VLAN Optionen für derzeitiges Fritzbox Setup

[blurrrr]

Und, man muss (OS) seit eingier Zeit auch kein DoppelNAT mit einer Fritte fahren.

Kleine Info am Rande: Das gab es schon vor 2010, für IPv6 kam das ein paar Jahre später, ist also beides schon locker über 10 Jahre vorhanden.

 

[Kenny16352]

Knapp die Hälfte der Teile die in irgendeinem Gerät von AVM verbaut sind, sind amerikansichen Ursprungs.

Ich denke, fast keine Elektronik wird noch im europäischen Raum hergestellt, aber das war nicht mein Punkt. Es geht mir hier eher um die Software und das gesamte Ökosystem. Thema Kontrollverlust der Daten, irgendwelcher Cloudzwang zur Konfig, Backdoors etc. ...

will nicht paranoid werden, aber wenigstens n bisschen Durchmischung ist ja schon nicht zu verachten Wenns plötzlich aufgrund von irgendwelchen Beschränkungen keine Geräte mehr am Markt gibt (oder unendlich teuer eben) und man aber das System eben nur mit dem Gerät funktioniert, ists ja auch blöd von einem einzigen Hersteller "abhängig" zu sein ... meine letzte IP Kamera ist auf diesem Wegen den Bach runtergegangen und die "tote" Hardware fristet ihr Dasein im Schrank weiter ... vielleicht übertreibe ich aber auch einfach nur und bin etwas empfindlich wenn man sich derzeit Nachrichten ao anschaut

Bei denen aber gute Recherchieren was einen Lüfter hat und wie man dazu steht

Ich muss gestehen, ich blicke im Moment weder bei den Produktbezeichnungen, noch bei der Hardware richtig durch ... irgendwie erkenne ich noch keine klare Linie zwischen ultra, max etc. .. mal ist ein feature drin, das beim nächst höhreren wieder weg ist, dafür ist dann was anderes nützliches drin. Teilweise sind die "besseren" Geräte aber auch wieder günstiger als manch andere, was wiederum die Existenz derer in Frage stellt ich muss noch ein wenig mehr schauen glaube ich

Kann sie also als sauber als Gateway nutzen und Unify als Router samt dem gesamten Rest.

Das wäre langfristig der Plan, da die Fritz 6690er cable overkill wäre, sie nur als modem zu betreiben. Wen alles soweit läuft, käme dann wahrscheinlich irgendwann nur noch ein Modem hin. Da das Kabelmodem anmelden bei Vodafone so eine Sache ist und ich nicht weiß, ob einige Geräte überhaupt unterstützt werden (gerade wegen 1000MBit Fähigkeit), würde ich aber lieber erstmal alles hinter der FB betreiben wollen ...

 

[Confluencer]

Ich hab hier Zuhause auch eine FB (5590) hinter der ein OpenWRT (Flint2) als Exposed Host hängt, hinter dem ein Managed 2,5G Switch hängt. Alle Geräte die 2,5G können, bekommen es auch. Meine Server hängen an einem 10G Managed Switch, damit sie zumindest untereinander mit 10G kommunizieren können.

OpenWRT kümmert sich um VLANs, dhcp, dns, Firewall zwischen den Netzen und natürlich WLANs. Es ist im Vergleich zu OPNsense oder pfSense eher einfach und spartanisch, aber für mich völlig ausreichend..

 

[Besser]

Kleine Info am Rande: Das gab es schon vor 2010, für IPv6 kam das ein paar Jahre später, ist also beides schon locker über 10 Jahre vorhanden.

Bei Unify? Der Punkt ist nicht, daß man eine Fritte in den Bridge frickeln kann, sondern, daß man das nachgelagerte auf eine vorgelagerte Fritte frickeln kann

@Kenny16352
Kann mir grad schlecht vorstellen, daß ich hier jemanden treffe der interessant genug für erwähnte Kräfte wäre Sonst guckt man sich beim Thema Sicherheit entsprechende Sammelstellen im Netz an.
Da sind auf der einen Seite d-link (die Komiker), Netgear (die Spaßbude), tp-link (die Upsi-Brüder) , Asus (ganz großes Kino) und teils Zyxel. Auf der anderen Seite Telekom, AVM und Unify...

