TP-Link Omada: Passt meine Einkaufsliste?

[Warrender]

Hallo,

ich plane, ein TP-Link Omada Netzwerk bei einem Freund umzusetzen. Da ich diese Komponenten noch nicht verwendet habe, bitte ich um Hilfe. Er braucht einen Layer 3 Switch, da er den Internetzugang für eine Wohnung und für sein Haus getrennt bereitstellen möchte.
3 APs sind vorerst geplant. Einer davon im überdachten Außenbereich. Budget sind 1000€.
Hier sind die konkrete Hardware Liste:
https://geizhals.at/wishlists/3178239

Da es sich vom Budget ausgeht, habe ich den EAP 670 gewählt, da dieser etwas leistungsstärker als der 653er ist.

Kann das so funktionieren?
Gibt es Verbesserungsvorschläge?
Vielen Dank!

 

[airwave]

Hoi, hab selbst Omada im Einsatz und kann dir zwar du einer Konstellation direkt nicht alles beantworten, aber die EAP670er hab ich selbst hier.
Würde auch eher den 670er nehmen, ist 2,5G fähig und bei 5Ghz halt brutto ~5000mbit/s, den 660er brauchst denke ich eher nicht der ist HD (high density) wenn gaaaanz viele endgeräte drin sind.

Bin tatsächlich ziemlich zufrieden mit den Dingern und möchte demnächst bei mir ebenfalls den 650er outdoor dazupacken.

Das schöne an den Geräten ist 802.11k/v/r, die können FastRoaming, d.h. anstatt Mesh (ist halt Easy und braucht weniger Kabel) können die Endgeräte (z.B. Smartphone) seamless zum stärksten AP wechseln ohne dass man eine unterbrechnung oder WLAN Wechsel bemerkt (bleibt alles die selbe SSID).

zum rest können evtl. andere noch was sagen

 

[SpiII]

Passt.

Hab bei einem Freund im Haus 3x EAP653 und 1x TL-SG1428PE Switch verbaut. Läuft super und bisher gab es keinerlei Probleme.
Hatte zu Beginn auch die gleiche Konfig wie du rausgesucht, aber die APs sind (der Frau) optisch zu groß und der TL-SG1428PE hat zwei LAN Ports mehr (& 2x SFP weniger).

Der AP im Haus an der Glasschiebetür nah am Garten strahlt auch ordentlich stark in den Garten. Hatten vorher Zweifel, ob der AP den Garten auch ausreichend ausleuchten kann, aber einen AP außen braucht es jetzt nicht mehr. Sind ca. 15-20m vom AP bis zum Zaun.
Die 670er sollten daher auch ausreichend stark sein, je nach Größe vom Garten. Die Teile sind aber mit fast 25cm Durchmesser schon ordentliche Teller an der Decke.

 

[Warrender]

Vielen Dank an euch zwei!
@Spillunke der SG1428PE ist aber kein Layer 3 Switch.

 

[SpiII]

der SG1428PE ist aber kein Layer 3 Switch.

Okay, das hatte ich auf Anhieb nicht gefunden/gesehen beim Vergleich. Sind auch nur 25€ Unterschied. Deine Konfig passt ja wie gesagt.

 

[Raijin]

Laut deiner Zeichnung hängt der Layer3-Switch direkt an einem Modem. Ein Modem ist aber nur ein Telefonhörer und tut erstmal gar nichts bis irgendwer eine Nummer eintippt und den Anruf startet. Heißt: Ein Modem braucht noch ein Gerät, das sich zB mittels PPPoE über das Modem beim Provider einwählt. Normalerweise ist das Aufgabe eines Routers und nicht die eines Switches - auch nicht eines L3-Switches.
Ein L3-Switch beherrscht nur relativ rudimentäres Routing, da er effektiv nur Inter-VLAN-Routing betreibt, also VLAN-übergreifend von Switch-Port zu Switch-Port routen kann. Als Internetrouter im eigentlichen Sinne ist er aber nicht geeignet - nicht zuletzt, weil die Routing-Funktion des L3-Switches in der Regel auch kein NAT (zB Portweiterleitungen), etc. beinhaltet.

