[Netzwerk] WLan Auswahlhilfe Accesspoint/Mesh/Sattelite

[cthulhu]

Hallo ihr lieben Leute,

ich bin mir gerade einige Gedanken bzgl. des WLan-Netzwerks in unserem Neubau am machen.
Es liegen in fast jedem Raum zwei Netzwerkkabel.

Ich werde den Provider Router im "Bridge Mode" Betreiben und dort einen Rechner mit Pfsense anschließen.
Dahinter wird das Netzwerk in drei Subnetze aufgeteilt:

1. House (Umrichter, Sprechstation etc.)
2. Users (Ganz normale Endgeräte der Hausbewohner)
3. Guests (für Gäste).

Daher soll der Switch auf jeden Fall managed sein, dass ich die benötigten VLans einstellen kann.

Soo jetzt zu meinem eigentlichen Problem.
Den Aufbau der Subnetze will ich natürlich so auch im Wlan beibehalten.
Es gibt ja einige Accesspoints, die VLan und Multi-SSID unterstützen, das ist also eigentlich kein Problem.
Was ich jetzt noch gerne hätte ist Mesh, sodass ich auf allen drei Etagen (vl. auch im Garten) besten Empfang habe.
Da ich überall Kabel liegen habe, wäre es am sinnvollsten, wenn die Mesh-Teilnehmer alle einfach auch am Switch angeschlossen werden könnten
und das Signal direkt vom Kabel verteilen. (Also eigentlich alles AP nur die sollen noch Mesh miteinander können)

Einige Sets, die ich gefunden habe, unterstützen ein LAN backhaul, in den Beschreibungen werden allerdings die Satelliten immer nur untereinander verbunden
und nicht mit dem zentralen Switch.

Ist meine Vorstellung überhaupt realisierbar?
Kennt ihr solche Systeme?

Ich hab mir schon mal Netgear, TP-Link und DrayTek angeschaut, bin aber nicht wirklich schlauer.

Damit ihr vielleicht besser versteht, was ich will, hier mal noch eine schnelle Zeichnung mit Draw.io:
grobe Übersicht.png

[hari2]

Cisco AIR AP 18xx/28xx/38xx, die koennen mobilty express direkt am AP (also ohne externen Controller). Fuer den Privatgebrauch sicher mehr als ausreichend. Mit mobilty express hast Du jedenfalls eine zentrale Verwaltung, mapping von SSID auf VLANs, captive portal fuer Gaeste, roaming zwischen den APs (mit vernuenftigem handover), usw usw.

[gbglace]

Gibt hier auch so einen Ubiqiti Thread da werden auch diverse Kombinationen die gerade noch EFH tauglich sind (eher für mehr gedacht) besprochen. Deine Anforderungen sind da auch ziemlicher Standard.

[MCsnuffBobbyK]

Ich frage mich: wozu Mesh - wenn sowieso per Kabel verbunden wird. Ich denke Roaming ist hier das Feature mit mehr nutzen.

[gbglace]

Hab mich das auch gefragt, habe aber zu wenig Ahnung von Netzwerk als das ich da geantwortet hätte.

Ansonsten Mesh ist doch gerade so hipp bei den Fritzen, und Roaming klingt so aus 3G Zeiten am Handy und die EU hats mit Extragebühren verboten, also alles Oldschool.

[FrankMaier]

Dir ist klar, dass das ganze Routing dann über die pfSense ablaufen muss, sonst bräuchtest du einen Level 3 Switch.
Ein Mesh ist relativ sinnlos, es verbindet per Funk die AP miteinander, das dämlichste was man machen kann.
Viel besser ist deine Lösung die AP per Kabel zu verbinden. Dazu allen AP die selbe SSID geben, aber auf anderen Kanälen, damit sie sich nicht selbst stören. Der Client sucht dann automatisch das beste Signal.
Die sehr viel teurere Variante ist mit einem WLAN Controller, der dann alle AP verwaltet und somit ein "echtes" Roaming möglich wird.

[cthulhu]

Cisco AIR AP 18xx/28xx/38xx, die koennen mobilty express direkt am AP (also ohne externen Controller). Fuer den Privatgebrauch sicher mehr als ausreichend.

Hab mir die mal gerade angeschaut, für den Privatgebrauch hauen die ganz schön rein, was den Preis angeht.
Wenn man da auf jeder Etage einen hinstellen möchte, wirds teuer.

Ich frage mich: wozu Mesh - wenn sowieso per Kabel verbunden wird.

Das ist vielleicht ein wenig unglückglich gewählt. Viele Hersteller nennen es Mesh über Lan Backhaul.
So richtig Mesh ist ja eigentlich über 5Ghz Backhaul.
Ich will einfach den Vorteil der vorhandenen Verkabelung auch ins Wlan umsetzen
und bin dabei bei Mesh hängengeblieben. Vielleicht ist auch der Vorschlag von FrankMaier die Lösung.