Telekom wegen den Einschränkungen bis Smart4 und das nur bedingt. AVM allgemein im Rahmen der Möglichkeiten. Werden diese gesprengt, landet man meist bei Unify.
Jedenfalls, wenn man noch halbwegs im s.g. SoHo Equipment bleiben möchte. Wozu ich immer Rate, falls es nicht um Berufsnetzwerker geht.

Die Welt einer psense/opnsense (" *sense ") liegt irgendwo dazwischen. Seitdem es wegen WLAN aber APs/Repeater gibt die selbst den Mesh-Master spielen können, ist die Komplexität hier für ein Rundumpaket spürbar kleiner.
Eine Empfehling für Leute mit keine Ahnung von Nix wird das damit aber noch nicht...

OpenWRT... Wenn man jemanden an der Hand hätte wie z.B. Confluencer, der dich bisschen an die Hand nehmen könnte, dann sollte man das als pures Gold verstehen Selbst, wenn es am Ende kein handfestes Ergebnis, sondern nur eine Weiterbildung war.

Expliziter: Was nochmal wäre für "Express 7" der Showstopper deiner Meinung nach?

 

[blurrrr]

Bei Unify? Der Punkt ist nicht, daß man eine Fritte in den Bridge frickeln kann, sondern, daß man das nachgelagerte auf eine vorgelagerte Fritte frickeln kann

War jetzt in Bezug auf die statischen Routen der Fritz!Box und mit "Bridge" hat das bis dahin erstmal garnichts zu tun.

Thema Kontrollverlust der Daten, irgendwelcher Cloudzwang zur Konfig, Backdoors etc. ...

Alternativen gibt es "fast" immer.

wenn es am Ende kein handfestes Ergebnis, sondern nur eine Weiterbildung war.

Warum sollte es kein Ergebnis geben? Ist halt die Frage, was genau man will. OpenWRT ist halt als kleine Router-Lösung auf den Markt getreten, pfSense/OPNsense (und auch andere Lösungen wie Sophos XGS und Co.) die man sich auf dem eigenen Blech installieren kann, sind da halt doch schon umfangreicher.

 

[Besser]

Warum sollte es kein Ergebnis geben?

Wenn du "wenn es am Ende" quotest und nicht "Selbst, wenn es am Ende", dann kannst du natürlich so einsteigen. Sonst würde es halt bisschen seltsam klingen...
"Wenn", galt selbstverständlich dem Aufwand und den ggf. benötigten Skills. Ergo, der letztendlich Lust und Laune. Nicht der allgemeinen Tauglichkeit (von OpenWRT). Warum auch immer es nicht schlüssig erschien eher das als etwas anderes anzunehmen.

War jetzt in Bezug auf die statischen Routen der Fritz!Box

Ja. Damit macht man sie sozusagen zum reinen Gateway, aber das ist schon netter, wenn man in der Kiste dahinter, die auch gerne gleich alles machen würde, globales NAT ausknipsen kann. Und das kann UnifyOS erst seit 8.3.20

PS:
Wenn man auf opencve io nach Vulnerabilities Sophos Firewall sucht, dann ist das vielleicht ok für jemanden der damit beruflich alle glücklich macht wegen compliance theater, aber privat sollte man so einen Vollmurks lieber nicht einsetzen.

 

[Kenny16352]

Expliziter: Was nochmal wäre für "Express 7" der Showstopper deiner Meinung nach?

Im Moment die Tatsache, dass man bei Vodafone Kabel Deutschland die Fritzbox 6690 cable nicht in den Bridge Modus schalten kann ... es gibt zwar einen "Hack" (https://ubiquiti-networks-forum.de/...-6490-6590-6591-6660-bridge-mode-freischalten) , bei der man die Option verfügbar machen kann, aber niemand garantiert, dass das funktioniert ...

Ich mein, ernsthaft? Irgendwelche Sicherungen erstellen, flags manipulieren und wieder einspielen und Prüfsummen anpassen ...

