persönlich verbinde mit der USV neben der KNX-SV, auch das Kabelmodem, den Switch und EDOMI, sowie die NAS um die HDD zu schonen (der Teufel schläft nicht).

[MiniMaxV2]

An dieser Stelle, vielleicht hilft das hier ... https://knx-user-forum.de/forum/projektforen/edomi/1135824-mikrotik-über-lbs-steuern-edomi?p=1162885#post1162885

Uhi uhi das Ding kenne ich noch garnicht wenn das dann an unseren Deutschen Anschlüssen läuft könnte ich mir das direkt mal ansehen ob das die externen Modem Klötze ersetzten kann ?

[Hubertus81]

Darüber lässt sich natürlich vorzüglich streiten, auch sind die hier angeführten Punkte gegen eine USV nicht von der Hand zu weisen - meine intention war nur auch über die USV nachzudenken ...

Ich persönlich verbinde mit der USV neben der KNX-SV, auch das Kabelmodem, den Switch und EDOMI, sowie die NAS um die HDD zu schonen (der Teufel schläft nicht).

Naja ne HDD kann man ersetzen im Zweifel, kommt ja auch drauf an wie oft der Strom ausfällt da wo das Häusle steht. Im NAS sind in meinen Augen primär die Daten wichtig, modernen Dateisystemen wie ZFS kann ein Stromausfall auch nichts anhaben, das wurde bei der Entwicklung im Labor auch unzählige Male getestet und nie war das Dateisystem beschädigt. Ist man aber mit Raid Lösungen unterwegs noch kann das durchaus anders aussehen und son Stromausfall kann einem mal das Raid und/oder Dateisystem zerschießen.

Wollte auch nicht gegen USV wettern, nur aufmerksam machen dass man damit nicht alle Eventualitäten abgegolten hat. Kommt wie so oft drauf an was man erreichen will. Ein USV Stromkreis fürs NAS nützt nichts wenn irgendwo im selben Stromkreis hinter der USV ein Verbraucher bei einem Defekt was kurzschließt.
Da bei uns jetzt aber seit Jahren schon der Strom nicht ausgefallen ist, halte ich bei mir persönlich so eine USV für unnötig. Kann man drüber streiten, muss man am Ende selber entscheiden

[jentz1986]

Internet (DSL) ist für mich klar - das wird über Mikrotik (RB3011) möglich.

Ich hoffe, das ist verkürzt und heißt RB3011 + DSL-Modem (Draytek Vigor o.ä.), RB3011 ist ein Router, aber soweit ich diesen Thread und die Produktbeschreibungen lese, ohne eingebautes Modem.

mein ISDN Telefon mit DECT Basis-Station weiterverwenden --> was ist dann zusätzlich notwendig?

Ein SIP->ISDN Gerät. Diese sterben aus. Lediglich bei den höheren Fritzboxen ist ISDN noch Thema. Sonst (ohne Recherche) gibt es kaum noch HW für ISDN.

Wenn kein ISDN mehr zum Einsatz kommt, kann man dann einfach ein SIP-Telefon anschließen und da die VOIP Daten eintragen?

Prinzipiell ja, sofern das Routing etc. so eingestellt ist, dass das Telefon quasi umgeschützt im Internet steht.

Ich frage mich, worum es hier eigentlich geht. Geht es darum alles möglichst kompliziert aufzubauen, oder welche Schwächen der FritzBox sollen kompensiert werden? Wenn man das Ganze als persönliches Versuchsfeld aufbaut, OK. Aber auf den Handy zu Handy anruf meiner Frau will ich mich nicht freuen, wo 1&1 und co. per TR-069 der FritzBox neue Infos geben, die Ganzen anderen Setups händisch geändert werden müssen, bloß weil Mann einen Netzwerkschrank zum vorzeigen braucht. Daher würde ich die FritzBox als ersten Router und SIP Gateway nehmen. Danach dann den ganzen Zirkus mit VLAN Switch und WLAN APs machen, und fertig ist. Wer mag, kann hinter der FritzBox immer noch mit weiteren Routern, DHCP-Servern und gedöns spielen, weil die Fritzbox scheinbar bei mehr als 50 Geräten mit dem Routing überfordert ist. Dann ist das Setup: Welt -> Fritz -> z.B. RB3011 -> managed switch mit PoE -> unify APs und an der Fritz hängt dein ISDN, ohne Ärger. Und dann ist Fritz auch im Keller.

