calculon
Goto Top

Planung Private Netzumstellung

Moin,

ich plane für mein privates Netz eine größere Umstellung. Aktuell ist es eher eine zwar technisch unterlegene, aber eben doch funktionierende Lösung.
Da ich alles am Feierabend umstellen muss und bei auftretenden Fehlern aber keine nicht funktionierende Baustelle hinterlassen kann, möchte ich einerseits sinnvolle Teilstücke planen, andererseits die Teilstücke auch sinnvoll testen.
Diverse Tutorials habe ich hier gefunden. Jedoch konnte ich mich bisher nur von der Theorie her nähern.

Ich komme von
- Fritzbox mit Netz + Gastnetz
- 2x Fritz WLAN AP im Mesh
- 1x TP Link Switch (eol und seit 5(?) Jahren keine Updates mehr) im "jeder sieht alles" Modus
- 40 LAN im Haus, davon aktive Nutzung ca. 15

Und möchte zu
- Fritzbox bleibt als Modem
- Router Mikrotik RB 3011
- Ausweitung der LAN Anschlüsse auf ca. 30 (von 40) anstehend
- 2 x Switch Mikrotik CRS326
- VLANs (Management, Beruf-Er, Beruf-Sie, IOT, privates Standard Netz, Gastnetz, weitere? )
- unsicher ob ich das wirklich machen will: VLAN Zuweisung auf Basis MAC (dann kann ich die Geräte einfach woanders anschliessen und muss nicht die KOnfiguration im Switch ändern; z.B. kann ich das Laptop statt im Arbeitszimmer auch mal in der Küche einstöpseln und muss die Dose nicht nur exklusiv dafür reservieren)
- WLAN für Gast mit captive portal (optional. Wohl eher ganz am Ende)
- (vermutlich muss ich hier für das Protokoll Bonjour einiges machen, da hier einiges von Apple stehen habe – Homepods, AppleTV, iPhones)

Frage 1:
Auf den jeweiligen Zwischenstufen möchte ich sicher sein, dass die Ergebnisse stimmen.
Gibt es Teststrategien, die sich bewährt haben?

Frage 2:
Wenn ich dann an der Umsetzung meines Vorhabens bin: mache ich dann einen großen Thread auf, der lange offen bleibt, bis ich fertig bin? Oder erstelle ich für jeden Teil eine neue Frage, so denn eine aufkommt?

Frage 3:
Meine eigentliche Frage. Bisher habe ich die einzelnen Schritte so wie unten angedacht. Macht das Sinn?
Überplane ich vielleicht gerade ein wenig und sollte mir nicht solche Sorgen machen?


  • Schritt 1: Schrank umrüsten
- die neuen Netzwerkgeräte so im Schrank einbauen, dass es erstmal alles drin ist
- Verkabelung Router / Switch und alles mit Strom
- der alte Switch ist weiterhin im Schrank, aber "irgendwo am Rand", wird noch genutzt und zwar exakt so wie bisher
- die neuen Switche haben noch keine Verbindungen zu den Patch Panels

Test: Kabel und Schrauben sind alle da, Kabellängen stimmen, Türen lassen sich schliessen, ... face-wink
Alles funktioniert netztechnisch aber wie bisher.

  • Schritt 2: VLAN vorbereiten
- gem. Tutorial alle VLANs im Router einrichten, die MT Switche vorbereiten
- neues Netz ist komplett disjunkt vom alten und hat keine produktiven Geräte
- Leasetime für DHCP in der Fritze auf das Minimum heruntersetzen als Vorbereitung fü+r Schritt 3.
Test: siehe Frage 1 face-wink
Sonst:
Ich vermute man nimmt sich zwei Laptops, die man an den diversen Stellen anstöpselt und jeweils einen Ping aufeinander versucht. Dann klappen die IP Zuweisungen mit DHCP und das Routing zwischen den Netzen.

  • Schritt 3: neu und alt verbinden (ab hier Beschreibung mit kleineren und größeren Lücken)
- (Router ist gem. Konfig über ether2 mit dem neuen MT Switch verbunden)
- der alte TP Link wird von der Fritze ab- und am Router auf ether3 angeklemmt
- stattdessen liefert die Fritze das Internet an Router ether1
- ether3 wird in die Konfig so aufgenommen, dass es das Internet von ether1 durchreicht (mir bisher noch unklar, wie das genau geht. Muss ich noch mal „drauf herumdenken“. Hab ja noch Zeit. ­čśëBeachten muss ich auf jeden Fall DHCP, da Fritze jetzt keine IP mehr an TP Link Switch verteilt. Dies scheint mir auch eine neuralgische Stelle für mein Verständnis der Lösung zu sein. )
- weiterhin ist an den neuen Switchen nix angeklemmt
Test: alt muss weiterhin funktionieren, insbesondere Anbindung ans Internet. Ggf. hier auch umstöpseln wie in Schritt 2, aber ping in Richtung Internet testen.

