Je nach den Anforderungen der Produkte und den Möglichkeiten der mitgelieferten Apps kann man unterschiedliche Lösungen umsetzen.
Ein Netzwerk ohne Firewall zu betreiben, ist heutzutage wohl nicht mehr denkbar, und auch kaum möglich. Schon der einfachste Router hat eine Firewall integriert.
Zusätzlich zu Firewall, Router und VLAN würde ich noch folgende Techniken berücksichtigen: Private VLAN und Port/AP-Isolation.
Grundsätzlich wäre es kein Problem, für jede Anwendung ein eigenes VLAN zu erstellen: Eines für Drucker, eines fürs Energiemanagement, eines fürs Soundsystem etc. Das Problem sind aber meist die mitgelieferten Apps. Diese bieten oft nicht die Möglichkeit, Geräte per Hostname oder IP-Adresse hinzuzufügen sondern suchen per Broadcast (IPv4)/Multicast (IPv6) ausschließlich im selben IP-Netz nach Geräten (Broadcast Domain). Jedoch ist jedes VLAN auch ein eigenes IP-Netz. Somit kann das Handy im VLAN 1 die Lautsprecher im VLAN 2 nicht automatisch finden. Beim Drucker ist das normal kein Problem, den kann man manuell per Hostname hinzufügen, aber viele IoT-Apps unterstützen das nicht. Ich hatte das Problem beispielsweise bei meinen Fernsehern. Anderes Subnetz → keine Kommunikation möglich.
Wenn man nur Geräte hat, welche nicht untereinander kommunizieren müssen, sondern lediglich mit den Smartphones/PCs, würde Port-Isolation bzw. Access Point Isolation genügen. Port Isolation nutzt man bei kabelgebundenen Netzwerken (Switches): Aktiviert man für mehrere Geräte Port-Isolation, können diese nicht untereinander kommunizieren, sondern nur mit Geräten, bei denen Port-Isolation nicht aktiviert ist. Somit kann die PV-Anlage (Isolation aktiviert) nicht mit dem Drucker (Isolation aktiviert) kommunizieren und umgekehrt, beide aber mit dem PC (Isolation deaktiviert).
Problematisch wird es, wenn man nun Geräte hat, die zwar untereinander kommunizieren dürfen, aber nicht mit Geräten in einer anderen Gruppe. Wenn beispielsweise die Lautsprecher untereinander kommunizieren dürfen, und auch mit dem Handy, aber nicht mit dem Drucker.
Hierfür kann man Private VLANs (PVLAN) einsetzen. Diese sind Untergruppen von VLANs und haben kein eigenes IP-Netz. Sie können innerhalb des eigenen PVLANs kommunizieren, nicht aber mit anderen PVLANs.
Je nach Hersteller werden diese Bezeichnungen leider etwas unterschiedlich verwendet. Also besser genau in der Doku nachlesen, was damit gemeint ist. Manchmal ist Port Isolation und PVLAN dasselbe, manchmal nicht. Ich selbst nutze OPNsense mit VLANs und Cisco Switches PVLANs und Port Isolation. Allerdings liegen die User-Endgeräte bei mir in einem eigenen VLAN; ich nutze keine Apps, die das manuelle Hinzufügen nicht unterstützen. Und PVLANs nutze ich für die Switch-übergreifende Port Isolation, sodass alle Nicht-Endgeräte in einem eigenen VLAN sein können. Also ein etwas anderes Szenario als du es hast.
Unsicher bin ich mir, inwieweit PVLANs von Access Points unterstützt werden. Wenn alles per Kabel angebunden ist, würde es klappen, aber ob das auch mit WLAN geht, bin ich mir nicht sicher.
Ein gänzlich anderer Lösungsweg wäre zu versuchen, alle Gerätegruppen in ein eigenes VLAN zu stecken und die Broadcasts/Multicasts irgendwie weiterzuleiten. Ob und wie das funktionieren würde, da bin ich leider überfragt.
Das alles ist natürlich ein großer Aufwand. Ob der dafürsteht oder nicht, kannst nur du selbst entscheiden. Ausgelegt sind Consumer-Produkte meist darauf, dass alles im selben IP-Netz/VLAN ist, und somit funktionieren sie dann eben am besten. Wenn dir das zu heikel ist, du aber keinen all zu großen Aufwand betreiben willst, dann finde ich den Vorschlag von frank_m super. Ansonsten: Dich in die von mir genannten Techniken einlesen, Hardware anschaffen, und viel ausprobieren. Oder auf Consumer-IoT-Geräte verzichten und Business-Geräte kaufen. 😉
)
