20
Netzwerk Erweiterung und Überarbeitung
Netzwerk-Upgrade: Tipps und Optimierungen gesucht
Hallo zusammen,
mein Heimnetzwerk wächst stetig, und die Ports an meinen aktuellen Cisco SG350 und SG300 reichen nicht mehr aus. Daher habe ich mir einen weiteren gebrauchten SG350 zugelegt und möchte die Gelegenheit nutzen, mein Netzwerk zu optimieren. Der kleine SG350-10MP und der SG300-20 sollen entfallen und nur noch der größere Cisco SG350-28MP soll verwendet werden.
Aktuelle Konfiguration (siehe Bild im Anhang):
Internet: FritzBox mit zwei Verbindungen zum SG350 (Router):
Vlan1 (Home)
Vlan5 (Guest)
Switch: Der Cisco SG350 verwaltet die Vlans 2–5 und fungiert als DHCP-Server.
DNS: Alle DNS-Anfragen außer für das Guest-Vlan laufen über ein Pi-hole.
ACLs: Derzeit sind keine Regeln eingerichtet.
Geplante Funktionen / Überlegungen:
Zugriff vom Vlan1 (Home) auf das AppleTV und Cloud Vlan4 (Multicast-TV?).
Voller Zugriff für OpenHAB auf alle Vlans.
Einrichtung eines RADIUS-Servers zur dynamischen Vlan-Port-Zuweisung (statt statischer Konfiguration).
Sinnvolle ACL-Regeln für mehr Sicherheit.
Vlan1 (Home) ggf. von der FritzBox trennen – macht das in meinem Fall Sinn?
Weitere Überlegungen:
Soll ich ein separates Vlan für die Kinder einrichten?
Macht es Sinn, Drucker in ein eigenes Vlan zu packen, das für alle zugänglich ist?
Welche Vorschläge habt ihr für neue Access Points? Meine Cisco Aironet stoßen langsam an ihre Grenzen (max. 200 Mbps).
Ich bin offen für Vorschläge, wie ich mein Netzwerk sicherer und effizienter gestalten kann. Über eine Diskussion und eure Unterstützung bei der Umsetzung würde ich mich sehr freuen!
Vielen Dank und viele Grüße
Julian
Hallo zusammen,
mein Heimnetzwerk wächst stetig, und die Ports an meinen aktuellen Cisco SG350 und SG300 reichen nicht mehr aus. Daher habe ich mir einen weiteren gebrauchten SG350 zugelegt und möchte die Gelegenheit nutzen, mein Netzwerk zu optimieren. Der kleine SG350-10MP und der SG300-20 sollen entfallen und nur noch der größere Cisco SG350-28MP soll verwendet werden.
Aktuelle Konfiguration (siehe Bild im Anhang):
Internet: FritzBox mit zwei Verbindungen zum SG350 (Router):
Vlan1 (Home)
Vlan5 (Guest)
Switch: Der Cisco SG350 verwaltet die Vlans 2–5 und fungiert als DHCP-Server.
DNS: Alle DNS-Anfragen außer für das Guest-Vlan laufen über ein Pi-hole.
ACLs: Derzeit sind keine Regeln eingerichtet.
Geplante Funktionen / Überlegungen:
Zugriff vom Vlan1 (Home) auf das AppleTV und Cloud Vlan4 (Multicast-TV?).
Voller Zugriff für OpenHAB auf alle Vlans.
Einrichtung eines RADIUS-Servers zur dynamischen Vlan-Port-Zuweisung (statt statischer Konfiguration).
Sinnvolle ACL-Regeln für mehr Sicherheit.
Vlan1 (Home) ggf. von der FritzBox trennen – macht das in meinem Fall Sinn?
Weitere Überlegungen:
Soll ich ein separates Vlan für die Kinder einrichten?
Macht es Sinn, Drucker in ein eigenes Vlan zu packen, das für alle zugänglich ist?
