Netzwerk Erweiterung und Überarbeitung
Netzwerk-Upgrade: Tipps und Optimierungen gesucht
Hallo zusammen,
mein Heimnetzwerk wächst stetig, und die Ports an meinen aktuellen Cisco SG350 und SG300 reichen nicht mehr aus. Daher habe ich mir einen weiteren gebrauchten SG350 zugelegt und möchte die Gelegenheit nutzen, mein Netzwerk zu optimieren. Der kleine SG350-10MP und der SG300-20 sollen entfallen und nur noch der größere Cisco SG350-28MP soll verwendet werden.
Aktuelle Konfiguration (siehe Bild im Anhang):
Internet: FritzBox mit zwei Verbindungen zum SG350 (Router):
Vlan1 (Home)
Vlan5 (Guest)
Switch: Der Cisco SG350 verwaltet die Vlans 2–5 und fungiert als DHCP-Server.
DNS: Alle DNS-Anfragen außer für das Guest-Vlan laufen über ein Pi-hole.
ACLs: Derzeit sind keine Regeln eingerichtet.
Geplante Funktionen / Überlegungen:
Zugriff vom Vlan1 (Home) auf das AppleTV und Cloud Vlan4 (Multicast-TV?).
Voller Zugriff für OpenHAB auf alle Vlans.
Einrichtung eines RADIUS-Servers zur dynamischen Vlan-Port-Zuweisung (statt statischer Konfiguration).
Sinnvolle ACL-Regeln für mehr Sicherheit.
Vlan1 (Home) ggf. von der FritzBox trennen – macht das in meinem Fall Sinn?
Weitere Überlegungen:
Soll ich ein separates Vlan für die Kinder einrichten?
Macht es Sinn, Drucker in ein eigenes Vlan zu packen, das für alle zugänglich ist?
Welche Vorschläge habt ihr für neue Access Points? Meine Cisco Aironet stoßen langsam an ihre Grenzen (max. 200 Mbps).
Ich bin offen für Vorschläge, wie ich mein Netzwerk sicherer und effizienter gestalten kann. Über eine Diskussion und eure Unterstützung bei der Umsetzung würde ich mich sehr freuen!
Vielen Dank und viele Grüße
Julian
Hallo zusammen,
mein Heimnetzwerk wächst stetig, und die Ports an meinen aktuellen Cisco SG350 und SG300 reichen nicht mehr aus. Daher habe ich mir einen weiteren gebrauchten SG350 zugelegt und möchte die Gelegenheit nutzen, mein Netzwerk zu optimieren. Der kleine SG350-10MP und der SG300-20 sollen entfallen und nur noch der größere Cisco SG350-28MP soll verwendet werden.
Aktuelle Konfiguration (siehe Bild im Anhang):
Internet: FritzBox mit zwei Verbindungen zum SG350 (Router):
Vlan1 (Home)
Vlan5 (Guest)
Switch: Der Cisco SG350 verwaltet die Vlans 2–5 und fungiert als DHCP-Server.
DNS: Alle DNS-Anfragen außer für das Guest-Vlan laufen über ein Pi-hole.
ACLs: Derzeit sind keine Regeln eingerichtet.
Geplante Funktionen / Überlegungen:
Zugriff vom Vlan1 (Home) auf das AppleTV und Cloud Vlan4 (Multicast-TV?).
Voller Zugriff für OpenHAB auf alle Vlans.
Einrichtung eines RADIUS-Servers zur dynamischen Vlan-Port-Zuweisung (statt statischer Konfiguration).
Sinnvolle ACL-Regeln für mehr Sicherheit.
Vlan1 (Home) ggf. von der FritzBox trennen – macht das in meinem Fall Sinn?
Weitere Überlegungen:
Soll ich ein separates Vlan für die Kinder einrichten?
Macht es Sinn, Drucker in ein eigenes Vlan zu packen, das für alle zugänglich ist?
Welche Vorschläge habt ihr für neue Access Points? Meine Cisco Aironet stoßen langsam an ihre Grenzen (max. 200 Mbps).
Ich bin offen für Vorschläge, wie ich mein Netzwerk sicherer und effizienter gestalten kann. Über eine Diskussion und eure Unterstützung bei der Umsetzung würde ich mich sehr freuen!
