Netzwerk separieren

[Tim01]

Hallo zusammen,


der Wechselrichter unserer PV-Anlage benötigt einen Internetzugang. Dieses Gerät würde ich gerne vom restlichen Netzwerk abtrennen.

Bisheriges Netzwerk:
DSL-Router Fritzbox 7490
- priv. LAN + WLAN
- Gast LAN Port 4 -- LAN-Bridge auf Fritz!Repeater 1200 -- Gast-WLAN (PC's und NAS alles fürs Homeoffice, nicht für Gäste verwendet)


Die Fritzbox kann leider keine weiteren Gastnetze erstellen und im Internet habe ich gelesen, dass VLAN eine Trennung bietet.
Meine Überlegung daher, ob ein Smart Switch (oder ein teurerer Managed Switch) an den Gast LAN Port 4 der Fritzbox angeschlossen mein Problem lösen kann.
Dieser soll dann das Gastnetzwerk aufteilen und separieren in eins fürs Homeoffice und eins für die PV-Anlage.
An den unterschiedlichen Ports des Switches werden dann die LAN-Bridge und am anderen die Verbindung zur PV-Anlage angeschlossen.
Funktioniert das so oder gibt es eine bessere Lösung?

In Zukunft ist ggf. eine Erweiterung des PV-LAN-Netzwerks durch eine Wärmepumpe geplant und evtl. Sensoren (Shelly oder andere) zur Optimierung der Nutzung der PV Anlage. In Zuge dessen könnte auch die Spül- und Waschmaschine mit eingebunden werden. Die Sensoren und die Haushaltsgeräte wurden dann über einen neuen WLAN-Access Point an das PV-LAN-Netzwerk angebunden.
Ist das mit dem VLAN im Hinblick auf eine Erweiterung ebenfalls sinnvoll?




Viele Grüße
Tim01

 

[the other]

Moinsen,
du kannst das entweder (für den Beginner) aufwändig mit einem smart managed switch machen, der OSI Layer 3 beherrscht, also auch zwischen VLANs / Netzen routen kann.
Oder aber du nimmst einen 2. Router, der mit VLANs umgehen kann hinter die Fritzbox (zb pfsense / opnsense).
Ist aber (wenn es nur um ein einziges Gerät gehen sollte) beides overkill imho. Wenn du aber natürlich langfristig eh mit VLANs dein Netzwerk gestalten willst...go for it!

Einfacher (und günstiger) dann vielleicht eine Routerkaskade mit einer 2. (gebrauchten) Fritzbox...dabei werden die beiden Fritzoxen hintereinander geschaltet, beide im vollen Routermodus. Damit entstehen hinter der 1. Box (mit Verbindung Internet) ein LAN Netzwerkbereich. Hinter der 2. Box entsteht dann ein weiterer eigener Netzwerkbereich (mit eigener IP, also wirklich getrennt). Damit wäre dann ein Zugriff vom LAN hinter Box#2 auf das LAN VOR Box#2 möglich, nicht aber (ohne Weiteres) ein Zugriff vom LAN hinter Box#1 auf das LAN hinter Box#2.

 

[Loxley]

Guten Tag @Tim01,
willkommen im Forum. An Stelle eines Vlan's kannst Du auch einen zweiten Router mit dem ersten kaskadieren. Dann hast Du ein völlig unabhängiges Netzwerk für alle Geräte die Du nicht in Deinem privaten Netzwerk möchtest. Wenn Du Dein "unsicheres" Netzwerk im ersten Router realisierst und Dein privates Netzwerk im zweiten Router (Kaskade hinter dem Ersten) dann kannst Du vom privaten Netzwerk auf das "unsichere" zugreifen, aber nicht umgekehrt.

 

[Loxley]

Hat sich überschnitten mit @the other. (Er war schneller.)

 

[Tim01]

Vielen Dank für die sehr schnellen Antworten.

Okay verstehe, die Routerkaskade ist einfacher zu realisieren (für Leute wie mich die nie zuvor mit VLAN gearbeitet haben) und bietet auch eine sichere Abtrennung des "unsicheren Netzwerks".

Da ich keinen zweiten Router habe müsste ich ein neues Modell kaufen 200-300 EUR oder eine gebrauchte zweite 7490 für ca. 40-50 EUR. Bei Amazon finde ich unter "managed switch" mehrere schon für 20-30 EUR, steht aber nicht dabei ob es OSI Layer 3 Geräte sind. Klappt das mit solchen günstigen Geräten oder welche Switch wäre zu empfehlen?