Welche Vorschläge habt ihr für neue Access Points? Meine Cisco Aironet stoßen langsam an ihre Grenzen (max. 200 Mbps).
Ich bin offen für Vorschläge, wie ich mein Netzwerk sicherer und effizienter gestalten kann. Über eine Diskussion und eure Unterstützung bei der Umsetzung würde ich mich sehr freuen!
Vielen Dank und viele Grüße
Julian
Share on Facebook
Share on Twitter
Share on Reddit
Share on LinkedinPlease also mark the comments that contributed to the solution of the article
Content-ID: 670038
Url: https://administrator.de/forum/netzwerk-erweiterung-und-ueberarbeitung-670038.html
Printed on: January 14, 2025 at 06:01 o'clock
20 Comments
Latest comment
Soll ich ein separates Vlan für die Kinder einrichten? Macht es Sinn, Drucker in ein eigenes Vlan zu packen, das für alle zugänglich ist?
Wie soll das jemand externes beurteilen? Was bezweckst Du damit?Welche Vorschläge habt ihr für neue Access Points? Meine Cisco Aironet stoßen langsam an ihre Grenzen (max. 200 Mbps).
Wasn das für ne Aussage? 200 Mbit am Client? Im Garten? Neben dem AP? Und wofür willst Du wie viel mehr?! Oder gehts nur um große Zahlen? Imho machen Updates aktuell doch max. bzgl Latenzen Sinn – und das muss sich im Setup vor Ort auch erst erweisen.Ich halte diese übermäßige Aufteilung von Netzwerken (iot, Strom, Solar, TV …) im Homebereich ja sowieso für „Gschaftlhuberei“, Fluchtreflex oder Großmachtphantasie einiger Familienväter 😏
Auf Grund von WAF, haste vermutlich global die mdns-Reflektoren aktiviert?
Mir erschließt sich halt der Mehrwert so gar nicht, wenn ich davor ne Fritze sehe, die mir diese vLANs nicht mal theoretisch mit dedizierten Firewalls absichern könnte!? Macht das bei Dir der Switch? Oder wie muss ich mir das vorstellen?
Moin,
das ist immer eine Frage die andere Dir nicht beantworten können. Da Du bist der Admin und Du bestimmst die Regeln.
Wie @Visucius geschrieben hat würde ich würde ich den ganzen Smarthome und Media Kram in ein VLAN packen.
Du hast doch den PiHole damit kannst DU doch die Rechner von Deinen Kinder gut einrichten was Sie dürfen und was nicht.
Hier könntest Du ja auch noch die Zugriff verfeinern.
Gibt doch ein tollen Spruch:
so viel wie möglich so wenig wie nötig
Den solltest Du Dir immer vor den Augen halten.
Gruß
das ist immer eine Frage die andere Dir nicht beantworten können. Da Du bist der Admin und Du bestimmst die Regeln.
Wie @Visucius geschrieben hat würde ich würde ich den ganzen Smarthome und Media Kram in ein VLAN packen.
Soll ich ein separates Vlan für die Kinder einrichten?
Du hast doch den PiHole damit kannst DU doch die Rechner von Deinen Kinder gut einrichten was Sie dürfen und was nicht.
Sinnvolle ACL-Regeln für mehr Sicherheit.
Hier könntest Du ja auch noch die Zugriff verfeinern.
Gibt doch ein tollen Spruch:
so viel wie möglich so wenig wie nötig
Den solltest Du Dir immer vor den Augen halten.
Gruß
die mir diese vLANs nicht mal theoretisch mit dedizierten Firewalls absichern könnte!?
Das erledigt ja sein neuer Cisco350er mit Accesslisten! 
In Summe ein klassisches VLAN Konzept an dem es nichts auszusetzen gibt. Den geplanten Radius Server kann man problemlos mit auf den PiHole / Adguard legen.
Wieviel Segmentierung letztlich möglich und nötig ist muss der TO anhand seiner eigenen Security Policy entscheiden.
