Omada Multi-WAN Router

[tacoshy]

Hallo Zusammen,

ich bin ein FIDP (der erste, der es in NRW geschafft hatte). Sprich, ich verstehe Netzwerke in der Breite, aber in der Tiefe fehlt mir Fachwissen.
Daher hoffe ich, dass ich hier jemanden finde, der mir ein paar Fragen beantworten kann. Verzeiht Fachfehler, die aufgrund fehlender Tiefe mache.

Ich bin gerade am Entscheiden zwischen 2 Multi-WAN-Routern.

1. Omada ER8411
2. Omada ER7412-M2

Der ER8411 hat leider keine 2.5 Gbit/s RJ-45 Ports. Dafür SFP+. Gegebenenfalls wäre es möglich, mit einem RJ46 auf SFP+-Adapter zu arbeiten. Allerdings der einzige 2.5 Gbit/s Port der Fritzbox unterstützt keinen Bridge Mode. Hier könnte ich nur mit Exposed Host arbeiten, mit doppelter NAT dafür eine Pseudo-DMZ. Der Vorteil hier ist für mich, dass ich die Switches direkt über SFP+ anbinden kann.

Der 7412 hat 2.5 Gbit/s aber kein SFP+ sondern nur 1 Gbit/s SFP. Hier dasselbe mit der Fritzbox. Hier könnte ich keine Lastverteilung auf SFP-Basis nutzen, da nur die RJ-45 Ports schnell genug sind, um nicht zu limitieren. Der Vorteil ist, dass der Er7411 nur die Hälfte des ER8411 kostet.

Bridge Mode erlaubt mir nicht die 1.2 Gbit/s Overprovisioning zu nutzen.

Fragen:
1. Macht es Sinn für den günstigeren ER7411 auf SFP+ zu verzichten? (Latenz, Stromverbrauch, Störungsanfälligkeit)
2. Macht es Sinn für das Overprovisioning der Kabelverbindung auf Bridge Mode zu verzichten und im Exposed Host Modus zu arbeiten?
3. Kann ich die Fritzbox mit 2 Bridge-Mode-Ports an einen Multi-Port-Router verbinden und so dann 2x Gbit/s Bandbreite nutzen?
4. Macht es überhaupt Sinn, die 5G-Router in Lastverteilung zu koppeln oder sollten sie komplett als Backup verwendet werden? Gibt es dort Probleme, die ich übersehe?

Kontext:

Ausgangslage/Anforderung:
Ich möchte ein professionelles Netzwerk für private und berufliche Zwecke aufbauen.
Redundanz ist dafür sehr wichtig.
Smarthome ist überhaupt kein Thema.
VPN-Tunnels sind ein nettes Extra.
Geschwindigkeit (Bandbreite) ist wichtig, Latenz dagegen sekundär. Cat-8 wurde als skalierbare und upgradefähige Leitung genutzt. Gerade mit einem SSD-RAID-5-NAS möchte ich den mobilen Clients über WiFi-7 maximale Geschwindigkeit ermöglichen.

Clients:
4x Surface Book 2/3 -> Angunden über Surface Dock (1 Gbit/s RJ45) oder WiFi 6
1x Smartphone auf WiFi-6 der Rest an Smartphones und Tablets ist WiFi-7 fähig
2x Fernseher angebunden über RJ-45
3x Konsole angebunden über RJ-45

Internetanbindung:
1x 1 Gbit/s Kabel (1.2Gbit/s mit Overprovisioning)-> Fritzbox 6690 Pro
2x 300 Mbit/s 5G Unlimited -> ZTE MC888
1x 150 Mbit/s 5G Backup -> UniFi 5G Backup
Alle 3 5G-Router werden über PoE-Injectoren versorgt zwischen Router und Patchfeld

Infrastruktur:
Alle Clients, 5G-Router und APs sind über Cat-8 angebunden.
Zwischen dem Serverrack und den Clients ist kein weiterer Switch verbaut. Alle Leitungen enden an einem Patchfeld mit Cat-8-Keystones.
Als Patchkabel werden ebenfalls Cat-8 Kabel verwendet.
Der Multi-WAN-Router wird mit SFP+ DAC an die Switches gekoppelt

2x Omada EAP772 als AP's -> angebunden an SX3206HPP

Rackhardware:
1x OC 300 Direktanschluss -> angebunden an SX3206HPP (Cat-8)
1x SX3206HPP -> angebunden an SX3016F (SFP+ DAC)
1x SG3218XP-M2 -> angebunden an SX3016F (SFP+ DAC)
1x SX3016F -> angebunden an Multi-WAN Router (SFP+ DAC)
1x Multi-WAN-Router
Alle Router werden an den Multi-WAN-Router angeschlossen
1x geplant NAS mit SSD RAID-5 angeschlossen mit SFP+ DAC an SX3016F

 

[blurrrr]

Hi,

Hier könnte ich nur mit Exposed Host arbeiten, mit doppelter NAT dafür eine Pseudo-DMZ.