 

[the other]

Moinsen,
eine einfache gebrauchte Fritzbox reicht schon dafür aus...nix Neues! Bei den Preisen würde ich dann eher zu einer Lösung mit pfsense raten (ist zwar sehr viel mächtiger als ne Fritzbox, aber bei den Preisen...du hättest dann eben auch deutlich mehr Optionen, aber auch mehr Einarbeitungsmühe).

Du brauchst (wenn du das per switch lösen willst) einen L3 fähigen switch. Dazu sei aber auch gesagt: die Einrichtung mit ACLs am switch direkt ist...sagen wir mal...eher sehr sportlich, gerade wenn du selber sagst, dass das bisher eher böhmische / niedersächsische / sonstwo Dörfer sind für dich. Da ist das Einrichten am switch schon auch hui...

Also: quick and dirty mit 2. gebrauchter Fritzbox als Kaskade, etwas mehr Aufwand aber deutlich mehr Optionen mit pfsense hinter der fritzbox. Richtig sportlich mit L3 switch und ACLs darüber für die VLANs...
Modelle...
Kurze Suche hat zB ergeben: https://www.amazon.de/Layer-3-Switch/s?k=Layer-3-Switch

Sind eben auch nicht so ganz günstig...daher mit einer Fritzbox kennst du dich zumindest bereits aus. Aber am Ende: deine Entscheidung natürlich.

 

[Tim01]

Vielen Dank für den Hinweis, dass die Einrichtung am Switch nicht so schnell und einfach geht. Wahrscheinlich werde ich dann Lösung mit der Routerkaskade wählen. Ich muss mir nur noch überlegen ob ich dann gleich in ein Nachfolgemodell der 7490 oder eine gebrauchte zweite 7490 kaufe.

Verstehe ich es richtig, dass Fritzbox #2 (nachgeschaltet) über ihren Port 1 an Fritzbox #1 (mit DSL-Verbindung) ebenfalls Port 1 zu schalten ist?
D.h. Fritzbox #2 kann also nicht an das Gastnetzwerk von Fritzbox #1 angeschlossen werden oder?

Mit der Routerkaskade ergeben sich also 4 getrennte Netzwerke ?
Fritzbox #1 => 1. LAN (mit "unsicheren Geräten") + 1. Gast LAN
Fritzbox #2 => 2. LAN und 2. Gast LAN
Es ist lediglich ein Zugriff vom 2. LAN auf 1. LAN möglich, aber nicht umgekehrt.
Wäre ein Zugriff vom 2. Gast LAN auf 1. LAN ebenfalls möglich?

 

[the other]

Moinsen,
ja, das am switch zu machen ist möglich, aber eben gerade für den Anfang echt nicht so schön...auch keine Raketenwissenschaft, aber warum der Aufwand.

Mit der Fritzbox geht es etwa so: https://fritz.com/apps/knowledge-ba..._FRITZ-Box-als-kaskadierten-Router-einrichten
Da steht eigentlich alles drin.
Wichtig eben: beide Fritzboxen sind im Router Modus, bedeutet sie machen beide NAT und behandeln alles "vor sich" als "das Internet" und machen von dort kommend dicht. Es kommt auf WAN an Fritzbox 1 also nix rein und dann an LAN1 an Fritzbox 2 später auch nicht (die behandelt alles vor sich wie Internet!). Raus geht natürlich alles, daher auch der mögliche Zugriff vom LAN der FB 2 auf LAN der FB 1, aber eben nicht anders herum (Ausnahme einrichten nötig > Portweiterleitung, späteres Thema).
Und ja, das macht dann 4 Netze. Aber eben nicht untereinander zu erreichen, zum Teil gar nicht, zum Teil nur einseitig...das ist dann eben der Kompromiss, wenn kein "echter" L3 fähiger Router genutzt wird (das kann die FB nicht ausreichend für interne Netze, also etwa VLANs. Das könnte dann eben eine pfsense / opnsense)...die Fritzbox kann mit NAT nur zwischen dem externen Netz und dem LAN routen, nicht aber LANs untereinander. Dafür aber eben einfacher, günstiger und bereits bekannt...