[Janncsi]

Falls jemand ein Modem brauch für annex B+J, ich habe noch ein Allnet ALL0333CJ, welches tadellos mit meinen Komponenten zusammen arbeitete (Mikrotik). Benötige ich seit der Umstellung auf FTTH nicht mehr, aber wenn es jemand anderes gebrauchen kann, einfach melden...

[Hubertus81]

Prinzipiell ja, sofern das Routing etc. so eingestellt ist, dass das Telefon quasi umgeschützt im Internet steht.

Also bei meinem Gigaset N510 IP musste ich im Router nix öffnen.

[jentz1986]

Also bei meinem Gigaset N510 IP musste ich im Router nix öffnen.

Wenn sich das per UPnP selbst die Türen aufmacht, geht es auch ohne händischen Eingriff. Ist das bei Dir der Fall, weißt Du das? Bin neugierig ;-)

Hua, gerade nochmal Wikipedia befragt. Die Zahl der bei SIP / VoIP beteiligten Protokolle ist groß und je nach Hardware KANN es, wie bei Dir beschrieben eben auch einfach funktionieren.

[EPIX]

heute war der Lieferant da und hat 2 Pakete mitgebracht
- RB3011
- Unify UC-CK

was ich bisher verstanden habe (oder zumindest zu verstehen glaube) und wie ich mir den Umstieg vorstelle:
mein Kabelmodem (vom Kabelbetreiber) hat DHCP im Bereich 192.168.1.1/...

1. daher MUSS der Router WAN-Portneinen anderen IP-Range als das LAN haben
2. ich hänge den Router einfach auf das Kabelmodem und konfiguriere den Router auf das "interne" neue IP-Netz (geplant 192.168.0.1) - das wäre dann das "untagged VLAN"
3. auf diesen "untagged VLAN" hängen meine WLAN-AP, die Diskstation, usw...?
4. das Netz für alle Familien-PC,Handxy usw soll die ID 10 bekommen und die Technik-geräte (KNX, Heizungssteuerung,..) ID 50
-> Frage: beim managed switch an dem die Dinger alle hängen - muss ich den die betreffenden Ports so konfigurieren, dass die für alle VLAN-ID freigegeben sind oder nur für den "untagged"?
4. Gäste VLAN bekommt zb VLAN ID 90
5. welches VLAN worauf zugreifen darf: stelle ich das im Router ein? (also zb VLAN1, 10, 90 für die AP's, auf denen VLAN 10 und 90 läuft)

Sorry für die naive Fragerei, aber mein Problem ist leider nicht der fehlende Spieltrieb sondern meine Frau die mich erwürgt wenn das LAN länger ausfällt....

[Lunix1983]

getagged funktioniert nur dann wenn die gegenstelle auch tagged... bei standardgeräten (notebook, handy, pc, etc.) ist das im normalfall NICHT so... dort muss der Port in diesem VLAN hängen.

Der "router" routet nur... als leitet nur pakete weiter ... wenn das Teil auch eine Firewall integriert hat, dann regelt die Firewall wer wohin darf und wer nicht...

Nachtrag:
Lies dir mal die Bewertung durch...
https://geizhals.at/?sr=1373719,-1
Für Laien eher schwer zu konfigurieren... viel Glück!