Du kannst auch einfach auf doppeltes NAT verzichten und ganz normal routen, dafür müssen die Netze (hinter dem nachgelagerten Router) nur dem primären Router (an der Grenze zum Internet) bekannt sein - Stichwort Routing-Tabelle. Fritz!Boxen können sowas, habe ich hier selbst laufen (mit einer Sophos Home Edition dahinter). Einfach alle Netze, die hinter Deinem - welches Modell es auch immer werden mag - auf der Fritz!Box eintragen und Du bist im grünen Bereich.

DMZ kannst Du dann entweder im Fritz!Box-Netz laufen lassen (würde ich aber mangels entsprechender Kontrollmöglichkeiten nicht machen), oder eben hinter Deinem 2. Router. Wichtig dabei wäre, dass die Geräte aus der DMZ dann nicht in das Fritz!Box-Netz dürfen (welches auf der Strecke nach draussen liegt) und die meisten Firewalls juckt es nicht mehr, wenn die Pakete via WAN-Interface nach draussen geht (typische Regel: alles was nach WAN raus will, darf es auch). Hier würde sich ggf. anbieten, dass Du erst die "internen" Regeln angehst, danach eine Regel in Form von "RFC1918 zu RFC1918 verbieten" erstellst (somit wird jeglicher anderweitige Traffic zwischen internen Netzen unterbunden). Danach kann dann auch eine "RFC1918 zu ANY erlauben"-Regel folgen (es bleibt ja nur noch das "Internet").

Redundanz ist dafür sehr wichtig.

Nur die Uplinks redundant zu halten, ist bei so einem Wunsch aber keine Option. Da müssen auch Firewalls und Switche redundant gehalten werden und theoretisch müssten alle wichtigen Geräte mit mehreren Ports auch redundant an die Switche angeschlossen werden (inkl. red. Uplinks der Switche zu den red. Firewalls).

1x geplant NAS

Müsste auch redundant sein (und im besten Fall als Clusterverbund active/passive oder active/active laufen). Ich "vermute" aber mal, dass Du mit der Redundanz einfach nur Deinen Internet-Uplink meintest

1. Macht es Sinn für den günstigeren ER7411 auf SFP+ zu verzichten? (Latenz, Stromverbrauch, Störungsanfälligkeit)

Naja, ich denke, dass da die Vorlieben unterschiedlich sind. Ab bestimmten Bandbreiten ist irgendwas in SFP-Richtung sowieso Pflicht (RJ45 gibt es da auch nicht mehr, sprich alles über 10G ist sowieso irgendeine Art von SFP). Die Frage ist auch, ob Du es lieber "billig" willst, oder "vernünftig" (und ggf. auch gut dimensioniert für die Zukunft). Diesbezüglich würde ich mir eher die Frage stellen, wie absehbar es ist, dass die Internetbandbreite massiv steigt (z.B. auf mehr als 1G). Folglich muss die Infrastruktur dahinter auch in der Lage sein, die 10G entsprechend zu bedienen (im besten Fall durch die Firewall bis zu 10G-Uplinks auf den Switchen). Ob die Accessports auf den Switchen dann "nur" 2,5G bieten, oder auch schon direkt 10G ist nochmal ein anderes Thema. Wobei 10G intern halt auch schon ganz nett wären, grade wenn man mit einem NAS mit SSDs unterwegs ist. Auf der anderen Seite... ist die interne Infrastruktur schon auf 10G, aber die Internetbandbreite noch lange nicht in dieser Größenordnung geplant, kann man dort auch erstmal auf etwas "aktuell passendes" setzen. Es ist solange kein Bottleneck, bis Dein ISP Dir etwas anderes unter die Nase hält (und Du zugreifst)

2. Macht es Sinn für das Overprovisioning der Kabelverbindung auf Bridge Mode zu verzichten und im Exposed Host Modus zu arbeiten?

Ich würde einfach auf ganz normales Routing setzen.

3. Kann ich die Fritzbox mit 2 Bridge-Mode-Ports an einen Multi-Port-Router verbinden und so dann 2x Gbit/s Bandbreite nutzen?

Ich denke nicht... die Fritz!Boxen sind SOHO-Boxen. Failover via LTE gibt es zwar, aber das war es dann auch schon.

4. Macht es überhaupt Sinn, die 5G-Router in Lastverteilung zu koppeln oder sollten sie komplett als Backup verwendet werden? Gibt es dort Probleme, die ich übersehe?

Kannst Du natürlich über die Firewall konfigurieren (wenn diese sowas kann). Wenn sie sowas kann (Lastverteilung und Backup), dann ist i.d.R. aber auch beides "gleichzeitig" möglich. Sprich, Du kannst zum einen Deine gewünschte Lastverteilung (Normalzustand) konfigurieren und sobald eine Leitung gestört ist, wird der Traffic (ausgefallenees Medium) eben auf eine andere Option umgeleitet.

Ich denke, dass @svenyeng (oder jemand anders) hier vermutlich noch das ein oder andere sagen kann, ich habe es nicht so mit TP-Link

 

[svenyeng]

Hallo!

Generell mag ich die TP-Link Omaha Komponenten und habe hier selber Gateway, Switche und APs laufen.
Damit bin ich sehr zufrieden.
Administration mache ich über die Cloud, das finde ich einfach am besten.

Zu den Fragen kann ich so nichts sagen. Ich habe nur einen Glasfaseranschluss. Mehr brauche ich hier zu Hause nicht.

Gruß
sven