VLAN auf Switch

Im Allgemeinen belaesst man die Geraete im Management VLAN und schiebt die anderen Geraete in neue. Zugriff drauf hat man dann entweder uebers Routing oder Dein Frontend hat entsprechende VLAN-Interfaces (muss man meist am Switch freischalten).

Was ich bei Dir noch nicht so rausgelesen habe, ist der Router, der zwischen den VLANs routen soll. Sonst kannst Du Dir gleich zwei tumbe Switches hinstellen, das ist billiger und besser zu verwalten.
VLANs setzt man normalerweise ein, um Switch-Switch-Verbindungen fuer mehrere Netzwerke nutzen zu koennen, ohne dass es zu einem "Uebersprechen" kommen kann.

uwe

Moin,

was für ein Switch? Layer 2 oder 3? Was für ein Router ist im Einsatz?
Mit z.B. einer Fritzbox kannst Du hier nur sehr wenig anfangen weil sie mit V-Lans nichts anfangen kann.
Es wäre maximal eine Separation zwischen WLAN und Gastnetz möglich. Dazu müßtest Du Port 4 der Fritte als Gastnetz definieren.

Fritte --> LAN 4 --> Switch untagged VID 30
Fritte --> LAN 1 --> Switch untagged VID 10
die Ports 2 & 3 sind intern mit Port 1 als Switch verbunden.

Aus eigener Erfahrung: pfSense eignet sich hervorragend als Router. Hier findest Du mehr:
VLAN Installation und Routing

-teddy

Ich kann mich umaier nur anschließen. Lass alles was Dein Netz ist im default VLAN.

Ich nehme jetzt mal an, dass Deine Firewall das Routing übernehmen soll. Dort hast Du dann zwei Möglichkeiten.
1. Firewall kann VLANs taggen
Dann ist es ausreichend, alle VLANs auf einem Port des Switches zu konfigurieren, an den dann die Firewall angeschlossen wird. Natürlich muss dann auch auf der Firewall der Port und die VLANs entsprechend eingerichtet werden. Das wäre die von umaier angesprochene "Switch zu Switch Verbindung".
2. Firewall kann keine VLANs taggen
Hierbei müsstest Du alle VLANs auf separaten Ports des Switches untagged konfigurieren. Alle Ports werden dann mit der Firewall verbunden. Hierfür muss Deine Firewall jedoch genügend Ports haben, die frei den virtuellen Netzwerken zugeordnet werden können (untagged).

Scheibe am Besten mal, was Du für Hardware verwenden möchtest.
Weiterhin ist mir noch unklar, ob Du überhaupt VLAN benötigst. Mal doch mal auf, wie es später aussehen soll und welche Endgeräte welche Netze benötigen.

Ich schließe mich da umaier und saxman2k an, VLAN macht im privaten Umfeld eher viel Arbeit aber wenig Gewinn. Es gibt m.E. nur einen Fall wirklich sinnvoll und notwendig ist, um Multicast Traffic vom normalen Netzwerk abzutrennen. Z.B. wenn man T-Home Entertain im ganzen Haus bzw. Wohnung wahlfrei empfangen möchten und nicht nur direkt am Speedport bzw. Fritz!Box.

Hier eine beispielhafte Erläuterung: [iptv] Vertrags & Konfigurationsdetails T-Home Entertain

Für die logische Trennung von Netzwerken wurden Sub-Netze erfunden, was Router mit Guest-WLAN z.B. ja ohne weiteren Konfigurationsaufwand schon machen. Das Default Netz einer Fritzbox ist z.B. 192.168.178.0/24, das des Guest-WLANs ist hingegen 192.168.179.0/24 und in der Firewall sind nur die Ports offen die man für http(s) und eMail benötigt. IIRC funktioniert das ähnlich bei Geräten anderer Hersteller.

Regards
fnu

Moin,

Zitat von fnu

Ich schließe mich da umaier und saxman2k an, VLAN macht im privaten Umfeld eher viel Arbeit aber wenig Gewinn.

soll jeder sehen wie er möchte, ich möchte nicht mehr darauf verzichten. Klar es ist ein wenig Aufwand sich einzuarbeiten, aber das ist doch bei fast jeder "neuen" Technik der Fall.
Kinder hängen im eigenen VLan, Spielekonsolen können die Dateifreigaben nicht durchforsten und keine Informationen über die restliche Topologie nach Hause telefonieren, Gäste VLan mit beschränkten Internetzugang, VLan für Fernwartung,... Ein infiziertes Gerät sähe somit immer nur ein Teilnetz ohne Zugang zum Management VLan.

