Empfehlung Netzwerk-Switch mit POE

[scw2wi]

In wie fern wird es durch die Verzicht auf die FritzBox oder ähnliche Hardware einfacher?

Ich habe "wesentlich komplexer" geschrieben, ist das für dich dasselbe wie "einfacher"?

Einen Router der direkt am Internet hängt würde ich selbst nicht konfigurieren wollen. Sehe da einfach zu großes Fehlerpotenzial, hast Du selbst bereits auch aufgeführt.

Als Laie ist man da sicher sehr schnell überfordert, da wäre es vorteilhaft, die Konfiguration IT-Experten zu überlassen.

Mit der FritzBox gab es in der Vergangenheit zumindest nie ernsthafte Sicherheitsprobleme.

Nicht die FritzBox selbst ist das Problem, sondern die gehackten IoT-Geräte, die nicht ausreichend unter Kontrolle sind.

Mit der Kombination FritzBox und Mikrotik CRS kannst Du 1,2,3 und 5 in nur zwei Geräten abbilden.

Wie sieht diese Kombi im Detail aus, ist das dann eine Router-Kaskade mit DMZ?

Walter

[scw2wi]

Ich denke man muss nicht mit Kanonen auf Spatzen schießen.

Um VLANs nutzen zu können braucht man ein Routing zwischen den VLANs.
Das kann man mit einem VLAN fähigen Router machen. ...

Alternativ geht es über ein L3 Switch mit 10GBit/s. Der kostet aber. Die Frage ist auch wozu überhaupt? Es gibt viele einfacherere Möglichkeiten ein im privaten Umfeld vollkommen ausreichendes Sicherheitskonzept zu erstellen. (getrennte Subnetze, ....)

Das wird nicht von allen so gesehen:

VLAN oder IP-Subnet: Wann ist ein virtuelles LAN besser als ein IP-Subnetz

In Sachen Security bringt das also nichts, sensible Daten lassen sich einfach abfangen.

Walter

[livingpure]

Wie viele VLANs sind für IoT Geräte sinnvoll?

Ich habe dafür eines, wobei nur ein Teil der Geräte Internetzugang hat. Ganz vereinzelt (Sonos) gibt es in der Firewall eine Regel, damit ich auf ein einzelnes Gerät aus anderen VLANs zugreifen kann, das gilt dann aber nur für das eine Gerät (die IP-Adresse), sonst sind die Netze komplett getrennt. Die meisten IoT Geräte sind nur indirekt erreichbar, die kommunizieren mit Home Assistant, FHEM, etc. (ich bin noch neu in der KNX Thematik, wahrscheinlich geht das mit den KNX Servern aber genauso?) und darüber kann ich dann auch darauf zugreifen. Wenn ich direkt auf ein IoT Gerät muss, dann logge ich mich mit meinem Client auch im IoT Netz ein.

Es gibt noch einen zweiten Begriff (auch drei Buchstaben) der mir gerade entfallen ist, ich meine das war für Geräte ohne Internet, manche trennen das dann also in zwei VLANs.

Ansonsten habe ich es bei den VLANs übertrieben, jeweils eines für Büro, Server, Drucker, Privat, IoT, Gast, Management. Wobei vielleicht das auch nicht so blöd ist, denn so können zum Beispiel alle auf den Drucker zugreifen, ohne in ein andere VLAN zu müssen.

Übrigens brauchst du mit RADIUS nicht für jedes VLAN eine SSID, da du auch jedem Benutzer direkt ein VLAN zuteilen kannst. Das funktioniert bei mir seit Jahren hervorragend, wobei ich das in einem Einfamilienhaus höchstens dann einrichten würde, wenn es mir um den Spieltrieb geht, und ich auch noch eine separate IoT SSID habe, da IoT Geräte mit 802.1X Support rar gesät sind.

dein Router muss diese 10Gbit/s verarbeiten können

Du brauchst allerdings sowieso eine Firewall, die die 10 Gbit/s verarbeiten kann! Da dürfte dann ziemlich viel ausscheiden. Du sprichst es völlig richtig an, wo kann man im Internet überhaupt 10 Gbit/s nutzen? Selbst meine 100 Mbit/s sind oft nicht der limitierende Faktor, sondern die Gegenseite. Es gibt aber sicher Nischen, wo das sinnvoll ist, zum Beispiel regelmäßiger Austausch riesiger oder vieler Dateien zwischen zwei perfekt angebundenen sites.

