Zwei Hausnetze verbinden

[Tranceport]

Hallo zusammen,
ich plane demnächst ein Glasfaserkabel (SFP am UbiQuiti UniFi Switch 48) ins Nachbarhaus zu ziehen, damit wir uns das NAS und die Inetanschlüsse teilen können.
Alle anderen Geräte würde ich aber gerne separieren, da es sonst unkomfortabel wird (2 DHCP-Server durch die Router, Drucker, Chromecast, TVs etc.)
Da ich sonst immer nur ein Hausnetz pflege, fehlt mir da ehrlich gesagt die Erfahrung. VLAN über den SFP-Port in meinem Switch müsste gehen, allerdings kann man ohne Layer3 Switch dann scheinbar keine Geräte zwischen beiden Netzen teilen?
Wie würdet ihr das lösen?
Viele Grüße,
Tranceport

 

[Domi83]

Moin, wenn ich mich nicht irre sind diese Switche echte Kraftpakete. Mit dem UniFi Security Gateway könntest du VLANs erstellen. den steckst du einfach zwischen Router / Modem und den Switch, fertig ist.

Über das UniFi Controll Center kannst du (meines Wissens) jedem Port von dem Switch ein VLAN zuordnen, die Layer 3 Funktion würde der Security Gateway durchführen. Ein ähnliches Szenario plane ich nämlich bei uns zu Hause ebenfalls mit dem Nachbarn und das soll damit machbar sein. Die Umsetzung blieb allerdings noch auf der Strecke liegen da man wohl das Glasfaserkabel nicht selbst fertig (splisen) kann und die Materialien für den Heimgebrauch dafür wohl zu Aufwändig wären. Lasse mich dazu aber gerne erleuchten

Hoffe aber dennoch, dass ich schon mal ein wenig weiter helfen konnte.

Gruß, Domi

 

[Tarnatos]

Alles an einen Switch und jedes Netz bekommt ein eigenes VLAN.

Sollte für den Hausgebrauch reichen.

 

[Tranceport]

Moin, wenn ich mich nicht irre sind diese Switche echte Kraftpakete. Mit dem UniFi Security Gateway könntest du VLANs erstellen. den steckst du einfach zwischen Router / Modem und den Switch, fertig ist.

Über das UniFi Controll Center kannst du (meines Wissens) jedem Port von dem Switch ein VLAN zuordnen, die Layer 3 Funktion würde der Security Gateway durchführen. Ein ähnliches Szenario plane ich nämlich bei uns zu Hause ebenfalls mit dem Nachbarn und das soll damit machbar sein. Die Umsetzung blieb allerdings noch auf der Strecke liegen da man wohl das Glasfaserkabel nicht selbst fertig (splisen) kann und die Materialien für den Heimgebrauch dafür wohl zu Aufwändig wären. Lasse mich dazu aber gerne erleuchten

Hoffe aber dennoch, dass ich schon mal ein wenig weiter helfen konnte.

Gruß, Domi

Verstehe, mit dem USG könnte ich dann Geräte in beide VLANs hängen? Oder liegt es rein an der Software und würde auch über meinen UnifiServer auf meinem NAS gehen?
Die Verbindung zum Nachbarhaus plane ich über Lichtwellenleiter, mittels 2 SFP Transceiver an meinem UnifiSwitch und einem günstigen SFP-Router (hängt beim Nachbarn) herzustellen. Die Kabel gibt es auch in Länger, vllt hilft dir das ja?

Alles an einen Switch und jedes Netz bekommt ein eigenes VLAN.

Sollte für den Hausgebrauch reichen.

Und wie kann ich dann aus beiden Netzen auf NAS und die Router zugreifen? Das ist mir noch nicht klar =(

 

[Kiso]

Das NAS an beiden VLANs anschließen.

 

[Tranceport]

das wäre natürlich auch eine Möglichkeit, bei der mir aber einfällt, dass es eigentlich zwei NAS sind:
eins bei mir, das soll aus beiden Netzen verfügbar sein (da würde eine zweite LAN Karte auch gehen)
das zweite ist eine kleine Diskstation, die ich als Backup beim Nachbarn stehen habe. Da müsste ich aus meinem Netz auch draufkommen, aber die hat nur fix einen LAN Anschluss

 

[Joe Dalton]

Moin!

