Frage zu VLAN / empfehlenswert bzw. sinnig

[sebber80]

Hallo alle miteinander,

ich wollte mir mal eine Meinung einholen ob bei mir ein VLAN Sinn machen Würde oder es sogar nötig bzw. empfehlenswert wäre.

Das Netzwerk versorgt 3 Gebäude

1 Wohnhaus Nr.1 wo auch der "Telefonanschluss" ist hier Nutzung perl LAN und WLAN
2 Werkstatt, hier steht eine Backup NAS und ein WLAN Repeater
3 WohnhausNr.2 hier steht eine weitere Fritz BOX als WLAN Repeater

Zur einfacheren Darstellung/ Konstellation habe ich mal ein Bild eingefügt, ich hoffe man kann erkennen wie es gemeint ist.

 

[tollertyp]

Es hängt davon ab, was du erreichen willst.

 

[Schwabe66]

Man könnte ein WLAN für IOT Zeugs machen, aber das können meines Wissens nach die Fritz Produkte nicht, also hat sich das in deinem Setup eh erledigt da dein Router nicht zwischen den Netzen routen kann.

 

[chrigu]

Mit einer fritzbox hast du keine Chance ein vlan zu machen. Mit der Fritz ist kannst du nur das Gastlan/wlan zum trennen nutzen.

 

[Blutomen]

aber das können meines Wissens nach die Fritz Produkte nicht

Jub .. man kann die IoT Geräte nur ins Gastnetz werfen.

 

[Zeroflow]

Hi,

Danke für das Bild, sowas hilft gut.
Die Frage ist eher: Was möchtest du mit dem VLAN erreichen?
Physisch sehe ich Büro / Wohnhaus / Werkstatt.

Da bietet sich ggf. die Trennung Firma / Privat oder Firma / Privat / IoT an.

Aber: Ich kenne mich mit fritzen nicht so gut aus, aber ich glaube, die können nur Main + Gast und nicht mehr.
Für mehr brauchst du ein professionelles Setup

 

[qiller]

Ich würd vorher checken, ob irgendwelche Dienste/Programme/Geräte gern mit Broadcasts arbeiten, um z.B. gefunden zu werden. Denn wenn man z.B. HA o. IoT Geräte in extra VLANs packen will, würde man solche Geräte von anderen VLANs aus nur über ein entsprechend konfiguriertes Routing erreichen. Und manche Geräte, die z.B. über Smartphone-Apps eingerichtet werden, lassen sich nur schwer konfigurieren, wenn sie in unterschiedliche Netze sind und daher das Smartphone diese Geräte gar nicht erst findet.

 

[Rickmer]

Mit einer fritzbox hast du keine Chance ein vlan zu machen.

Manche Switche können das auch, aber die Zyxel GS1200-8 soweit ich sehe nicht.

Bei Mikrotik z.B. wäre mehr drin, zumindest wenn der Switch RouterOS mit drin hat...

 

[sebber80]

was möchte ich damit erreichen, puh weis ich ja nicht deswegen frage ich ja.

ok wenn das mit der Fritzbox nicht möglich ist lass ich die Finger davon.

 

[Blutomen]

ok wenn das mit der Fritzbox nicht möglich ist lass ich die Finger davon.

Genau das maximale was die Fritz!Box halt kann - ist neben dem Heimnetz noch ein Gastnetz aufspannen. Das geht per WLAN (was dann auch über die Repeater ausgesendet wird) und auch über einen LAN Port aus der Fritz!Box kommen kann.

 

[norKoeri]

wenn das mit der Fritzbox nicht möglich ist lass ich die Finger davon.

Was verstehst Du denn unter „VLAN“? VLAN ist erstmal nur ein Werkzeug (unter Vielen), etwas Bestimmtes zu erreichen. Außerdem solltest Du uns noch sagen, ob Du über die Gebäude hinweg mehrere Stromzähler hast (Stichwort Potentialausgleich). Die FRITZ!Box kann man erstaunlich einfach ersetzen: DSL-Modem bekommt man manchmal schon für lau; Router mit Multi-LAN bekommst Du gebraucht schon für weiter unter 70 €. Die FRITZ!Box kann dann als IP-Client die Telefonie weiterhin übernehmen.

