Heimnetzwerk, VLANs

[xpricex]

Hallo zusammen,

in unserem Neubau, das über einen Glasfaseranschluss der Telekom verfügt, gibt es aktuell folgendes Netzwerk:

- Speedport Smart am Glasfasermodem der Telekom: WLAN deaktiviert, DECT VoIP wird mit einem Telekom Speedphone genutzt
- 1x Zyxel GS1900-24
- 1x Zyxel GS1900-8HP PoE-Switch

Am 8-Port PoE Switch hängen zwei per PoE betriebene Linksys LAPAC1200 WLAN Access Points (einer je Etage), bislang nur ein(e) WLAN-Netz/SSID. Am 24 Port Switch hängen alle möglichen Geräte (PCs, Mediageräte, Heizung, Wechselrichter, Raspberry Pi als openHAB-Hausautomationsserver...).

Ich würde nun gerne anfangen, verschiedene VLANs insbesondere für Gäste-WLAN (und auch "Gäste-Ethernet") einzurichten. Nun scheint es so zu sein, dass mir dafür noch irgendetwas fehlt, sei es ein (L3-)Switch, zwischen Speedport und den beiden anderen Switches, oder vielleicht doch einen passenden Ersatz für den Speedport(?). Was empfiehlt sich da? Habe mal versucht ein bisschen selbst zu recherchieren, bin aber noch nicht sehr schlau geworden.

Vielleicht ein Ubiquiti EdgeRouter Lite zwischen Speedport und den beiden anderen Switches? Oder vielleicht ein Router, der all das abdeckt (der z.B. keine WLAN-Funktionalität benötigt).

Danke vorab!

 

[Masamune2]

Bei mir sieht es gerade (bzw in eine Monat) ähnlich aus. Neu gebaut, Fiber to the Home von der Telekom und ein GS1900 als Switch.
Als Router kommt bei mir allerdings eine VM mit Sophos UTM zum Einsatz. Alternativen gibt es aber reichlich, z.B. die erwähnten Edge Router von Ubnt, eine Fritzbox (Gastnetz ist damit auch möglich), ein kleiner Hardware Router mit pfsense/opnsense oder was von Microsense (https://mikrotik.com/products)

 

[razzy]

Hallo,

ja du bräuchtest eine Art L3-Switch.
Dieser wird für jedes VLAN (L2) ein L3-Interface erstellen.

Falls du im Haus streamen möchtest, z.B. Plex oder ähnliches, sei dir bitte bewusst, dass es da noch einiges zu beachten gibt.
Stichwort: Multicast-Routing über mehrere VLANs etc.

Bin da auch noch mit am kämpfen

 

[Raijin]

So sieht's aus. Du brauchst in jedem Fall ein VLAN-fähiges Gerät, das routen kann. Consumer-Router wie Speedports, Fritzboxxen und Co haben keine Ahnung von VLANs, da sie in sehr engen Grenzen für ein Standard-Szenario konzipiert sind - 1x WAN, 1x LAN, 1x WLAN. Eventuell gibt es noch ein Gast-Netzwerk, das intern in der Regel zwar mit VLANs abgekapselt ist, aber an diese VLANs kommt man nicht ran.

L3-Switches können auch routen. Genau genommen ist das sogar der Hauptgrund für dir Routing-Funktion: Das Inter-VLAN-Routing. Hat man keinen L3-Switch, dann muss eben extra VLAN-Router her. Ein EdgeRouter-X für 50€ kann das beispielsweise. Aber auch die angesprochenen MikroTiks oder eben individuelle Lösungen mit pfSense, o.ä.

Unter Umständen kann man VLAN-Routing auch mit einem 08/15 Router mit OpenWRT, o.ä. realisieren. Allerdings kann ich keine Aussagen darüber treffen wie gut und schnell das funktioniert und wie zuverlässig das dann am Ende läuft. Da ein ER-X aber nur 50€ kostet und MikroTiks dem in nichts nachstehen - gibt sogar günstigere, wenn ich mich nicht irre - wäre dieser Versuch nur dann sinnvoll, wenn man eh noch einen alten TP-Link oder dergleichen rumliegen hat.

