[Netzwerk] Tipps für L3 Switch

[lobo]

Hallo allerseits,

mein alter Switch (ein Zyxel GS1910-24) hat sich letztens dazu entschieden, sich ungefragt auf Werkseinstellungen zurückzusetzen. Daher muß ein Ersatz her!

Mein aktuelles Netzwerk besteht in groben Zügen aus:

• Fritzbox als Modem und Umsetzer auf ISDN
• Zyxel GS1910-24 als Hauptswitch (ca. 16 Ports belegt ... z.B. NAS Synology 223, ein paar Clients, KNX Router, Raspi, Wiregate, Telefonanlage, VOIP-Telefone ...)
• ASUS RT-N56U als Switch ein einem Wohnzimmer (hatte ich halt noch)
• GS108 (ungemanageter Switch) als Verteiler für ein weiteres Wohnzimmer (2 Wohneinheiten)
• 3 Ubiquity Unify Access Points (2 AC Light --- sind abgekündigt)

Gerne würde ich mir ein wenig VLAN einrichten, damit ich zum Beispiel die Smart TVs vom Rest trennen kann und auch die Heizung (Viessmann) sollte auf nix drauf dürfen etc., daher suche ich als Ersatz für den Zyxel nach einem 24 Port Switch mit POE Layer 3.

Da ich zugegebenermaßen wenig Ahnung von Netzwerk habe, dachte ich erst, ich bleibe bei Ubiquity und kaufe mir eine DreamMachine, einen größeren Switch (ginge dann auch ohne POE) und 2 von den kleinen Switchen:

• 1x Ubiquiti UDM-Pro-EU UniFi Dream Machine Pro 400 EUR
• 1x Ubiquiti UniFi Switch (USW-24) 230 EUR
• 2x Ubiquiti UniFi Switch Flex Mini 64 EUR

- und jetzt kommt das große AAAABER: die Gesamtkosten von 700 EUR sind kein Problem, was mich aber stört ist:

1. dass die Verbindung zwischen der DreamMachine und dem UniFi Switch zunächst nur 1 GBit ist (OK - es ginge auch über Port aggregation, aber das kostet dann 2 der wertvollen 8 Ports der DreamMachine)
2. dass der Stromverbrauch insgesamt wohl recht hoch sein wird, weil man nun 2 relativ leistungsstarke Switche am Start hat. Leider äußert sich Ubiquity da nicht so eindeutig, aber ich gehe von mindestens 20 W Dauerleistung pro Teil aus und das ist auf die Jahre recht teuer (ich habe extra schon eine eher einfache NAS angeschafft).

Habt Ihr Alternativ-Vorschläge für meine Wünsche (VLAN bei möglichst geringem Konfigurationsaufwand / Stromverbrauch)?

Viele Grüße,

Stefan

p.s.: einige Smart-Switche sollen das ja auch können für ein kleines Budget - ich kann aber nicht einschätzen, wo mich das einschränkt...

[starlight2k]

Vielleicht erstmal bei Google den Unterschied zwischen Layer2 und Layer3 Switch herausfinden?

Im Privatbereich Layer3? Wofür?

Der USW-24 ist auf jedenfall kein Layer3 Switch

Meiner Kenntnis nach ist die Layer3 Fähigkeit der Ubiqutiti Komponenten noch im Alpha Stadium. Glaube auch die können nur L2+ oder L3lite oder wie man das bezeichnen will ?? Am besten selber informieren.

Auf Ubiquiti würde ich aus vielen Gründen nicht setzen, ist aber Geschmackssache.
Auf die Kombination mit Fritzbox und Dreammachine würde ich schon gar nicht setzen, auch wenn viele Influencer einem vorgaukeln das wäre toll.

Generell.. was willst du mit dieser Traum-Maschine ? Willst du das irgendwie nutzen oder nur als Router benutzen?

[Sunshinemaker]

Moin,

Die UDM und USW können doch beide SFP. Wenn ich das Richtig iim kopf hab sogar beide 10GB.
Wenn du die UDM nutzt würde die Fritz!Box noch mit rausschmeißen, wenn möglich, durch ein einfach Modem ersetzten. Was in meinem Augen wesentlich besser Funktioniert.

[lobo]

Hallo,

danke für die Antwort. Natürlich habe ich mich bereits mehrere Stunden an verschiedenen Stellen informiert ... es mag sein, dass ich nicht alles verstanden habe, daher frage ich hier nach Hilfe und da ist ein einfacher Google-Hinweis hilft mir nicht wirklich weiter. Wenn Du aber einen Tipp über eine besonders informative Seite hast, würde ich mich darüber freuen.

