Umzug -> Umstellung auf UniFi-System + Aufbau VLANs

[flo222]

Hallo zusammen,

bei uns steht am Wochenende der Umzug in unser neues Zuhause an. Voraussichtlich Anfang Dezember wird dann auch die Telekom den Anschluss schalten.

Mit dem Einzug werde ich das derzeit noch im alten Haus bestehende Netzwerk nahezu vollständig durch UniFi-Komponenten ersetzen. Seit gestern habe ich einen Teil der neuen Komponenten (USG hinter FritzBox, 1x AP AC Pro, Cloud Key) bereits hier in Betrieb genommen, einfach um ein Gespür dafür zu bekommen. Morgen kommt noch der Switch, den werd ich wohl auch noch ausprobieren. Das USG hat mich zwar doch ordentlich geärgert bei der Einbindung, aber seit es läuft ist das schon ne coole Sache. Wo vorher die FB plus zwei günstige APs für das WLAN gesorgt haben, macht das jetzt ein UniFi AP, und das deutlich schneller. Und auch die Controller-Software im Cloud Key und damit die Möglichkeit zur DPI machen Lust auf mehr.

Da die Kinder ja auch nicht kleiner werden, und überproportional zum Wachstum mehr Bandbreite fordern, kam die Idee auf, zukünftig VLANs zu etablieren, um a) das VoIP-Festnetz noch ausreichend mit Bandbreite zu versorgen, und b) selbst auch noch genug Bandbreite für meine Frau und mich zur Verfügung zu haben. Die aktuelle Limitierung auf 30 MBit für die Kinder ist auch nur mal der Anfang und später mal flexibel anpassbar. Ich habe mal sowohl die Hardware-Seite als auch die angedachten zukünftige VLAN-Schneidung skizziert:





Mir stellen sich jetzt folgende Fragen:

1. Ist der grundsätzliche Aufbau der Hardware und/oder der VLANs so sinnvoll? Oder hab ich hier irgendwo nen Denkfehler?

2. Sind die IP-Bereiche der VLANs so nutzbar oder habe ich wo Überschneidungen? Ich bin keiner der jemals was in der Ausbildung oder im Studium über Netzwerke gelernt hat, ich lerne die letzten Jahre quasi mit den Anforderungen an meine eigene Infrastruktur. Meist klappt es gut, aber manchmal ist es doch noch ein Rätsel.

3. Kann ich mit dem Setup sicherstellen, dass irgendwelche komischen Funksteckdose nicht den Rest meines Netzwerks erreichen und womöglich blockieren/verseuchen? Hintergrund: ich hab mir mal so ne WLAN-Steckdose zugelegt. Das Ding ist schon praktisch, aber es hat mich stutzig gemacht, dass ich es über die Hersteller-App einfach von außerhalb erreiche, ohne je irgendwelche Ports in der FB freizugeben wie beispielsweise für meinen NAS. Irgendwie fühl ich mich nicht wohl damit, wenn solche Teile mit meinen Daten auf dem NAS oder Rechner im gleichen Netz sind. Und bevor ich mir mehr von solchen Teilen oder ähnlichem Gedöns hole, wollte ich sichergehen, dass es in einem isolierten VLAN unterwegs ist.

4. Gibt es grundsätzlich Vorteile/Nachteile, wenn man statt einem rackbaren 16er Switch auf zwei nicht-rackbare 8er Switches setzt? Aktuell werde ich einen 8er voll belegen, wobei mir 3x PoE+ reicht, deswegen auch „nur“ der UniFi US-8-60W. Ich hatte erst den UniFi US-16-150W angedacht, aber der Preis ist schon ordentlich. 8x PoE+ beim US-8-150W brauch ich auch nicht, deswegen ist es jetzt der „Kleine“ geworden, und ich würde bei Bedarf nochmal um einen 8er aufrüsten. Brauch halt dann nen Zwischenboden im Serverschrank, aber das ist egal, sofern sonst nichts dagegen spricht. Im Haus gibt es insgesamt 11 LAN-Dosen, mehr Anschlüsse plus NAS und Cloud Key werden also nicht belegt.

So, das war es erst mal mit den Fragen.

Grüße,
Flo

 

[NJay]

Also von vornherein ein Limit festzulegen halte ich für schwachsinn. Nutzt du deinen Teil des Internets wirklich dauerhaft so stark, dass du die Bandbreite brauchst?

An der Bandbreite würde ich erstmal gar nicht herumfummeln, das macht der Router ja erstmal alleine. Wenn du dann merkst, dass deine Kinder sehr viel ziehen, dann kannst du das ja immer noch machen.

Gäste limitieren ist auch nicht notwendig, mehr als Whatsapp oder ein youtubevideo werden die doch eh nicht ziehen.

 

[Raijin]

Hab leider gerade keine Zeit für einen ausführlicheren Kommentar, aber einen Tip zu VLANs hab ich schon mal.

Es hat sich bewährt, die Subnetze für VLANs analog zur VLAN-ID zu wählen. Zum Beispiel so:

VLAN 10 -> 10.227.10.0/24
VLAN 20 -> 10.227.20.0/24
VLAN 30 -> 10.227.30.0/24

So kann man das VLAN bereits direkt anhand der IP erkennen, während man in deinem Setup im worst case erstmal im Router nachschauen müsste welches VLAN nu welches ist.

Ergänzung (19. November 2018)

Naja, wenn ich schon dabei bin..