 

[hildefeuer]

Hat ja auch Vorteile, wenn alles in einem Netz ist. Man kann z. B. von jedem Client drucken und auf die Kameras schauen.
Wenn man einzelne Clients erreichen will, reicht auch ein einfaches vpn.
Wenn dort Alexa verwendet wird, spielt Sicherheit eh keine Rolle. Da wird ja permanent mitgehört.

 

[thrawnx]

was möchte ich damit erreichen, puh weis ich ja nicht deswegen frage ich ja.

ok wenn das mit der Fritzbox nicht möglich ist lass ich die Finger davon.

Du könntest dir eine kleine Firewall kaufen, z.B. eine Fortigate 40F. Gibts gebraucht/neuwertig auf Ebay/Kleinanzeigen für ~100€. Damit könntest du das alles in VLANs trennen, auch ohne eine Lizenz für IDS/IPS/AV etc. zu kaufen.

Wenn ich Kinder hätte, würde ich einen riesen Zaun zwischen ihnen und meinem Netzwerk ziehen, um ehrlich zu sein.

 

[Ja_Ge]

Genau das, VLAN macht nur Sinn wenn komplett getrennt oder mit Firewall - Regelwerk geroutet werden soll.

 

[qiller]

Und was auch viele vergessen, die sich jetzt sagen: "Ach, ich hab ja ein L3-Switch, da kann ich doch problemlos Routing o. FW-Regeln einstellen." Ja, das kann man dann zwar häufig, aber gerade "günstigere" L3-Switche brechen dann einfach ordentlich ein, so dass teilweise nichtmal mehr 1Gbit ausgelastet werden kann:

 

[hildefeuer]

Gut wenn ich mir jetzt dort Gedanken um Sicherheitsaspekte machen sollte, dann würde ich als erstes die Alexa Dinger außer Betrieb nehmen wollen. Die hören ja permanent mit.
Als nächstes würden die TVs nur einen eingeschränkten Internetzugang bekommen, damit die großflächige Werbung bei einigen Sendern aufhört.
Den Cams würde ich auch das Netz einschränken wollen. Die dürfen nur zum Server.
All das kann man mit Kindersicherung machen auf der FB, erfordert aber etwas Arbeit. VLANs braucht man dafür nicht.

 

[thrawnx]

Warum sollte man sonst VLANs machen? Man segmentiert vorrangig aus Sicherheitsgründen. Plus löst mein Vorschlag sein Problem mit den Fähigkeiten der Fritzbox.

 

[qiller]

Warum sollte man sonst VLANs machen? Man segmentiert vorrangig aus Sicherheitsgründen.

Jein. Das Problem ist ja, einfach nur VLANs zu erstellen, trennt ja erstmal nur die unterschiedlichen VLANs gegeneinander auf Layer 2 ab, mehr nicht. Das wär bei 2 VLANs so, als wenn du nen Switch durchschneidest und du dann 2 getrennte Switche hättest.

Wenn du dieses Switche (bzw. VLANs) nicht irgendwie verbindest, können diese nicht miteinander kommunizieren. Was aus Sicherheitsgründen erwünscht sein kann, kann einem aber bei anderen Dingen auf die Füße fallen. Ohne genau die Geräte/Dienste/Software und das gewünschte Ziel zu wissen, ist ein Trennung über VLANs per se (wie sich der TE das wahrscheinlich vorstellt) erstmal unsinnig.

Ergo -> #2

 

[thrawnx]

Danke für die ELI5 Erklärung, ich bin selbst FISI. Ja, es wäre absolut besser und notwendig alle Umgebungsvariablen zu kennen, wenn man einen reibungslosen Switch der Infrastruktur vornehmen will. Aber es ändert nix daran, dass eine Segmentierung (DIE ER JA WILL) erstmal die Sicherheit erhöht. Mögliche Probleme lassen sich auch im Nachhinein lösen, das ist keine Prod-Umgebung, es geht keine Firma pleite, wenn Alexa 2 Tage nicht läuft.

 

[Ja_Ge]

L(DIE ER JA WILL) erstmal die Sicherheit erhöht.

Er hat doch in den getrennten Netzen ein WLAN Repeater der mit der Fritzbox verbindet. Damit erhöht sich keine Sicherheit, da er im gleichen Subnetz unterwegs ist. Einzige Ausnahme währe das erwähnte Gastnetz, was aber für die Struktur nicht ausreichend ist.