Wahlweise beide NAS in jeweils ihr VLAN hängen und zwischen den VLANs routen (meine Präferenz) oder die NAS in jeweils beide VLANs hängen. Ersteres würde ich wegen der Filtermöglichkeiten bevorzugen: In einer Firewall kannst Du genau regeln, welche Zugriffe in/aus Deinen Netzen möglich sein sollen.

Wichtig: Wenn Du die Trennung über Layer 3 machst, dann funktionieren broadcast-basierende Mechanismen nicht mehr. Auch Multicast-Unterstützung könnte dann ein Thema werden.

Grüße,
Christian

 

[Kiso]

Du brauchst nur einen LAN Port an der NAS dafür. Entweder mit untagged VLANs dem Port am Switch beide VLANs zuweisen oder mit tagged VLANs entsprechend in der NAS.

 

[omavoss]

@Tranceport:
Du hast sicherlich die AGB Deines ISP hinsichtlich der Nutzungsbedingungen studiert; außerdem: kannst Du dem (zukünftigen) Mitbenutzer Deines Internet-Accounts wirklich zu 100 Prozent vertrauen?

 

[spcqike]

Und wie kann ich dann aus beiden Netzen auf NAS und die Router zugreifen? Das ist mir noch nicht klar =(

wenn alle Geräte in ihrem jeweiligen VLAN sind (also deine in VLAN1 und die beim Nachbarn in VLAN2) musst du noch Regeln erstellen, dass man von VLAN1 aus auf IP X.Y.Z.X in VLAN2 zugreifen kann. und umgekehrt.

Das sollte mit der UniFi-Linie von Ubiquiti eigentlich ganz gut klappen. (also Switch und Firewall).

Ich denke, ich würde den geteilten Geräten einfach ein weiteres VLAN zuteilen (VLAN3) und den Zugriff von VLAN1 und VLAN2 auf VLAN3 erlauben, aber nicht von VLAN1 auf VLAN2 und umgekehrt.


VLANs und entsprechende Regeln erstellt man mit der USG, den Ports am Switch weißt man dann die VLANs zu (oder den Clients einzeln. Port macht wohl aber mehr Sinn, da dann neue Clients automatisch im richtigen VLAN sind)

So wie im Bild sollte es bei richtiger Konfiguration sauber sein.
Alternativ tut es auch eine USG und ein Switch. Aber dann wird es mit der Verkabelung unschön.

 

[Domi83]

Verstehe, mit dem USG könnte ich dann Geräte in beide VLANs hängen? Oder liegt es rein an der Software und würde auch über meinen UnifiServer auf meinem NAS gehen?

Ich habe auf meinem Server (Linux System) den UniFi Controller installiert und besitze im Haus den 24 Port PoE Switch (Keller) sowie den 8 Port PoE Switch (Einliegerwohnung) und die VLAN Einstellungen sind bei mir noch nicht möglich. Wenn ich die Dokumentationen sowie Videos korrekt verstanden habe, wird diese Funktion erst mit dem Security Gateway aktiviert / hinzugefügt.

Bezüglich dem Anschließen, reicht es wenn deine NAS auf einem Port am Switch hängt. Über den UniFi Controller kannst du der NAS dann ein VLAN zuweisen und über die Firewall Regeln kannst du steuern das du aus deinem VLAN und dein Nachbar aus seinem VLAN darauf zugreifen dürfen. Wie sich das ganze mit seinem Switch verhält, weiß ich so direkt nicht, dass müsstest du testen.

Wie gesagt, das Projekt plante ich schon vor längerer Zeit, hab es allerdings bis heute nicht umgesetzt, aufgrund der Kabel. Da bedanke ich mich schon mal für den Link zum Kabel sowie den Gbic Adaptern, vielleicht bestelle ich die mal. Bis jetzt hab ich (hat auch gereicht) immer nur normale Netzwerkleitungen verlegt

Gruß, Domi

 

[Tranceport]

untagged über Port wird nicht möglich sein, da das BackupNAS beim Nachbarn im LAN hängt, und von dem geht nur eine einzige Leitung (LWL) zu meinem Switch.
Die Struktur ist wie folgt:

Haus A:
WAN & DHPC: Kabel Fritzbox
->Normale Endgeräte
->Switch mit SFP (verbunden mit Fritzbox und Diskstation und per SFP zu Switch in Haus B)
-->Synology Diskstation (Backup)

Haus B:
WAN & DHCP: noch offen, evtl Fritzbox
->UnifiSwitch48
-->Normale Endgeräte
-->Dell T20 (NAS & DockerHost mit Unifi)

Also im Endeffekt wie in der Grafik von @spcqike , nur dass USG1 nicht existiert/eine Fritzbox ist, und Clients 1 direkt am Router hängen.
Dann hole ich mir ein USG für mich und verpasse dem SFP-Port VLAN1 für den Nachbarn, alle restlichen Ports dann mein VLAN2.
Wenn möglich, hänge ich das BackupNAS dann auch in mein VLAN2, obwohl es eigentlich am VLAN1-Port hängt, und alle geteilten Geräte in VLAN3 (Router1&2 sowie NAS).

