Protectli Vault 4 Port Opt 1 & 2 mit Opnsense

[Paxtiny]

Hi,

ich habe setze dieses Setup:

Die Fritzbox soll von dieser Opnsense HW-Firewall ersetzt werden:

Ich möchte nun LAN, OPT1 & OPT2 zum Hausverteiler schicken, quasi als Switch benutzen, so dass alle Geräte im gleichen NW im Haus sind. Die Fritzbox soll also raus fliegen.

Folgende Hardware hängt derzeit an den LAN-Ports der Fritzbox. In Klammer die Ports der Firewall, die ich nutzen möchte:

LAN 1 -> Unifi Switch (LAN: diverse Mediageräte wie TV, PS5, WAP, ...)
LAN 2 -> Unifi Switch (OPT1: PC, WAP, NAS)
LAN 3 -> Unifi Switch (OPT2: diverse Mediageräte)

Ich könnte jetzt einfach einen Switch in den Medianschrank hängen und mit LAN verbinden, aber ihr seht ja selbst, dass der Schrank eh schon gerammelt voll ist. Also dachte ich mir ich "missbrauche" OPT1 & 2 als Switch zur Verbindung mit dem Hausverteiler.

Ich habe folgenden Artikel hierzu gefunden: https://protectli.com/kb/how-to-enable-lan-bridge-in-opnsense/

Ich bin mir aber nicht sicher, ob dann alle Geräte auch unterneinander kommunizieren können ohne zusätzlichen Konfigurationsaufwand?

Vielen Dank für eure Hilfe!

 

[TheCadillacMan]

Ja, eine Bridge ist was du willst. Die fügt die Interfaces auf Layer 2 zusammen und erzeugt so einen Switch in Software.

Ein Hardware-Switch ist i. d. R. aber effizienter, da dort die Hardware auf L2-Switching optimiert ist während bei einer Bridge die CPU die Pakte switchen muss.
Wenn du in OPNsense also hohe CPU-Last hast (z. B. durch IDS) solltest du die Performance im Blick behalten.

 

[Paxtiny]

Ja, eine Bridge ist was du willst. Die fügt die Interfaces auf Layer 2 zusammen und erzeugt so einen Switch in Software.

Ein Hardware-Switch ist i. d. R. aber effizienter, da dort die Hardware auf L2-Switching optimiert ist während bei einer Bridge die CPU die Pakte switchen muss.
Wenn du in OPNsense also hohe CPU-Last hast (z. B. durch IDS) solltest du die Performance im Blick behalten.

Danke Dir! Ich denke ich hänge dann einfach einen kleinen Switch an den LAN Port. Passt gerade noch so rein

 

[Raijin]

Es ist bei einem Router mit 4 Interfaces nicht gedacht, sie als Switch zu nutzen. Wenn keine Switch-Hardware verbaut ist, muss die CPU dies in Software tun, ineffizient und je nach Leistung auch recht langsam. Willst du einen Router/Firewall mit Switch, kauf dir einen Router/Firewall mit Switch und keinen, der für 4 separate physische Netzwerke konstruiert ist. Oder stell einen banalen 5-Port-Switch daneben und hänge ihn an den Port des jeweiligen Netzwerks.

Solche Hardware ist eben dafür gedacht, dass man zB WAN, Haupt-LAN, Gast-LAN und VoIP-LAN voneinander trennt. Ob man nun alle 4 nutzt oder nicht oder eine andere Aufteilung bzw. Zwecke hat sei mal dahingestellt. Es ist aber gsnz entschieden nicht als 1 WAN + 3x Switch-LAN gedacht und wäre dafür auch zu teuer.

Ergänzung (23. Januar 2022)

Ich bin mir aber nicht sicher, ob dann alle Geräte auch unterneinander kommunizieren können ohne zusätzlichen Konfigurationsaufwand?

Naja, wenn du ein Netzwerk segmentierst und Geräte in verschiedene Subnetze an jeweils einem eigenen Interface einer Hardware-Firewall anschließt, muss natürlich das Routing und auch die lokalen Firewall-Einstellungen der Geräte entsprechend konfiguriert sein. So blockt beispielsweise die Windows-Firewall standardmäßig alle eingehenden Verbindungen, die nicht aus dem lokalen Subnetz kommen, per Definition ab. Heißt: Die Firewall-Regeln beinhalten meistens die Bedingung "Quell-IP = lokales Subnetz".

Abgesehen davon gibt es auch noch andere Verbindungstechniken, die auf Broadcasts basieren. Da wäre ein UPnP bzw DLNA-Server zu nennen. Solche Server geben sich ausschließlich im lokalen Subnetz bekannt, mittels Broadcast. Clients in anderen Netzwerken würden diesen Server nicht sehen, da Broadcasts nicht geroutet werden ohne dass man zB ein Broadcast Relay einrichtet. Viele SmartHome Systeme basieren ebenfalls auf Broadcasts. Eigentlich alles in dem Bereich was eine "Server bzw Emdgerät suchen" Funktion hat, weil eben diese üblicherweise mit Broadcasts arbeitet.

Es kommt also auf das konrkete Szenario an. Was will womit kommunizieren und wie will es das tun.