VLAN - Anfängerfrage zum Aufbau

[cottec]

In meinem Testsetup habe bereits erste Gehversuche mit VLAN untenommen (Modem Zugang geschaffen)
Jetzt würde ich das gerne "etwas" aufbohren und zwar wie im angehängten Bild...


Die Fallbacklösung "FritzAlt" wird nur bei Bedarf angeschmissen. Wenn dort ebenfalls alle Stricke reißen, dann kann ich immer noch das Telefonkabel direkt in die Fritz stecken.


Guest am Kabel ist derzeit nur mein Arbeits PC. Ich plane nicht weitere Clients anzuschließen.
Platz am Switch könnte ich aber dann jederzeit mit einem unmanaged Switch an LAN schaffen.

Einen Management Access, der verhindert, dass LAN Clients auf die Firewall zugreifen können, spar ich mir erst mal.


Beim Schreiben dieses Posts habe ich schon wieder einiges hinterfragt und eigentlich mache ich mit den VLANs jetzt nichts mehr, außer den Gastzugang auf IoT und Gäste aufzuteilen, damit ich hier im Zweifel die Spielregeln etwas aufweichen kann, sollte ich Probleme kriegen.

ArbeitsPC und Gäste bleiben aber komplett außen vor.



Bevor ich das jetzt alles einrichte wollte ich mal um Expertenmeinung bitten, ob das für den Anfang erst einmal Sinn macht.

Vor allem das reinfüttern von zwei Leitungen zwischen OPNsense und Switch, die Positionierung des APs und ob die Aufteilung so Sinn macht

[kruemelmonster]

Mache dir bitte mal die Mühe, und lies diesen Artikel von meyergru. Er hat sich da viel Arbeit gemacht, die Netzwerkgrundlagen aufzudröseln.

Und wenn du den gründlich gelesen hast, wird dir auffallen, das du deinen PC, deinen AP und deine Fritzbox mit Telefonie alle im selben Subnetz betreiben willst. Das wird irgendwie funktioneren, bietet dir aber keinerlei Einflußnahme auf den Datenverkehr dieser Geräte untereinander. Innerhalb eines Netzwerks kannst du mit einem Router nichts voneinander trennen. Das geht nur, wenn du alles in unterschiedliche Netze legst.

- PC z.B. 192.168.100.0
- Guest-WiFi 192.168.101.0
- IoT-WiFi 192.168.102.0
- Fritzbox VOIP 192.168.103.0
usw.

Alle diese Subnetze kannst du auf ein Interface der OpnSense legen und dann getaggt auf den Switch bringen. Und für die getrennten Wlans brauchst du einen Ap der mit getaggten LAN umgehen kann. Z.B. von Unifer. Die Fritte für VOIP habe ich z. B. völlig getrennt direkt an meiner OpnSnese zu hängen. Alles andere über den gemanagten Switch.

2 Leitungen zwischen OpnSense und Switch machen nur Sinn, wenn du zum einen die Bandbreite wirklich benötigst. Zum Anderen musst du dann auch die Ports mittels Link-Aggregation bündeln können - die OpnSense kann das. Der Switch auch? Und Linkaggregation bringt nur mehr Datendurchsatz, wenn du mehrere Verbindungen auf der Leitung zugleich hast, die m. W. auch nicht gleichen Endgerät stammen dürfen.

[cottec]

Danke :)

Und wenn du den gründlich gelesen hast, wird dir auffallen, das du deinen PC, deinen AP und deine Fritzbox mit Telefonie alle im selben Subnetz betreiben willst. Das wird irgendwie funktioneren, bietet dir aber keinerlei Einflußnahme auf den Datenverkehr dieser Geräte untereinander. Innerhalb eines Netzwerks kannst du mit einem Router nichts voneinander trennen. Das geht nur, wenn du alles in unterschiedliche Netze legst.

Ja, ich weiß was du meinst. Habe ich langfristig vor, ich wollte es erst einmal in der "light" Version angehen. Also quasi alle trusted devices erst mal in eins, damit ich jetzt ohne Stress alles konfigurieren kann.

Alle diese Subnetze kannst du auf ein Interface der OpnSense legen und dann getaggt auf den Switch bringen. Und für die getrennten Wlans brauchst du einen Ap der mit getaggten LAN umgehen kann. Z.B. von Unifer. Die Fritte für VOIP habe ich z. B. völlig getrennt direkt an meiner OpnSnese zu hängen. Alles andere über den gemanagten Switch.

HPE Aruba Switch 1830 8 Ports und AP12 sind vorhanden. Fritzbox akutell der Einfachheit halber noch im LAN, damit ich schnell drauf komme bis alles läuft + backup Wifi + leere Backup Ports. Fliegt aber dann alles raus und die Box macht nur noch DECT und VoIP. Gute Idee, die ohne Switch direkt an die OPNsense zu hängen. Kann ich machen wenn der vierte Port frei ist.

2 Leitungen zwischen OpnSense und Switch machen nur Sinn, wenn du zum einen die Bandbreite wirklich benötigst. Zum Anderen musst du dann auch die Ports mittels Link-Aggregation bündeln können - die OpnSense kann das. Der Switch auch? Und Linkaggregation bringt nur mehr Datendurchsatz, wenn du mehrere Verbindungen auf der Leitung zugleich hast, die m. W. auch nicht gleichen Endgerät stammen dürfen.

Idee war nicht LInk Aggregation, sondern 2 physisch getrennte Netze (LAN und GUEST). So kann ich ohne Switch Steuerung immer noch "sicher" sein, dass zwischen den zwei Netzwerken erst mal nix kommuniziert