 

[Minijobber]

Bin ich froh das ich auf Netzwerkkabel im Haus gesetzt habe. Eure Probleme wollte/will ich nicht haben

Streamen über WLan...jupp...80 GB in ca. zwei Stunden...ok

Nein...WLan ist für meine mobilen Geräte (natürlich mit Gästenetz...alles Fritzboxen) und für Sonos.

Während Villabaja noch nach einem WLan sucht streamt Villarriba bereits seit langem über Netzwerkkabel

Viel Spaß

 

[xpricex]

Danke für eure Antworten! Also im Endeffekt sollte der Speedport bleiben und z.B. ein ER-X zwischen Speedport und den zwei weiteren Switches. Schade, dass es noch ein weiteres Gerät sein wird. Aber tatsächlich möchte ich insbesondere für den "WAF" eine funktionierende Lösung, wenig Bastelei etc.

Bin ich froh das ich auf Netzwerkkabel im Haus gesetzt habe. Eure Probleme wollte/will ich nicht haben

Streamen über WLan...jupp...80 GB in ca. zwei Stunden...ok

Frage mich, was dein Post mit meiner Frage zu tun hat? Wir haben Netzwerkkabel in alle relevanten Räume, und zusätzlich WLAN mit eigenen Access Points pro Etage.

Falls du im Haus streamen möchtest, z.B. Plex oder ähnliches, sei dir bitte bewusst, dass es da noch einiges zu beachten gibt.
Stichwort: Multicast-Routing über mehrere VLANs etc.

Wir streamen nicht intern, wir gucken nur Netflix & Amazon Prime. Was wäre da denn noch zu beachten? Tuts dann so ein EdgeRouter nicht mehr?

 

[razzy]

hmmm also ich würde es anders machen, aufgrund der Vermeidung von doppeltem NAT sowie performance.

Kauf dir einen L3-Switch (gibts evtl auch von Ubiquiti ?) da wird alles angeschlossen und auch geroutet.
der Speedport kommt auch auf einem port.

Vorteil, wenn du nur den ER-X hast, laufen alle VLANs auf einem Port des ER-Xs auf, somit hättest du in bestimmten Situationen die VLAN übergreifen sind evtl einige Performance-Probleme.

z.B. Dateitransfer aus VLANX -> VLANY (Traffic wird über die L3-Instanz sprich den einen Port des ER-X laufen) ist ja erstmal OK.
Aber was ist mit dem anderem Verkehr, dieser läuft dann auch noch darüber.
Dann lieber den L3-Switch der sowas abfängt und der Port des Routers dann nur noch für den rest des Traffics (default route) verantwortlich ist, den der L3-Switch nicht behandeln kann.

 

[xpricex]

Kannst du das noch mal ausführen? Wo ist der Unterschied zwischen Verwendung eines L3-Switches und eines einfachen Ub. ER-X? Was würde wie anders angeschlossen werden?

Mit ER-X käme der Speedport an einen Port, der 8-Port PoE-Switch an einen, der 24 Port-Switch an einen. Was wäre mit einem L3-Switch anders?

Das Budget ist natürlich auch begrenzt. Ich kann jetzt schlecht für etliche hundert Euro z.B. den 24 Port Switch komplett gegen ein L3-"Profigerät" austauschen.

Oder verstehe ich dich nur falsch?

Edit: Wobei ich auch dazu sagen muss, dass (aktuell, wer weiß, was die Zukunft insbesondere mit größer werdenden Kindern bringt) wird kaum wirklich viel Traffic haben. Das bissel Netflix-Streaming und vielleicht noch gleichzeitig an einem Rechner Youtube-Videos schauen ist meist schon das Maximumg

 

[razzy]

Ok, ich versuch es noch mal deutlicher zu erklären.

Situation A: ER-X Router macht mit einem Port das LAN (mehrere VLANs) und mit dem anderem Port das WAN (Speedport-Router).
Angenommen du hast z.B:die VLANs:

• VLAN 10: Server-Netz (NAS und Co)
• VLAN 20: WLAN
• VLAN 30: LAN (Clients)
• ...

