V-Lans zuhause einrichten.

Servus,

schizo hat mir im Hausautomations-Thread mitgeteilt, dass mein Heimnetzwerk schei**e is und ich ein Looser bin.

Ich bin vor einiger Zeit auf Shelly, Wiz etc umgestiegen und habe nun einige WiFi Geräte im Netz.
Die Idee wäre nun (laut schizo ), dass ich mir ein V-Lan einrichte.


Ich habe mehrere Deco X60, die als AP fungieren. Die IP Adressen im LAN und im W-Lan verteilt ein PiHole DHCP in nem Docker aufm Heimserver bei mir.

schizo war so net, mir eine Liste mit managed switches zu senden, welche in meinen 10" schrank passen.

Zitat aus einem Post von schizo

Der ist zu breit für 10".

Hier wäre eine Liste von GBit 10" Managed Switches, dass PoE hier weit verbreitet ist ist ein Zufall. Von den Geräten würde ich wohl zu UI greifen, falls sie Mal verfügbar sind, alternativ zu Linksys.

Der Aussage, dass GBit heutzutage eventuell zu wenig ist stimme ich grundsätzlich zu. Aber 10" verteuert das ganz ungemein. Der billigste Switch mit 2 SFP+ Ports kostet gleich 540€. Bei 19" wäre die Auswahl deutlich größer und günstiger.

Was muss ich jetzt wie machen?

Einfach den Switch austauschen, dort 2 oder mehrere V-Lans definieren und das wars?
IP Adressen verteile ich über MAC über DHCP. Kann der DHCP auch Adressen verteilen fürs VLAN 2 obwohl er im VLAN 1 hängt?

Kann ich dann auch Vlans im WiFi haben unter derselben SSID usw?

tia! bin netzwerk noob.

ui ok, danke

ich kann keine Vlans machen bei dem Deco Zeugs.
Ich kann höchstens eine SSID und passwort vergeben fürs WLAN und dann noch 1 checkbox machen für ein Gäste WLAN.
Das wars dann. :/

und mein router kann genau gar nix ausser portfreigabe, leider.
das is nur ein FTTH modem.

dann bräuchte ich wohl neue WLAN hardware und auch noch einen router?

Uh, damit habe ich nicht gerechnet.
Du könntest die APs auf einen Switchport mit Access ins IoT (oder Guest) VLan einrichten und am Router die Firewall konfigurieren, welche IPs mit deinen wired Clients kommunizieren dürfen. Aber so wäre es theoretisch möglich, dass ein malicious client statische IPs durchprobiert, ob irgendwo eine Kommunikation mit deinem internen Netz möglich wäre. Solang das nicht der Fall ist und die Clients die IPs nicht ändern könntest du so dennoch verhindern, dass IoT Devices Zugriff auf dein internes Netz haben.

es kommt aber imho drauf an was man verwendet... ich hab z.b kaum home automation geräte mit wlan, wenn dann haben die tasmota... da hab ich auch kein problem die im selben lan zu haben. blöd wirds wenn du z.B. kühlschrank mut ethernet oda sowas hast dann kommst um vlans ned herum

Zitat aus einem Post von Viper780

Leider kann im consumer Markt kaum ein Netzwerkgerät VLAN.
Du müsstest deine gesamte Hardware wohl tauschen

Beherrscht nicht so ziemlich jedes WRT fähige Device 802.1q?
Einen passenden Switch benötigt man halt, da bewegt man sich je nach Größe/Features um die 100-400€

Bei mir sinds mittlerweile 15 VLans:
- meine Clients
- restlichen Clients
- Gäste
- Firmengeräte
- Management
- DMZ
- sonstige Server
- IoT
- sonstige wired IoT Devices, pro Anwendungsfall ein eigenes VLan (Photovoltaik, Alarmanlage)
- Bridge Interfaces
- todo: ein Jumpserver VLan, um die Berechtigungen meiner Clients noch weiter einschränken zu können bzw. auch die Berechtigungen der Jumpserver sauberer zu verwalten

Wie Viper schon erwähnt hat ist der Betrieb von zentralen Komponenten (DNS, DHCP) am Router sicher einfacher zu konfigurieren als einen entsprechenden Server in einem eigenen VLan stehen zu haben.

Disclaimer: Ich bin im Netzwerkbereich auch Laie, habe keine Zertifizierungen und es ist alles selbst beigebracht.