Dieser Sicherheitsgewinn ist es mir wert, wenn noch etwas dabei lerne umso besser.
Ich bin gespannt wieviel private Netze in nächster Zeit, durch verpfuschte Implementationen irgendwelcher Netzwerktechniken für Smart Home, mit heruntergelassenen Hosen im internet stehen werden... von verpfuschten Routern ganz zu schweigen, Hauptsache billig.

-teddy

Die Vlans einzurichten ist darüber aber das leichtere, aber die Firewall (die dadurch nötig wird) richtig einzurichten wird deutlich aufwendiger

Moin,

yep, da hast Du recht, aber so schlimm finde ich das nicht, pfSense ist da imho sehr gut bedienbar, einen Mikrotek Router fand ich deutlich verwirrender

-teddy

Aber sehr viel umfangreicher (und vor allem fehleranfälliger) als Vlans anzulegen.

Moin,

natürlich, wenn ich so gut wie keine sinnvollen Regeln anlagen kann wie bei der Fritte kann ich natürlich auch kaum Fehler machen, außer eine Fritte genommen zu haben .

-teddy

Mit der Fritte kann man auch kaum 3 Netze regeln, wobei mir noch nicht ganz klar ist, warum man für ein Gastnetz ein Vlan braucht (dann eher Unify APs oder besser), gute APs händeln verschiedene Netze gleichzeitig.

Moin,

und wie bekommst Du bei Unifi die verschiedenen Netze zum AP? Meiner hat nur einen LAN Port. Am leichtesten per VLan Es nützt mir absolut nix nur verschiedene SSIDs auszustrahlen und das intern wieder ins gleiche Netz zu knödeln. Seit etwa einer Woche hängt hier ein UbiQuiti UniFi AP, AC LITE, Vorher hat ein Archer C7 mit OpenWRT die Aufgabe gehabt.

Für ein Gastnetz brauchst Du natürlich kein VLan, auch 20 Netze gehen ohne VLan, alles eine Frage der Verkabelung , ich fand es leichter, die beiden Switche mit nur 2 Leitungen zu verbinden und die beiden per LACP zu verknoten. 2Gbit Gesamtdurchsatz zwischen den Switchen reichen mir.
Der AP bei mir soll nur die SSIDs abstrahlen und zu den zugehörigen VLan brücken, Rest macht pfSense als Router.

-teddy

Zitat von magicteddy

soll jeder sehen wie er möchte, ich möchte nicht mehr darauf verzichten.

Natürlich, ich halte es wie erwähnt für überflüssig, Du eben nicht.

Nur eines sollte klar sein, nur der Einsatz von VLANs erhöht nicht die Sicherheit. Diese fängt zu allererst bei Menschen an, man muss etliches beachten, kompromisslos konfigurieren und das Wichtigste, diszipliniert nutzen. Ansonsten ist es den Aufwand nicht wert und die Sicherheit trügerisch.

Bei mir kommen z.B. keine Gäste in mein LAN, nur in ein abgetrenntes WLAN ...

Regards
fnu

Zitat von fnu

Bei mir kommen z.B. keine Gäste in mein LAN, nur in ein abgetrenntes WLAN ...

Und da reicht bereits die Fritzbox
Bei den Unify kann man auch ein Gastnetz einrichten (eigener IP-Bereich) und per Voucher nicht nur die Zeit regeln, sondern auch Datenmenge und Bandbreite begrenzen

Zitat von sewn4

Das würde für mich zum weiteren Vorgehen heißen ich belasse meinen Switch auf dem VLAN1 für das Management sowie das interne LAN.

Willst Du Sicherheit per VLAN erreichen, ist die erste Regel, kein VLAN1 mehr. VLAN1 entspricht dem Standard-Segment in Netzwerken ...

Regards
fnu

Moin,

VLan 1 ist mein Management VLan dort sind nur Geräte der Infrastruktur des Netzes zu finden.

Dann kommen die VLan 10,20,...
Ob Du statt VLan 1 VLan 15 für das Management benutzt ist Deine Entscheidung ein Sicherheitsgewinn ist damit nicht verbunden.
VLan 1 ist halt das default VLan. Da bei vielen Switchen ab Werk sowohl tagged als auch untagged Pakete akzeptiert werden hast Du sofort Zugriff auf das Management eines neuen Gerätes solange auch die Adresse zum Netz passt.

-teddy