Es stellt sich nun die Frage ob du mit "Modem" nun einen Modem-Router meinst oder tatsächlich ein autarkes Modem. Handelt es sich um einen Router mit integriertem Modem, passt es so wie skizziert (mit Ausnahme der Bezeichnung "Modem" für den vermuteten "Modem-Router"). Allerdings muss besagter Modem-Router in diesem Falle dennoch die Konfiguration statischer Routen zulassen, weil der L3-Switch einfach nur die Pakete aus den VLANs durchroutet, sie aber beim Router dennoch mit ihrer originalen IP aus einem anderen Subnetz ankommen - und der Router selbst ohne statische Route gar nicht weiß wohin er die Antwort schicken sollte.

Umso wichtiger ist es, zu wissen welches Gerät hier konkret als "Modem" fungieren soll


Just in case: Du weißt aber grundsätzlich schon wie man den L3-Switch konfiguriert? Die Sicherheit kommt durch die Konfiguration - ACLs, Firewalls, etc - und nicht allein durch die bloße Existenz eines fortgeschrittenen Switches bzw. Routers. Das ist also mitnichten Plug'n'Play.



*Übrigens: Der Skizze sind zudem die Begriffe "Wohnung" und "Haus" zu entnehmen. Sofern beides dasselbe Haus betrifft, ist das kein Problem. Handelt es sich aber effektiv um zwei separate Gebäude, sollte der Potentialunterschied berücksichtigt werden und die Verbindung untereinander idealerweise mittels LWL-Kabel realisiert werden.

 

[norKoeri]

https://geizhals.at/wishlists/3178239

Wie Raijin schon schrieb, fehlt auch mir der Multi-LAN-Router, also zum Beispiel den TP-Link Omada ER605. Aber dann müssten wir wissen, bei welchen Internet-Anbieter Du bist.

Gibt es Verbesserungsvorschläge?

Was ich auf den ersten Blick nicht verstehe, warum der 28er-Switch auch PoE hat. Bei drei WLAN-Access-Points würde ich mit PoE-Injektoren arbeiten. Wegen dem Außen-Access-Point würde ich eher auf Port-basierte Zugangskontrolle achten (802.1X, z. B. über EAP-MD5 und FreeRADIUS). Haben die JetStreams aber normal.

Kann das so funktionieren?

Weißt Du vielleicht schon: Der OC200 ist optional. Alternativ könntest auch den Standalone-Mode nehmen oder den Software-Controller einmalig aufsetzen, siehe hier … (Grafik am Ende).

Da ich diese Komponenten noch nicht verwendet habe

Die Frage ist, ob es unbedingt TP-Link sein muss. Gibt noch andere Hersteller … mich stört nämlich, dass Du wegen dem Outdoor bei TP-Link zwei verschiedene WLAN-Chipsätze verbauen wirst.

 

[Warrender]

Danke für eure Hilfe!
Das Modem ist ist ein Modem-Router. Der Provider (Kabelplus aus Österreich) verbaut z.B. Icotera oder gegen Aufpreis eine Fritzbox. Welche Modelle die aktuell haben, weiß ich nicht.
Zum Layer 3 Switch: Wenn die Wohnung und das Haus jeweils in einem eigenen VLAN sind, dann können die ja nicht gegenseitig aufeinander zugreifen, sofern ich keine Route setze, oder?

Der 28er Switch hat deshalb Poe, weil eventuell ein vierter AP dazukommt.

 

[Raijin]

Zum Layer 3 Switch: Wenn die Wohnung und das Haus jeweils in einem eigenen VLAN sind, dann können die ja nicht gegenseitig aufeinander zugreifen, sofern ich keine Route setze, oder?

Wenn du diese Frage stellen musst, sollte vielleicht jemand anderes mit der Aufgabe betraut werden. Das ist nicht böse gemeint, aber am Ende soll doch das Ziel sein, ein sicheres Netzwerk aufzubauen. Sicherheit kommt durch eine korrekte Konfiguration und diese setzt ein gewisses KnowHow voraus.


Sobald ein Gerät eine IP-Adresse an einer Schnittstelle hat, wird auch eine implizite Subnetzroute erstellt. Das heißt, dass der Switch, der in zig VLANs eine IP hat, auch zig Routen hat. Die Clients in den VLANs wiederum haben den Switch als Gateway und Gateway + Route im Gateway = Verbindung. Da kommen Firewalls bzw ACLs ins Spiel.