... ansonsten doppeltes NAT oder unifi router als "exposed host" ... keine ahnung, davon wird immer dringed abgeraten wegen Sicherheit bla bla, ich kenne mich damit zu wenig aus und werden vermutlich blödsinn machen ... und selbst wenn nicht, fühlt es sich nicht richtig an, eine 300 EUR All-In-One Box, mit der ich sonst absolut zufrieden bin, als plumpes Modem zu betreiben ...

Heißt unterm Strich, man muss wieder ein Leihgerät von VF nehmen, wo man monatlich 10 EUR oder so bezahlt, ansonsten gehen scheinbar nur die hier (https://www.vodafone.de/hilfe/router/eigener-kabel-router.html) ... scheibar gibt es keine normalen Kabel Modems mehr, die man dann als Modem an einem Router wie dem Express 7 betreibt ...

Was auch nicht passieren darf ist, dass irgendeine Umstellung von VF passiert, bei der ich dann plötzlich kein Internet mehr habe :/

Irgendwie fühlt sich das im Moment alles an, als baut man ein sonst völlig intakten PKW in einen LKW um, macht dafür den Führerschein, Schwerguttransportscheine inklusive sämtlicher Prüfungen, nur weil man einen Sack Zement transportieren möchte

Oder übersehe ich da was essentielles?

Ansonsten klingt es für mich nach einem gangbaren weg den "Unifi-Weg" zu gehen, da die scheinbar echt gute Auswahl an Geräten haben, die vor allem auch bezahlbar sind ... aber wie gessagt, wenn dann hätte ich gern von vornherein ein komplettes und "rundes" setup und kein halbes Gebastel aus alt und neu ... zumindest nicht langfristig ...übergangsweise ok

 

[Besser]

Oder übersehe ich da was essentielles?

Könnte sein. Wenn du in der Cable genauso wie in den anderen Modellen statische Route einstellen kannst, dann kannst du NAT unter UnifyOS abschalten und dann funktioniert das wie jede andere solche Paarung.

Wie blurrr schon eindeutete...

 

[the other]

Moinsen,
Es kommt wirklich einzig auf deine Wünsche und Anforderungen an.
Nix spricht gegen unifi Router als Lösung. Ich sehe das ganz ähnlich, fürs Heimnetz dann interessant, wenn fritzbox nicht mehr reicht (deine VLAN Idee), aber pf oder opnsense etwas drüber wären und ggf weitere unifi Geräte im Netzwerk sind.
Frage aber bleibt: als Kaskade (doppelt NAT)? Zu bedenken ist bei dir ja: du hast Kabelinternet, kannst also ohne extra nicht einfach ein einfaches DSL Modem anbringen und dahinter dann den unifi Router. Also lass doch einfach die Fritzbox, die macht dann hinter sich ihr LAN auf wie bisher. Das kann ja auch weiterhin genutzt werden. Auch ggf Telefonie und WLAN. In diesem LAN ist dann eben der unifi Router (mit oder ohne NAT) und dahinter dann dein anderes 2. LAN unterteilt in VLANs. Du könntest zb IoT Zeug dann da unterbringen, die Gäste nutzen weiter das Gastwlan. Deine eigentlichen anderen Geräte dann in den VLANs. Oder du belässt das LAN hinter der FB cable als reines Transfer LAN und legst alles ander in die Netze hinter dem unifi.
Ich hab hier anstelle des unifi eben ne pfsense, sogar mit doppelt NAT. Und ha, ich habe dein erwähnten exposed host für die pfsense für IPv6 gesetzt. Ist ja auch ok, denn die pfsense selber lässt da nix ran oder gar durch. Firewall eben.
Also, unifi ist voll ok. Frage bleibt: wie und wo im Netzwerk unterbringen?

 

[Besser]

1. DoppelNAT ist in 99,98% der Fälle eh eher einer ästhetischen Natur als daß man wirklich etwas negatives merkt.

2. Ich meine das kann man auch mit *sense vermeiden (irgendwo mal in einer FAQ gesehen)

3. Immernoch: Die Fritte, Fritte sein lassen, statische Route machen, WLAN aus -> den Rest auf Unify abladen.

 

[the other]

Moinsen,
Ja, das kannste auch abstellen. Läuft hier aber noch aus den ersten Tagen mit NAT. Daher auch Zustimmung zu deinem 1. Punkt, ich merke heir (vorausgesetzt der extra Konfiguration von Portweiterleitung und -freigabe in der FB im Alltag keine Nachteile, bin aber auch nicht der Nabel der Welt. Geht aber klaro auch ohne...In der pfsense kannst du ja diverse Ideen realisieren.