Dann habe ich also nichts übersehen. Es braucht zusätzliche Hardware (denn der haushaltsübliche "Internet-Router" deckt das nicht ab), oder ein (L3)Switch mit Routing-Funktion. Im Fall von der Mikrotik CRS-Serie habe ich beides in einem Gerät vereint.

Ja, insofern hast du nichts übersehen. Ist das dann aber nicht ein arg konstruiertes Szenario? Ich kaufe einen komplizierten, teuren L3 Switch ... und hänge diesen dann aber an eine poppelige Fritzbox, die zwar mittlerweile für den Haushalt echt ganz gut sind, aber kein Licht gegen professionelle Firewalls (und die müssen nicht teuer sein, OPNsense kann auch ziemlich viel!) sieht? Ich kaufe doch auch keinen Ferrari und montiere dann Fahrradreifen drauf

[FrankMaier]

Das wird nicht von allen so gesehen:
VLAN oder IP-Subnet: Wann ist ein virtuelles LAN besser als ein IP-Subnetz
Walter

Den Artikel halte ich für etwas daneben.
"Fließt Traffic durch den Switch, können alle andere Hosts diesen sehen". Das wäre mir neu. Ich denke er verwechselt einen Switch mit einem steinzeitlichen Hub. Oder er verallgemeinert ein Broadcast zum gesamten Traffic, was irrsinnig ist.
Natürlich sind VLANs super duper, aber für welchen Preis? Die Hardware kostet deutlich mehr, das Wissen und die Wartung ist deutlich komplexer.

Als eine weitere Alternative könnte man auch ein durch einen zweiten Router getrenntes Subnetz aufspannen. Also alle POE Geräte hinter einem Router, sozusagen in einer DMZ. Die Synology NAS hat zwei Netzwerkports, kann also in beiden Netzen sein (Für die Aufzeichnung der Überwachungskameras). Dann kommt man auch komplett ohne VLANs aus, wenn man es sich leichter in der Einrichtung machen will.

memberx
Ich habe mich für FS.COM entschieden. Im PoE Bereich haben die aber eher weniger ein passendes Gerät für dich, denke ich.
Ich selbst habe mich für den S3900-24T4S entschieden (kein PoE), da er lüfterlos ist, und die neuste UI-Oberfläche besitzt. Dazu ein paar 2400Mbps WLAN AP , deren Reichweite nicht so gut wie die einer Fritzbox 6591 ist, dafür aber, in Reichweite, eine deutlich höhere Geschwindigkeit ermöglicht. PoE funktioniert im Moment per PoE Injektoren. Irgendwann, wenn dann auch die Kameras ausgebaut werden, kommt ein kleiner dummer PoE Switch dazu, am besten auch lüfterlos. Zwar steht alles in einem Serverschrank und der Server und die USV haben auch einen Lüfter, aber es reicht, wenn ich mich um so wenig Lüfter kümmern muss wie möglich.


Aber ich habe mich auch zwischen den ganzen Herstellern hin und her überlegt. Am Ende bleibt es deine Entscheidung. Mikrotik sah mir zu verbastelt aus, vor allem deren steinzeitliche RouterOS UI, Ubiquity war mir unsympathisch geworden, Cisco viel zu teuer/exklusiv/US-verwanzt, zyxel hat das Vertrauen auch mit ihren grob fahrlässigen Bugs verspielt, TP-Link war mir zu chinesisch, Aruba (HP) wäre vielleicht noch etwas gewesen, habe ich aber nicht weiter verfolgt.