Vielen Dank und viele Grüße
Julian
Please also mark the comments that contributed to the solution of the article
Content-ID: 670038
Url: https://administrator.de/forum/netzwerk-erweiterung-und-ueberarbeitung-670038.html
Printed on: January 14, 2025 at 06:01 o'clock
20 Comments
Latest comment
Soll ich ein separates Vlan für die Kinder einrichten? Macht es Sinn, Drucker in ein eigenes Vlan zu packen, das für alle zugänglich ist?
Wie soll das jemand externes beurteilen? Was bezweckst Du damit?Welche Vorschläge habt ihr für neue Access Points? Meine Cisco Aironet stoßen langsam an ihre Grenzen (max. 200 Mbps).
Wasn das für ne Aussage? 200 Mbit am Client? Im Garten? Neben dem AP? Und wofür willst Du wie viel mehr?! Oder gehts nur um große Zahlen? Imho machen Updates aktuell doch max. bzgl Latenzen Sinn – und das muss sich im Setup vor Ort auch erst erweisen.Ich halte diese übermäßige Aufteilung von Netzwerken (iot, Strom, Solar, TV …) im Homebereich ja sowieso für „Gschaftlhuberei“, Fluchtreflex oder Großmachtphantasie einiger Familienväter 😏
Auf Grund von WAF, haste vermutlich global die mdns-Reflektoren aktiviert?
Mir erschließt sich halt der Mehrwert so gar nicht, wenn ich davor ne Fritze sehe, die mir diese vLANs nicht mal theoretisch mit dedizierten Firewalls absichern könnte!? Macht das bei Dir der Switch? Oder wie muss ich mir das vorstellen?
Moin,
das ist immer eine Frage die andere Dir nicht beantworten können. Da Du bist der Admin und Du bestimmst die Regeln.
Wie @Visucius geschrieben hat würde ich würde ich den ganzen Smarthome und Media Kram in ein VLAN packen.
Du hast doch den PiHole damit kannst DU doch die Rechner von Deinen Kinder gut einrichten was Sie dürfen und was nicht.
Hier könntest Du ja auch noch die Zugriff verfeinern.
Gibt doch ein tollen Spruch:
so viel wie möglich so wenig wie nötig
Den solltest Du Dir immer vor den Augen halten.
Gruß
das ist immer eine Frage die andere Dir nicht beantworten können. Da Du bist der Admin und Du bestimmst die Regeln.
Wie @Visucius geschrieben hat würde ich würde ich den ganzen Smarthome und Media Kram in ein VLAN packen.
Soll ich ein separates Vlan für die Kinder einrichten?
Du hast doch den PiHole damit kannst DU doch die Rechner von Deinen Kinder gut einrichten was Sie dürfen und was nicht.
Sinnvolle ACL-Regeln für mehr Sicherheit.
Hier könntest Du ja auch noch die Zugriff verfeinern.
Gibt doch ein tollen Spruch:
so viel wie möglich so wenig wie nötig
Den solltest Du Dir immer vor den Augen halten.
Gruß
die mir diese vLANs nicht mal theoretisch mit dedizierten Firewalls absichern könnte!?
Das erledigt ja sein neuer Cisco350er mit Accesslisten! In Summe ein klassisches VLAN Konzept an dem es nichts auszusetzen gibt. Den geplanten Radius Server kann man problemlos mit auf den PiHole / Adguard legen.
Wieviel Segmentierung letztlich möglich und nötig ist muss der TO anhand seiner eigenen Security Policy entscheiden.
ACLs: Derzeit sind keine Regeln eingerichtet.
Was nicht ist kann ja beim TO noch werden...! 😉wie ich gewisse Cli(e)nts stärker einschränken kann.
Das machst du ganz einfach über deine geplante Segmentierung und indem du die Accesslisten am L3 Switch in Bezug auf DNS für diese Clients customized.Idealer wäre der Adguard Home, der das zusätzlich über sein GUI kann. Zusätzlich hat er eine deutlich bessere Blocking Option in seinem GUI für Schnüffelapps wie Facebook & Co. On Top bietet er verschlüsseltes DNS mit DoT oder DoH für seine Uplink DNS was der PiHole gar nicht kann. Es lohnt also der Blick über den Tellerrand!