 

[Kenny16352]

Frage bleibt: wie und wo im Netzwerk unterbringen?

Wenn es relativ "reibungslos" funktioniert, dann würde ich mir tatsächlich erstmal ein express gateway bestellen und dort den "Trick" mit dem NAT abstellen im unify Router versuchen.

Verstehe ich das richtig: Ich muss später alle im unify konfigurierten Netze, also auch alle VLANs in meinem Fall, als statische Route in der Fritz Oberfläche hinterlegen, damit die Fritzbox weiß, an welches Gerät sie die rückkehrenden Pakete senden muss? Und wenn ja, woher "weiß" denn die Fritzbox, dass das unify Gerät genau diese Netz owned? Wenn man da einen LAN Port eintrgen müsste, ergäbe das irgendwie mehr Sinn gerade^^ (Sorry, das ganze Thema ist schon alles ein weilchen her für mich)

Einzig bitterer Tropfen bei der Geschichte: Nun hat man zwei "vollwertige" Router die 20 W verbrauchen statt nur einem ... sind halt auch wieder 60 EUR extra Stromkosten im Jahr :/ ... die all-in-one FB Lösung hat schon ihre Vorteile dahingehend ... zumal nas und managed switch ja auch noch dazu kommen ...

 

[Kenny16352]

Und wenn ja, woher "weiß" denn die Fritzbox, dass das unify Gerät genau diese Netz owned?

Sorry, mir ist es wieder eingefallen ... man gibt ja eine gateway ip des jeweiligen routers ein, die ist der FB ja "bekannt" ... ob das zu routende Zielnetz dahinter exisitert ist der FB ja herzlich egal, bzw der unify Router verwirft die Pakete, falls das Netz nicht existiert, für das das Paket bestimmt war ...
Hach, das ganze Thema fühlt sich langsam wieder wie ein Auffrischungskurs der Ausbildung an

 

[the other]

Moinsen,

Und wenn ja, woher "weiß" denn die Fritzbox, dass das unify Gerät genau diese Netz owned?

Das teilst du ja in den statischen Routen mit. Und andersherum eben als upstream gateway, ja.

Einzig bitterer Tropfen bei der Geschichte: Nun hat man zwei "vollwertige" Router die 20 W verbrauchen statt nur einem ... sind halt auch wieder 60 EUR extra Stromkosten im Jahr :/ ... die all-in-one FB Lösung hat schon ihre Vorteile dahingehend ... zumal nas und managed switch ja auch noch dazu kommen ...

Jau, stimmt. Uns zwingt ja aber auch niemand und wir versprechen uns einen Mehrwert (praktischer Nutzen, Spass, Hobby) davon. Und von nix kommt eben nix, will sagen: du machst dich unabhängig von der fremden cloud, machst selbst hosting mit home assistant und nas und ggf noch docker und Co...Und ja, das Kostet dann neben Zeit und Anschaffung und grauer Haare auch Energie. Das im Hinterkopf zu behalten, ist unbedingt ein guter Hinweis. Und oft kann da auch erheblich eingespart werden...aber manchmal eben auch nicht. Selbst mit DSL statt Kabel oder Glasfaser ist ja idr noch ein kleines (nicht gleich ein ganzer Router) ONT oder ein Modem verbunden, der auch Strom braucht. Fritzbox hat das inkludiert, super...Du brauchst aber eben just gerade anderswo features...
Kurz: die einzige Alternative wäre alles, Routing, dhcp, firewallregeln / acls, gateways und interfaces und Netze bzw vlans am l3 switch zu managen, aber das ist für den Anfang dann auch ein Brett. Gerade, wenn du sagst, dass du jetzt nicht bereits voll im Thema bist. Du erkaufst dir also auch hier etwas und das hat eben seinen Preis. Andere tunen Autos (alle verrückt...)