[MiniMaxV2]

EPIX sooo schwer ist das gar nicht wie lunix meint
also du willst/musst so wie ich es lese doppel natten oder? Dann sähe eine beispiel Konfig wie folgt aus:

KabelRouter an ETH1 vom RB3011. ETH1 bekomt einen DHCP Client angeheftet. Am besten nennst du in der UI den Port auch ETH1_WAN oder ähnlich. Hilft später beim warten. Dann legst du dir für jedes deiner geplanten Netze eine Bridge an (Bridge ist ein Software Switch). In deinem Fall also: BR_Intern_10, BR_Technik_50, BR_GAST_90. An jede dieser Bridge hängst du einen DHCP Server mit eigenem Adressbereich. (z.B. 10.10.1.0/24, 10.10.2.0/24,10.10.3.0/24, 10.10.4.0/24). Somit hättest du deine Geräte getrennt (Du brauchst nicht nur VLANs. VLANs nutzt du nur um mehrere Netze in einem Kabel zu transportieren).
Als nächstes überelgst du dir an welchen Port was soll. Nehmen wir mal an du hast an ETH10 deinen WLAN AP, an ETH2-4 deine Internen Geräte und ETH5-9 die Technik.
Das bedeutet das ETH2-5 untagged member von VLAN 10. ETH6-9 untagged VLAN 50 und ETH10 untagged VLAN50 und Tagged 90, 10 (der AP tagged die Pakete je nach GAST oder Privat WLAN, UNTAGGED ist das Management des Unifi APs).
Also wie machen wir das? Zunächst sollten wir die beiden Hardware Switch Chips nutzen für die beiden Gruppen. Also konkret: In den Einstellungen von ETH3-5 hängst ETH2 als Master Port ein. Bei 7-9 ETH 6. Somit läuft das nicht mehr über die CPU und ist performanter. Als nächstes kümmern wir uns um die untagged Member. Du weißt jetzt den ETH2 der BR_Intern_10 zu, ETH6 der BR_Technik_50, ETH10 der BR_Technik_50. Damit bekommt ein Gerät an den Ports schonmal eine IP Adresse aus dem entsprechenden Bereich. Für ETH10 müssen nun die VLANs angepasst werden. Dazu erzeugst du für jedes VLAN ein VLAN Interface auf dem Interface ETH10. Also bekommt ETH10 ein VLAN Interface VL_50 mit Tag 50, VL_90 mit Tag 90 und VL_10 mit Tag 10. Damit nimmt jetzt ETH10 sowohl Tagged als auch Untagged Verkehr entgegen. Im Unifi den WLANs die entsprechenden Tags zuweisen und es läuft.

Dann noch den DNS Server aktivieren und ihm sagen er soll die DNS Server nutzen aus dem DHCP Client (und remote requests erlauben).

Pro Tipp: Niemals VLAN 1 nutzen. Das ist bei vielen Geräten gleichzusetzen mit untagged obwohl technisch falsch!

Zu guter letzt kommt die Firewall. Da werden die Regeln von oben nach unten abgearbeitet. Ganz unten sollte ein DROP stehen für alles (in allen Chains). Aber bitte die Regel erst gaaanz am ende aktivieren sonst sperrst du dich aus!
Du hast 2 Wichtige für dich erstmal. Input ist alles was (egal von welchen Interface) in den Router geht und FORWARD alles was durch geht also gerouted wird.
Also (achtung reihenfolge gilt von oben nach unten):

INPUT: Drop Invalid
INPUT: Accept etablished, related
INPUT: Accept from BR_INTERN_10 // Privat darfst du alles auf dem Router.
INPUT: Accept UDP/TCP 53 from BR_GAST_90 // Gäste dürfen den DNS abfragen auf dem Router.
INPUT: Drop // default drop auf alles was nicht erlaubt wurde

FORWARD: Drop Invalid
FORWARD: fasttrack-connection für etablished, related
FORWARD: Accept etablished, related
FORWARD: Accept from BR_INTERN_10 // Privat darfst du überall hin
FORWARD: Accept TCP 80,443 from BR_GAST_90 to ETH1 // Gäste dürfen surfen das wars auch schon.
FORWARD: Drop // default drop auf alles was nicht erlaubt wurde

Das wäre eine gaaanz einfache aber ristriktive Konfig für dein Vorhaben.