Und du möchtest jetzt gerne vom PC (VLAN30) auf ein NAS (VLAN10) ein Backup machen (Nur als Beispiel) verläuft der Traffic zunächst zum Gateway, welches der eine Port auf dem ER-X ist und dann über den gleichen Port zurück zum NAS und/oder umgekehrt (Port hat 1Gbit in beide Richtungen Full Duplex).

Hast du jetzt noch zusätzlich anderen Traffic wie z.B. noch den normalen Internet-Traffic, will dieser ja auch noch über diesen einen Port des ER-X um zum WAN zu kommen.
Der Port ist aber schon relativ dicht durch das Backup.


Szenario B: L3 Switch + Speedport
wieder die gleichen VLANs,

Im gleichen Szenario wie oben wird der L3-Switch das interne Routing übernehmen und somit ungewollten Traffic vom WAN fernhalten.
Nur Traffic der dem L3 Switch nicht bekannt (default route) oder wirklich daraus gehen soll wandert dahin.

Ein L3-Switch hat zudem noch viel mehr Ports als ein "router", hier wird halt das Routing direkt auf dem Switch gemacht und dem entsprechen Port geschaltet

 

[xpricex]

Danke. Habe es noch nicht vollends verstanden. L3-Switch und (ER-X)Router sind in beiden Szenarien einfach austauschbar (also Speedport -> ER-X / L3-Switch -> zwei Switches (1x 8 Port PoE, 1x 24 Port))? Oder würde ich z.B. meinen bestehenden 24 Port Switch durch einen L3-Switch austauschen, da du ja auch die Große Anzahl an Ports erwähnst? Ich brauche ja eigentlich nicht mehr Ports, denn durch die beiden bestehenden Switches habe ich ja eigentlich genug. So gesehen bräuchte ich also nur einen L3-Switch mit Anschlüssen für den Speedport und die beiden Switches.

Ergänzung (19. März 2018)

Sollte ich z.B. meinen 24 Port Switch gegen einen L3 24 Port Switch (wie diesen: https://www.amazon.de/MikroTik-Cloud-Router-Switch-CRS125-24G-1S-IN/dp/B00I4QJRWE) ersetzen und den anderen 8 Port PoE Switch (den ich aufgrund der mit PoE-betriebenen APs und einiger weiterer Geräte, die ich nicht alle auf den 24 Port Switch bekomme) an diesen neuen L3 Switch anschließen?

 

[mtbriderlm]

Hab bei mir im Haus das Ubiquiti Unifi System im Einsatz (USG Pro, 24 Port PoE Switch, 4 APs) damit kann man VLANs und auch Gastzugänge mit Captive Seite einrichten. Läuft am FTTH Anschluss der Telekom perfekt.

Bandbreite für User 500/200 Mbit/s, je Gast 5 Mbit/s / 2 Mbit/s

 

[xpricex]

Hab bei mir im Haus das Ubiquiti Unifi System im Einsatz (USG Pro, 24 Port PoE Switch, 4 APs) damit kann man VLANs und auch Gastzugänge mit Captive Seite einrichten. Läuft am FTTH Anschluss der Telekom perfekt.

Nett, wobei das preislich natürlich eine Hausnummer zu sein scheint. Nutzt du auch einen Speedport?

 

[mtbriderlm]

Nein, eine Fritzbox als DECT Station. Router ist aber das Unifi USG Pro.

Ggf. ersetze ich das Glasfasermodem durch ein SFP GPON Modul.

 

[Raijin]

hmmm also ich würde es anders machen, aufgrund der Vermeidung von doppeltem NAT sowie performance.

Kauf dir einen L3-Switch (gibts evtl auch von Ubiquiti ?) da wird alles angeschlossen und auch geroutet.
der Speedport kommt auch auf einem port.

Vorteil, wenn du nur den ER-X hast, laufen alle VLANs auf einem Port des ER-Xs auf, somit hättest du in bestimmten Situationen die VLAN übergreifen sind evtl einige Performance-Probleme.

Hä?
1. Das ist ein LAN-Router, das heißt out-of-the-box macht der überhaupt kein NAT, wenn man es nicht explizit konfiguriert.
2. Der ER-X hat 5 LAN Schnittstellen, die man individuell nutzen oder auch als (VLAN-fähigen) Switch zusammenschalten kann.