  • Schritt 4: Geräte Stück für Stück umhängen
- Jedes Gerät wird einzeln an die neuen Switche / in die VLAN überführt (und getestet…)
- Dabei zuerst die Netze, die komplett isoliert vom Rest sind und komplett kein Routing in Nachbar-VLAN brauchen
- Dann solche, die auch eine Verbindung haben
- zunächst Akzeptanz von Komfortverlust durch weniger Bonjour (erstmal sehen, vielleicht ja auch nicht, wenn ich die alle im gleichen VLAN habe)
Test:
Hier werde ich wohl viel umstöpseln und „ipconfig -release|-renew“ tippen.
Test des Routings, der Firewall Regeln.

  • Schritt 5: weitere Schritte für WLAN (hier nur Ideen)
- welche HW? Vermutlich dann auch von Mikrotik? capsman? Mal sehen…
- Erst Gast WLAN „neu“ bereitstellen
- Gast WLAN „alt“ abschalten
- WLANs für die einzelnen VLANS einrichten
- dann Geräte Stück für Stück umziehen
- wenn alles umgezogen, alte Fritz APs abschalten

  • Schritt 6: Bonjour (hier nur Ziel)
- soll dann nach Möglichkeit auch funktionieren
(hier hab ich noch nicht genug gelesen, um es verlässlich einschätzen zu können)
- wirkte bei der ersten Lektüre nach einem Projekt für sich

  • Schritt 7: MAC basierte VLAN Zuweisung
- auf Basis des bis hier erreichten erst mal schauen, ob ich das überhaupt noch haben will…

  • Schritt 8: captive portal für WLAN
- …wenn überhaupt

Bin wie gesagt Privatnutzer. Eine nicht angekündigte Kommunikationspausen im Bereich Tage kann durchaus einmal vorkommen.

Content-Key: 31759136433

Url: https://administrator.de/contentid/31759136433

Printed on: February 21, 2024 at 05:02 o'clock

Member: Pjordorf
Pjordorf Feb 12, 2024 at 00:37:31 (UTC)
Goto Top
Hallo,

Zitat von @Calculon:
- 1x TP Link Switch (eol und seit 5(?) Jahren keine Updates mehr) im "jeder sieht alles" Modus
Wenn dir das Thema Updates für deinen 5 Jahre über den EOL Termin Switch so wichtig ist, einen neuen kaufen. Und welche (dir bekannten) Probleme hat dein Switch welche du mit Updates beheben willst?

- 40 LAN im Haus, davon aktive Nutzung ca. 15
40 was? Eier, Hühner, Tretautos, Kinder bzw. Jugendliche, Erdbeeren, Apple Smartphones, Netze?

- Fritzbox bleibt als Modem
Welche FritzBox hast du denn ubd welche Firmware werkelt da drin. AVM hat die reine Modem Funktion seit Jahren schon ausgebaut. Als Router mit zwangsweise NAT hast du dann eine Kaskade. Ist ein neues Modem nicht sinniger?

- Ausweitung der LAN Anschlüsse auf ca. 30 (von 40) anstehend
Also verkleinerung deiner Anzahl an Eiern, Hühnern, Tretautos, Kinder bzw. Jugendliche (Mord?), ERdbeeren, Apple Briefbeschwerer (Smartphones), Netze?

Wenn ich dann an der Umsetzung meines Vorhabens bin: mache ich dann einen großen Thread auf, der lange offen bleibt, bis ich fertig bin?
Nein.

Oder erstelle ich für jeden Teil eine neue Frage, so denn eine aufkommt?
Ja

Ich vermute man nimmt sich zwei Laptops, die man an den diversen Stellen anstöpselt und jeweils einen Ping aufeinander versucht. Dann klappen die IP Zuweisungen mit DHCP und das Routing zwischen den Netzen.
Der Ping (ICMP) hat nichts mit funktionierenden DHCP zu tun. Da siehst du nur das eine grundsätzliche Kommunikation zwischen 2 Geräte möglich ist (ICMP halt).
Der umgang mit Wireshark sollte dir nicht fremd sein.
https://www.wireshark.org/docs/
https://www.wireshark.org/faq.html

Gruß,
Peter
Member: Visucius
Visucius Feb 12, 2024 updated at 07:28:47 (UTC)
Goto Top
Das NAT im MT kann er ja deaktivieren, dann gibt es kein doppeltes NAT. Und für den Start würde ich die Fritze erstmal lassen, weil dann der Umstieg smoother wird und er einfacher ne Parallelstruktur aufbauen kann. Außerdem bleibt die Telefon-Funktion erhalten

Die Anzahl der Ports ist mir auch nicht klar. Vor allem wenn nur 15 aktiv genutzt werden, muss ich ja nicht rd. 60 Ports - davon nur einer mit passive PoE - vorhalten. Das halte ich für Unsinn.

