vlan, firewall beides notwendig? (Heimnetzwerk)

Fritzbox kann keine vLAN

Da gibt es nur Haupt und Gastnetz

Da müsstest dann schon auf andere Hardware setzen, OpenWRT Router oder sowas in richtung Unifi

Was soll die Firewall bezwecken? Deine Solaranlage wird die Sonos Lautsprecher eh nicht kontaktieren, einfach, weil sie so selten Musik abspielt.

Zitat von Homwer

Das Handy im WiFi braucht aber Zugang zu allen dreien.

Geräte, die sich gegenseitig im LAN erreichen können müssen, kommen in ein VLAN und werden auch nicht weiter getrennt. Der Aufwand - vor allem für die spätere Pflege - wäre für den Nutzen einfach zu hoch. Außerdem können die meisten Router das nicht - da muss man schon zu recht komplexen Modellen greifen.

Geräte, die man wirklich abschotten will, kommen in ein eigenes VLAN. Das heißt dann aber auch: Kein Zugriff über LAN, wenn überhaupt, dann nur über ein Web-Portal oder eine App, die der Hersteller des jeweiligen Gerätes anbietet. Es macht keinen Sinn, erst VLANs zu bauen und dann wieder Routen über VLAN Grenzen hinweg zu bauen - dann kann man es auch gleich sein lassen.

Mehr als 3 VLANs machen auch selten Sinn: Das Hauptnetz, ein Gast-Netz (für wirkliche Gäste) und ein IOT Netz für chinesisches Spielzeug, das man nicht im Hauptnetz haben möchte. Wenn der Router nicht drei Netze unterstützt (wie die Fritzbox), dann sperrt man die Besucher und das chinesische Spielzeug ins Gast-Netz zusammen ein.

Mit einem richtigen Router ist es überhaupt kein Problem, jedem Gerät bzw. jeder Gerätegruppe ein eigenes W/VLAN und IP-Netz zu geben und trotzdem vom Heimnetz darauf zuzugreifen und die Geräte selektiv ins Internet zu lassen. Die Firewall ist stateful und kann unterscheiden, ob das Gerät etwas im Heimnetz kontaktieren will, oder etwas aus dem Heimnetz auf das Gerät will. Nur die Komfortfunktionen mit Broadcasts (z.B. mDNS) funktionieren nicht, wenn die Geräte in verschiedenen Netzen sind. Wie fein du das aufteilen möchtest, hängt nur davon ab, wie paranoid du bist.

Je nach den Anforderungen der Produkte und den Möglichkeiten der mitgelieferten Apps kann man unterschiedliche Lösungen umsetzen.

Ein Netzwerk ohne Firewall zu betreiben, ist heutzutage wohl nicht mehr denkbar, und auch kaum möglich. Schon der einfachste Router hat eine Firewall integriert.

Zusätzlich zu Firewall, Router und VLAN würde ich noch folgende Techniken berücksichtigen: Private VLAN und Port/AP-Isolation.

Grundsätzlich wäre es kein Problem, für jede Anwendung ein eigenes VLAN zu erstellen: Eines für Drucker, eines fürs Energiemanagement, eines fürs Soundsystem etc. Das Problem sind aber meist die mitgelieferten Apps. Diese bieten oft nicht die Möglichkeit, Geräte per Hostname oder IP-Adresse hinzuzufügen sondern suchen per Broadcast (IPv4)/Multicast (IPv6) ausschließlich im selben IP-Netz nach Geräten (Broadcast Domain). Jedoch ist jedes VLAN auch ein eigenes IP-Netz. Somit kann das Handy im VLAN 1 die Lautsprecher im VLAN 2 nicht automatisch finden. Beim Drucker ist das normal kein Problem, den kann man manuell per Hostname hinzufügen, aber viele IoT-Apps unterstützen das nicht. Ich hatte das Problem beispielsweise bei meinen Fernsehern. Anderes Subnetz → keine Kommunikation möglich.

Wenn man nur Geräte hat, welche nicht untereinander kommunizieren müssen, sondern lediglich mit den Smartphones/PCs, würde Port-Isolation bzw. Access Point Isolation genügen. Port Isolation nutzt man bei kabelgebundenen Netzwerken (Switches): Aktiviert man für mehrere Geräte Port-Isolation, können diese nicht untereinander kommunizieren, sondern nur mit Geräten, bei denen Port-Isolation nicht aktiviert ist. Somit kann die PV-Anlage (Isolation aktiviert) nicht mit dem Drucker (Isolation aktiviert) kommunizieren und umgekehrt, beide aber mit dem PC (Isolation deaktiviert).

Problematisch wird es, wenn man nun Geräte hat, die zwar untereinander kommunizieren dürfen, aber nicht mit Geräten in einer anderen Gruppe. Wenn beispielsweise die Lautsprecher untereinander kommunizieren dürfen, und auch mit dem Handy, aber nicht mit dem Drucker.

Hierfür kann man Private VLANs (PVLAN) einsetzen. Diese sind Untergruppen von VLANs und haben kein eigenes IP-Netz. Sie können innerhalb des eigenen PVLANs kommunizieren, nicht aber mit anderen PVLANs.