 

[Kenny16352]

Uns zwingt ja aber auch niemand und wir versprechen uns einen Mehrwert (praktischer Nutzen, Spass, Hobby) davon. Und von nix kommt eben nix, will sagen: du machst dich unabhängig von der fremden cloud, machst selbst hosting mit home assistant und nas und ggf noch docker und Co

Ja das stimmt wohl ... man will ja digital souveräner werden^^hätte eben nur nicht gedacht, dass es letzlich doch so kompliziert wird, das Netz ein wenig sicherer zu machen indem man es segmentiert ... bin mit der hoffnung ranggegangen, dass es eben nur ein anderen Switch benötigt oder dass man in der FB irgendwas "routen" kann, aber geht nicht ...

Zumal die Geräte wie Fritzbox ja potent genug wären ... ein "advanced" schalter in der Oberfläche, der dann eben solche Einstellungen ermöglicht wäre in meinem Fall perfekt. Ich glaube AVM vergrault hier in Zukunft mit wachsender Anzahl an Netzwerkgeräte in privaten Haushalt eine Kundschaft, die eben ganau diese Bedürfnisse haben und dann merken, dass andere Hersteller auch schöne Töchter haben^^

Zum Unifi:

Ich glaube der Dream Router 7 wäre in meinem Fall die interessantere Variante als der Express ... der kostet zwar 250 EUR statt 200 EUR für das Express 7, dafür hat man aber am Router direkt schon mal 4 x 2.5G Ports (ich hoffe VLAN-fähig!) ... da könnte ich erstmal das NAS in einen Port einstecken, die Smart Home Zentrale und dann noch 1-2 Desktop Geräte ... die kann ich dann "managen" und hoffentlich per gescheiter Firewall von Ubiquiti untereinander zugänglich machen (?) ... alle Smart Geräte wie Fernseher, Steckdosen etc kann man ja dann meines Verständnis nach auch über WLAN in extra VLANs hängen, oder? Beim Fernseher, Streaming-Boxen oder AV-Receiver wäre es mMn nicht kritisch, wenn es über WLAN statt über Ethernet geht, da mir eben wichtig ist, dass die den Netzverkehr anderer Geräte nicht mitbekommen.

Ganz im Gegenteil, jedes Kabel weniger wäre mir in dem Fall sogar lieber ...

Die WLAN-Geräte in dieser Preisklasse sind bei Unifi zwar scheinbar auf 4 SSIDs begrenzt, aber perspektivisch brauche ich eigentlich nicht mehr ... privat, guest, IoT/smart ... und dann ist sogar noch eins frei ...

Und spääääääääter halt ein 8 oder 5 port switch dazu, falls es eben doch nicht reicht und fertig .... oder gar access points, kameras etc ...

Übersehe ich irgendwas in meiner "Planung"?

 

[Besser]

@Kenny16352
1. Das sind Maximalverbräuche. Natürlich zieht sich ein Express7 nicht 20W rein. Schon garnicht, wenn WAN nicht mit den 10Gbit läuft.

2. Wo soll das eigentlich stehen? Noch hab ich nichts gegenteiliges zu dem Lüfter der UDR7 gehört, um es als irrelevant zu bezeichnen (ich sprach es übrigens an...) Beim Express scheint das kleinwenig gelungener.
Mir würde das zwar eh bisschen Spaß machen, weil Silent und Kühlung allerlei mein Steckpferdchen ist, aber ich empfehle da allgemein bisschen mehr Recherche zum Thema Lüfter und Unify.

3. Die Nachteile von Express7 + Flex Mini 2.5G (für den Anfang) gegenüber UDR7 sind, welche?

 

[Kenny16352]

3. Die Nachteile von Express7 + Flex Mini 2.5G (für den Anfang) gegenüber UDR7 sind, welche?

Meiner Meinung nach:
- 2 Geräte = 2x stromverbrauch
- Die Software war beim Dream eine bessere laut dem was ich gelesen hatte
- dreamrouter = 250 eur vs. 180 + 150 = 330 eur ... ja, ich könnte mir erdtmal nur den kleinen hinstellen und hätte die gleiche Anzahl an ports, aber dann fang ich ja wieder an auszutauschen statt zu erweitern, wenn ich mehr brauche... wie sinnvoll das ist?