 

[Warrender]

Sobald ein Gerät eine IP-Adresse an einer Schnittstelle hat, wird auch eine implizite Subnetzroute erstellt. Das heißt, dass der Switch, der in zig VLANs eine IP hat, auch zig Routen hat. Die Clients in den VLANs wiederum haben den Switch als Gateway und Gateway + Route im Gateway = Verbindung. Da kommen Firewalls bzw ACLs ins Spiel.

Danke für deine Antwort. Irgendwas verstehe ich nicht:
Wenn ein Gerät eine IP aus einem gewissen Netz hat, kann es doch nicht in ein anderes, sofern keine Routen gelegt sind, auch wenn der Switch zig IPs und zig Routen hat.

 

[Raijin]

Start --> cmd --> route print

Dort wirst du sehen, dass dein PC eine Route mit

0.0.0.0 / 0.0.0.0 -> router.ip

hat. Das ist die Standardroute. Alle Ziel-IPs, die in dieser Routingtabelle nicht durch eine andere Route abgedeckt werden, leitet dein PC an eben dieses Standardgateway weiter. In deinem Fall ist das der Switch. Dieser guckt daraufhin in seine eigene Routingtabelle und merkt, dass er eine Route für eben jenes Ziel hat, nämlich über sein VLAN-Interface xyz. Sofern der Switch keine anderweitigen Instruktionen bekommt, wird er die Verbindung dementsprechend in das andere VLAN leiten.

Ganz banales Routing...

Wenn man nicht möchte, dass sowas möglich ist, muss man dem Switch explizit sagen, dass er das blocken soll. Basiswissen Firewall/ACL. Willst du dir den Schuh wirklich anziehen, wenn dir das nötige KnowHow fehlt?

 

[Warrender]

Hallo,

kann es sein, dass meine Einkaufsliste doch nicht passt und ich zwingend ein Gateway brauche?
Ich hab die VLANs angelegt und den DCHP-Server aktiviert. Leider bekomme ich keine IP.

Port 24 am Switch:

Am ersten Screenshot steht "Gateway Erforderlich". Daher glaube ich, dass ich ein Gateway kaufen muss, damit das klappt.

Unter "Kabelgebundene Netzwerke"-"Internet"-"WAN-Modus" scheint der Layer 3 Switch TL-SG2428P nicht auf.

Daher hätte ich jetzt das ER605 v2 Gateway gekauft...
Was meint ihr?

Danke!

 

[Raijin]

kann es sein, dass meine Einkaufsliste doch nicht passt und ich zwingend ein Gateway brauche?

Im ersten Screenshot steht doch, dass dafür ein Gateway erforderlich ist. Der Omada-Controller ist nur ein zentraler Hub für die Konfiguration der Omada-Komponenten, zB die SSIDs nebst Verschlüsselung und Schlüssel für die Omada-APs, die Portkonfiguration für die Omada-Switches und die Firewall, NAT, Routing und DHCP-Einstellungen für die Omada-Router/-Gateways. Ansonsten tut der Controller genau gar nichts. Seine einzige Aufgabe ist es, die angebundenen Omada-Komponenten zu verwalten bzw. ihnen ihre Konfiguration zuzuschieben, nicht mehr und nicht weniger. Mit den konfigurierten Einstellungen an sich hat der Controller nichts zu tun - mögliche Ausnahme: Statistiken oder ggfs ein Captive Portal. Weder macht der Controller aber ein WLAN auf noch kann er irgendwas switchen und routen kann er auch nicht ebensowenig wie DHCP-Server spielen.

Wenn du im Omada-Controller ein Netzwerk definierst, dann gibt das zunächst einmal nur die Rahmenbedingungen der Konfiguration dieses Netzwerks vor. Umgesetzt werden diese Einstellungen von der jeweilis verantwortlichen Komponente. Ein AP zieht daraus also die Info, dass er seine SSID 0815ABC mit dem VLAN 123 koppeln soll, welches an seinem LAN-Port reinkommt. Ob und wie das VLAN 123 dort reinkommt, ist Aufgabe des Switches, der diesen Port versorgt. Den Traffic zwischen den VLANs zu routen und ggfs auch zu limitieren, ist wiederum Aufgabe des Routers/Gateways.

Jede Komponenten holt sich aus den Einstellungen "kabelgebunene Netzwerke" also exakt die Einstellungen raus, die für diese Komponente relevant sind. Ein AP interessiert sich beispielsweise überhaupt nicht für die DHCP-Einstellungen, weil er gar keinen DHCP-Server an Bord hat.