Zum Rest: baue es einfach parallel auf an einem (anderen) Port der Fritze. Und stecke es erst um, wenn es in großen Teilen steht. Mac-basierte vLAN-Zuweisung bitte gleich oder gar nicht, weil Du das im laufenden Betrieb schlecht umbauen kannst.

Nicht zu viel planen – auch weil Du noch nicht alle Hemmschuhe kennst!

Captiv Portal im Heimnetz ist schon etwas speziell. Wird das wirklich so intensiv genutzt bei Euch?

PS: Habe das mdns-Thema im Blick

PPS: und übertreibs nicht mit der Anzahl der vLANs!
Member: aqui
aqui Feb 12, 2024 updated at 14:34:17 (UTC)
Goto Top
Gibt es Teststrategien, die sich bewährt haben?
Kollege @Visucius hat es oben schon gesagt: Erstmal den 3011 ganz normal mit einem Bein (WAN Port) in dein bestehendes Netzwerk hängen. Hier kannst du dann in aller Ruhe deine VLANs konfigurieren, deine Switches anhängen und das ganze neue Netz in seiner Gesamtheit in aller Ruhe testen und optimieren OHNE das du das bestehende Heimnetz anfassen musst.
Wenn alles funktioniert konfigurierst du schlicht und einfach nur den WAN Port des Mikrotik auf PPPoE um und fertig ist der Lack.l Einfacher und entspannter geht es nicht. face-wink
Als reines nur Modem lässt sich die FB übrigens nicht mehr betreiben das hat AVM schon seit Langem in der FW unterbunden. Was geht ist aber der PPPoE Passthrough Modus oder eben eine klassische Router Kaskade aber dann mit dekativiertem NAT am 3011er.
Member: Calculon
Calculon Feb 12, 2024 at 18:07:00 (UTC)
Goto Top
Moin,

dann mal an die Antworten...

Zitat von @Pjordorf:
Wenn dir das Thema Updates für deinen 5 Jahre über den EOL Termin Switch so wichtig ist, einen neuen kaufen. Und welche (dir bekannten) Probleme hat dein Switch welche du mit Updates beheben willst?

Keine konkreten mir bekannten Probleme.
Überlegung 1: so grundlegend, wie ich es jetzt anfasse, mache ich das sicherlich diverse Jahre nicht mehr. Dann besser richtig.
Überlegung 2: Meine Wahrnehmung: "Das macht man doch so nicht! Sorge dafür, dass Deine Geräte aktuelle Updates bekommen."
Vielleicht hat meine Tendenz zur Übersteuerung hier wieder zugeschlagen...

Zitat von @Pjordorf:
40 was?
Ich bitte die Unkonkretheit zu entschuldigen.
Gemeint: LAN Kabel im Haus, die an einem Ende an einer Netzwerkdosedose im Zimmer und am anderen Ende an einem Patch Panel liegen. Mir fehlt wohl der korrekte Begriff. Ports?

Aktuell nutze ich 15 von 40 vorhandenen Ports(?),
demnächst 30 von 40.


Zitat von @Pjordorf:
- Fritzbox bleibt als Modem
Welche FritzBox hast du denn ubd welche Firmware werkelt da drin. AVM hat die reine Modem Funktion seit Jahren schon ausgebaut.
Auch hier war ich wohl nicht korrekt. Anschluss "aus Wand" von der T* geht in die Fritzbox 6490, von dort geht es weiter in den Switch. Das ist dann wohl ein Router und kein Modem. (?)


Zitat von @Pjordorf:
Der umgang mit Wireshark sollte dir nicht fremd sein.
Danke. Ja, sehr sinnvoll.
(Challenge accepted...)

Zitat von @Visucius:

Das NAT im MT kann er ja deaktivieren, dann gibt es kein doppeltes NAT. Und für den Start würde ich die Fritze erstmal lassen, weil dann der Umstieg smoother wird und er einfacher ne Parallelstruktur aufbauen kann. Außerdem bleibt die Telefon-Funktion erhalten

Die Fritze soll erstmal bleiben, ja.
Hinweis auf NAT: ok
Telefon wird übrigens nicht genutzt.

