Netzwerk
-
in ein eigendes Netzwerk packen
warum möchtest du das? aus sicherheit?
du verlässt halt dann den consumer pfad und musst dich intensiv mit netzwerkmanagement auseinandersetzen, das ein router eigentlich nicht nur ein router ist, sondern auch ein switch und ein access point, funktionen eines tcp/ip netzwerks layer 2 und 3, für ip4, idealerweise auch für ip6wenn du das aus der sicht von sicherheitsgewinn machen möchtest, dann musst du dich ggfs auch mit firewall auseinandersetzen, weil du ggfs. bestimmte geräte nicht mehr mit dem internet reden lassen möchtest. die in den consumer geräten eingebaute firewall ist eigentlich nur für die begrenzung des verkehrs von draussen nach drinnen konfiguriert. oberfläche zum selber konfigurieren gibt es meist nicht.
wenn nicht alle geräte im 2. netzwerksegemnt eine feste ip haben, dann wirst du einen 2.dhcp benötigen, der die ip-adressen für das 2.netzwerksegment vergibt. consumergeräte können das meines wissens nicht. ip-adressen für 2 netzwerksegmente zu vergeben
geräte in unterschiedlichen netzwerksegmenten können standardmäßig nicht miteinander kommunizieren. pakete leitet ein router nur innerhalb eines netzwerksegments oder nach upstream weiter. wenn du bspw möchtest, das deine geräte mit iobroker im anderen segment kommunizieren können musst du eine route am router des 2. segments einrichten bzw. je nachdem wo du planst den iobroker zu platzieren (1. oder 2. segment)
die frage mit was du beginnen sollst, wäre dann erst einmal mit netzwerkplanung zu beantworten. also erst einmal bestimmen, welches gerät in welchem netzwerksegment sich befinden soll. welches gerät in welchem fall mit welchem anderen gerät oder internet kommunizieren kann oder nicht und dann davon abgeleitet, welche konfigurationen du dann zu welchem zweck du auf welchem gerät vornehmen musst.
und ich würde das wirklich aufschreiben bzw. auch änderungen nachziehen, da du meist nach kurzer zeit schon nicht mehr weißt warum du was wo konfiguriert hast (insbesondere bei firewall) -
Da du ja bereits UniFi einsetzt und vielleicht bereits mit dem Controller auskennst, empfehle ich einen UCG ultra Router von UniFi.
Da kannst du vlan aufziehen und Geräte separieren. Falls du die Fritte als Telefonanlage benötigst, kannst du sie in eines der Netzwerke integrieren.
-
Hi, da du schon Unifi Hardware verbaut hast, empfehle ich, um es so einfach wie moeglich zu machen:
- Ersetze den Zyxel Switch mit einem von Unifi
- Hol dir eine UDM Pro
Deine Fritzbox wird dann zum Modem degradiert, entweder kann Sie in den BridgeMode gebracht werden und wenn nicht, dann haengst du den UDM Pro hinter die Fritzbox. Das Wifi der Fritte schaltest du am besten aus.
Mit der UDM Pro kannst du relativ einfach (auch da muss man sich einlesen) mehrere Netzwerke und Vlans erzeugen und einfach verwalten.Aber bevor du jetzt shoppen gehst, mach dir erstmal einen Plan, welche Geraete wirklich kein Internet brauchen und isoliert werden sollen, wie diese angeschlossen sind (Kabel oder Wifi) und mal dir das mal auf.
Wenn du das zusammen hast, dann siehst du ja, wo du noch welche Hardware brauchst.
Ich habe bei mir z.Bspl ein Vlan fuer Multimedia(TV's, Amazon Echos, und alles was sonst noch so lauscht und Internet braucht).
Eins fuer Security (alles verkabelt), da sind die Kameras, Schloesser und meine beiden Synos drin. Internet und Netzwerk ist isoliert, nur die Synos duerfen raus auf einem Port.
