Routing im Heimnetzwerk...L3 switch oder Router

[the other]

Moinsen,
mich würde mal interessieren, wie ihr in euren Heimnetzwerken das Thema Routing gelöst habt. Die Frage richtet sich dabei an diejenigen unter euch, die einen Layer 3 fähigen switch besitzen.
Welches Gerät routet bei euch (und macht dhcp usw.) innerhalb eures Heimnetzwerks?
Wenn ihr den eigentlichen Router nutzt, warum?
Wenn ihr den switch das Routing machen lasst, warum?
Danke für euren Input...

 

[Barungar]

Beim mir im Heimnetz routet traditionell die interne Firewall.

Der "Router" (Fritz!Box 7583) macht die WAN-Anbindung, IPv4-NAT und die erste Firewall (Perimeter - auch wenn die Denke mit Perimeter-Firewall als veraltet gilt). Er holt beim Provider das IPv6-Netz ab, und macht DHCPv4/v6 im VLAN 1 und in den beiden WLANs.

Die Switche halten oberhalb der ISO/OSI-Schicht 2 eher die Füße still, die dürfen sich um LAGG, VLAN, DSCP, IGMP, RSTP, usw. kümmern.

Meine OPNsense high availability Firewall (synchroner Zwei-Knoten-Cluter) trennt die internen VLANs (ab hier gilt das immer für die internen VLANs), routet, stellt DHCPv4/v6 bereit, verteilt die Router Advertisements. Darüber hinaus übernimmt die Firewall auch die VPN-Anbindung meines zweiten NAS-Standortes (im LAN meines Onkels, da habe ich ein kleines off-site NAS mit Backupdaten).

Die DNS-Dienste stellt mein auf Ubuntu 22.04 LTS + CARP basierendes DNS-Cluster (teilsynchroner Drei-Knoten-Cluster) im Netz bereit. Das gilt für alle VLANs, das DNS-Modul im Router ist "deaktivert"; Router und Firewall verteilen per DHCPv4/v6 und RA die IP des DNS-Clusters.

Warum?

Die CPU der Fritz!Box ist schwach auf der Brust, außerdem hat die Fritz!Box nur lahme 1 GBit/s-Anschlüsse. Insgesamt wäre die eher einer super Bremse für das interne LAN.

Die Switche haben schon mehr Ressourcen, müssen sich aber auch schon um diverse CPU-intensive Dinge kümmern. So ein teilvermaschter RSTP braucht auch durchaus seine CPU-Zeit um verwaltet zu werden. Und da ich keine dicken Brummer (große Blade-Chasis-Switche) habe, will ich auch deren CPU/RAM schonen. Darüber hinaus bin ich mir nicht ganz sicher, ob die Switche es bei all ihren Nebenaufgaben wirklich schaffen würden wirespeed (mit 10 GBit/s) zu routen.

Also routet die Firewall, die über einen AMD Ryzen (4 Core, 8 Threads) verfügt. Darüberhinaus ist die Firewall auch noch in meinen Augen der sinnvollste Ort zum Routen. Hier kann ich nicht nur die Pakete zwischen den VLANs weiterleiten, sondern auch gleich in einem Atemzug prüfen, ob das gewünscht bzw. zulässig ist.

 

[blurrrr]

Hier ist (u.a.) eine Fritzbox 7590 für die Bereitstellung des Internets zuständig, VLANs kommen hier ebenfalls zum Einsatz, Routing übernimmt primär die Firewall hinter der Fritzbox. Switch-technisch ist hier auch nur L2 angesagt. Was das Routing über L3-Switche, oder dedizierte Router angeht, so kommt es da wohl auf die Performance an (Routing vs. Switching), aber i.d.R. sind entsprechende Switche auch schon für sowas ausgelegt.

Ein "Vorteil" von L3-Switchen wäre z.B. dass die Routingtabellen auf den eigentlichen Routern relativ klein gehalten werden kann, da die kleineren Subnetze einfach direkt von den Switchen bedient werden können. Ein weiterer Vorteil wäre, dass es - ganz banal - mitunter einfach eine eine kürzere Strecke ist, so können Pakete direkt am Switch geroutet werden und müssen nicht noch weiter zu einem dedizierten Router geschickt werden. Würde sich wie folgt gestalten:

Netz 1 -> L3-Switch -> Netz 2
vs.
Netz 1 -> L2-Switch -> Router -> L2-Switch -> Netz 2

Da viele sowieso noch eine vollwertige Firewall-Lösung im Einsatz haben, lässt sich darüber natürlich auch noch einiges wesentlich besser abbilden. Wenn es um die reine Segmentierung geht (z.B. bzgl. Broadcast-Domänen) steht dem Einsatz eines L3-Switches natürlich nichts im Weg (ausser evtl. der Preis). Ist aber insgesamt doch eher ein Szenario, welches in "großen" Netzen zu finden ist, für den Heimanwender spielt das - meiner Meinung nach - eher weniger eine Rolle.

 

[rednag]

Aber @Barungar ist auch nicht (mehr) der typische Heimanwender. Mir persönlich wäre das zu komplex und zuviel Technik.

 

[Jagnix]

Das haste recht. Aber ich glaube niemand betreibt so einen Aufwand ohne Grund.