Das erledigt ja sein neuer Cisco350er mit Accesslisten! face-wink
Apropos:ACLs: Derzeit sind keine Regeln eingerichtet.
😉
PS: Aber Weihnachten steht ja an. Da hat man mehrere Tage Zeit um den Haussegen nachhaltig zu prüfen 😏
Hallo, vielen Dank für eure Antworten.
Klar ist es schon ein bisschen übertrieben. Jedoch möchte ich es als Übungsobjekt für mich sehen und hierdurch mein Wissen erweitern.
@Headcrach: Gibt es eine Anleitung unter PiHole wie ich gewisse Clints stärker einschränken kann. Dachte deshalb an ein eigenes Vlan um hier das ganze VLan zu reglementieren. Bietet ja auch ein bisschen Virensicherheit, oder?
@aqui: Was hälst du vom Radius den der Cisco zu Verfügung stellt? Welche ACLs sind deiner Meinung nach Elementar, grundlegen Wichtig, nice to have ....
Es ist auch noch ein kleiner Mikrotik hEX PoE vorhanden. Den könnte ich auch nutzen für gewissen Konfigurationen.
Zentral auf dem Cisco wäre mir natürlich am liebsten.
@Visucius: Lieber im Büro als auf dem Sofa. Meine Familie ist hier schon einiges gewohnt.
Bezüglich Wlan APs. Die über 15 Jahre alten Aironet Geräte lassen sich leider nicht über eine WEB GUI Parametrieren. Daher suche ich nach adäquaten Ersatzgeräte die ich einfache einstellen kann. Am liebsten natürlich von Cisco. Wifi 6 usw. sind ja auch immer wieder Schlagworte, die man so hört.
Gruß Julian
Klar ist es schon ein bisschen übertrieben. Jedoch möchte ich es als Übungsobjekt für mich sehen und hierdurch mein Wissen erweitern.
@Headcrach: Gibt es eine Anleitung unter PiHole wie ich gewisse Clints stärker einschränken kann. Dachte deshalb an ein eigenes Vlan um hier das ganze VLan zu reglementieren. Bietet ja auch ein bisschen Virensicherheit, oder?
@aqui: Was hälst du vom Radius den der Cisco zu Verfügung stellt? Welche ACLs sind deiner Meinung nach Elementar, grundlegen Wichtig, nice to have ....
Es ist auch noch ein kleiner Mikrotik hEX PoE vorhanden. Den könnte ich auch nutzen für gewissen Konfigurationen.
Zentral auf dem Cisco wäre mir natürlich am liebsten.
@Visucius: Lieber im Büro als auf dem Sofa. Meine Familie ist hier schon einiges gewohnt.
Bezüglich Wlan APs. Die über 15 Jahre alten Aironet Geräte lassen sich leider nicht über eine WEB GUI Parametrieren. Daher suche ich nach adäquaten Ersatzgeräte die ich einfache einstellen kann. Am liebsten natürlich von Cisco.
Wifi 6 usw. sind ja auch immer wieder Schlagworte, die man so hört.Gruß Julian
ACLs: Derzeit sind keine Regeln eingerichtet.
Was nicht ist kann ja beim TO noch werden...! 😉wie ich gewisse Cli(e)nts stärker einschränken kann.
Das machst du ganz einfach über deine geplante Segmentierung und indem du die Accesslisten am L3 Switch in Bezug auf DNS für diese Clients customized.Idealer wäre der Adguard Home, der das zusätzlich über sein GUI kann. Zusätzlich hat er eine deutlich bessere Blocking Option in seinem GUI für Schnüffelapps wie Facebook & Co. On Top bietet er verschlüsseltes DNS mit DoT oder DoH für seine Uplink DNS was der PiHole gar nicht kann. Es lohnt also der Blick über den Tellerrand!
