mav1990
Goto Top

Frage zur Netzwerktrennung

Hallo zusammen,
ich hoffe ihr könnt mir bei meinem Problem ein paar Tipps/Lösungsansätze geben.
Mit den folgenden Komponenten möchte ich ein Netzwerk mit 3 getrennten Netzen (PROD, PRIVAT, GAST) aufbauen.

Komponenten
- Router: AVM Fritz!Box 7590
- Switch: HP 2530-24G PoE+ (J9773A)
- Access Point (4x): Aruba Instant On AP12
- NAS: Synology DS920+

Informationen
- Das WLAN der Fritz!Box ist abgeschaltet.
- Auf der Fritz!Box ist die MAC-Filterung aktiviert.
- Auf dem Switch sind aktuell 2 VLAN angelegt (PROD, GAST).
- Das GAST-VLAN kann nur eine Verbindung mit dem Gast-Netz der Fritz!Box herstellen.
- Die AccessPoints senden 3 SSID's aus: PROD, PRIVAT, GAST
- Die Geräte im PROD-Netz sollen gefiltert/zugelassen werden können.
- Die Geräte im PRIVAT-Netz sollen nicht gefiltert werden, aber auch nicht im GAST-Netz sein, da diese ggf. miteinander kommunizieren müssen.

Mein Problem ist aktuell noch, dass ich nichts weiß, wie ich die PRIVAT-Geräte behandelt soll.

Wenn ich diese in des PROD-VLAN aufnehme ...
... greift die MAC-Filterung. > Nicht gewünscht

Wenn ich diese in das GAST-VLAN aufnehme ...
... könnten evtl. Gast-Geräte eine Verbindung aufbauen. > Nicht gewünscht

Komme gerade nicht weiter, vielen Dank für eure Hilfe!

Content-ID: 1605547915

Url: https://administrator.de/forum/frage-zur-netzwerktrennung-1605547915.html

Ausgedruckt am: 25.12.2024 um 02:12 Uhr

aqui
aqui 10.12.2021 aktualisiert um 12:31:16 Uhr
Goto Top
Du hast ja keinerlei Spielraum mit einer sinnvollen Segmentierung bei einer FritzBox Hardware. Schlicht und einfach weil dieser einfache Consumer Router keine VLANs bzw. Segmentierung supportet.
Einzig und allein kannst du 2 Netze bedienen, das Gastsegment und das lokale LAN, mehr geht technisch bei der FB bekanntlich nicht.
fbgast.

Einzige Ausnahme wäre wenn dein HP Switch Gurke Layer 3 (Routing) fähig ist. Leider machst du dazu keinerlei zielführende Angaben im Thread. face-sad
Damit wäre dann eine weitere Netzwerk Segmentierung möglich mit einem Layer 3 Switch Design wie es z.B. HIER im Detail beschrieben ist.
Dort kannst du dann einfach mit IP Accesslisten arbeiten um den Zugriff auf die einzelnen IP Netze sauber zu reglementieren.
Mehr Optione hast du bei deiner HW ja nicht.
Andy1987
Andy1987 10.12.2021 um 12:58:19 Uhr
Goto Top
Moin,
da die FB nur ein Netz auf den LanPorts + Gastnetz kann, wirst du hier nicht weiter kommen.

Meines Wissens kann der HP kein Routing und scheidet somit auch aus.

Du wirst den Router tauschen müssen oder weiteren installieren müssen.
killtec
killtec 10.12.2021 um 13:30:27 Uhr
Goto Top
Hi,
der 2530 ist ein reiner Layer 2 Switch und kann nicht routen. Da müsstest du dann einen Router mit dazu packen, dann geht das.
Du kannst z.B. pfsense / opensense oder ähnlches auf separater Hardware nutzen.
die Fritz!Box ist dafür nicht geeignet.