Der DNS Filter darf dazu natürlich keinen Trunk nutzen sondern sollte im Uplink Netz zur Fritte liegen. Dort kommt ja sämtlicher Traffic von allen VLANs "vorbei" bei einem klassischen L3 Konzept wie du es planst.
vom Radius den der Cisco zu Verfügung stellt?
Wäre dann ideal, denn der erspart dir ein dann überflüssiges zusätzliches Gerät. lassen sich leider nicht über eine WEB GUI Parametrieren.
Das ist so nicht richtig. Es macht ggf. aber dennoch Sinn, wenn du eh umstrukturierst, diese auch gleich durch 2 mal Cisco 3702l zu ersetzen, die einigermaßen aktuelle Standards supporten und auch ein WebGUI haben. Es gibt sie für kleines Geld auf den einschlägigen Plattformen. Du bleibst bei Cisco und ein hiesiges Tutorial erklärt dir haarklein wie man sie im Heimnetz handhabt. 😉Eine bessere Alternative wäre ggf. HIER Da müsstest du aber auf Cisco verzichten, gewinnst aber ein zentralisiertes WLAN Management. 😉
Naja, trenne doch erstmal die Netze? Nen halbes Dutzend vLANs alleine sind ja (üblicher Weise) kein Selbstzweck! Der Trick von sowas ist ja, dass Du einzelne Geräte oder einzelne Gruppen von Geräten entweder voneinander trennst und/oder ihnen den Zugang zum pösen Internet verbieten willst. Erst dann wird ja erst irgendwas "sicherer" – Dein erklärtes Ziel. Mit allen Konsequenzen für Bequemlichkeit und Haussegen.
Ohne ACLs (bzw. Firewall) kann doch jedes Gerät jedes andere Gerät in allen vLANs über IP ansprechen und jedes Gerät ungeprüft nach Hause telefonieren?! Und auch mit dem Adguard/Pihole kannste max. die DNS-Abfragen blocken.
Oder habe ich da jetzt was übersehen? Und vermutlich wirst Du dann erstmal umgruppieren, weil der Verwaltungsaufwand sonst übermäßig ansteigt.
Ich würde mir übrigens nicht die Cisco sondern eher die Ruckus z.B. R350 ansehen. Wifi können die bestimmt nicht schlechter als die Cisco aber vor allem ist das Webinterface und die integrierte Controllerfunktion in so nem 2er Setup ein Träumchen. Der Vorgänger baut auch extremst kompakt und gefällig – was im heimischen Umfeld bestimmt kein Nachteil ist. Den kannste Dir aktuell übrigens immer mal wieder recht günstig organisieren um das auszuprobieren (50 bis 70 EUR/Stck):
Ruckus R320 aktuell günstig
Ohne ACLs (bzw. Firewall) kann doch jedes Gerät jedes andere Gerät in allen vLANs über IP ansprechen und jedes Gerät ungeprüft nach Hause telefonieren?! Und auch mit dem Adguard/Pihole kannste max. die DNS-Abfragen blocken.
Oder habe ich da jetzt was übersehen? Und vermutlich wirst Du dann erstmal umgruppieren, weil der Verwaltungsaufwand sonst übermäßig ansteigt.
Ich würde mir übrigens nicht die Cisco sondern eher die Ruckus z.B. R350 ansehen. Wifi können die bestimmt nicht schlechter als die Cisco aber vor allem ist das Webinterface und die integrierte Controllerfunktion in so nem 2er Setup ein Träumchen. Der Vorgänger baut auch extremst kompakt und gefällig – was im heimischen Umfeld bestimmt kein Nachteil ist. Den kannste Dir aktuell übrigens immer mal wieder recht günstig organisieren um das auszuprobieren (50 bis 70 EUR/Stck):
Ruckus R320 aktuell günstig
Dieser müsste ja dann in das .99 Koppelnetzwerk.
