Netzwerkaufteilung und erste Gedanken dazu

[Swuff]

Eigentlich hatte ich mit dem Gedanken gespielt auf einem Raspberry über Proxmox bzw. Pi-mox folgende Dienste als LCX Container laufen lassen:
pi-Hole, Bitwarden, Firewall (OPNsense oder pfSense), WireGuard, Homeassistant
Homeassistant bekomme ich nur als Docker Image zum Laufen und da funktionieren leider keine Add-ons


Aus diesem Grund hab ich jetzt überlegt das ganze auf einen Intel NUC oder was Vergleichbares auszulagern.
Vielleicht könnt ihr mir da eine Empfehlung machen.

Auf dem NUC soll dann Proxmox laufen, mit Bitwarden, pi-Hole und Homeassistant.

Durch einige Recherchen im Netz bin ich irgendwann auf dieses Forum hier gestoßen und habe schon ein wenig quer durchgelesen und dadurch einige Fragen schon beantwortet bekommen.

Nun habe ich mir überlegt, mein Netzwerk in folgende VLAN's zu untergliedern:

VLAN1: Meine Computer sowie meine mobilen Geräte (iPhone, iPad, MacBook)
VLAN2: Netzwerkdrucker, 3D Drucker
VLAN3: Geräte der Kinder
VLAN4: Gäste Internet
VLAN5: Homeautomationen / IoT Geräte
VLAN6: NAS
VLAN7: Proxmox Server, via WOL startbar mit Linux und Windows VM

1. Mit welchem Management Switch habt ihr bisher gute Erfahrungen gemacht?
2. Besorge ich mir eine eigene Firewall oder lasse ich OPNsense oder pfSense über den NUC laufen?
3. An welcher Stelle sollte ich vielleicht mich noch weiter beschäftigen, wo könnte es in meinem Fall zu Problemen kommen?

Vielen Dank schon einmal im Voraus

 

[the other]

Moinsen und willkommen im Forum,
ich selber würde
a) Home Assistant auf einem Raspi (4 mit 8GB und nicht von SD Card sondern ssd) laufen lassen > getrennt von den anderen Dingen wie Pihole usw, da IoT
b) für eine firewall wie pfsense / opensense dann ein günstiges APU Board nehmen (mit Gehäuse ca. 220 Euro) > nur für die Firewall, kein Mix mit anderen Programmen
c) Bitwarden (oder auch Keepass) Datenbank aufs NAS legen
d) mit einer pfsense kannst du auch auf Pihole verzichten, es gibt da das Addon pfblockerNG_dev, was das gleiche macht plus IP Blocking, wenn gewünscht

Soviel erstmal zur Hardware.

Die VLAN-Frage ist immer und generell sehr individuell zu betrachten. Auf den ersten Blick sieht deine Aufteilung aber schon ganz gut aus...

Als Switch(e) kommen hier cisco SG250 und 250 zum Einsatz. Sehr gut zu managen, geht aber auch günstiger.
Ich rate immer zur eigenen Maschine für Firewalls. Wichtige Funktion, will ich getrennt am Laufen haben von anderen Dingen.

 

[blurrrr]

Pi-mox

Was es nicht alles gibt...

1. Mit welchem Management Switch habt ihr bisher gute Erfahrungen gemacht?

Kannste eigentlich machen wie Du lustig bist, jeder managed Switch dürfte Deine Erwartungen erfüllen.

2. Besorge ich mir eine eigene Firewall oder lasse ich OPNsense oder pfSense über den NUC laufen?

Eigenständig wäre wohl schon etwas besser. Packst ja auch keinen Backofen ins Auto und wenn das Auto dann mal streikt, gibt es halt nur noch kaltes Essen.

3. An welcher Stelle sollte ich vielleicht mich noch weiter beschäftigen, wo könnte es in meinem Fall zu Problemen kommen?

Gut ist schon mal die Sammlung der Gedanken bzgl. der Aufteilungen, die andere Hälfte fehlt halt noch (die Firewall-Regeln). Das "trennen" von Geräte-Gruppierungen macht i.d.R. keine Probleme, sinnvolle Firewall-Regeln dagegen schon eher.

 

[azrael783]

Ich würde die Aufteilung nicht zu fein gliedern. Ich hatte Anfangs ähnliche Gedanken, musste dann aber feststellen, das gerade bei dem Smart Home Kram es verdammt schwierig werden kann, wenn die Geräte nicht im gleichen Netzwerk sind (zb. eine Sonos Speaker und Home-Assistant). Dann fängst du an Port für Port doch wieder freizugeben und dann finde ich kann man sich die Separierung auch gleich ganz sparen.
Aus dieser Erkenntnis heraus werde ich es wahrscheinlich wie folgt machen:

Vlan 1: Alle PCs, Handys, Home-Assistant, alle Smart-Home Geräte die lokal mit Home-Assistant reden
Vlan 2: NAS
Vlan 3: Gäste-Internet, Smart-Home Geräte die via Cloud in Home-Assistant integriert werden
Vlan 4: ESP Geräte die nicht ins Internet müssen und nur lokal mit Home-Assistant reden

Ansonsten kann ich auch nur dazu raten, nicht alles auf einem Gerät laufen zu haben. Fällt das mal aus, geht gar nichts mehr. Als Firewall nutze ich eine Sophos XG auf einem IPU-Board, Home-Assistant und andere Dienste laufen auf einem mITX System und der Zigbee Stick auf einem Pi 3.

 

[the other]

Moinsen,
absolut richtiger Punkt...zuviel Wände ins Haus einziehen ist nur bedingt sinnig...wenn du dann Pro Wand drölfzehn Türen einbaust nachträglich.