Der USW-24 ist kein Layer3 Switch (hat ja auch niemand behauptet), die DreamMachine aber schon. Wie schon geschrieben, geht es mir vor allem um das Routing zwischen den VLANs - und das kann halt kein Layer2 Switch (soweit ich vestehe, aber einige SmartSwitche). Im Prinzip würde die die Dream-machine in der oben genannten Konfiguration als Administrations-Oberfläche nutzen (OK-da ginge auch ein Raspi oder eine lokale Installation), zudem wäre das der Router für die VLANs und ein POE-Switch. Alles Weitere käme dann an den einfacheren USW-24 Switch (z.B. der KNX-Router, Wiregate, Raspi, Telefonanlage, VOIP-Telefone etc. ... also alles, was nicht sooo viel Durchsatz braucht).

Viele Grüße,

Stefan

[lobo]

Die UDM und USW können doch beide SFP. Wenn ich das Richtig iim kopf hab sogar beide 10GB.

Nein, das USW kann leider nur SFP (kein "+" und damit nur 1 GBit).

Ich persönlich wollte die Fritzbox ja gar nicht haben, wurde mir aber von Vodafone "vorgeschrieben", denn ein einfaches Modem reicht mir nicht (und ist auch bei Kabelzugang 1 GBit nicht so einfach). Die Fritzbox macht auch den Umsetzer auf ISDN für die Telefonanlage. Die Telefonanlage (Auerswald ComPact 5020) steht auch aktuell nicht zur Debatte, weil ich noch einiges an nicht zu ersetzenden Analogtelefonen habe und die Türsprechstelle / Klingel darüber läuft.

Viele Grüße,

Stefan

[tobiasr]

Die Auerswald kann aber auch VoIP extern (ggf. VoIP 'Proxy') davor schalten. ISDN aus der Fritzbox ist also nicht notwendig. Auch ein anderer Router könnte hier natürlich helfen. Viele Router haben eine relativ schwache Routing Performance. Aber selbst in Kundenanlagen mit 200 Mitarbeitern habe ich noch etliche Router mit 'nur' ca 700Mbit Routing-Performance stehen und alles läuft sauber.

Die Frage ist doch: brauchst du die 1 Gigabit oder sogar mehr intern, und erst recht geroutet. Was soll überhaupt geroutet werden? Wenn es z.B. nur die Visualisierungs-Webseite (Gast WLAN zu internes Hausnetz) wäre, reichen auch 5Mbit, da sind die 1000Mbit überhaupt nicht notwendig. Du suchst auch nicht primär ein Routing zwischen den Netzen (das können auch die L2+ Switche) sondern eigentlich eine leistungsfähige Firewall. Die findet man aber idr. NICHT im Switch.

Die meisten Geräte die viel miteinander kommunizieren (PC zu NAS) sind doch sowieso im selben Netzwerk und werden daher nicht geroutet.

Ich habe ein ausgeprägtes 10GBit Netz in Kundenanlagen. Selbst zwei aktuelle Server (HP Gen10 - Intel Xeon Gold 6150) mit Intel 10Gbit SFP+ PCIe Karten, tun sich schwer die 10GBit auszureizen. Wohlgemerkt aus /dev/zero mit netcat. Ich wüsste akut keine Consumer-Hardware, die die 10GBit nur im Ansatz voll bekäme.

Ich würde wenn es irgendwie geht auf EINEN Layer2 Switch setzen. Bevorzugt HPE (weil ich sie bedienen kann) oder Netgear (Preis<>Leistung ganz gut). Notfalls auch TP-Link (sehr günstig für die gebotene Leistung). DLINK macht bei mir immer Ärger. Ubiquiti ändert mir zu oft zuviel. FS fällt auch öfter mal. Die hatte ich aber noch nie in der Hand.

Wenn es mit einem Switch nicht geht, müssen es halt zwei oder drei sein. Da dann genau eruieren, ob die alle PoE brauchen. Es gibt manchmal auch Accesspoints mit integriertem Switch (als BEISPIEL sei mal der Ruckus H510 genannt). Gerade das Mischen von Switch Fabrikaten (im besonderen HPE und DLINK oder auch HPE und HP-3COM) schlägt schonmal fehl.

[Messknecht]

Gerade das Mischen von Switch Fabrikaten (im besonderen HPE und DLINK oder auch HPE und HP-3COM) schlägt schonmal fehl.

Was genau schlägt da fehl?

[tobiasr]

Unterschiedliche VLANs werden vermischt. Total merkwürdiges verhalten. Hab dann idr. recht schnell aufgehört den Fehler zu suchen und den idr. ja nur einen anderen Switch im Verbund einfach getauscht.