 

[Domi83]

Wie sagt man doch so schön, dass kann man halten wie ein Dachdecker Ich selbst würde mein eigenes Netz als VLAN 1 machen, wenn ich Router und NAS trennen will, VLAN 2 (wobei man das auch drehen kann) und dann mein Nachbar mit VLAN 3 dran. Wenn der Nachbar mal blöde ist etc. kappt man die Verbindung und nimmt einfach VLAN 3 und behält VLAN 1 und 2, fertig ist

Ideen und Möglichkeiten gibt es halt viele.

 

[Raijin]

Da es scheinbar untergegangen ist: Broadcasts wie sie beispielsweise von Medienservern genutzt werden funktionieren nur innerhalb eines Netzwerks, nicht jedoch über Netzwerkgrenzen hinweg. Sofern du also nur jeweils das Nachbar-NAS via Netzlaufwerk (SMB) anbinden willst, ist das kein Thema, aber sobald du den TV anschalten und dort im Medienplayer 2 NAS sehen willst, geht das eben nicht, weil die Broadcasts von/zum Nachbarn nicht geroutet werden.
Man könnte dies mit geeigneten Mitteln durchaus realisieren, ist aber ohne Vorkenntnisse unrealistisch.

Das USG kann durchaus als (V)LAN-Router fungieren, aber ich persönlich würde da dann schon eher zu einem EdgeRouter raten, beispielsweise dem ER-X für 50€ oder gar direkt einem ER-SFP. Allerdings setzt ein EdgeRouter wiederum auch etwas mehr Wissen voraus, weil er etwas mehr kann und die GUI eher für erfahrene Nutzer gestaltet ist.

Der Einwand von omavoss ist im übrigen auch nicht von der Hand zu weisen. So sehr man es auch verstehen kann, dass man Kosten sparen und sich einen Internetanschluß teilen möchte, so sehr ist es in der Regel auch durch die AGBs verboten. Klar, wo kein Kläger, da kein Richter, aber dann können wir ja alle in Deutschland eine große virtuelle WG bauen und die Telekom hat nur noch genau einen Kunden Das ist aber eher ein moralisches Thema mit dem jeder selbst klarkommen muss. Anmerken muss man es trotzdem, da es eben doch auch dumm laufen kann. Beispielsweise wenn man einem Kumpel vom Teilen erzählt, sich dann irgendwann mit ihm zofft und der Kumpel dann mal aus Jux beim Provider anruft.....


VLANs braucht man im übrigen nur, wenn man über ein und dasselbe Kabel mehrere Netzwerke laufen lässt. Aktuell kann ich das nicht wirklich sehen. Nur dann, wenn man beispielsweise im Netzwerk des Nachbarn seinen Laptop anstöpseln und trotzdem im eigenen Netzwerk sein will, braucht man hier VLANs. Denn dann müssen über die Gebäudeverbindung auch beide Netzwerke laufen. So wie ich das Setup aber verstehe kann man es ganz simpel machen:

Haus A:
Internet-Router, Switch, Gedöns
192.168.1.0/24

Haus B:
Nix Internet, aber Switch und Gedöns
192.168.2.0/24

EdgeRouter in der Mitte, eth0 = 192.168.1.254 + eth1 = 192.168.2.1
DHCP für eth1 (Standardgateway = .2.1) konfigurieren, Routing im Internet-Router im A-Netzwerk ergänzen (Route auf 2er Subnetz via EdgeRouter), evtl. noch Firewall konfigurieren, um gewisse Geräte aus der gegenseitigen Verbindung zu blockieren, fertig. Nix VLAN, nada, niente.

 

[Domi83]

@Raijin, wärst du so nett und könntest mal kurz und knackig aufzählen wo der Vorteil der EdgeRouter im Vergleich zum SecurityGateway ist / liegt?! Ich hab mir die bei Geizhals mal in den Vergleich gezogen und bei denen sind die Besonderheiten ja nicht so der große Unterschied.