Dir ist klar, dass das ganze Routing dann über die pfSense ablaufen muss

Ja, Firewall, Router, DHCP, DNS etc. soll alles pfSense machen.
Siehst du hier ein Problem, da du explizit danach fragst?

Viel besser ist deine Lösung die AP per Kabel zu verbinden. Dazu allen AP die selbe SSID geben

Darüber habe ich auch schon nachgedacht.
Es gibt recht günstige AP die Vlan und Multi-SSID können.
Ich habe bisher aber schlechte Erfahrungen gemacht, was das "Entscheiden" der Geräte angeht.
Da hat man beim Bewegen von einem Raum in den anderen doch schon ein paar Sekunden Überbrückungszeit.
(In der aktuellen Wohnung mit Fritzbox + Repeater, der macht ja auch nur eine gleiche SSID auf anderem Kanal)


Was ich mir gestern auch noch überlegt habe, da viele Mesh Systeme ( 1x Router + ?x Satelliten) die Funktion des Lan Backhauls anbieten,
könnte ich ja auch noch ein viertes VLan hinzufügen, was für die Backhaulverbindung zuständig ist, das sollte dann ja auch funktionieren.
Wobei mir dann als Beispiel die Netgear Orbi Pro doch auch wieder eine Nummer zu teuer sind...
Ich möchte halt nicht 1000€ für Wlan ausgeben

[hari2]

Hab mir die mal gerade angeschaut, für den Privatgebrauch hauen die ganz schön rein, was den Preis angeht.
Wenn man da auf jeder Etage einen hinstellen möchte, wirds teuer.

Ich habe vor kurzem einen neuen 1815w direkt von amazon.de fuer 111 EUR gekauft. Dazu einen 1852 gebraucht fuer 70 EUR (die Dinger sind recht langlebig, und es gibt einen gesunden Gebrauchtmarkt. Ein neuer 1852 geht bei knapp ueber 300 EUR los). Ein 1702 war bereits im Besitz (er kann zwar selbst kein mobility express controller sein, aber er wird ganz normal vom mobilty express am 18xx mitverwaltet). Die gibts sonst auch fuer sehr kleines Geld z.B. auf Ebay.
Die APs von Cisco haben auch wirklich vernuenftige Antennen (Montagehinweise des jeweiligen Modells beachten!). Der 1852 an der Decke im EG versorgt fast mein ganzes Haus und Grundstueck. Die anderen beiden stopfen dann nur ein paar Loecher im Keller und in der Garage, da der Bau teilweise etwas verwinkelt und recht massiv ist.
Wenn ich den 1702 mit aktuellem Gebrauchtwert einpreise, sinds also gerade mal etwas ueber 200 EUR.
Aber es gibt ja auch andere Hersteller derartiger Loesungen. Ubiquiti wurde eh schon genannt. Das Zeug taugt auch sehr was man so hoert. Ich mag halt im WLAN Bereich die Cisco Komponenten, hab damit in der beruflichen Vergangenheit schon so einiges gemacht. Und das hat sich einfach bewaehrt.

[FrankMaier]

Ja, Firewall, Router, DHCP, DNS etc. soll alles pfSense machen.
Siehst du hier ein Problem, da du explizit danach fragst?

Kommt darauf an, was du machen willst, bzw. was dein Durchsatz sein soll. Es könnte ein Flaschenhals darstellen, wenn du vom WLAN zu einem PC Daten übertragen willst, da pfSense das dann routen muss. Es kommt aber auch darauf an, auf welcher Hardware die pfSense läuft.
Ohne es zu wissen, könnte ich mir bspw. vorstellen, dass wenn du einige Überwachungskameras hast und die pfSense den Traffic dauerhaft routen muss, du schnell Probleme bekommen könntest.

Ich habe bisher aber schlechte Erfahrungen gemacht, was das "Entscheiden" der Geräte angeht.
Da hat man beim Bewegen von einem Raum in den anderen doch schon ein paar Sekunden Überbrückungszeit.
(In der aktuellen Wohnung mit Fritzbox + Repeater, der macht ja auch nur eine gleiche SSID auf anderem Kanal)

Ja, das wird man immer haben, wenn man keinen WLAN Controller hat. Der ist aber außerhalb deines Budgets, da so ein Controller bei miest 1000 Euro anfängt und im schlimmsten Fall auch noch Lizenzen benötigt. Dieser würde dann die Clients beim Wechsel unterstützen, die APs sehen sich dann gegenseitig und optimieren sich gegenseitig.
Du könntest auf die Ubiquti Lösung umsteigen, bei der der WLAN Controller als Software auf deinem Server installiert werden kann. Aber wie gut das mit professionellen WLAN Controllern vergleichbar ist, weiß ich auch wieder nicht.
https://help.ui.com/hc/en-us/article...i-Fast-Roaming
https://www.cisco.com/c/en/us/td/doc...t_roaming.html

Momentan nutze ich selbst auch nur eine Fritzbox mit einem Repeater im "Mesh" Betrieb und sehe es genauso wie du, es ist schlecht und eigentlich will man Roaming.