<EDIT>
Weil es vllt nicht so rüber kommt. Du kannst jetzt an ETH2-5 Geräte anschließen ohne irgendeine Konfiguration und die sind in deinem Internen Netzwerk (bekommen über den DHCP eine Adresse). An ETH6-9 angeschlossen ist alles im Technik Lan (auch hier die Adressen aus dem DHCP für dieses Lan). ETH10 ist ein Trunk und wird von deinem Unifi AP mit Tags versorgt. Die WLAN geräte verbinden sich aber ohne Tag mit dem AP (dieser Tagged je nach SSID die Pakete).
</EDIT ENDE>

So ich hoffe es ist ein wenig klarer und ich konnte dir Helfen. Im Grunde das was du nachgefragt hast, nur das du nicht nur VLANs brauchst sondern auch Adressbereiche für dein Vorhaben.

Bei Fragen einfach melden.

[EPIX]

Danke, ich habe mir gestern die Beiträge der Pasqual-Brüder reingezogen, da wird mir langsam auch einiges klarer...
Wo ich noch ein bisserl hänge: mein 24-Port managed Switch...
Da muss ich dann die physikalischen Ports ja auch irgendwie den VLANS zuweisen-> alle Ports mit den gleichen VLAN-ID (zB10) sind wie ein "externer, separater Switch" miteinander verbunden, EIN Port je switch-VLAN-ID ist dann mit den RB3011 auf einen betreffenden Port zB ETH2 verbunden.

bei den Ports der AP's (am Switch): muss ich dann alle betreffenden VLAN-ID's an den AP-Ports angeben?
2018-03-06 13_56_47-Microsoft Excel - Mappe2.jpg

[MiniMaxV2]

Siehste ist doch alles logisch

Also wenn du jetzt noch einen Switch da zwischen haben möchtest, baust du am besten einen Trunk zu diesem auf (und nicht eine Leitung für jedes Netz). Erstmal mit einem Port ohne LAG.

Folgende Situation, was sich ändert zu meinem ersten Text: Dein Switch klemmst an ETH10. ETH10 selbst ist in keiner Bridge mehr vorhanden. Auf ETH10 kommt VLAN10, VLAN50 und VLAN90 und die jeweils in die Passende Bridge (das war ja schon im ersten Text). Damit wird kein untagged Verkehr auf dem Port akzeptiert.

Dein Switch sagst du an eineim Port (z.B. 1), dass dies ein Trunk ist für VLAN 10, VLAN 50 und VLAN 90.
Anschließend weist du den Port 2-16 deines Switches so zu, dass nur Untagged Verkehr zugelassen wird und das jeder Verkehr der darüber rein kommt mit einem VLAN Tag 10 versehen wird ("Force VLAN 10" oder so ähnlich). Port 17-19 das selbe nur mit VLAN 50.
An Port 20-24 schaltest wieder den Modus Trunk ein. Du erlaubst untagged Verkehr und Tagged. Damit jetzt das Untagged korrekt getagged wird, erzwingst du einen Tag mit VLAN 50, wenn kein Tag vorhanden. Ansonten ist der Port Member von VLAN 10, 50, 90.

Verstehst?

[EPIX]

Verstehen ist zu viel gesagt - es beginnt langsam zu dämmern....
Ich lese die Doku des Switch und schau' wie ich es mit deiner Super! Anleitung in Verbindung bringen kann.
Dieser Satz verursacht mir allerdings Kopfsausen

Du erlaubst untagged Verkehr und Tagged. Damit jetzt das Untagged korrekt getagged wird, erzwingst du einen Tag mit VLAN 50, wenn kein Tag vorhanden. Ansonten ist der Port Member von VLAN 10, 50, 90.

das muss erst "sickern"....