[Netzwerk] Smart Home Netzwerk und viele Fragezeichen (VLAN, tagged, geroutet)

[LuHo]

Hallo Zusammen,

da unser Einzug in einigen Monaten bevorsteht beschäftige ich mich gerade mit dem zukünftigen Netzwerk.
Da in unserem Smart Home einige Geräte zusammen kommen werden und ich nicht von jedem Gerät auf alles Zugriff geben möchte, kam die Idee von VLANs auf. Wobei ich nicht weiß, ob das für meine Aufgabenstellung die richtige Vorgehensweise ist.

Das Szenario habe ich einmal bildlich dargestellt:
- Alle Geräte sollen auf das Internet zugreifen können
- Die "normalen" Endgeräte (Handys, PC, Laptop) sollen auf den Smart Home Server und die NAS zugreifen können
- Die Kinder PCs nur auf das Internet (potentielle Virenscheuder)
- Die Fernseher sollen auf die NAS zugreifen können
- Der Smart Home Server soll auf die IoT (Wechselrichter, Heizung, etc) und auf die Kameras Zugriff haben
- IoT soll auf das Internet Zugriff haben (da teilweise erforderlich)

Jetzt stellt sich die Frage, wie ich das bewerkstelligen kann, bzw. was die richtigen Tools dafür sind.

Ein Verständnisproblem, das ich bspw, habe betrifft tagged VLANs und geroutete VLANs. Ich möchte, dass der PC des Heimnetzwerks mit dem Smart Home Server kommunizieren kann. Könnte ich dann beiden Ports per Tag beide VLANs zuweisen? Also der Port an dem der Home Server steckt bekommt VLAN Tag 4 und 6 und der PC des Heimnetzes ebenfalls. Zusätzlich bekommt der Smart Home Server Port noch das Tag 7 der IoT spendiert und beide haben natürlich noch das Tag 1, um ins Internet zu kommen?
Oder wird hier Routing zwischen den VLANs benötigt und jeder Port hat sozusagen nur "sein" VLAN Tag?

Ich bin mir bewusst, dass das blutige Anfänger fragen sind und bin deshalb umso mehr über jede Holfe und Klarstellung dankbar

[hari2]

Wenn ein Switchport auf "trunk" und nicht auf "access" konfiguriert ist, kannst Du mehrere VLANs uebertragen ("tagged"). Eines davon kann auch "untagged", oder "native" sein. Die Switchport Konfiguration bestimmt in welches VLAN Pakete ohne "tag" zugeordnet werden. Am Switchport selbst kannst Du auch festlegen welche VLANs erlaubt sind. Der Host braucht natuerlich dann eine passende Netzwerkkonfiguration fuer die jeweiligen 802.1q "Subinterfaces".

[livingpure]

Üblich ist routing, bei vielen Geräten wirst du dir schwer tun die in mehrere VLANs gleichzeitig zu stecken.

Ich würde dafür OPNsense, pfSense oder wenn es unbedingt sein muss eine Unifi Dream Machine Pro verwenden.

[liveislife]

Der Ansatz ist richtig, die Geräte auf mehrere VLANs zu verteilen. Insbesondere Geräte mit einer erhöhten Virusgefahr oder Gastgeräte sollten in ein Gummizellen VLAN, das nur den Zugriff auf das Internet bereitstellt.

Ein Gerät in mehrere VLANs zu stecken setzt nach meiner Kenntnis voraus, dass es VLAN-fähig ist, und das düften nur die wenigsten sein. Linux kann das z.B., aber "dumme" Endgeräte i.d.R. nicht.

Deshalb wäre aus meiner Sicht die Lösung, die Geräte in einzelnen VLANs zu gruppieren. Der VLAN-fähige Router verteilt dann die Pakete entsprechend. Welches Paket wohin darf und welches nicht, entscheidet die ebenfalls erforderliche Firewall (entweder separat oder im Router). Damit kannst Du dann den Zugriff zwischen den VLANs regeln und unproblematisch das von Dir gewünschte Szenario abbilden.

[livingpure]

Ein Gerät in mehrere VLANs zu stecken setzt nach meiner Kenntnis voraus, dass es VLAN-fähig ist, und das düften nur die wenigsten sein.

Ich glaube Geräte mit mehreren Netzwerkanschlüssen müssen nicht zwingend VLAN fähig sein, die sollten auch so wissen, dass Pakete an 192.168.7.4 über den Port geschickt werden, der im 192.168.1.0/24 hängt. Allerdings dürften Geräte mit mehreren Ports sowieso meistens VLAN beherrschen.