Der DNS Filter darf dazu natürlich keinen Trunk nutzen sondern sollte im Uplink Netz zur Fritte liegen. Dort kommt ja sämtlicher Traffic von allen VLANs "vorbei" bei einem klassischen L3 Konzept wie du es planst.
vom Radius den der Cisco zu Verfügung stellt?
Wäre dann ideal, denn der erspart dir ein dann überflüssiges zusätzliches Gerät. lassen sich leider nicht über eine WEB GUI Parametrieren.
Das ist so nicht richtig. Es macht ggf. aber dennoch Sinn, wenn du eh umstrukturierst, diese auch gleich durch 2 mal Cisco 3702l zu ersetzen, die einigermaßen aktuelle Standards supporten und auch ein WebGUI haben. Es gibt sie für kleines Geld auf den einschlägigen Plattformen. Du bleibst bei Cisco und ein hiesiges Tutorial erklärt dir haarklein wie man sie im Heimnetz handhabt. 😉Eine bessere Alternative wäre ggf. HIER Da müsstest du aber auf Cisco verzichten, gewinnst aber ein zentralisiertes WLAN Management. 😉
@aqui
Das L3 Konzept ist super erklärt vielen Dank. Wie sähe hier die integration des AdGuard aus. Dieser müsste ja dann in das .99 Koppelnetzwerk.
Falls der Weihnachtsmann ein bisschen mehr Geld vorbeibringt, was wäre die nächstmoderne alternative zu den 3702i.
Ggf. mit integriertem Wlan Controller.
Sehe schon ich darf mich hier ein bisschen einlesen und die ein oder andere Frage wird bestimmt noch auftauchen. Aber es macht ja sehr viel Spaß.
Das L3 Konzept ist super erklärt vielen Dank. Wie sähe hier die integration des AdGuard aus. Dieser müsste ja dann in das .99 Koppelnetzwerk.
Falls der Weihnachtsmann ein bisschen mehr Geld vorbeibringt, was wäre die nächstmoderne alternative zu den 3702i.
Ggf. mit integriertem Wlan Controller.
Sehe schon ich darf mich hier ein bisschen einlesen
und die ein oder andere Frage wird bestimmt noch auftauchen. Aber es macht ja sehr viel Spaß.
Naja, trenne doch erstmal die Netze? Nen halbes Dutzend vLANs alleine sind ja (üblicher Weise) kein Selbstzweck! Der Trick von sowas ist ja, dass Du einzelne Geräte oder einzelne Gruppen von Geräten entweder voneinander trennst und/oder ihnen den Zugang zum pösen Internet verbieten willst. Erst dann wird ja erst irgendwas "sicherer" – Dein erklärtes Ziel. Mit allen Konsequenzen für Bequemlichkeit und Haussegen.
Ohne ACLs (bzw. Firewall) kann doch jedes Gerät jedes andere Gerät in allen vLANs über IP ansprechen und jedes Gerät ungeprüft nach Hause telefonieren?! Und auch mit dem Adguard/Pihole kannste max. die DNS-Abfragen blocken.
Oder habe ich da jetzt was übersehen? Und vermutlich wirst Du dann erstmal umgruppieren, weil der Verwaltungsaufwand sonst übermäßig ansteigt.
Ich würde mir übrigens nicht die Cisco sondern eher die Ruckus z.B. R350 ansehen. Wifi können die bestimmt nicht schlechter als die Cisco aber vor allem ist das Webinterface und die integrierte Controllerfunktion in so nem 2er Setup ein Träumchen. Der Vorgänger baut auch extremst kompakt und gefällig – was im heimischen Umfeld bestimmt kein Nachteil ist. Den kannste Dir aktuell übrigens immer mal wieder recht günstig organisieren um das auszuprobieren (50 bis 70 EUR/Stck):
Ruckus R320 aktuell günstig
Ohne ACLs (bzw. Firewall) kann doch jedes Gerät jedes andere Gerät in allen vLANs über IP ansprechen und jedes Gerät ungeprüft nach Hause telefonieren?! Und auch mit dem Adguard/Pihole kannste max. die DNS-Abfragen blocken.