Eins fuer iot(Kabel und Wifi 2,4Ghz) , da ist alles was lokal bleibt, also Shellys, Tasmotas, iobroker, ein paar VMs, die Tablets und was man noch so hat..
Zwei fuer unsere Arbeitsrechner, die sind auch isoliert von allem und verkabelt.
Ein Vlan fuer Gaeste, ist nur bei bedarf aktiv, auch isoliert und limitiert.
Ein Vlan fuer unsere Smartphones und Ipads. (Wifi 5Ghz)
Bewegungsmelder, Sensoren und viele Leuchten sind per Zigbee eingebunden. -
@wosa Die Fritzbox unterstützt leider keine VLANs. Von da her braucht man für kabelgebundenes Netzwerk Managed Switches, und für WLAN Access Points, die VLAN unterstützen.
Ein zweites Netzwerk in Form des Gast-Netzes existiert zwar, aber da dürfen die Clients untereinander nicht kommunizieren soweit ich weiß.
-
Alle Geräte hängen im gleichen Netzwerk. Im Zuge des Austausches der Fritzbox, möchte ich die Smart Home Geräte in ein eigendes Netzwerk packen.
wie die Vorposter sagten - für eine "Separierung" brauchst du entweder VLANs, oder separate Netze bzw. Netzinterfaces etc. - nur mit der Fritzbox nicht zu machen.
Aber - wenn es erstmal nur ums "Sortieren" geht, z.B. um ggf. nachgelagert einfachere Firewallregeln nutzen zu können - das geht mit "etwas Mühe" auch mit der Fritzbox. Dazu muss deren IP-Bereich erweitert werden - per Default ist die Netzmaske dort "255.255.255.0" (und der IP-Bereich irgendwo in einem /24 - 192.168.178.0/24, glaube ich).
Setzt du bei der Netzmaske z.B. "255.255.254.0" ein, kannst du deinem IOT-Kram ein "eigenes" Netz in 192.168.179.0 zuweisen. Das allerdings bei der Fritzbox nur "zu Fuss" in deren UI, also jedes Gerät mit MAC anmelden, und eine "feste DHCP-Adresse" aus dem "neuen" Netz eintragen.
Allerdings - bei u.a. "40 Shellys" artet das in Arbeit aus
-
192.168.179.0/24
Ist standardmäßig bei der Fritte als Gastnetzwerk vorkonfiguriert.
-
@meister-mopper sagte in Netzwerk:
192.168.179.0/24
Ist standardmäßig bei der Fritte als Gastnetzwerk vorkonfiguriert.
ah, gut zu wissen; dann halt die Netzmaske weiter öffnen (252 / /22), und 192.168.176.0/24 nehmen...
-
dann halt die Netzmaske weiter öffnen (252 / /22), und 192.168.176.0/24 nehmen...
Ich bin der Meinung, dass diese Erläuterung nicht jeder versteht, weil "Netzwerken" etwas Spezielles ist. Kannst du es konkretisieren?
Was muss da wie geöffnet werden?
-
@meister-mopper sagte in Netzwerk:
dann halt die Netzmaske weiter öffnen (252 / /22), und 192.168.176.0/24 nehmen...
Ich bin der Meinung, dass diese Erläuterung nicht jeder versteht, weil "Netzwerken" etwas Spezielles ist. Kannst du es konkretisieren?
Was muss da wie geöffnet werden?
sorry, war auf meinen ursprünglichen Reply gemünzt - in der Fritzbox gibt es unter "Netzwerkeinstellungen" die Möglichkeit, das Standard /24-Netz (192.168.178.0) durch Ändern der ebenfalls dort zu ändernden Netzmaske zu "vergrössern". Also eben z.B. durch Ändern der Default-Maske 255.255.255.0 => 255.255.252.0. Dadurch wird der "IP-Adressbereich" grösser, und man kann in dem Fall z.B. verwenden
192.168.176.0/24 192.168.177.0/24 192.168.178.0/24 192.168.179.0/24 -
Subnetting ist kein Vlan und trennt rein garnichts. Damit vergroesserst du nur die Anzahl der erreichbaren Devices, sonst nichts.
