Aufbau Heimnetzwerk (FritzBox! + Netgear Switches + Ubiquiti APs)

[Weindl1987]

Hallo Netzwerk Expertinnen und Experten,

ich bin gerade dabei das Netzwerk im Haushalt fertigzustellen (Neubau begonnen vor etwa 3 Jahren).

Aktuell sieht meine vorhandene Hardware wie folgt aus:

• FRITZ!Box 7530 AX für die Verbindung zum Glasfaser Rack Einschub
• 1x Netgear GS324TP
• 1x Netgear GS324T (derzeit noch nicht verbaut, da ich das Provisorium für die Erdung noch überarbeiten muss und die Ports noch nicht brauche)
• Metz Modulträger für die RJ45 Buchsen (derzeit 36 Stück aufgelegt und nach Stockwerken/Bereichen/Verwendung aufgeteilt)
• 6 Ubiquiti APs (5x U6-Lite und 1x U6-Mesh (hat als ich damals die Komponenten gekauft hatte preislich und bzgl. der Abdeckung am meisten Sinn ergeben)

Verkabelt ist aktuell nur provisorisch was wir zum Leben zwingend brauchen (Entschuldigt die gelben Kabel, die kommen werden noch alle durch die CAT7 Flachbandkabel ersetzt).

An der Fritzbox direkt hängt aktuell das Glasfaser Modem?, der Uplink zum Switch, Reserve für Switch 2 und ein Port für den Server für die Hausautomatisierung (solange ich noch am Netzwerk bastle wollte ich ihn erreichbar haben).

Grundsätzlich alles nur Plug and Play verkabelt ohne etwas zu konfigurieren, paar statische IPs und die FRITZ!Box als DHCP Server für den Rest.


Nun zur Frage/Aufgabe: Wie würdet ihr nun weiter vorgehen? Macht es sinn ein Gäste Netzwerk (vermutlich nur WLAN) einzurichten?
Würdet ihr dann "einfach" ein weiters VLAN einrichten? Wie siehst dann mit DHCP aus? Die FRITZ!Box kann ja nicht mehrere DHCP Server für mehrere VLANs bereitstellen soweit ich gesehen hab.

Wäre für einen grundsätzlichen Denkanstoß/Diskussion dankbar.

Danke im Voraus.

SG
weindl1987

 

[Renegade334]

Nun zur Frage/Aufgabe: Wie würdet ihr nun weiter vorgehen? Macht es sinn ein Gäste Netzwerk (vermutlich nur WLAN) einzurichten?
Würdet ihr dann "einfach" ein weiters VLAN einrichten? Wie siehst dann mit DHCP aus? Die FRITZ!Box kann ja nicht mehrere DHCP Server für mehrere VLANs bereitstellen soweit ich gesehen hab.

Die einfachste Lösung wäre den letzten Port der Fritzbox als eigenes VLAN mit an deine Ubiquiti zu geben. Die sollten darauf dann doch ein Gäste WLAN aufspannen können.
Die Fritzbox ist natürlich recht begrenzt, aber das Gästenetz auf dem letzten Port wäre dafür ausreichend.
https://avm.de/service/wissensdaten...0/949_LAN-Gastzugang-in-FRITZ-Box-einrichten/

 

[Weindl1987]

@Renegade334 Danke für die Antwort.

Das mit Port 4 hatte ich schon gelesen. Du würdest also dann mit 2 Ports von der Fritzbox auf den Switch mit den PoE APs gehen? Dann 2 VLANs mit denen die 2 Ports und die restlichen Ports verbunden werden?
Die Ports vom FritzBox Guest LAN dann als Tagged konfigurieren? Oder muss ich alle Ports in den VLANs dann Tagged konfigurieren, damit es zu keinem Konflikt kommt?

Aktuell hat mir das schon gefallen, dass ich von der Fritzbox einmal zum Glasfaser, direkt zu den 2 Switches und einmal direkt auf den SmartHome Server zu gehen.

Bei den Ubiquiti APs müsste ich dann auch 2 Netzwerke mit den 2 VLANs konfigurieren, soweit ichs versehe.

Entschuldigung für die "dummen" Fragen.

 

[drago1401]

ich sehe gar keinen Controller für Ubiquiti geräte. gibt es den?

 

[Weindl1987]

@drago1401:
Keinen der derzeit dauerhaft läuft. Eigentlich wollte ich mal einen Raspi dafür verwenden, die sind aber für die aktuelle Version zu alt. Vlt. wirds mal ein NAS dauerhaft übernehmen, das steht aber noch in den Sternen.

Konfiguriert werden die APs aktuell per Notebook.

Ergänzung (9. Februar 2025)

@Renegade334 Danke für die Antwort.

Das mit Port 4 hatte ich schon gelesen. Du würdest also dann mit 2 Ports von der Fritzbox auf den Switch mit den PoE APs gehen? Dann 2 VLANs mit denen die 2 Ports und die restlichen Ports verbunden werden?
Die Ports vom FritzBox Guest LAN dann als Tagged konfigurieren? Oder muss ich alle Ports in den VLANs dann Tagged konfigurieren, damit es zu keinem Konflikt kommt?