Je nach Hersteller werden diese Bezeichnungen leider etwas unterschiedlich verwendet. Also besser genau in der Doku nachlesen, was damit gemeint ist. Manchmal ist Port Isolation und PVLAN dasselbe, manchmal nicht. Ich selbst nutze OPNsense mit VLANs und Cisco Switches PVLANs und Port Isolation. Allerdings liegen die User-Endgeräte bei mir in einem eigenen VLAN; ich nutze keine Apps, die das manuelle Hinzufügen nicht unterstützen. Und PVLANs nutze ich für die Switch-übergreifende Port Isolation, sodass alle Nicht-Endgeräte in einem eigenen VLAN sein können. Also ein etwas anderes Szenario als du es hast.

Unsicher bin ich mir, inwieweit PVLANs von Access Points unterstützt werden. Wenn alles per Kabel angebunden ist, würde es klappen, aber ob das auch mit WLAN geht, bin ich mir nicht sicher.

Ein gänzlich anderer Lösungsweg wäre zu versuchen, alle Gerätegruppen in ein eigenes VLAN zu stecken und die Broadcasts/Multicasts irgendwie weiterzuleiten. Ob und wie das funktionieren würde, da bin ich leider überfragt.

Das alles ist natürlich ein großer Aufwand. Ob der dafürsteht oder nicht, kannst nur du selbst entscheiden. Ausgelegt sind Consumer-Produkte meist darauf, dass alles im selben IP-Netz/VLAN ist, und somit funktionieren sie dann eben am besten. Wenn dir das zu heikel ist, du aber keinen all zu großen Aufwand betreiben willst, dann finde ich den Vorschlag von frank_m super. Ansonsten: Dich in die von mir genannten Techniken einlesen, Hardware anschaffen, und viel ausprobieren. Oder auf Consumer-IoT-Geräte verzichten und Business-Geräte kaufen. 😉

Zitat von NaN

Nur die Komfortfunktionen mit Broadcasts (z.B. mDNS) funktionieren nicht, wenn die Geräte in verschiedenen Netzen sind.

der WAF ist halt auch null wenn der drucker erst mit ip adresse konfiguriert werden muss und nicht automagisch gefunden wird.

Zitat von Homwer

IOT Spielzeuge aber gerne ihre Daten im HomeAssistant abgeben.

dann den HA zusätzlich ins IoT-VLAN hängen. falls zur administration notwendig kann man sich dann ja bei bedarf ins IoT-VLAN-WLAN mit dem smartphone einbuchen.

selbiges könnte man zb auch mit druckern machen, diese in ein VLAN einsperren und über einen CUPS im normalen VLAN verfügbar machen.

wenns aber wirklich nur ums nach hause telefonieren geht, warum nicht per DHCP statische IPs verteilen und die dann in der firewall ausgehend sperren? oder in einem pi-hole die phösen domains blocken?

ich halte es pragmatisch, auf alles was man so normalen zugriff haben will kommt ins normale VLAN (drucker, scanner, mufu, nas, brüllwürfel, …), das ganze IoT gelumpe auf das die mitbewohner keinen direkten zugriff haben sollen in ein eigenes (kameras, sensoren, heizungssteuerung, …).

Wenn ich Dir einen Tipp geben darf: Lass die VLAN-IDs lieber ≤127 sein. Es gibt einige günstige Managed-Switches, die sonst Probleme machen. Und gerade im Heimnetzwerk trifft man so eine Hardware vielleicht eher an.

Manche Geräten haben sehr niedrige IDs auch fix für spezielle Zwecke reserviert. Von 1-3 würde ich persönlich ebenfalls die Finger lassen. Bleib also lieber im 10-120 Bereich, wenn Du zukünftig Probleme vermeiden möchtest.

VLAN-IDs später im laufenden Betrieb ändern ist echt nicht lustig, egal wie gut man es plant und automatisiert. Ich spreche da aus Erfahrung

Zitat von Homwer

Derzeit können die Nutzer aus vlan 100 nicht auf den Drucker in 200 zugreifen - doch können Sie, aber nicht über AirPrint.

Das ist genau das Problem, dass oben angesprochen wurde. AirPrint nutzt mDNS Dienste, also Multicast. Das klappt nicht über VLAN Grenzen hinweg. Fang jetzt nicht mit Multicast-Proxys und ähnlichen Dingen an. Dann sind wir wieder oben: Der Aufwand für Einrichtung und Wartung (!) rechtfertigt den Gewinn in keiner Weise, denn gerade der Gewinn der VLANs (Segmentierung der Broadcast-Domains) wird dadurch massiv eingeschränkt.

Hatte mir anfangs mit Opensense und auch testweise mal openwrt mein LAN aufgebaut, war mir aber alles zu wild das ich dann am Ende von AVM zu Ubiquiti gewechselt hab. Dort kann man mit paar tricks auch das mdns VLAN übergreifend hinbekommen. Schätze wenn du genug sucht wirst du auch ne möglichkeit finden das mit OPNSense zu realisieren.

btw falls noch wer nen mini pc mit nem j4125 gebrauchen kann hätte da einen rumfliegen

puh findet man auch nicht viel zu diesem anbieter.

was hast bisher versucht?

-----

- DHCPv6

- Request only an IPv6 prefix - aktiv
- Prefix delegation size - 56
- Send IPv6 prefix hint - aktiv
- Use IPv4 connectivity - aktiv

Das hatte bei mir damals funktioniert (allerdings Telekom)