Kauf dir den Switch der deine Anforderungen erfüllt. In dieser Liga (managed) sind alle Switche VLAN fähig, d.h. du kannst am Ende damit machen was du willst. Achte halt auf die Bedienbarkeit, den Stromverbrauch, die Lautstärke, den Preis.

[wknx]

Ich habe "wesentlich komplexer" geschrieben, ist das für dich dasselbe wie "einfacher"?

Falsch gelesen :-|

Nicht die FritzBox selbst ist das Problem, sondern die gehackten IoT-Geräte, die nicht ausreichend unter Kontrolle sind.

Bei solchen Geräten würde ich mir generell die Frage stellen ob ich die irgendwo in meiner Umgebung haben möchte und insbesondere ob ich die auch noch meinen Internetzugang nutzen lassen möchte...

Wie sieht diese Kombi im Detail aus, ist das dann eine Router-Kaskade mit DMZ?

Hatte ich oben schon mal kurz skizziert. Keine DMZ gibt es in der beschriebenen Konfiguration allerdings nicht.

Ich kaufe einen komplizierten, teuren L3 Switch ...
und hänge diesen dann aber an eine poppelige Fritzbox, die zwar mittlerweile für den Haushalt echt ganz gut sind, aber kein Licht gegen professionelle Firewalls (und die müssen nicht teuer sein, OPNsense kann auch ziemlich viel!) sieht?

Mikrotik CRS war günstiger als ein vergleichbarer L2 Switch von HP. Und dann hätte ich immer noch zusätzlich einen Router benötigt. Von teuer kann in der Konstellation also nicht die Rede sein. Und ich sehe auch nicht so ganz direkt warum es komplizierter sein soll, wenn die Konfiguration in einem einzigen Gerät pflegen kann. In Internet-Richtung sehe ich die Risiken durch durch eine fehlerhafte Eigenkonfiguration einer "professionellen" Firewall und Router-Lösung auf jeden Fall deutlich höher als einen möglichen Sicherheitsgewinn. Vielleicht hast Du es schon geschrieben: Wie sieht denn Deine (empfohlene) Konfiguration aus?

[bazzman]

Wie viele VLANs sind für IoT Geräte sinnvoll?

Bin zwar aus der IT, aber in Punkto Netzwerk auch kein Experte, da nicht mein Fachgebiet. Aber dennoch, ich habe es bei mir nach etwas Einlesen folgendermassen vorgesehen und teilweise auch schon konfiguriert. Grundsätzlich Netz aufgeteilt in vier VLANs:

• Home: für Handies und Notebooks (welche ausnahmsweise nicht am Kabel hängen)
• Guest: für Gäste (nur Internet)
• IOT: für IOT Geräte welche Internetzugang benötigen (Updates oder Steuerung via Cloud-based App gewünscht/nötig)
• IOT-Local: für IOT Geräte welche ich bewusst vom Zugang ins Internet abkapseln will

Zugriff unter den VLANs habe ich nicht komplett rigoros abgeblockt sondern folgt diesen Regeln, damit das ganze auch benutzbar bleibt ohne ständig lokal am Handy das Netz wechseln zu müssen:

• Home hat Zugriff auf Geräte in IOT und IOT-Local (um sie aus dem lokalen Netz steuern zu können)
• Guest / IOT / IOT-Local haben überhaupt keinen Zugriff auf andere VLANs
• Home / Guest / IOT haben Zugriff aufs Internet
• IOT-Local hat keinen Zugriff aufs Internet -> hier sind z.B. IP Kameras drin, welche auf keinen Fall ihre Daten auf irgendwelche Cloud-Server übertragen sollen

Von aussen folgt dann noch VPN Zugriff ins Home Netz, so dass man via VPN von Aussen via Handy auch auf IOT/SmartHome Geräte zugreifen kann.

Zuweisung Gerät zu VLAN erfolgt bei WLAN via eigenen SSIDs pro VLAN und bei LAN Geräten via Zuweisung am entsprechenden Port vom Switch.