Meine aktuelle Suche nach einer Neuinstallation vom Netzwerk wird auch durch das Herstellerland beinflusst. Und wenn ich es selbst in der Hand habe, und mein eigenes Geld dafür ausgebe, dann will ich eben Firmen meiden, die bekannt dafür sind unsichere Hardware herzustellen. Dazu gehört eben auch Cisco. Auch Ubiquti hat mit der Sammlung von Telemetriedaten das Vertrauen bei mir verloren. Ich tendiere momenten zu FS.COM, auch wenn man leider wenig dazu in Foren findet. Aber auch hier gibt es das selbe Problem, "günstig" nur wenn jeder AP für sich arbeitet, teuer wenn man einen Controller will.

Man sollte sich aber auch fragen, wie häufig man mit einem mobilen Gerät umherläuft und ein unterbrechungsfreier Wechsel benötigt wird. Eigentlich nur bei VOIP Mobiltelefonen.

[McKenna]

Cisco wäre schon geil aber als Privat Person ...?

[hari2]

Und wenn ich es selbst in der Hand habe, und mein eigenes Geld dafür ausgebe, dann will ich eben Firmen meiden, die bekannt dafür sind unsichere Hardware herzustellen. Dazu gehört eben auch Cisco.

Ich arbeite schon laenger nicht mehr gewerblich im Netzwerkbereich und hab da keine Aktien drin, so eine pauschale Aussage finde ich dann aber doch sehr gewagt und will ich nicht unkommentiert stehen lassen. Koenntest Du Deine Aussage dass Cisco eine Firma sei die "unsichere Hardware" herstellt konkret untermauern? Was verstehst Du ausserdem unter "unsicherer Hardware"?

[MCsnuffBobbyK]

Cisco-Hardware ist wahrscheinlich nicht unsicherer als andere auch. Aber für alles was Software ist, dazu zählt auch die Firmware der Geräte, hat sich Cisco mit seinen regelmäßig bekannt werdenden Sicherheitslücken einen stabilen Ruf der Unsicherheit aufgebaut.

[FrankMaier]

Ich arbeite schon laenger nicht mehr gewerblich im Netzwerkbereich und hab da keine Aktien drin, so eine pauschale Aussage finde ich dann aber doch sehr gewagt und will ich nicht unkommentiert stehen lassen. Koenntest Du Deine Aussage dass Cisco eine Firma sei die "unsichere Hardware" herstellt konkret untermauern? Was verstehst Du ausserdem unter "unsicherer Hardware"?

https://www.tomshardware.com/news/ci...are,37480.html
Ich glaube das reicht für den Anfang. Wenn diese neueren Backdoors nicht mit Absicht dort implantiert wurden (bei denen von 2004 weiß man ja mittlerweile, dass es Absicht war), bzw. die Zugangsdaten zu einem Vollzugrif nur aus Versehen dort fest einprogrammiert wurden, dann fehlt es bei Cisco irgendwie an einer Sicherheitssicherung bzw. Kompetenzen bzgl. Sicherheit.

[hari2]

Und Du glaubst jetzt echt dass es in Produkten vergleichbarer Hersteller z.B. aus China, Israel, usw keine vergleichbaren Backdoors gibt?

Such mal ein wenig nach "Juniper backdoor", "Fortinet backdoor", "Zyxel backdoor". Die Reihe laesst sich fortsetzen.
Und da reden wir noch gar nicht von der Firmware in Mobilfunkchips, Netzwerkkarten, EFI, etc. Wenn man sich ansieht wie direkt der Zugriff im Mobiltelefon vom Baseband auf CPU und restliche Hardware reicht, laeuft ein kalter Schauer ueber den Ruecken.
Wenn ein Hersteller Backdoors einbaut (bzw muss), heisst das noch nicht dass die Hardware insgesamt unsicher ist (bitte das jetzt nicht so zu verstehen ich wuerde Backdoors jegliche Art gut heissen - von meinem Standpunkt aus sind die klar abzulehnen). Wenn es rein darum geht, kann man sowieso keine kommerziellen Loesungen ohne Quellcode einsetzen. Und selbst dann bleibt ein hohes Restrisiko wegen nicht-oeffentlicher Firmwares und (Hardware-)Bugs.

[Smoerrebroed]

So weit sind das keine besonderen Anforderungen. Cisco wurde hier ja schon genannt, Ubiquiti wären weitere weit verbreitete Geräte, die so etwas unterstützen. Ich habe seit einiger Zeit mein Heimnetzwerk mit Produkten von MikroTik ausgerüstet und bin recht zufrieden. Made in Europe. Preis-/Leistungsverhältnis passt auch, und Du kannst ohne weitere Hardware ein zentral gemanagetes WLAN aufbauen.