Aufbau Praxisnetzwerk mit Fragen (TI, Switch, Firewall, VoIP, Netzwerkdesign)

Hallo,

ich bin neu hier, aber habe hier schon sehr lange im Forum mitgelesen bzw. mich schlau gemacht und finde diese Plattform einfach super – muss ich einfach mal gesagt haben

Ich möchte in einer Arztpraxis ein neues Netzwerk realisieren und habe zwar auch Support von einem Versorger, jedoch bin ich in letzten Projekten immer wieder enttäuscht worden, was die Umsetzung anging und dass keiner der Mitarbeiter eine wirkliche Ahnung hatte, daher möchte ich selbst nun mal federführend das ganze planen. Die Ausführung werde ich dann wohl mit Unterstützung machen, aber habe keine Lust auf „Verkonfigurierung“...

Folgender Aufbau ist geplant:
- Server mit Anbindung 2* 10GbE. Windows Server 2019 soll als Hypervisor laufen mit 2-3 VMs: einmal Server 2019 als DC (DHCP, DNS, AD usw.), einmal interne Software (Win 10), und noch einmal Win 10 für Zugriff von außen über VPN
- Backuplösung: NAS mit 10GbE, täglich inkrementelle Sicherung und 1x die Woche Vollbackup. Dazu zeitversetzt die Backups vom NAS auf Cloud
- Firewall soll eine separate pfSense Kiste sein
- Switch: Netgear XS728T 24-Port als Main Switch, alles soll über 10GbE laufen. Erste Überlegung: für VoIP Telefonie (sipgate gewählt mit Snom Telefonen) und andere Peripherie-Geräte (u.a. Sonos One SL, Drucker, Scanner etc.) reicht ja locker 1GbE, daher die Frage: wegen der Switch Verwaltung und Einfachheit auf einen teureren 48 Port Switch gehen (dann ist ja „alles in einem“) oder über 10 GbE Uplink ein günstigen GS728TX/S3300-28X die Peripherie-Geräte ran hängen? Hat jemand Erfahrungen mit dem XS728T mit einer pfSense und VLAN Verwaltung im Zusammenhang mit Stacking?
- Workstations und Clients im Gesamtnetzwerk werden ca. 20 sein, welche alle auf alles zugreifen dürfen und sollen (keep it simple)
- Als Sahnehäubchen gibt es die Telematikinfrastruktur, von der ich bisher nur schlechte Erfahrungen gehört habe (v.a. KoCoBox), daher wurde mir der secunet Konnektor empfohlen
So habe ich mir die Topographie überlegt:


- Frage zu TI: Der TI Konnektor funkt nach Außen über SIS bzw. VPN, kann also mit entsprechenden Portweiterleitungen parallel betrieben werden und es muss von den Clients nur auf die Terminals zugegriffen werden (Karten einlesen usw.). Somit könnte doch via ACL direkt vom Client (Default VLAN, untagged) auf das Terminal (VLAN 20) geroutet werden, oder? Hat jemand Erfahrung, wo das Ding am wenigsten Probleme macht? Vor die Firewall? Hinter die Firewall? Kein separates VLAN und direkt zum Default-VLAN?

Da ich es simpel haben möchte, um möglichst wenig Fehlerquellen und Bottlenecks zu haben, möchte ich Server bzw. alle VMs und alle Clients inkl. Peripherie (außer VoIP) untagged ins LAN hängen (also Default VLAN 1), da prinzipiell im LAN jeder alles machen darf.

- Frage zu VoIP: Wer übernimmt QoS bzw. Priorisierung? pfSense als Router oder der Switch selbst (gibt Auto QoS für VoIP, oder einzelne Ports priorisieren)?
- Frage zum Routing/pfSense: kann der Tagged Link von Switch zu pfSense auch 1 GbE sein oder produziert man sich dadurch ein Flaschenhals, wenn die übrige Infrastruktur auf 10 GbE läuft?
- Ein WLAN würde ich auch noch als VLAN einhängen, ist aber nicht eingezeichnet und würde nur für Mitarbeiter sein zum Whatsappen usw, sehe da aber kein Problem, da keine MSSID vorgesehen und Routing dann nur nach draußen und keine interne Verbindung.

Was meint ihr zum Netzwerkaufbau? Freue mich auf Rückmeldungen und insbesondere Infos zur Telematikinfrastruktur, falls da jemand Erfahrungen gesammelt hat.

Vielen Dank und Grüße!