Heimnetzwerk umstrukturieren

[der-junge]

Hi, da ich vor eingier Zeit günstig einen Zyxel GS1200-8 bekommen habe, war das mein Einstieg in VLANs im Heimnetz.
Mein erstes Projekt war das Gastnetz der Fritzbox über den Zyxel auch per Kabel im Haus zu verteilen, das hat soweit auch gut funktioniert.

Mit dem Endergebnis bin ich allerdings noch nicht 100% zufrieden, ich habe nun Geräte, die wirklich nur Internet benötigen und mit keinem anderen Gerät im Netzwerk sprechen müssen, ins Gastnetz ausgelagert.
Es bleiben jetzt aber z.B. Geräte wie eine Hue Bridge und einige andere Smart Home Geräte im normalen Netz, da für z.B. Apple Homekit da ja untereinander kommuniziert werden muss.
Schön wäre es ein 3. vlan zu haben, meine wichtigsten Dinge wie die NAS mit Privaten Daten würde ich gern nochmal abtrennen.
Da man mit einer Fritzbox ja nicht einfach weitere vlans konfigurieren kann brauche ich nun eine andere Lösung.
Ich habe z.B. noch eine Fritzbox 4040 ungenutzt rumliegen, die könnte ich zusätzlich anschliessen(kaskadiert) um damit sozusagen ein 3. vlan zu erstellen. Hier würde ich dann NAS, meinen MAC und anderes vertrauenswürdiges Zeug auslagern.
Ich hätte dann fritzbox 6660 Cable die mit dem Internet verbunden ist, in deren Gastnetz eben alles was nur Inet braucht, im normalen das ganze Smart Home Zeug und in der Fritzbox 4040 eben den vertrauenswürdigen Kram(und hier haben die Geräte ja dann auch Zugriff auf das "Smart Home vlan", nur eben nicht andersrum).

Wie würde ich das mit Wlan am besten umsetzen? aktuell habe ich einen Fritz Repeater 1200ax, der kann ja nicht noch ein 3. Netzwerk ausstrahlen. Was bräuchte ich da?

Macht das überhaupt so Sinn? Ich bin mir auch noch nicht sicher, ob ich nicht einfach mit dem aktuellen Stand zufrieden bin, oder ob ich das noch weiter aufdröseln will.

 

[Bob.Dig]

Du kannst immer eine Router-Kaskade machen, dabei sind die Geräte hinter dem letzten Router vor Zugriffen von den Geräten davor geschützt. Du musst aber die IP-Range des LANs bei einem der beiden ändern, diese dürfen nicht identisch sein.

Du könntest alternativ mit deinem Switch auch das portbasierte VLAN nutzen, um z.B. dein NAS und deinen PC vor Zugriffen von anderen Geräte zu schützen, sofern die beiden per LAN-Kabel verbunden sind.

Oder Du beschaffst Dir einen richtigen Router/Firewall, wie z.B. eine *Sense, oder Layer-3-Switch.

Sinnvoll ist es solange es für dich passt und Du damit umgehen kannst.

Ergänzung (26. Dezember 2023)

da ich vor eingier Zeit günstig einen Zyxel GS1200-8 bekommen

Der Switch ist doch generell günstig.

 

[chrigu]

Der Switch ist Managed, also einstellbar, so kannst du das gastnetz port4 der Fritz an den Switch vlan x stecken und so konfigurieren, das diverse Ports an dem zb iot stecken nur diese Daten ins Internet schleusen (vlan x Über lan4 der fritzbox)

 

[Raijin]

ich habe nun Geräte, die wirklich nur Internet benötigen und mit keinem anderen Gerät im Netzwerk sprechen müssen, ins Gastnetz ausgelagert.
Es bleiben jetzt aber z.B. Geräte wie eine Hue Bridge und einige andere Smart Home Geräte im normalen Netz, da für z.B. Apple Homekit da ja untereinander kommuniziert werden muss.
Schön wäre es ein 3. vlan zu haben, meine wichtigsten Dinge wie die NAS mit Privaten Daten würde ich gern nochmal abtrennen.

Eine gut gemeinte Warnung: Übertreibe es nicht. In der IT gilt das KISS-Prinzip. Halte dein Netzwerk so simpel wie möglich, aber so komplex wie nötig. Ein komplexes Netzwerk wird erst dann sinnvoll, wenn es auch ordentlich reglementiert ist. Das heißt sowas wie "allow any<>any" ist ziemlich sinnfrei und tendenziell ist eher das Gegenteil der Fall - mit explizit definierten Ausnahmen. Eben diese können aber mitunter recht kompliziert werden, zB wenn man Smarthome in einem VLAN isoliert, aber trotzdem mit der App auf dem Smartphone steuern möchte. Sowas endet nämlich nicht selten in "Gerät nicht gefunden", weil IoT Apps auch im Jahr 2023 zum Teil noch erschreckend dumm sind und nicht mit komplexen Netzwerken klarkommen.

Insbesondere in einem umfangreichen AVM-Netzwerk mit Fritzbox und FritzRepeatern kann man sich mit sowas auch gerne mal ins Knie schießen, weil AVM eben nur dafür geeignet ist, das eigene Haupt- und Gast-WLAN weiterzuverteilen. Baut man eine Routerkaskade muss man das WLAN dahinter separat aufziehen, was auf eine doppelte Infrastruktur hinausläuft. Ausnahme: VLAN-fähiges WLAN, aber das sucht man bei AVM vergeblich und folglich gibt's auch kein FritzMesh mehr bzw. eben nur im Haupt- und Gast-WLAN.

Allgemein sind Routerkaskaden bei sowas mit Vorsicht zu genießen, weil man keinerlei tiefergehende Kontrolle über das Setup hat. Am Ende arbeitet man womöglich mit Portweiterleitungen innerhalb des Heimnetzwerks, weil's nicht anders geht - zumindest nicht mit 08/15 Hardware. Ab einem gewissen Punkt rücken zwangsläufig fortgeschrittene Router in den Fokus, MikroTik, EdgeRouter oder gar HW-Firewalls mit pfSense, o.ä. Mit solchen Geräten hat man deutlich mehr Möglichkeiten, aber diese muss man auch nutzen können. Die Komplexität steigt also weiter.