Das wäre am intelligentesten wenn du zig Accesslisten im L3 Switch vermeiden willst.Zum Thema WLAN hat Kollege @Visucius ja schon alles gesagt.
https://www.youtube.com/watch?v=kqYLWkwrCUQ
Um Gottes Willen, 190 EUR für nen bald 10 Jahre alten Wifi-Standard? Für das gleiche Geld bekommste nen niegelnagelneuen Unifi 7Pro – auch wenn einige hier bei dem Vergleich Pusteln kriegen 😏
Also deutlicher als in den beiden Beiträgen kann ich es nun wirklich nicht schreiben: 50 bis 70 EUR Stück für den r320. Ja, es gibt auch Mondpreise – muss man halt mal etwas warten. Wie gesagt auch in den Kleinanzeigen. Man kann auch informiert werden, wenn etwas angeboten wird. Ist alles kein Hexenwerk. Vielleicht ist Vorweihnachten da auch nicht optimal.
R320 unterstützt ac Wave2:
https://www.notebookcheck.com/WLAN-So-profitieren-sie-von-schnellem-802- ...
Ich kann bei sowas warten. Aber Du kannst ja schon mal sehen ob Du mit der Konfiguration zurecht kommst.
Also deutlicher als in den beiden Beiträgen kann ich es nun wirklich nicht schreiben: 50 bis 70 EUR Stück für den r320. Ja, es gibt auch Mondpreise – muss man halt mal etwas warten. Wie gesagt auch in den Kleinanzeigen. Man kann auch informiert werden, wenn etwas angeboten wird. Ist alles kein Hexenwerk. Vielleicht ist Vorweihnachten da auch nicht optimal.
R320 unterstützt ac Wave2:
https://www.notebookcheck.com/WLAN-So-profitieren-sie-von-schnellem-802- ...
Ich kann bei sowas warten. Aber Du kannst ja schon mal sehen ob Du mit der Konfiguration zurecht kommst.
Dann versuche ich mich bei den erworbenen R310 mit der Konfiguration und dem Handling
Das ist ein Kinderspiel. Beachte das deine R310 mit der Unleashed Firmware geflasht sind bevor du sie konfigurierst.Bei Unleashed kaspern die APs automatisch einen aus der die zentrale Controller Funktion im WLAN übernimmt und dann dein WLAN zentral managed. In der Regel ist das der erste AP den du fertig konfiguriert ins Netz bringst. Den anderen steckst du dann einfach dazu und der holt sich dann automatisch seine Konfig vom Controller AP und fertig ist der Lack.
Die aktuellste Unleashed Firmware (200.7.10.202.145) für den R310 bekommst du mit einem Gastaccount im Ruckus Support Portal. Update Anleitungen gibt es zuhauf im Internet wie z.,B. hier. Sollte Unleashed schon drauf sein machst du lediglich ein Update über das GUI.
Das WLAN richtest du dann über das Unleashed GUI mit ein paar Mausklicks ein:
Ein Ruckus Unleashed Setup Beispiel findest du u.a. auch in diesem Thread.
Ansonsten einfach hier fragen.
Gibt ja noch aktuellen Support und Firmware mit dem aktuellen 8er, 9er und 10er Release Train.
https://support.ruckuswireless.com/software
Der Cisco ist ein einfacher Switch aus deren abgekündigter SG SoHo Serie, der ICX aber ein full featured Premium Switch. Der Vergleich hinkt also so oder so schon. Äpfel und Birnen...
Wenn, dann müsstest du den ICX mit einem Cisco Catalyst 3xxx vergleichen denn der ICX ist ein Enterprise L3 Campus Switch.
Auch ein älterer, Scheckheft gewarteter AMG Mercedes ist technisch besser als ein Dacia Jahreswagen.
https://support.ruckuswireless.com/software
Der Cisco ist ein einfacher Switch aus deren abgekündigter SG SoHo Serie, der ICX aber ein full featured Premium Switch. Der Vergleich hinkt also so oder so schon. Äpfel und Birnen...
Wenn, dann müsstest du den ICX mit einem Cisco Catalyst 3xxx vergleichen denn der ICX ist ein Enterprise L3 Campus Switch.
Auch ein älterer, Scheckheft gewarteter AMG Mercedes ist technisch besser als ein Dacia Jahreswagen.
Wenn dies denn nun die Lösung war bitte dann nicht vergessen deinen Thread hier auf erledigt zu setzen!
How can I mark a post as solved?
How can I mark a post as solved?