Zur ursprünglichen Frage: in diesem Thread hat man nun fast alle Marken mal als Empfehlung gehört. Ich denke für ein EFH mit Anforderungen welche etwas über "Router vom Provider zentral anhängen und fertig" hinaus gehen, funktionieren wohl alle genannten Managed-Geräte. Schlussendlich bleibts Geschmackssache was man wählt, für ein EFH wird man die Geräte in der Regel sowieso nie auslasten, es sei denn man betreibt ein Videostudio zu Hause. Das Thema Netzwerk ist nicht ganz simpel wenn man es nicht 100% einfach halten möchte, da brauchts, egal für welches konkrete Gerät, etwas Zeit um die Konzepte zu verstehen, einarbeiten und erarbeiten welcher Netzaufbau für einen das richtige ist. Auch eine noch so einfache Konfig-Oberfläche kann die technischen Details und Entscheidungen für den Netzwerkaufbau nicht "verstecken".
Und zu stark zukunftsgerichtet würde ich jetzt die Geräte auch nicht auswählen, preislich sind die Netzwerkgeräte im Vergleich zu anderen Haushaltsgeräten welche vielleicht eher 15-20 Jahre halten müssen ja doch ein stückweit günstiger, so dass man im Notfall wenn neue zwingende Features auf den Markt kommen auch ein Ersatzgerät beschaffen kann.

Viele Grüsse
Paolo

[hari2]

Den Artikel halte ich für etwas daneben.
"Fließt Traffic durch den Switch, können alle andere Hosts diesen sehen". Das wäre mir neu. Ich denke er verwechselt einen Switch mit einem steinzeitlichen Hub. Oder er verallgemeinert ein Broadcast zum gesamten Traffic, was irrsinnig ist.

Es gibt auf L2 sehr viel Unsinn den man mit sehr wenig Aufwand anstellen kann. Mit ARP spoofing gaukelst Du den Stationen am Segment die eigene MAC als Gateway IP vor, und schwupps schickt dir der Switch alles auf den Switchport. MAC address flooding ist ein anderer sehr leichter angriff (da gibt es auch fix fertige tools), und der switch schickt auf allen Ports raus weil er nicht mehr weiss wo die Pakete genau hin sollen. Ausserdem gibt es noch andere gute Gruende warum man eine Trennung auf Layer 2 haben will. Da laeuft dann z.B. irgendwo noch ein DHCP Server von einer Testinstallation und gibt falsche Adressen raus, usw. Ich hab da schon einiges gesehen. Wenn man ein Subnetz denn isolieren will, packt man das meiner Meinung nach in ein eigenes VLAN oder auf einen eigenen Switch. Sonst kann ich es mir gleich sparen.

[livingpure]

Wie sieht denn Deine (empfohlene) Konfiguration aus?

Für wen?

Für den Standardnutzer in seiner Wohnung oder kleinen EFH --> Fritzbox an einem simplen Switch. Das läuft recht störungsfrei, ist schnell eingerichtet und man muss sich weder groß damit beschäftigen noch kann man extrem viel falsch machen.

Wenn die Ansprüche steigen, dann würde ich mir VLANs überlegen und würde in dem Zuge wohl auch irgendwann dann an eine OPNsense oder ähnliches denken. Ich glaube mehrere fritzboxen als APs im Haus verteilt geht mittlerweile auch gut? Aber das ist vielleicht auch so ein Punkt, wo man bei anderen Läden als AVM dann gut aufgehoben ist, denn reine APs haben die halt nicht.

Ich selber habe gerade 100% Unifi - ich habe mich damals vom Hype mitnehmen lassen und das läuft auch jetzt recht gut. Die Einrichtung war aber mit einigen Rückschlägen verbunden und ich habe schnell gemerkt, dass dann doch viele Funktionen, von denen man in den einschlägigen Foren liest, fehlen. Die Firewall ist außerdem alles andere als intuitiv und teilweise eher schon abstrus, beispielsweise sind VLANs standardmäßig nicht getrennt.