KISS. Keep It Simple, Stupid. Je mehr VLANs du baust, umso komplexer wird das Setup. Spätestens wenn du zB aus dem Entertainment-VLAN auf das NAS in einem anderen VLAN zugreifen willst, kann es Probleme geben, wenn zB der TV via Broadcast nach einem Medienserver sucht. Die Server-Liste im TV bliebe leer, kein NAS gefunden. Im best case kannst du den Server mittels IP verbinden, im worst case brauchst du ein Broadcast-Relay, das die DLNA-Broadcasts von einem VLAN ins andere umsetzt (das USG).

Gerade wenn man noch wenig Erfahrung mit sowas hat, können komplexe Setups zu ewigen Baustellen mutieren. Quasi immer dann rumbasteln, wenn etwas nicht funktioniert.

2 8er Switches gleich zu Beginn sind unterdimensioniert. Jeder Switch-Uplink stellt einen potentiellen Flaschenhals dar. Immer dann, wenn parallel mehrere Geräte an Switch1 mit Geräten an Switch2 kommunizieren, teilen sie sich den Uplink zwischen den Switches.

Ein weiterer Engpass kann das USG sein. Bei vielen VLANs und entsprechend viel Inter-VLAN-Traffic werden die Daten auch jedes Mal über den Trunk-Port zum USG geschickt, dort ins andere VLAN geroutet und über denselben Trunk-Port wieder zurückgeschickt. Deswegen empfiehlt es sich bei größeren VLAN-Setups ein (L3-)Switch mit Inter-VLAN-Routing, der das dann direkt macht. Alternativ nimmt man einen Router mit ausreichend Hardware-Interfaces und dann entsprechend pro VLAN ein Uplink zum Router.

Der zentrale Switch sollte immer ausreichend groß dimensioniert sein. Bei 11 Geräten, bietet sich daher ein 16er Switch an. Wenn der große US zu teuer ist, hätte es auch ein anderer Hersteller getan. Auch wenn Unifi ne feine Sache ist, heißt das nicht, dass man zwangsläufig das komplette Setup darauf ausrichten muss. Wenn man das trotzdem tun möchte, ist zumindest bei den Switches der Preis eben gerade der sprichwörtliche saure Apfel..

Zu den "Funksteckdosen": Unterscheide bitte zwischen klassischen Funksteckdosen mit Fernbedienung und den Smart - Steckdosen, die via WLAN bzw. App, Alexa und Co gesteuert werden. Letztere haben im Rahmen des "Smart"-Konzepts nicht selten einen Cloud-Dienst eingebaut. D.h. die telefonieren über's Internet nach Hause und darüber kann man dann mittels Hersteller-App von überall drauf zugreifen. Um das zu verhindern, kann man entweder in der GUI des Geräts die Cloud abschalten oder im Router sämtlichen Internet-Traffic der Steckdosen blockieren.

 

[PERKELE]

@Raijin Danke fuer die Idee mit dem Subnetz und der VLAN ID!

 

[flo222]

@Raijin Auch von mir schon mal vielen Dank für die Tipps und Anmerkungen. Werde diese mal in meine Überlegungen mit einfließen lassen, insbesondere was die Anzahl und Benennung der VLANs angeht. Und beim Switch werde ich wohl auch nochmal Umdenken. Es wird wohl dann ein 24-Port-Switch von UniFi ohne PoE werden. Da ich die APs im Einzelpack gekauft habe, liegen die Injektoren ja bei, dann werde ich diese halt dafür verwenden. UniFi soll es werden, weil mir persönlich die Geschichte mit dem Controller alles zu steuern sehr gut gefällt. Wobei sich die Anzahl 11 auf die Ethernet-Anschlüsse im Haus bezogen hat. Davon sind allerdings am Anfang lediglich 5 belegt der Rest bleibt leer. Deswegen auch die Idee, dass erst einmal ein 8er reicht, weil ja aktuell kein Uplink zu einem zweiten Switch besteht oder geplant ist.

 

[Raijin]

Ein Switch sollte immer ca 10-20% bzw. ca 3-5 Ports "Luft" haben. So hat man noch Platz für Erweiterungen und/oder Ersatz für potentiell defekte Ports. Wenn von 11 Dosen nur die Hälfte belegt ist, kann man das durchaus einkalkulieren. Manchmal setzt man ja lieber ne Dose mehr (zB im Bad), hat dann aber doch nur WLAN-Geräte in dem Zimmer.
Ob bei dir nu ein 8er, 16er oder ein 24er sinnvoll wäre, kannst du selbst am besten einschätzen. Da du aber bereits von vornherein auf einen zweiten Switch anspielst, deutet das eben daraufhin, dass ein 8er zu klein ist. Zu groß kann ein Switch eigentlich nicht sein, mal von den Abmessungen und dem Preis abgesehen. Über's Ziel hinausschießen sollte man trotzdem nicht, Augenmaß..

Bei 1-3 UAPs ist es auch kein Beinbruch, wenn man die PoE-Injektoren verwendet. Es kommt aber nicht zuletzt auch auf die örtlichen Gegebenheiten an. Wenn man nur wenig Platz hat, ist eine Steckerleiste für 3 PoE-Netzteile schon unpraktisch. Hat man genügend Platz, ist es ziemlich egal.. Ich hab mir bisher auch einen PoE-Switch gespart, weil ich nur 2 UAPs habe.