Was sind denn die signifikanten Unterschiede / Vorteile? Ich möchte ja gerne meine WLAN SSIDs in unterschiedliche VLANs packen, daher hatte ich an den USG gedacht.

Gruß, Domi

 

[Raijin]

Das USG ist im Prinzip ein EdgeRouter Lite, von der Hardware her. Die Software unterscheidet sich hingegen dadurch, dass das USG im UniFi-Universum angesiedelt ist, während der EdgeRouter zur EdgeMax Reihe zählt.

UniFi ist ein zentrales Management-System, über das man mit einer Software alle UniFi Geräte konfigurieren kann, seien es UniFi Router (USG), UniFi Switches oder auch UniFi Access Points. Die Vorteile kommen daher primär zur Geltung, wenn man auch tatsächlich mehrere UniFi Geräte einsetzt.

Der EdgeRouter ist dahingehend eher als Standalone anzusehen. Er hat eine eigene GUI und kann kein UniFi. Einen EdgeRouter nebst zB Zyxel Switch und TP Link APs müsste man daher einzeln konfigurieren, während man USGs , UniFi Switch und UAPs mit wenigen Klicks gemeinsam einrichtet bzw Einstellungen einfach übernimmt, beispielsweise genau 1x VLANs definieren und einfach auf allen UniFi Geräten nutzen, während man ohne UniFi aufpassen muss, nicht die VLAN iDs zu vertauschen bei Router, Switch und AP.

Beide , ER und USG können Basis- und auch fortgeschrittene Aufgaben erfüllen - wie zB VLANs - aber sobald es ans Eingemachte geht, kommt UniFi von den Optionen an seine Grenzen - dann folgt unweigerlich die Kommandozeile, während man beim ER durch die umfangreichere GUI eben doch noch mehr Optionen verfügbar hat. Machen kann man aber mit dem USG und dem quasi baugleichen EdgeRouter Lite exakt dasselbe.

Deutlicher werden die Unterschiede dagegen wenn man zB den ER-X zum Vergleich heranzieht. Dieser hat 5 LAN Schnittstellen und kann als L2 oder gar als L3 Switch konfiguriert werden - zu einem Preis von 50€.

 

[Tranceport]

Da es scheinbar untergegangen ist: Broadcasts wie sie beispielsweise von Medienservern genutzt werden funktionieren nur innerhalb eines Netzwerks, nicht jedoch über Netzwerkgrenzen hinweg. Sofern du also nur jeweils das Nachbar-NAS via Netzlaufwerk (SMB) anbinden willst, ist das kein Thema, aber sobald du den TV anschalten und dort im Medienplayer 2 NAS sehen willst, geht das eben nicht, weil die Broadcasts von/zum Nachbarn nicht geroutet werden.
Man könnte dies mit geeigneten Mitteln durchaus realisieren, ist aber ohne Vorkenntnisse unrealistisch.

Im Thread ist es etwas untergegangen, das stimmt. Mir persönlich war es aber schon bewusst, da die Freigabe aber über SMB in Kodi erfolgen soll, sehe ich es nicht als Problem. Bzw. eher als Vorteil, so sieht jeder nur zb. die Googlecast-Geräte, die auch wirklich zu einem gehören. Trotzdem gut, dass du nochmal drauf hinweist =)

Der Einwand von omavoss ist im übrigen auch nicht von der Hand zu weisen. So sehr man es auch verstehen kann, dass man Kosten sparen und sich einen Internetanschluß teilen möchte, so sehr ist es in der Regel auch durch die AGBs verboten. Klar, wo kein Kläger, da kein Richter, aber dann können wir ja alle in Deutschland eine große virtuelle WG bauen und die Telekom hat nur noch genau einen Kunden Das ist aber eher ein moralisches Thema mit dem jeder selbst klarkommen muss. Anmerken muss man es trotzdem, da es eben doch auch dumm laufen kann. Beispielsweise wenn man einem Kumpel vom Teilen erzählt, sich dann irgendwann mit ihm zofft und der Kumpel dann mal aus Jux beim Provider anruft.....