Zitat von @Visucius:

Die Anzahl der Ports ist mir auch nicht klar. Vor allem wenn nur 15 aktiv genutzt werden, muss ich ja nicht rd. 60 Ports - davon nur einer mit passive PoE - vorhalten. Das halte ich für Unsinn.
Anzahlen s.o.
PoE brauche ich derzeit - und auch mit aktuellem Blick nach vorne - nicht.

Zitat von @Visucius:
Captiv Portal im Heimnetz ist schon etwas speziell. Wird das wirklich so intensiv genutzt bei Euch?
Nö. wie geschrieben: wenn denn das überhaupt kommen sollte.
Ist hiermit gestrichen.

Zitat von @Visucius:
PS: Habe das mdns-Thema im Blick
Ist gemeint "multicast DNS"?
Da habe ich wohl in der Tat noch einen blinden Fleck.
Gibt es hier ein "recommended reading"?


Zitat von @Visucius:
PPS: und übertreibs nicht mit der Anzahl der vLANs!
Ok? Ich hatte bei den bisherigen Recherchen ähnliche Mengen gefunden und hatte gehofft, es damit nicht zu übertreiben.

C
Member: aqui
aqui Feb 12, 2024 updated at 20:23:07 (UTC)
Goto Top
Gibt es hier ein "recommended reading"?
Einfach mal die Suchfunktion benutzen... face-wink
Apple AirPrint ├╝ber VLANs
Member: Calculon
Calculon Feb 12, 2024 at 23:36:27 (UTC)
Goto Top
Zitat von @aqui:
Einfach mal die Suchfunktion benutzen... face-wink
Apple AirPrint ├╝ber VLANs

Den Zusammenhang zwischen mDNS und Bonjour habe ich noch nicht hinbekommen.

Hier im Forum gibts mit dem Artikel
Mikrotik: mDNS Repeater als Docker-Container auf dem Router (ARM,ARM64,X86)
dann ja scheinbar - habs noch nicht durchgelesen - die Lösung für mich. Einen RB3011 habe ich ja.
Member: aqui
aqui Feb 13, 2024 at 10:17:30 (UTC)
Goto Top
Den Zusammenhang zwischen mDNS und Bonjour habe ich noch nicht hinbekommen.
Ist beides das gleiche:
https://de.wikipedia.org/wiki/Zeroconf#Multicast_DNS
https://www.ionos.de/digitalguide/server/knowhow/multicast-dns/
Lesen und verstehen! face-wink
Member: Calculon
Solution Calculon Feb 15, 2024 updated at 17:18:16 (UTC)
Goto Top
Da es nicht eine Antwort gibt, die mir hier geholfen hat, eine kurze Zusammenfassung, was ich mitgenommen habe:
  • trau Dich und plane nicht zu viel! Deine wahren Probleme siehst Du mangels Erfahrung jetzt noch gar nicht...
  • bau das neue Netz parallel zum Alten auf, Ansätze s. oben
  • lerne Wireshark
  • denk an mDNS, das brauchst Du für Bonjour / also vor allem Protokolle im Apple Umfeld
  • lass mal besser (zunächst face-wink ) die Finger von Captive Portalen
  • wenn MAC basierte VLAN gewünscht sind, dann jetzt. Ein späteres Umstellen ist doch eher knifflig

Danke allen für alle Antworten,
Calculon

edit: "VPN" gestrichen und durch "VLAN" ersetzt
Member: Visucius
Visucius Feb 15, 2024 updated at 17:13:31 (UTC)
Goto Top
Ja sehr schön, dann ist ja alles hängen geblieben! face-wink

Captive-Portal kannste später "nachreichen" - Dein "Standard-Wifi" läuft dabei einfach weiter.

Reden wir von VPN oder von MAC-basierter Auth für die vLAN-Zuordnung? Die ist schon cool - nur wirst Du Dir da bei einer Umstellung im laufenden Betrieb mE. keinen Gefallen tuen. Das würde ich zumindest soweit "im trockenen" vorbereiten, bevor Du den Kram umsteckst. Danach haste eh die ein oder andere Baustelle, die Du nicht auf dem Schirm hattest und dann nachsteuerst.
Member: Calculon
Calculon Feb 15, 2024 at 17:17:06 (UTC)
Goto Top
Zitat von @Visucius:

Reden wir von VPN oder von MAC-basierter Auth für die vLAN-Zuordnung?

Sorry, MAC basierte Auth für VLAN natürlich!

Somit möchte ich noch einen Punkt als Learning ergänzen:
- drücke Dich korrekt aus!

(Dann hätte ich oben korrekt VLAN geschrieben und nicht VPN, was ich in diesem Kontext nicht gemeint habe. ...und die Dinger mit Modem und Port wären auch nicht passiert.)