Da gibts andere, wie zB schizo die sich da wirklich auskennen

Zitat aus einem Post von davebastard

es kommt aber imho drauf an was man verwendet... ich hab z.b kaum home automation geräte mit wlan, wenn dann haben die tasmota... da hab ich auch kein problem die im selben lan zu haben. blöd wirds wenn du z.B. kühlschrank mut ethernet oda sowas hast dann kommst um vlans ned herum

Warum traust du dem Espresif Chip aus China mehr als dem Kühlschrank aus Korea

Mit offener, alternativer Firmware ist man sicherlich ein etwas kleineres Ziel und die Chance ausspioniert zu werden halte ich auch für geringer.
Trotzdem versuche ich auch privat etwas mehr auf security und privacy zu achten. Deshalb verwende ich auch immer mehr Konzepte aus dem Zero trust umfeld.

Zitat aus einem Post von mr.nice.

Die VLANs müssen am Switch und am Router eingerichtet werden.

"it depends"
Erstens wie man VLAN implementiert.
früher waren die VLAN alle Port basiert und da musste man sie überall durch konfigurieren.
Mittlerweile kenn ich nur mehr Tagged VLAN. Wenn man nicht explizit einzelne VLAN von gewissen Ports vernhalten will (was sinnvoll ist!) muss man da nicht viel machen.

Zitat aus einem Post von mr.nice.

Der Router sollte für jedes VLAN eine eigene DHCP range anbieten, damit man sinnvoll zwischen den VLANs routen kann.
Am Switch muss man ein DHCP snooping einrichten, damit die Geräte die IPs für ihr VLAN beziehen können.

DHCP ist ja auch "nur" eine Serveranwendung. Hat man zwei Netze, braucht man auch zwei DHCP Server. Die üblichen Router welche mit VLAN umgehen können erledigen dass im Hintergrund.
Verschiedene Ranges machen einem das Leben deutlich leichter (sonst würde man NAT benötigen).

DHCP Snooping soll eigentlich verhindern dass irgend jemand irgend welchen DHCP Pakete verschickt. Also auch ohne würden die Geräte in den VLAN eine IP bekommen.
Es ist aber trotzdem gut es zu aktivieren, speziell wenn man mehrere DHCP Server am laufen hat.

Zitat aus einem Post von schizo

Beherrscht nicht so ziemlich jedes WRT fähige Device 802.1q?
Einen passenden Switch benötigt man halt, da bewegt man sich je nach Größe/Features um die 100-400€

Die Hardware kann es eigentlich eh immer. Die Software gibt einem selten eine möglichkeit es zu konfigurieren.
Sobald man da etwas besseres nimmt geht das dann. Somit ja mit OpenWRT fähiger Hardware ist man gut dabei.

Deine Segmentierung ist schon deutlich weiter fortgeschritten.
Soviele Geräte hab ich nichtmal.

Ich will auch noch gerne das Firmennotebook in ein eigenes VLAN geben (aktuell im Gäste Netz). Ein internes Server VLAN aufbauen und ein DMZ/externes welches per VPN erreichbar ist um anderen ein paar Services bereitstellen zu können.

Zitat aus einem Post von daisho

Bitte sag mir "bei mir" heißt du hostest eine Firmen-IT oder so, sonst muss ich davon ausgehen dass das irgendeine Manie ist
Jumpserver daheim, wtf? Ist ja jedem selbst überlassen aber man kann es sich natürlich auch schwer machen

Zitat aus einem Post von davebastard

edit: ich würd ja das rumspielen mit VLANs im heimnetzwerk auch gern mal angehen aber mein Netzwerk ist eher so ... "häng ma noch einen switch dran" . ich glaub ich bräucht 3x 5 port managed switches. Und wenn ich die dann auch noch in 10G kauf geht das ins Geld (Mietwohnung mit keiner Leerverrohrung)

Ich hab den Umzug und Renovierung gleich für eine Greenfield Installation genutzt. Nachdem ich doch ein _klein wenig_ Kupfer in der Wand habe hat ein zentraler 48 Port Switch mit 6 SFP+ Ports gut dazugepasst. So habe ich die wichtigsten Geräte mit 10G angebunden und der Konfigurationsaufwand hält sich imo auch in Grenzen.
Ich muss somit am Router und Switch die jeweiligen VLans definieren, ein zusätzliches VLan zu konfigurieren benötigt so ~10 Minuten.
Klar sind 15 VLans im Heimgebrauch viel und ich könnte auch mit weniger auskommen. Aber andererseits, was spricht gegen den Exzess? Ich spiel da z.B. lieber mit dem Gedanken, dem Nachwuchs ein eigenes VLan einzurichten, als dass ich mich um die Analyse und Bereinigung des Heimnetzwerks kümmern möchte, wenn dieser später mal beginnt sich irgendwelche Viren einzufangen. Und wenn die Devices sinnvoll in diverse VLans unterteilt werden ist es auch nicht mehr sonderlich kompliziert ein straffes Firewall Ruleset zu erstellen.