U.a. schon im ersten Beitrag habe ich von "die Inetanschlüsse" = Plural geschrieben. Jedes Haus hat seinen eigenen Anschluss (Kabel von Vodafone und VDSL von der Telekom). Die wollte ich bei Bedarf teilen können, wenn mal einer davon ausfällt. Ansonsten nutzt jeder seinen Anschluss, ist jetzt nicht so, als würde ein Router mit zwei WANs inkl. Loadbalancing verwendet werden oder ich komplett auf einen Inetanschluss verzichten (dafür ist mir Kabel auch viel zu launisch). Ist schon ein guter Hinweis, aber die Moralkeule auszupacken ist hier aus meiner Sicht nicht angebracht ;-)

VLANs braucht man im übrigen nur, wenn man über ein und dasselbe Kabel mehrere Netzwerke laufen lässt. Aktuell kann ich das nicht wirklich sehen. Nur dann, wenn man beispielsweise im Netzwerk des Nachbarn seinen Laptop anstöpseln und trotzdem im eigenen Netzwerk sein will, braucht man hier VLANs. Denn dann müssen über die Gebäudeverbindung auch beide Netzwerke laufen. So wie ich das Setup aber verstehe kann man es ganz simpel machen:

Haus A:
Internet-Router, Switch, Gedöns
192.168.1.0/24

Haus B:
Nix Internet, aber Switch und Gedöns
192.168.2.0/24

EdgeRouter in der Mitte, eth0 = 192.168.1.254 + eth1 = 192.168.2.1
DHCP für eth1 (Standardgateway = .2.1) konfigurieren, Routing im Internet-Router im A-Netzwerk ergänzen (Route auf 2er Subnetz via EdgeRouter), evtl. noch Firewall konfigurieren, um gewisse Geräte aus der gegenseitigen Verbindung zu blockieren, fertig. Nix VLAN, nada, niente.

Das Problem dabei ist, dass ich den UnifiRouter (inkl 3 UnifiAPs) bereits im Haus stehen habe ;-) Da ich jetzt nicht der Poweruser bin, was Netzwerktechnik betrifft, habe ich mich eher für die ambitionierte Einsteiger-Lösung entschieden (wenn man es so nennen will^^)
Nur den SFP-Switch auf der Gegenseite habe ich noch nicht. Wenn ich diesen hier verwenden würde, könnte ich mir den USG sparen?
Natürlich müsste ich dann auf solche Späße wie DPI verzichten ^^

 

[Raijin]

Auch beim USG brauchst du keine VLANs. Prinzipiell brauchst du nur einen Router mit 2x LAN und das war's. LAN1 hängt im Netzwerk A und LAN2 hängt im Netzwerk B. VLANs brauchst du wie gesagt nur, wenn du in Haus B über die VLANs eben virtuell noch im Netzwerk von Haus A sein willst. Beispielsweise, wenn du an einer Dose in Haus B einen LAN-Port auf VLAN-ID "A" stellst.
Willst du einzig und allein von einem Netzwerk auf das andere zugreifen, sei es auf das NAS oder die dortige Internetverbindung, brauchst du keinerlei VLAN.

 

[Tranceport]

Ich will eben beides, bestimmte Geräte (NAS, Router) für beide Netze verfügbar machen, andere sollen "Haus-exklusiv" sein (TVs, Radios, Drucker etc)

 

[Raijin]

Entweder verstehst du mich nicht oder ich dich nicht. VLANs sind dazu da, mehrere getrennte Subnetze über ein und dasselbe LAN-Kabel zu schicken, eben gekapselt in VLAN-Pakete. Das hat erstmal nicht wirklich etwas mit der Trennung Haus A und B zu tun, weil das auch physikalisch getrennte Netzwerke sind (eigene Switches, etc) und eine virtuelle Trennung durch VLANs daher wenig sinnvoll ist.

Simpelstes Setup ohne VLANs:

(192.168.A.0/24) Haus A <-- LAN-Router --> Haus B (192.168.B.0/24)

VLANs brauchst du im Prinzip nur, wenn du beide Subnetze auf beiden Seiten haben willst, also so


(192.168.A.0/24 und 192.168.B.0) Haus A <-- VLAN-Router --> Haus B (192.168.A.0/24 und 192.168.B.0/24)


Oder aber, wenn du innerhalb von zB Haus A mehrere interne Subnetze hast, die unabhängig voneinander zu Haus B geroutet werden sollen oder nicht. Beispielsweise ein Medien-VLAN, in dem Medienserver, NAS, etc. drin sind, nicht jedoch Radios Drucker und Co. Dann bräuchtest du innerhalb von Haus A mehrere VLANs und könntest am VLAN-Router das eine VLAN rüberrouten oder eben nicht.