Wird sich herausstellen...ansonsten bin ich wohl genau in das reingefallen was ich eingangs erwähnte. Keine klare Linie der Produkte. Wenn der udr7 schlechter ist als der express7 + switch Mini... wofür gibt es den dann?

 

[Kenny16352]

2. Wo soll das eigentlich stehen? Noch hab ich nichts gegenteiliges zu dem Lüfter der UDR7 gehört, um es als irrelevant zu bezeichnen (ich sprach es übrigens an...) Beim Express scheint das kleinwenig gelungener.
Mir würde das zwar eh bisschen Spaß machen, weil Silent und Kühlung allerlei mein Steckpferdchen ist, aber ich empfehle da allgemein bisschen mehr Recherche zum Thema Lüfter und Unify

Ja, das ist ein valider Punkt. Ich möchte keinen Lüfter im Wohnzimmer haben. Eine beschnittene Software gerade in hinblick auf firewallfeatures aber auch nicht ... was nimmt man da stattdessen?

 

[Besser]

Du musst langsamer gucken. Der Flexmini 2.5G kostet keine 150 Öcken. Wir beschäftigen uns hier IMHO zu oft mit Korrekturen. Das ist jedes Mal erstmal anhalten bevor es weitergeht

Du hast geguckt was durchschnittlich Express7 + flexmini 2.5G aus der Steckdose nehmen, gegenüber UDR7? Oder das auch nicht?

JA wenn du mehr brauchst kaufst den für 150 und den kleinen verkaufst du für 30. Wie schlimm ist das? Mal davon ab, daß nur eine 2fach Kaskade aus Switches bisher noch keine heimische Topologie umgebracht hat.

Wie ist die Soft von UDR7 vs. Express7 besser/anders? Hast du einen Vergleich? Das ist bestimmt für alle interessant, wenn du dir das mal notiert hast.

Wenn du mit voller Hose stinken willst dann schaust du eben was Cloud Gateway Fiber macht/kann. Das putzt an Plasteroutern einfach alles weg was kommt
Sonst doch eine *sense oder OpenWRT. Dann geht es aber nicht mehr darum richtig nach einem Preis schauen zu können, sondern um waschechte Netzwerktechnik. Ich hab mir das jedenfalls alleine noch nicht zugetraut.
Bin hier aber anscheinend am richtigen Ort

 

[Kenny16352]

Der Flexmini 2.5G kostet keine 150 Öcken

Die 150 Ocken waren auf den großen bezogen, nicht auf den kleinen, glaube das war nicht ganz deutlich in meinem Post ... der kleine kostet um die 50 derzeit. Deswegen schrieb ich, würde ich mir gleich den großen zu Beginn holen, bevor ich später wieder ein Gerät ersetze, was aber wiederum in 80 EUR mehr gleich am Anfang resultiert ... hole ich mir kleinen zu Beginn und setze noch einen zweiten kleinen dran, habe ich 3 statt 2 Geräte rumstehen ... deswegen die Überlegung das "All in one"-Gerät für einen ähnlichen Preis und späte lieber einen kleinen 5er Switch dazu ... ist man halt trotzdem "nur" bei 300 statt 330 gleich am Anfang und hat trotzdem 8 Ports letzendlich, wenn ich die denn benötige ...

Was viel interessanter ist, aber ich scheinbar nicht rausbekomme: Wie steht es um die Apps? Scheinbar gibt es auf dem Express nur die "Network App" aber keine "Security App" oder so? ... was auch immer das bedeutet, die Google KI sagt mir, dass man auf dem UDR7 weitaus mehr zum Thema sicherheit konfigurieren kann ... "advanced firewall configuration" ... was heisst das letztendlich? Dass ich beim express nur "firewall an/aus" einstellen kann? Würde schon gern exakt regeln, wer wo draufkommen darf ...

Aber auf einen Lüfter im Wohnzimmer habe ich wie gesagt auch eigentlich keine Lust, was mich gerade maximal verunsichert, welches der beiden Geräte nun passend ist ...