Klar, wenn man den Uplink vom VLAN-Switch zum VLAN-Router nur über einen Trunk macht, also alle VLAN Tags gemeinsam, dann wird der Uplink zum Flaschenhals. Das gilt für sämtliche VLAN-Router auf dieser Erde. VLAN Trunk auf 1 Gbit/s Link -> potentieller Engpass. Wenn man hingegen einfach den großen Switch in VLANs unterteilt und den ER-X einfach jeweils an einen simplen untagged Port anklemmt, hat man für jedes VLAN einen eigenen Uplink zum ER-X. Genau genommen muss der ER-X in dem Falle gar nichts von den VLANs wissen, weil es für ihn einfach zwei (oder mehr) separate LAN-Kabel mit eigenständigem Subnetz sind.


*edit
Aber.. Da als Hauptrouter ja ein Speedport zum Einsatz kommt, sind zusätzliche Subnetze im Netzwerk - VLAN hin oder her - aber sowieso problematisch. Speedports bieten leider keine Möglichkeit, statische Routen einzurichten. Fügt man also ein weiteres Subnetz hinzu, das hinter einem anderen Router sitzt - oder einem L3-Switch - kann man dem Speedport das leider nicht mitteilen und keines der Geräte im untergeordneten Subnetz hätte eine Internetverbindung. Die Geräte könnten zwar in die Außenwelt senden, aber die Antwort käme am Speedport an und der kennt das lokale Zielnetz leider nicht.
Bei einer Fritzbox kann man zB eine statische Route hinzufügen und internes NAT rund um die VLANs wird hinfällig. Bei einem Speedport wird man um doppeltes NAT also kaum drumherum kommen.

 

[razzy]

OK, dann habe ich mich mit den Ports am ERX geirrt, bin von einem Modell mit 1x WAN, 1x LAN evtl. 1x "DMZ" ausgegangen. sprich zwischen dem Switch + ERX wie du schon sagst einen Trunk (tagged) Port.

Wenn er 5 Ports hat, wäre es natürlich sinnvoll pro VLAN 1 Port benutzen, da bekommt er, wie du auch schon gesagt hast, nicht wirklich was von mit.

das mit dem Doppelten-NAT war tatsächlich darauf bezogen, da man es aus meiner Sicht mit dem Speedport konfigurieren müsste.
Out of the Box ist natürlich eh alles nackig

 

[Raijin]

Ich hatte im ersten Moment gar nicht an das doppelte NAT gedacht, weil ich in einem befreundeten Hotel vor kurzem das Hotel-WLAN eben genau so umgesetzt habe, mit einem ER-X. Unterschied: Da verrichtet eine Fritzbox ihr Werk und da hat man mit wenigen Klicks besagte statische Route eingefügt.

Der Speedport kann im vorliegenden Falle nun aber zum Problem werden. Egal wie man das zweite Subnetz mit/ohne VLAN ins Netzwerk einbringt, der Speedport hat einfach keinen blassen Schimmer davon und kann daher auch wie beschrieben keine Antworten aus dem Internet weiterleiten. Heißt im Klartext: Ein Smartphone, o.ä. im zweiten Subnetz könnte zwar computerbase.de anpingen, der Speedport würde nach außen hin NATten, aber die Antwort müsste er an die IP-Adresse des Smartphones durchreichen - und genau da knallt es dann, unbekanntes Ziel => Paket wird verworfen.

Ich fürchte also, dass Doppel-NAT beim Speedport in der Tat alternativlos ist.

Wie stark sich das nun auswirkt, hängt davon ab wie das ganze genutzt wird. Wenn im untergeordneten Subnetz beispielsweise lediglich Clients sind und keine Server, die von außen erreichbar sein sollen, ist das doppelte NAT ziemlich egal. Sitzt genau da aber zB die Heizungssteuerung, muss man leider vom Haupt-LAN aus im ER-X eine Portweiterleitung einrichten und beim Zugriff vom Internet aus zusätzlich eine Port Weiterleitung im Speedport auf den ER-X (der das dann ja seinerseits weiterleitet). Nicht schön, aber wenn man das einmal eingerichtet hat, sollte es eigentlich auch funktionieren.