Oder habe ich da jetzt was übersehen? Und vermutlich wirst Du dann erstmal umgruppieren, weil der Verwaltungsaufwand sonst übermäßig ansteigt.
Ich würde mir übrigens nicht die Cisco sondern eher die Ruckus z.B. R350 ansehen. Wifi können die bestimmt nicht schlechter als die Cisco aber vor allem ist das Webinterface und die integrierte Controllerfunktion in so nem 2er Setup ein Träumchen. Der Vorgänger baut auch extremst kompakt und gefällig – was im heimischen Umfeld bestimmt kein Nachteil ist. Den kannste Dir aktuell übrigens immer mal wieder recht günstig organisieren um das auszuprobieren (50 bis 70 EUR/Stck):
Ruckus R320 aktuell günstig
1Dieser müsste ja dann in das .99 Koppelnetzwerk.
Das wäre am intelligentesten wenn du zig Accesslisten im L3 Switch vermeiden willst.Zum Thema WLAN hat Kollege @Visucius ja schon alles gesagt.
https://www.youtube.com/watch?v=kqYLWkwrCUQ
Morgen, hab mir nun zwei Ruckus R310 organisiert die in den kommenden Tagen eintreffen sollten.
Lohnt es sich ggf. Noch ein bisschen mehr Geld in die Hand zu nehmen für die R320. Hab hier nen preis von knapp 190€ pro Stück.
Gruß Julian
Lohnt es sich ggf. Noch ein bisschen mehr Geld in die Hand zu nehmen für die R320. Hab hier nen preis von knapp 190€ pro Stück.
Gruß Julian
Um Gottes Willen, 190 EUR für nen bald 10 Jahre alten Wifi-Standard? Für das gleiche Geld bekommste nen niegelnagelneuen Unifi 7Pro – auch wenn einige hier bei dem Vergleich Pusteln kriegen 😏
Also deutlicher als in den beiden Beiträgen kann ich es nun wirklich nicht schreiben: 50 bis 70 EUR Stück für den r320. Ja, es gibt auch Mondpreise – muss man halt mal etwas warten. Wie gesagt auch in den Kleinanzeigen. Man kann auch informiert werden, wenn etwas angeboten wird. Ist alles kein Hexenwerk. Vielleicht ist Vorweihnachten da auch nicht optimal.
R320 unterstützt ac Wave2:
https://www.notebookcheck.com/WLAN-So-profitieren-sie-von-schnellem-802- ...
Ich kann bei sowas warten. Aber Du kannst ja schon mal sehen ob Du mit der Konfiguration zurecht kommst.
Also deutlicher als in den beiden Beiträgen kann ich es nun wirklich nicht schreiben: 50 bis 70 EUR Stück für den r320. Ja, es gibt auch Mondpreise – muss man halt mal etwas warten. Wie gesagt auch in den Kleinanzeigen. Man kann auch informiert werden, wenn etwas angeboten wird. Ist alles kein Hexenwerk. Vielleicht ist Vorweihnachten da auch nicht optimal.
R320 unterstützt ac Wave2:
https://www.notebookcheck.com/WLAN-So-profitieren-sie-von-schnellem-802- ...
Ich kann bei sowas warten. Aber Du kannst ja schon mal sehen ob Du mit der Konfiguration zurecht kommst.
Perfekt.
Danke.
Das hilft weiter. Dann versuche ich mich bei den erworbenen R310 mit der Konfiguration und dem Handling und dann halte ich die Augen offen für die R320.
Danke
Danke.
Das hilft weiter. Dann versuche ich mich bei den erworbenen R310 mit der Konfiguration und dem Handling und dann halte ich die Augen offen für die R320.