Kann man machen, um es ordentlicher zu haben, hat aber mit Routing und Sicherheit etc nix absolut garnix zu tun.Natuerlich kann er ein /23 aufmachen anstatt das uebliche /24 und hat damit 255 Devices mehr, ein Range mehr, aber das gibt kein bischen Sicherheit.
-
@meister-mopper sagte in Netzwerk:
dann halt die Netzmaske weiter öffnen (252 / /22), und 192.168.176.0/24 nehmen...
Ich bin der Meinung, dass diese Erläuterung nicht jeder versteht, weil "Netzwerken" etwas Spezielles ist. Kannst du es konkretisieren?
Was muss da wie geöffnet werden?
Es wird nix geoeffnet, es wird nur der Adressierbare Bereich erweitert, ein /24 hat die Range bei der Fritte 192.168.178.1 bis 192.168.178.255, bei Subnet 255.255.255.0 (was /24 ist), ein /23 waere eine Subnet 255.255.254.0 und ergaebe dann den Bereich 192.168.178.1 bis 192.168.179.255 (vorsicht, bei aktivierten Gastnetz belegt die Fritte den 179er bereich, dann muss man den Default aendern, den Gastbereich kann man nicht aendern).
-
@neuschwansteini sagte in Netzwerk:
Subnetting ist kein Vlan und trennt rein garnichts. Damit vergroesserst du nur die Anzahl der erreichbaren Devices, sonst nichts.
genau das habe ich oben geschrieben - und dies als einfachere Möglichkeit der "Vorsortierung" genannt. "Einfacher" hier halt "mit der vorhandenen Hardware"
Kann man machen, um es ordentlicher zu haben, hat aber mit Routing und Sicherheit etc nix absolut garnix zu tun.
genau, und hat keiner behauptet!
Zitat: "wie die Vorposter sagten - für eine "Separierung" brauchst du entweder VLANs, oder separate Netze"Natuerlich kann er ein /23 aufmachen anstatt das uebliche /24 und hat damit 255 Devices mehr, ein Range mehr, aber das gibt kein bischen Sicherheit.
-
@neuschwansteini
Ja, geöffnet war die falsche Bezeichnung, erweitert wäre treffender gewesen
.Eine Kommunikation ausschließlich über Schrift ist aber auch echt schwierig, weil dabei viel zu wenig Informationen übermittelt werden
-
ja, der TE wird jetzt von unseren Fachsimpeleien erschlagen sein, und sich denken.. lass es, wie es ist..
Ich koennt jetzt noch mehr einbringen, was man alles machen kann( Stichwort Unifi Security-Zones), aber dann ist die Verwirrung perfekt..
@Meister-Mopper rischtisch!
Es endet immer in:
- Devices aufschreiben, was soll seperiert werden, braucht es Internet, was muss drauf zugreifen
- aus dieser Liste dann Netzwerke benennen
- Schauen, was man schon an Hardware/Software hat, um es umzusetzen
- erstmal mit einem Host und einem Netz testen
- wenn alles klappt, wie es soll, dann alles umstellen
- Firewall einrichten und Konfigurieren
- Doku nicht vergessen
Man kann noch so vieles machen..
-
@meister-mopper sagte in Netzwerk:
Eine Kommunikation ausschließlich über Schrift ist aber auch echt schwierig, weil dabei viel zu wenig Informationen übermittelt werden
Ja, vielleicht sollten wir einen Video-Support-Channel aufmachen..
-
@neuschwansteini sagte in Netzwerk:
ja, der TE wird jetzt von unseren Fachsimpeleien erschlagen sein, und sich denken.. lass es, wie es ist..