Ein Austausch des Speedports wäre aber auch denkbar. Ich kenne den Smart nicht im Detail, aber man müsste mal prüfen ob man die Einwahl ins Netz der Telekom über das Glasfasermodem auch vom EdgeRouter aus machen könnte. Dann wäre der Speedport effektiv überflüssig bzw. könnte beispielsweise als Access Point weitergenutzt werden.

*edit:
Ne, das klappt nicht. Es wird ja VoIP vom Speedport genutzt. Dann würde höchsten ein Umstieg auf eine passende Fritzbox Abhilfe schaffen. Hat ebenfalls VoIP und dort kann man wie gesagt die statische Route hinzufügen, um das doppelte NAT zu umgehen.

 

[flo222]

Hab bei mir im Haus das Ubiquiti Unifi System im Einsatz (USG Pro, 24 Port PoE Switch, 4 APs) damit kann man VLANs und auch Gastzugänge mit Captive Seite einrichten. Läuft am FTTH Anschluss der Telekom perfekt.

Bandbreite für User 500/200 Mbit/s, je Gast 5 Mbit/s / 2 Mbit/s

Was für einen Switch hast Du genau im Einsatz? Genau die selbe Konstellation wie bei Dir schwebt mir in unserem Neubau auch vor. Je Etage ein AP von Unifi, dazu die abgestimmten Komponenten von Unifi hinter dem Glasfaser-Modem der Telekom. Hast Du auch Außen-APs im Einsatz?

 

[Raijin]

Das Problem ist ja, dass zumindest im vorliegenden Fall von xpricex die VoIP-Funktion des Speedports genutzt wird, was ihn effektiv unersetzlich macht - abgesehen von einer adäquaten Fritzbox. Eine reines EdgeRouter bzw. sogar UniFi System samt USG, etc. würde nicht funktionieren, da dann das VoIP-Gateway fehlt. Allerdings könnte man das durch die Verwendung von (echten) IP-Telefonen umgehen, zB das Gigaset C430A GO IP, da dann der Speedport gar nicht mehr benötigt wird.

Bei mtbriderlm's Setup bzw. dem geplanten von flo222 ist der Switch eigentlich egal solange er VLANs unterstützt - und ggfs passives PoE, je nach UAP-Modell. Das Captive Portal ist unabhängig vom Switch und benötigt lediglich einen laufenden UniFi-Controller, sei es auf einem PC, PI, NAS oder dem Cloud Key. Wenn man aber eh alles neu anschafft und ein einheitliches UniFi-System anstrebt, wäre zB ein US-24-250W @ ~400€ sicher keine schlecht Investition.

 

[xpricex]

Richtiges VoIP wäre sicher nicht verkehrt. Das DECT-Signal des Speedport reicht eh nicht bis nach oben (der Speedport steht im EG HWR im Netzwerkschrank), das ist mir immer noch ein Dorn im Auge.

Was brauche ich dann alles: USG (nicht Pro, das übersteigt das Budget) als Speedport-Ersatz? Was bräuchte ich zum Betrieb des VoIP-Telefons? Die zwei bestehenden Switches an das USG?

 

[flo222]

Richtiges VoIP wäre sicher nicht verkehrt. Das DECT-Signal des Speedport reicht eh nicht bis nach oben (der Speedport steht im EG HWR im Netzwerkschrank), das ist mir immer noch ein Dorn im Auge.

Was brauche ich dann alles: USG (nicht Pro, das übersteigt das Budget) als Speedport-Ersatz? Was bräuchte ich zum Betrieb des VoIP-Telefons? Die zwei bestehenden Switches an das USG?

Als richtiges VoIP würde ich auf die GO-Box von Gigaset setzen. Haben wir auch, die kannst Du an jedem LAN-Anschluss anstecken und von da das DECT-Signal verteilen. Also da wo der beste Platz ist, und nicht zwingend da wo der Anschluss ins Haus kommt. Daran kannst Du ach bestehende DECT-Telefone mit anschließen. Bei uns hängt ein neues IP-Telefon dran, sowie zwei alte analoge Gigaset-Mobilteile.