Netzwerkplanung

[Nibelung]

Guten Morgen allerseits,

ich habe mir mal Gedanken um mein Netzwerk gemacht, denn mittlerwile mit den ganzen Iot Geräten und Kameras, sind mir zu viele angreifbare Geräte im Heimnetz( sind über 100).
Wie man sieht möchte ich die FritzBox behalten und ein Monitoring System in diesem Netzwerk haben. Die FB hängt an einem Vodafone Kabel Anschluss und soll Ihr Netzwerk und DECT managen. Somit wäre der WAF Faktor gegeben, da meine Frau dann von der Umstellung nichts merken würde . Außerden habe ich im Ganzen Haus Repeater von Fritz hängen und die Abdeckung für die priv. Geräte ist im Garten usw. gegeben. (da hängt auch genug Geld in der Gegend rum)

Hinter der FB würde ich gerne einen Open WRT oder eine OpenSense betreiben mit Sequenzierung. Dort sollen die Kameras, IOT Geräte usw. drin sein in verschiedenen VLans.
Ich habe mit schon einige Chinaböller managed Switches zugelegt. hier habe ich dann überall 2,5G und an der großen DS 10G anliegen.

Ein Rechner für die VM ist ein Nuc mit einem I5 , der ist zum spielen und der Hauptrechner mit den VM (Openwrt oder OpenSense) ist ein Mini PC N150 10GBE SFP+, 2xi2.5Gbit. Somit habe ich bei dem Gerät genug Netzwerkpower und Rechenpower.
Momentan bin ich noch am Kabel ziehen. Ich wohne im 1 OG und muß bis in den Keller mit den Kabeln. Die Hauptsächliche Netzwerverteilung liegt auf dem Dachboden. Heißt auch hier werde ich noch Switche verbauen. Es würde 1 Kabel zu verteilung auf dem Dachboden gehen (Saumäßig Arbeit, deswegen 1 Kabel). In den Keller und in die Garage jeweils ein Kabel an einem managed Switch mit 2,5G.
Wlan Zugangspunkte für Vlan habe ich einige Unifi AP (günstig geschossen). Wo ich mir nicht sicher bin ob ich die Firewall bzw. OpenWRT-Router als Exposed Hose betreiben soll.
Da ich noch in Reha gehe würde ich erst im Februar damit anfangen. Wenn gewünscht lasse ich Euch gerne an allem teilhaben.



Hier erstmal mein Netzwerkplan wie ich es mir vorstelle:








Liebe Grüße aus der Nibelungen Stadt

 

[blurrrr]

Moin,

Die FB hängt an einem Vodafone Kabel Anschluss und soll Ihr Netzwerk und DECT managen. Somit wäre der WAF Faktor gegeben, da meine Frau dann von der Umstellung nichts merken würde

wenn ich das jetzt richtig verstehe, willst Du Deine Frau "draussen" lassen (Fritz!Box-Netzwerk) und nur Dich selbst irgendwo nach "hinten" verkrümeln? Wenn Du eh schon Unifi-APs hast, warum nicht komplett darauf umstellen und das Fritz!Box-WLAN abschalten? So läuft es jedenfalls hier. Im Fritz!Box-Netzwerk tummelt sich halt nur noch die Firewall, alles andere befindet sich hinter der Firewall.

Wo ich mir nicht sicher bin ob ich die Firewall bzw. OpenWRT-Router als Exposed Hose betreiben soll.

Das kann man so machen, ich persönlich habe es nicht so laufen, sondern nur benötigte Ports für div. VPN-Protokolle an die Firewall weitergeleitet. Somit kommt das meiste unerwünschte auch erst garnicht bei der Firewall an - dafür sieht man in den Firewall-Logs allerdings auch weniger.

Für die Multimedia-Geschichten (z.B. DLNA) sollte man sich im Vorfeld darüber informieren, wie die Dinge funktionieren und ob/wie sich entsprechende Lösungen umsetzen lassen. Wenn diverses in einzelne Netze gepackt wird, werden manche Dinge einfach nicht mehr funktionieren wie gewohnt - ein Beispiel dafür sind z.B. Broadcast-basierte Sachen, wie der Synology-Finder (welcher dann nur im lokalen (eigenen) Netz nach Syno-Geräten sucht). Ist der Client in einem anderen Netzwerk als die Syno, wird der Syno-Finder diesbezüglich halt nichts mehr finden. Gleiches gilt z.B. auch für DLNA (z.B. Zugriff vom TV auf die Syno), sind Client und Server in unterschiedlichen Netzen, wird es erstmal nicht funktionieren. Gleiches gilt ebenso für die Drucker, welche dann halt nicht mehr via Klick-Klick-fertig eingebunden werden (oder direkt von Windows gefunden, erkannt und installiert werden), da wäre dann die Einrichtung via IP angesagt (sofern sich Client und Drucker in unterschiedlichen Netzwerken befinden).

Was hingegen sehr gut funktioniert (managed Switch sei Dank), ist die Tatsache, dass Du einer VM auf dem PVE-Host einfach bei der VM-Erstellung ein VLAN zuweisen kannst. Der Switch-Port muss dann eben als VLAN-Trunk (tagged) konfiguriert sein (mehrere VLANs), ebenso wie die Ports für die WLAN-APs, womit Du dann div. SSIDs in verschiedene VLANs bridgen kannst.

Das nur mal generell bzgl. der Netz-Überlegungen. Die erste Zeichnung ist auch ganz gut, jetzt wird die 2. Zeichnung fällig, wo man auch nichts mehr von Endgeräten sieht, sondern nur noch "Netze". Da gab es schon mal einen Thread zum Thema Aufteilung, vielleicht hilft es ja bzw. gibt noch ein paar Denkanstösse https://forum.heimnetz.de/threads/empfehlung-fuer-netzwerksegmentierung-und-hw-auswahl.846/.

 

[Nibelung]

Das FB Netzwerk würde ich ungern abschalten, da ich genügend Repeater hier im Haus habe und ich nicht gewillt bin nochmal das Geld auszugeben.Die Unifi Access Points habe ich zwar auch 5 Stück, aber die betreibe ich dann an den Stellen wo es wichtig ist, die müssen immer nur einen kleinen Bereich abdecken.

Liebe Grüße aus der Nibelungen Stadt