[lobo]

Die Auerswald kann aber auch VoIP extern (ggf. VoIP 'Proxy') davor schalten. ISDN aus der Fritzbox ist also nicht notwendig.

Ja - das habe ich früher auch genutzt und z.B. Mobiltelefongespräche über einen VoIP Anbieter geroutet. Leider bekomme ich von Vodafone (zumindest vor 3 Jahren, als ich das eingerichtet habe) weder Zugangsdaten für die Kabel-Verbindung, noch für die Telefonie-Teilnehmer. Damit hat sich jede weitere Überlegung hierzu erledigt. Und auch wenn ich ein Recht darauf habe (Stichwort "Routerwahl") habe ich keine Lust, dieses Recht in irgendeiner Form durchzusetzen.

Die Frage ist doch: brauchst du die 1 Gigabit oder sogar mehr intern, und erst recht geroutet.

Vollkommen richtig - da Einzige, was wirklich "speed" benötigt, ist die Verbindung zur NAS - und da habe ich meist nur einen "festen" Rechner, der volle Performance benötigt. Der Rest ist entweder über WLAN (Surface oder andere Notebooks) und von daher aufgrund des "Mediums" schon mal deutlich langsamer.

Im Prinzip habe ich auch kein wirkliches Geschwindigkeits-Problem, aber bei Neuanschaffung wollte ich halt einen vermeidbaren Flaschenhals vermeiden.

Du suchst auch nicht primär ein Routing zwischen den Netzen (das können auch die L2+ Switche) sondern eigentlich eine leistungsfähige Firewall. Die findet man aber idr. NICHT im Switch.

Das mag durchaus sein - ich habe "Firewall" mit meinem beschränkten Wissen eher mit "Sicherheitsfunktionen" gleichgesetzt, aber wenn eine Aufgabe das Routing zwischen den Netzen ist, dann vielleicht - ja

Die meisten Geräte die viel miteinander kommunizieren (PC zu NAS) sind doch sowieso im selben Netzwerk und werden daher nicht geroutet.

Ja - aber sie sind ggf. auf unterschiedlichen Switchen "eingsteckt". Ich bin mir sicher, dass 2 GBit zwischen den Netzwerkomponenten locker ausreicht (um noch etwas Reserve zu haben, wenn ein Client gerade an der NAS "zieht") - daher meine Betrachtung, der Port aggregation bei 2 Bauteilen.

Ich würde wenn es irgendwie geht auf EINEN Layer2 Switch setzen.

Gibt die gewachsene Infrastruktur nicht her - an 2 Stellen (Wohnzimmer) muss ich halt noch kleinere Switche einsetzen. ... und dann noch eine Firewall, um zwischen den VLANS zu routen? Da habe ich Angst vor der Konfiguration (obwohl das sicher ein Freund von mir machen würde, der hat eine Weile bei Cisco gearbeitet und dort IMHO Schulungen durchgeführt).

Gerade das Mischen von Switch Fabrikaten (im besonderen HPE und DLINK oder auch HPE und HP-3COM) schlägt schonmal fehl.

Das war der Ansatz mit "ich habe schon 3 Access Points von Ubiquiti - dann nehme ich halt den Rest auch von dem Laden" ...

Danke für die Kommentare und viele Grüße,

Stefan

[FrankMaier]

Spezifiziere mal welche VLANs du planst.
Zeichne dann auf einem Blatt Papier dein Netzwerk auf und gib an welches Gerät in welchem VLAN sein soll.
Dann gib an, welche Geräte aus verschiedenen VLANs miteinander kommunzieren können sollen.

Nach dem was du schreibst, glaube ich, dass du erst dein Netzwerkaufbau klären solltest und es sich am Ende dann herausstellt, dass du gar kein L3 Switch brauchst.

Günstige leistungsfähige Produkte von klein bis groß findest du auch bei fs.com, dort gibt es jeden erdenklichen Switch. Aber wie schon gesagt, erst einmal das Netzwerk aufzeigen.