Gruß
Nominis
Nominis 11.12.2021 aktualisiert um 11:47:49 Uhr
Goto Top
Ich denke auch, dass zur Umsetzung Deiner Vorgaben eine kleine Firewall (die pfsense finde ich einsteiger-freundlicher) erforderlich ist.
Nicht der Idealfall - aber auch (ohne zusätzliches DSL-Modem) hinter der FritzBox machbar.
Damit kannst direkt (über Ports) oder indirekt (über virtuelle Ports mit Vlan's) Dein Netz in unterschiedliche Segmente aufteilen. Die pfsense stellt für jedes Segment einen eigenen DHCP-Server bereit.
Die unterschiedlichen W-Lan's (mit Vlans) sind somit getrennt. Das Switch bekommt dafür auch die erforderliche Port-Konfiguration (hinsichtlich Vlans).
Über Firewall-Regeln stellst Du dann ein, wie die unterschiedlichen Segmente miteinander und mit dem Internet (über den WAN-Port zur Fritzbox) miteinander kommunizieren dürfen. Ein Nebenprodukt ist noch die bessere VPN-Fähigkeit der Firewall.
Gruß Jörg
aqui
aqui 11.12.2021 um 12:38:00 Uhr
Goto Top
Du kannst z.B. pfsense / opensense oder ähnlches auf separater Hardware nutzen.
Oder einen preiswerten 50 Euro Mikrotik_Router z.B. hEX-GR3 in Kaskade mit der FritzBox ! face-wink
Mav1990
Mav1990 13.12.2021 um 02:12:58 Uhr
Goto Top
Zitat von @aqui:
Oder einen preiswerten 50 Euro Mikrotik_Router z.B. hEX-GR3 in Kaskade mit der FritzBox ! face-wink
Kommt dafür dieses Modell in Frage?
https://www.amazon.de/Mikrotik-WLAN-Zugangspunkt-Zugangspunkt-100-Mbit-Q ...

Zitat von @Nominis:
Ich denke auch, dass zur Umsetzung Deiner Vorgaben eine kleine Firewall (die pfsense finde ich einsteiger-freundlicher) erforderlich ist.
Kommt dafür dieses Modell in Frage?
https://shop.netgate.com/products/1100-pfsense?variant=32157480026227
aqui
aqui 13.12.2021 um 09:41:58 Uhr
Goto Top
Kommt dafür dieses Modell in Frage?
Jau, der ist richtig und löst das im Handumdrehen. Allerdings ist das ein 100 Mbit/s Modell wenn dir das reicht OK. Wenn du doch lieber 1Gigabit haben möchtest:
https://www.varia-store.com/de/produkt/97589-rb750gr3-routerboard-hex-mi ...
Kommt dafür dieses Modell in Frage?
Bei der Firewall ja ! Guckst du auch hier:
Preiswerte, VPN fähige Firewall im Eigenbau oder als Fertiggerät
Mav1990
Mav1990 13.12.2021 um 12:32:18 Uhr
Goto Top
Dann würde ich den Router wegen der Kosten glaube ich bevorzugen.
Gigabit macht natürlich sinn!

Hast du vielleicht noch ein paar Tipps zur Umsetzung?
Ich stehe gerade noch etwas auf dem Schlauch und habe das Lösungskonzept noch nicht vor mir.

Danke aber schon einmal sehr für eure Tipps!
aqui
aqui 13.12.2021 um 14:29:42 Uhr
Goto Top
Hier wird alles inklusive bunter Bilder erklärt face-wink
Mikrotik VLAN Konfiguration ab RouterOS Version 6.41
Mav1990
Mav1990 13.12.2021 um 14:35:37 Uhr
Goto Top
Vielen Dank, Router ist bestellt, schaue ich mir dann im Detail an!
aqui
aqui 13.12.2021 um 14:39:40 Uhr
Goto Top
Ansonsten hier fragen... face-wink
Nominis
Nominis 13.12.2021 um 15:57:50 Uhr
Goto Top
Dann komme ich mit meinem Hinweis " ... ja, der kommt dafür in Frage bzw. auch ein APU-Board-System ... "
wohl zu spät
Gruß Jörg
aqui
aqui 06.01.2022 um 10:58:20 Uhr
Goto Top
Wenn's das denn war bitte dann nicht vergessen den Thread auch zu schliessen !
Wie kann ich einen Beitrag als gelöst markieren?