Falls eine Synology ein Thema werden sollte: Die kann man in mehrere VLANs hängen, allerdings geht über die GUI nur ein VLAN. Ist aber nicht besonders kompliziert über SSH.

[liveislife]

Ich glaube Geräte mit mehreren Netzwerkanschlüssen müssen nicht zwingend VLAN fähig sein, die sollten auch so wissen, dass Pakete an 192.168.7.4 über den Port geschickt werden, der im 192.168.1.0/24 hängt. Allerdings dürften Geräte mit mehreren Ports sowieso meistens VLAN beherrschen.

Da hast Du sicher Recht, an die hatte ich nicht gedacht. Bei den vom TE genannten Geräten hatte ich eher Consumer-Geräte im Kopf, die regelmäßig nur über einen einzigen Port verfügen.

[LuHo]

Vielen Dank für den Input bisher.

Leider lassen der voranschreitende Bau und der damit verbundene Stress meine Planungen bezüglich Netzwerk momentan auf Eis liegen. Dennoch habe ich mich mal oberflächlich in den "Ubiquiti-Kosmos" eingelesen/ einge-youtubed. Sieht interessant und halbwegs intuitiv bedienbar aus, dazu noch ein riesiger Leistungsumfang. Dennoch bleibt eben der Preis. Neben Dream-Machine Pro noch ein DSL-Modem plus minimum ein Wifi AccessPoint Da kommt ziemlich schnell eine (sehr) schmerzhafte Summe zusamen.

[scw2wi]

Also ich hab bei UniFi das Preis/Leistungs-Verhältnis eher als positiv angesehen.
Bei Cisco ist man da sicher rasch bei anderen Preisen, bei MikroTik könnte man im Vergleich wohl noch etwas sparen.
Ich möchte aber gerade diese Komponenten nicht vorrangig nach dem Preis auswählen, sondern danach, was mir bezüglich Konfiguration am besten zusagt.

Ist übrigens deine Tabelle in #1 noch aktuell? Ich hab bisher solche Tipps zur Auftrennung in VLANs noch viel zu wenig gefunden.

[ewfwd]

Dennoch bleibt eben der Preis. Neben Dream-Machine Pro noch ein DSL-Modem plus minimum ein Wifi AccessPoint Da kommt ziemlich schnell eine (sehr) schmerzhafte Summe zusamen.

TP-Link bietet ein ähnliches System wie Unifi von Ubiquiti. Dürfte günstiger sein. Obs was taugt weiß ich aber nicht. Allerdings muss man fairerweise sagen dass auch Ubiquiti nachgelassen hat in der Qualität ihrer Produkte. Bei der UDM-Pro ist auch noch viel Betazeugs dabei das alles noch net ganz fertig ist. Teilweise sind die Features schon seit über einem Jahr im Beta Status....

[livingpure]

Dennoch bleibt eben der Preis.

Auf die UDM P kann man gut verzichten, wie gesagt, eine pfSense oder OPNsense ist deutlich leistungsfähiger und je nachdem was schon an Hardware da ist, kostet die gar nichts.

Unifi war bei den APs bisher ein guter Tipp, momentan zicken die aber ziemlich rum (einige haben unerklärliche WLAN Probleme, bei mir auch seit 2 Wochen mal sehr gut, mal langsam) und die Entwicklung bei Unifi ist nicht gerade lobenswert. Viele Alternativen für den Preis mit den Features gibt es aber leider auch nicht.

Bei den anderen Sachen, also Switch, Router, ... hat Unifi eher den Apple / Influencer Vorteil. Das wird gerade in jedem zweiten Video beworben, aber die sind weder besonders gut ausgestattet noch günstig. Der Ansatz alles über eine Software zu bedienen ist halt nicht schlecht, leider aber nicht so toll umgesetzt.

[Amokd0c]

Das m

Unifi war bei den APs bisher ein guter Tipp, momentan zicken die aber ziemlich rum (einige haben unerklärliche WLAN Probleme, bei mir auch seit 2 Wochen mal sehr gut, mal langsam)

Das mit dem Wlan kann ich bestätigen, bei mir funktioniert die Übergabe zwischen den Accespoints nicht mehr sooooo gut, wie am Anfang.
Ansonsten kann ich nicht klagen!