...ich wollte eigentlich nur "vereinfachen" - um den ersten Antworten mit "tcp/ip netzwerks layer 2 und 3" und "UDM sowieso" etwas entgegen zu setzen...
-
Ihr könnt gerne alle weiter philosophieren und Euch gegenseitig korrigieren, aber ich denke bis hier dürfte das den TO lt. den Beschreibungen in seinem Eingangspost mehr abschrecken als das es ihn aufklären wird. Wer bisher ausschließlich auf dem Consumerzweig unterwegs war, könnte ich mir vorstellen, dass noch nicht mal alle bisher verwendeten Begrifflichkeiten bekannt sind.
@WoSa
Solltest Du Dich bisher mit Themen wie VLAN bzw. Routings zwischen diesen etc. noch nie beschäftigt haben, ist die Lernkurve sicher nicht unmöglich aber extrem steil. Zudem kommen mit einer UDM Pro und anderem (Unifi-)Switch mehrere Hundert Euro kosten auf Dich zu. Das muss man wollen und können.Dazu kommt dann noch, dass die Geräteverwaltung nicht mehr auf dem bekannten Unifi Controller läuft, sondern dann direkt auf der UDM. Heißt also auch da neu machen bzw. neu einarbeiten.
Dir hat auch noch keiner verraten, dass die Empfehlungen von UDM/UCG letztlich bedeuten die Fritzbox dadurch zu ersetzen. Zumindest als Router, so wie Du ihn bisher kennst und wahrnimmst. Dazu muss man die Geräte auch dazu bringen direkt am Glasfaseranschluss zu funktionieren.
Damit habe ich gerade mit einem USG4 Pro zweimal in Folge Schiffbruch erlitten bei von mir betreuten Installationen. Es kommt nämlich extrem dabei auf den Provider an. Behältst Du die Fritzbox vorne am Anschluss hätte das eine sog. Router-Kaskade zur Folge incl. deren Management. Funktioniert auch (unter anderem bei mir) wunderbar wenn man weiß was man tut, ist aber gar nichts für einen Einsteiger.
-
@meister-mopper sagte in Netzwerk:
Ist standardmäßig bei der Fritte als Gastnetzwerk vorkonfiguriert.
Ich weiß nicht, wie ich den Satz hier verstehen soll
Geräte im Gast- und Heimnetz sind vollständig voneinander getrennt und erhalten keinen Zugriff auf Geräte im jeweils anderen Netz.
Im normalen WLAN gibt es den Punkt "Aktive WLAN-Geräte dürfen untereinander kommunizieren"
Für das Gastnetz findet man
Hinweis:Alle Geräte im Gastzugang/Hotspot erhalten das Zugangsprofil „Gast“. Dieses können Sie im Bereich „Internet > Filter > Zugangsprofile“ bearbeiten, um beispielsweise einen Zeitraum festzulegen, wann Ihre Gäste das Internet nutzen dürfen oder um bestimmte Internetseiten zu sperren.
Aber auch da kann man nicht einstellen, dass die im Gastnetz befindlichen Geräte UNTEREINANDER kommunizieren können. Damit unbrauchbar für Smart-Home als zweites Netz
-
Das Fritzbox Gastnetz ist im allgemeinen unbrauchbar für Smarthome da man nicht gezielt einzelnen Geräten einen Übergang ins normale Netz erlauben kann. Auch nicht vom Himenetz ins Gastnetz
Konkret:
Shellies im Gast Netz OK
Fernseher im Gast Netz ? Dann kann er nicht auf diene Fileserver zugreifen.
Fernseher im Normalnetz?
ioBroker Host im Gastnetz ? Dann erreicht er nicht den Fernseher udn kann kein Backup auf den Filserver legenSolange man da keine gezielten kleinen Löcher konfigurieren kann ist das Gastnetz was für Gäste / Besucher die ins Internet wollen. Oder ein paar iot Geräte die ausschließlich via Cloud reden