(Tyische VLAN Begriffe sind tagged ports und untagged Ports. https://www.thomas-krenn.com/de/wiki...n#Tagged_VLANs
Das ist kein Routing und bedarf keines L3 Switches)

[lobo]

Eigentlich ist mein angedachter Aufbau tatsächlich recht einfach. Ich dachte, ich hätte es oben auch schon beschrieben, war aber doch zu rudimentär - also:

• LAN: Alle (windows) Computer und die NAS - und die Accesspoints, sowie die Switche (ein eigenes VLAN als Management wollte ich vermeiden, wenn möglich ...)
• VLAN1: Alles an weiteren Komponenten: Drucker, Dreamboxen (2 Stück), Wiregate, KNX Router, Medienspieler (Raspi mit Kodi), Raspi zur Visualisierung, Telefonanalage, VOIP-Telefone, Smart-TVs, Viessmann Heizung, Handies (sprich: alles, was am normalen WLAN hängt) ...
• VLAN2: Gäste-WLAN
• VLAN3: eventuell nur mit der Viessmann-Heizung (der traue ich historisch gesehen nicht) - aber dann muss das auch nur raus und nicht geroutet werden.

Natürlich möchte ich aus dem LAN auf VLAN1 zugreifen können. Der Rest soll sich nur innerhalb der eigenen VLAN Grenzen sehen. Das war es dann auch schon ...

[lobo]

Ergänzung: Unsicher bin ich mir mit den Windows-Computern, die über WLAN gehen (Laptops, Surface ...) - und die weiteren Computer meiner Kinder. Aktuell würde ich die erst einmal ins normale LAN packen, aber wenn die Grundkonfiguration steht, kann man ja entsprechend erweitern.

[FrankMaier]

Ich sehe jetzt nirgends Geräte zwischen LAN und VLAN1 welche die 1GBit Schnittstelle ausreizen würden.
Ob di Aufspaltung überhaupt Sinn macht ist eine andere Frage, schließlich willst du ja vermutlich eher den Internet-Traffic einschränken bzw. blockieren.

Ich denke auch, das was du suchst, ist eher eine Firewall. Wenn dir der Stromverbrauch ein Dorn im Auge ist, dann hol dir einen sehr stromsparenden PC und bau dir eine eigene Firewall mit OPNsense or pfsense, anstelle die Unifi Produkte zu nutzen.

Aber bei so vielen Geräten, wie du aufzählst, machen da 20W Mehrverbrauch wirklich was aus? Vielleicht eine PV Anlage mit Akku?

[uncelsam]

Schau dir auch mal TP-Link Omada an, finde ich eine recht gute alternative zu den Ubiquiti.
Meine Fritze hängt am 2,5GBit Switch für die AccessPoints.

NAS und mein PC im Büro sind mittels SFP+ mit 10GB angebunden (ob notwendig sei mal dahin gestellt).

Grüße Holger

[lobo]

Ich sehe jetzt nirgends Geräte zwischen LAN und VLAN1 welche die 1GBit Schnittstelle ausreizen würden.

Korrekt - mir ging es auch hauptsächlich darum, dass alles im LAN zumindest gut laufen soll - und wenn man das ungünstig auf 2 Switche aufteilt, könnte es sein, dass Rechner1 gerade 1 GBit von der NAS zieht - und Rechner 2 gleichzeitig einen größeren Download aus dem Internet zieht (auch 1 GBit) - und wenn das beides dann über eine 1 GBit Leitung Switch zu Switch laufen soll, isses halt ungünstig (wenngleich das sicherlich aktuell nur selten vorkommt).

schließlich willst du ja vermutlich eher den Internet-Traffic einschränken bzw. blockieren.

Sinn der VLAN Aufspalterei ist es für mich, die Sicherheit im LAN zu erhöhen, indem man alle Komponenten draussen läßt, auf die man keinen oder kaum Einfluss hat (oder die vielleicht sträflicherweise nicht allzu of upgedated werden). Hierfür gehören für mich erst einmal die Smart-TVs, die Dreamboxen (VTI), die Raspis, das Gigaset DHCP IP Telefon und ggf. das Wiregate. Auch der Drucker würde dazu gehören, nur habe ich dem sowieso das Internet abgedreht.

Aber bei so vielen Geräten, wie du aufzählst, machen da 20W Mehrverbrauch wirklich was aus? Vielleicht eine PV Anlage mit Akku?

Ja - natürlich. Bei allem, was ich aufgezählt habe, hatte ich schon nach eher stromsparenden Alternativen geschaut. So ärgert es mich tierisch, dass ich meinen Smart-TV nicht anständig in Standby bekomme (Philips). Fotovoltaik kommt irgendwann mit dem neuen Dach - aber aktuell eher nicht.

TP-Link bzw. die Omada App hatte ich mir auch angesehen - läuft so in die Richtung "smart Switch" - aber kann ich dort das angesprochene Routing zwischen den Netzen machen (z.B. TL-SG3428MP) oder benötigt man dafür die angesprochene Firewall (ggf. direkt auf pfsense appliance)? Wonach müsste ich suchen, um das herauszufinden?

Viele Grüße,

Stefan