Danke
1Dann versuche ich mich bei den erworbenen R310 mit der Konfiguration und dem Handling
Das ist ein Kinderspiel. Beachte das deine R310 mit der Unleashed Firmware geflasht sind bevor du sie konfigurierst.Bei Unleashed kaspern die APs automatisch einen aus der die zentrale Controller Funktion im WLAN übernimmt und dann dein WLAN zentral managed. In der Regel ist das der erste AP den du fertig konfiguriert ins Netz bringst. Den anderen steckst du dann einfach dazu und der holt sich dann automatisch seine Konfig vom Controller AP und fertig ist der Lack.
Die aktuellste Unleashed Firmware (200.7.10.202.145) für den R310 bekommst du mit einem Gastaccount im Ruckus Support Portal. Update Anleitungen gibt es zuhauf im Internet wie z.,B. hier. Sollte Unleashed schon drauf sein machst du lediglich ein Update über das GUI.
Das WLAN richtest du dann über das Unleashed GUI mit ein paar Mausklicks ein:
Ansonsten einfach hier fragen.
Guten Abend,
hab mich nun ein bisschen eingelesen. Leider hat die Post mein Paket mit dem R350 und R550 ein bisschen verbummelt und nun kommt es erst nach Weihnachten.
Der Haussegen bleibt somit länger bestehen.
Nun noch ne andere Frage:
Welche Switch würdet ihr bevorzugen?
Ruckus ICX 7150-P24
vs.
Cisco SG350-28MP-K9
Gruß und schöne Weihnachten
hab mich nun ein bisschen eingelesen. Leider hat die Post mein Paket mit dem R350 und R550 ein bisschen verbummelt und nun kommt es erst nach Weihnachten.
Der Haussegen bleibt somit länger bestehen.
Nun noch ne andere Frage:
Welche Switch würdet ihr bevorzugen?
Ruckus ICX 7150-P24
vs.
Cisco SG350-28MP-K9
Gruß und schöne Weihnachten
Welche Switch würdet ihr bevorzugen?
Wenn du frei wählen kannst und Budget keine Rolle spielt den ICX, denn der kann deutlich mehr.
Auch wenn dieser in der Buch bereits 5 Jahre alt ist?
Gibt ja noch aktuellen Support und Firmware mit dem aktuellen 8er, 9er und 10er Release Train.
https://support.ruckuswireless.com/software
Der Cisco ist ein einfacher Switch aus deren abgekündigter SG SoHo Serie, der ICX aber ein full featured Premium Switch. Der Vergleich hinkt also so oder so schon. Äpfel und Birnen...
Wenn, dann müsstest du den ICX mit einem Cisco Catalyst 3xxx vergleichen denn der ICX ist ein Enterprise L3 Campus Switch.
Auch ein älterer, Scheckheft gewarteter AMG Mercedes ist technisch besser als ein Dacia Jahreswagen.
https://support.ruckuswireless.com/software
Der Cisco ist ein einfacher Switch aus deren abgekündigter SG SoHo Serie, der ICX aber ein full featured Premium Switch. Der Vergleich hinkt also so oder so schon. Äpfel und Birnen...
Wenn, dann müsstest du den ICX mit einem Cisco Catalyst 3xxx vergleichen denn der ICX ist ein Enterprise L3 Campus Switch.
Auch ein älterer, Scheckheft gewarteter AMG Mercedes ist technisch besser als ein Dacia Jahreswagen.
Danke für den Treffenden Vergleich.
Somit steht wohl die nächste Investition in mein Hobby an.
Vielen Dank für die klasse Tipps, auch für einen Hobby ITler.
Vielen dank und schöne Weihnachten.
Somit steht wohl die nächste Investition in mein Hobby an.
Vielen Dank für die klasse Tipps, auch für einen Hobby ITler.
Vielen dank und schöne Weihnachten.
Wenn dies denn nun die Lösung war bitte dann nicht vergessen deinen Thread hier auf erledigt zu setzen!
How can I mark a post as solved?
How can I mark a post as solved?