Bei Switches ist das etwas komplizierter. Herkömmliche Layer2-Switches sind wirklich nur dumme Verteiler von Port zu Port. Layer3-Switches sind hingegen Hybride aus Router und Switch, das heißt sie können auch (Inter-VLAN-)Routing und bieten in der Regel auch einen DHCP-Server. Inwiefern L3-Switches nun im Omada-Controller repräsentiert werden, kann ich mangels Erfahrung mit Omada nicht sagen.

 

[norKoeri]

Das Modem ist ist ein Modem-Router. Der Provider (Kabelplus aus Österreich) verbaut z.B. Icotera oder gegen Aufpreis eine Fritzbox.

Das ist Dein „Gateway“. Du kannst es nicht direkt aus dem Omada Controller heraus bearbeiten sondern über dessen Geräte-Webseite. Allerdings wird der kein VLAN können.

Kabelplus aus Österreich

ER605 v2

Fiber oder Cable?

 

[Raijin]

In der Tat. Nicht-Omada-Geräte kann der Omada-Controller natürlich auch nicht verwalten.

 

[Warrender]

Danke für eure Hilfe

Das ist Dein „Gateway“. Du kannst es nicht direkt aus dem Omada Controller heraus bearbeiten sondern über dessen Geräte-Webseite. Allerdings wird der kein VLAN können.

Das ist schon klar. Daher hätte ich den "WAN"-Port im Layer 3 Switch brav im VLAN1 gelassen.
Der TP-Link Support hat mir bestätigt: Kein DHCP ohne Gateway. Dass der Layer 3 Switch kein Dhcp ohne GW bei Omada macht, wundert mich trotzdem.

 

[Muuhmann]

Der TL-SG2428P ist ja auch kein Layer 3 sonder ein Layer 2/2+ Switch, s. https://www.tp-link.com/de/business-networking/smart-switch/tl-sg2428p/#specifications Da steht nichts von Layer 3 Funktionen.

 

[Sushibomba]

Ist zwar schon ein paar Tage alt aber kann mir wer sagen wie ich zwei EAP653 am besten auf 2 Etagen verteile um bestmöglichem Empfang zu haben überall?

Anbei die beiden Grundrisse.
Haus um die 1900 und vollsteinwände außen und innen stein/holz.

Hatte das Unifi Design Center mal ausprobiert, nur sehe ich da ja leider nicht wie der Empfang vom OG ins EG nach unten strahlt.


Deshalb die Frage eher versetzt an unterschiedlichen stellen oder quasi übereinander EG und OG?

 

[Raijin]

Da WLAN bzw. Funk massiv von den örtlichen Gegebenheiten - Störer, Bausubstanz, etc - abhängt, kannst du das nur ausmessen. Der Unifi Designer gibt nur eine grobe Prognose ab, nicht mehr und nicht weniger. Hinzu kommt, dass es fast schon egal ist wie weit ein AP funken kann, wenn das Endgerät nicht adäquat antworten kann. Beide Seiten müssen mit der Entfernung klarkommen. Normalerweise kann ein AP auch einen gewissen Teil des Stockwerks darüber/darunter versorgen, aber zB bei Fußbodenheizung oder dergleichen, wird es schwierig.

In deinem Fall wäre unter Umständen ein weiterer AP im Kaminzimmer (EG) denkbar, der dann auch Werkstatt/Hobbyraum mitversorgt und die Ausleuchtung im Bad (OG) verbessert. Aber wie gesagt, ausmessen. Kein Tool der Welt kann dir aus dem Nichts die perfekte AP-Positionierung geben, ebensowenig wie ein Forum. Ausmessen, ausmessen, ausmessen.

 

[Sushibomba]

@Raijin

Also Fußbodenheizung ist nicht geplant. Decke im EG zum OG sind Holzbalken.

Und du meinst mit messen vermutlich die grob mit etwas an der Decke fixieren und dann über eine handyapp den Empfang in den Räumen messen?

Oder wie würdest du vorgehen und was kannst du empfehlen?

Mein Plan ist noch direkt auf der Terrasse einen Outdoor EAP anzubringen. Der würde dann vermutlich auch das Kaminzimmer mit befeuern und gleichzeitig den Garten.