Vieles ist halt Spielerei, wenn wir ehrlich sind, dann würden wahrscheinlich in so ziemlich jeder 500qm KNX Villa auch Fritzboxen ganz gut ausreichen. Aber macht nicht auch die Spielerei Spaß?

Dann kommen noch Wünsche wie pihole / adguard home / wireguard / ... hinzu und das lässt sich dann mit einem kleinen Mini PC oder Virtualisierungen auf einem kleinen Server sehr schön umsetzen.

[Haiphong]

Hallo Kollegen,

interessiere mich auch für das Thema, benötige einen weiteren ( größeren ) POE Switch .....
( bisher hab ich alle Switche von Cisco und AP's von Unifi )

Zur Frage:
Habe zwei Fritzboxen direkt hintereinander, mit jeweils einem anderen IP-Breich

Was allgemein verwunderlich ist, daß die - großen - Netzwerkausrüster keine Switche > 1GB über Kupfer anbieten.
( auch wenn ich's momentan nicht brauche / Qnap hat welche )

Bisher hatte ich nach dem Unifi USW 24x RJ-45, 2x SFP, PoE+, Gen2 geschaut. ( ca. EUR 340,- )
Jetzt hab ich mal nach MikroTik geschaut ......
Der MikroTik Cloud Router Switch CRS328 ( ca. EUR 307,- ) bietet da mehr als der Unifi und ist günstiger

Bin da richtig mit meiner Meinung ??
Mit welchen MikroTik ( min 24 Port / Kupfer ) habt ihr gute Erfahrungen gemacht ??

Nachteile:
Der CRS328 ist aktiv gekühlt ( hängt bei mir im Keller )
Wie sieht's mit dem Stromverbrauch aus ??

Allgemein wird ja gesagt, man soll bei einem Hersteller bleiben u.a. wegen Fehlerkorrektur

Was allgemein hilfreich wäre, wäre eine für ein "nobody" verständliche Anleitung und wenn möglich noch auf deutsch.

[hari2]

Allgemein wird ja gesagt, man soll bei einem Hersteller bleiben u.a. wegen Fehlerkorrektur

Wo hast Du den Unfug her?

[FrankMaier]

Haiphong Schreib erst einmal auf, was du überhaupt willst. Natürlich ist der Unifi Passiv gekühlt, hat ja auch nur 100W. Das ist nicht groß, wie von dir gewünscht. Natürlich ist der CRS328 aktiv gekühlt, schafft ja auch 500W. Das ist groß.

Wieviele PoE Geräte hast du. Was ist der Energiebedarf jeden einzelnen Gerätes? Was ist davon das Maximum pro Gerät, was ist das Gesamtmaxium an Leistung die du per PoE bereitstellen willst.
>1GB Kupfer bietet jeder an. Aber brauchst du das überhaupt? Wozu? Welche Geräte willst du damit anbinden? Bist du dir über den erhöhten Stromverbrauch von 10GBase-T im klaren? Willst du für 10G nicht lieber auf Glasfaser setzen?
Welchen Preis bist du bereit dafür auszugeben? Wie bindest du den Switch an deine bestehende Infrastruktur an oder ist das dein Haupt-Switch und der ersetzt einen alten? Oder wieviele Switche hast du denn bisher?

[Haiphong]

Bisher hab ich im Keller die Fritzboxen direkt hintereinander
GF-Internet --> Netz b) --> Netz a)

Netz a)
Keller Switch 1 Cisco SG200-10FP
Keller Switch 2 Cisco SG200-08
Keller Fritzbox 7490
Hier sind noch ges. 2 Stck. RJ45 Ports frei

Büro Switch 3 Cisco SG200-08

Netz b)
Fritzbox 7590
( Hier sind alle Ports belegt, da hängen die unsicheren Geräte z.B. OSCAM / I-Radio usw.)

NAT zwischen Netz a) und b) hab ich nicht und brauch ich nicht,
Netz a) kann auf den IP-Bereich von Netz b) zugreifen aber Netz b) nicht auf den IP-Bereich von Netz a)

Am Switch Cisco SG200-10FP sind 7 Ports mit je max. 6W belegt ( bis 16W je Port könnte der Switch )
POE-Geräte sind: 3x Netzwerkcam / 2 Unifi AC Pro / 2 Cisco SG200-08

Von der POE-Leistung - incl. Reserve - würde mir der Unifi reichen.

Unifi Controller läuft auf dem QNAP NAS

Daß ich Ausschau nach einem größeren Switch halte, damit meinte ich mehr RJ45 Ports als ich heute habe.
( Denke ein 24-Port im Netz a) wäre für mich richtig )

>1GB/s über Kupfer ins Internet brauch ich nicht ( das wären ca. Stck. 10 HD Streams )
aber im LAN Richtung NAS steigen die Anforderungen
3x Netzwerk-Cam's / Sat-Reciver incl. Timshift / AVR gehen bei mir alle auf das NAS

Der - neu geplante - Switch würde im Keller direkt neben dem NAS sitzen und Switch 1 und Switch 2 ablösen.

[scw2wi]

Grundsätzlich Netz aufgeteilt in vier VLANs:

Diesen Tipp mit den getrennten VLANs für IoT Geräte mit und ohne Internet Zugriff habe ich auch schon öfters gelesen.
Im Prinzip wäre es ja auch überhaupt kein Problem, die IoT-Geräte mit Internet Zugriff noch weiter zu separieren, wenn man sich davon etwas verspricht.

Ich hab auch manchmal den Tipp gelesen, für Admin Aufgaben ein eigenes VLAN zu reservieren.
Das wäre dann für die Administration von Controller, Router, Switch, APs.
Hast du darüber auch mal nachgedacht?

Walter

[bazzman]

Diesen Tipp mit den getrennten VLANs für IoT Geräte mit und ohne Internet Zugriff habe ich auch schon öfters gelesen.
Im Prinzip wäre es ja auch überhaupt kein Problem, die IoT-Geräte mit Internet Zugriff noch weiter zu separieren, wenn man sich davon etwas verspricht.

Ja das kann man sicher machen, ich sehe da aber für mich keinen grossen zusätzlichen Vorteil. Die IOT Geräte können sich meinetwegen untereinander schon sehen - klar ein "böses" Gerät könnte dann ein anderes Gerät auslesen aber irgendwo muss man ja aufhören. Ich will mit den VLANs hauptsächlich sicherstellen, dass irgendwelche Haushaltsgeräte keinen Zugriff auf mein lokales Netz / Server / NAS usw. erhalten.

Ich hab auch manchmal den Tipp gelesen, für Admin Aufgaben ein eigenes VLAN zu reservieren.
Das wäre dann für die Administration von Controller, Router, Switch, APs.
Hast du darüber auch mal nachgedacht?

Ja hab ich, dazu war / ist VLAN 1 geplant bei mir (Management LAN). Aktuell ist das kein VLAN sondern das einzige lokale Subnetz, welches nicht in einem VLAN ist.
Ich muss mich beim finalen Konfigurieren der Firewall noch schlau machen, ob ein VLAN dazu nötig ist oder ob ich einfach die anderen VLANs vom Management-Subnetz abtrenne und das Management LAN ohne VLAN belasse. Rein vom Subnet/IP Range/DHCP-Server her habe ich in der Tat 5 Netze definiert (4x VLAN und 1x Management LAN).
Im Management LAN werden (wenn dann final aufgesetzt) nur noch Router, Switch und die beiden APs sein.

Grüsse
Paolo

[Haiphong]

Hab eben mal nach Berichten zu dem Switch CRS328 gesucht:

Grundlast ohne Verbraucher: 25W
Lüfter laufen nicht durchgehend, aber mit 7000 U deutlich zu laut ( es gibt umbausätze )

Bei einem 24/7 Betrieb nicht unerheblich

https://www.hardwareluxx.de/communit...#post-27466075