Aktuell hat mir das schon gefallen, dass ich von der Fritzbox einmal zum Glasfaser, direkt zu den 2 Switches und einmal direkt auf den SmartHome Server zu gehen.

Bei den Ubiquiti APs müsste ich dann auch 2 Netzwerke mit den 2 VLANs konfigurieren, soweit ichs versehe.

Entschuldigung für die "dummen" Fragen.

Zusätzliche Frage: Soweit ich gesehen hab, beziehen die Geräte im Gäste LAN der Fritzbox dann IP Adressen vom gleichen DHCP Bereich der Fritzbox? Etwas schade, dass das nicht besser geht. Eigentlich wäre da ein eigenes Subnetz auch noch schön gewesen.

 

[Kerasto]

Ich würde mir erstmal grundsätzlich Gedanken machen, was Du genau möchtest.

Aktuell hast Du 3 Hersteller (AVM, Netgear und UniFi)

Die FRITZ!Box ist für den normalen Heimanweder mehr als ausreichend.
Für mehr aber leider auch nicht.

Ich bin den Weg gegangen und komplett auf UniFi umgestiegen.

Cloud Gateway Ultra
24Port Switch
16Port PoE Switch
4x UniFi U6 Pro

Lässt sich super administrieren und das auf einer Oberfläche, nicht 3

 

[Weindl1987]

Hallo @Kerasto,

ich bin da komplett bei dir. Als ich die Hardware zum Hausbau angeschafft habe, war grad komplett Krise. Deswegen der Kompromiss mit den Netgear Switches.
Fritzbox 7530 AX gabs halt zum Glasfaser dazu.
Die U6-Lite hab ich für 100€ bekommen, was zu der Zeit super war. Marktpreis eher bei 170€.
Abgesehen von der leichteren Administration sollte es doch auch mit den 2 managed Netgear Switches + VLAN + den Ubiqutis möglich sein, etwas aufzubauen, oder?
Den Funktionsumfang der Fritzbox kann ich aktuell nicht beeinflussen.

Alles aus einer Hand wär natürlich nonplusultra, aber auch Kostenfrage. Hab das Zeugs vor 2,5 Jahren angeschafft, da war noch alles komplett unsicher.

 

[Kerasto]

Dann würde ich die FRITZ!Box gegen ein Cloud Gateway tauschen.
Haste direkt nen Controller am laufen und kannst getrennte Netze fürs WLAN erstellen, etc.

Die FRITZ!Box hat ja auch nur RJ45, sollte also funktionieren.
Diese kann ja als Backup in einem Schrank liegen

Das UCG gibts für 100€ bei Kleinanzeigen.

 

[VDC]

Soweit ich gesehen hab, beziehen die Geräte im Gäste LAN der Fritzbox dann IP Adressen vom gleichen DHCP Bereich der Fritzbox? Etwas schade, dass das nicht besser geht. Eigentlich wäre da ein eigenes Subnetz auch noch schön gewesen.

Nein, Gäste landen in 192.168.179.0 und nicht .178.

 

[Weindl1987]

Dann würde ich die FRITZ!Box gegen ein Cloud Gateway tauschen.
Haste direkt nen Controller am laufen und kannst getrennte Netze fürs WLAN erstellen, etc.

Die FRITZ!Box hat ja auch nur RJ45, sollte also funktionieren.
Diese kann ja als Backup in einem Schrank liegen

Das UCG gibts für 100€ bei Kleinanzeigen.

Welchen Vorteil neben dem Controller hätte ich dann noch, außer dass ich mehrere DHCP Server konfigurieren kann? Sollte ich nochmal mehr als nur ein Gäste Netzwerk andenken könnte ich dass immer noch angehen, die VLAN Konfiguration wäre ja immer noch an den Netgear Switches, was den Großteil der Konfig bedeuten würde, oder sehe ich was falsch?

Ergänzung (9. Februar 2025)

Nein, Gäste landen in 192.168.179.0 und nicht .178.

Ahhh... gut zu wissen, hatte ich nicht rausgelesen. Danke.

 

[Kerasto]

• Controller
• Wifi-Management
• Netztrennung
• Monitoring (zB bei Kindern)
• Firewall mit starkem VPN

 

[Weindl1987]

@Kerasto Du würdest das aber trotzdem mit dem VLAN Management über die Netgear Switches kombinieren? Die 100€ schrecken mich nicht ab, solange das mit den VLANs dann passt.

 

[norKoeri]

Du würdest also dann mit 2 Ports von der Fritzbox auf den Switch mit den PoE APs gehen?

Ja. Bin zwar nicht @Renegade334, aber ja, so macht man das. Du schaltest den LAN-Gastzugang in der FRITZ!Box an und gehst dann mit einem zweiten LAN-Kabel von der FRITZ!Box zum Switch (Netgear GS324TP).

Dann 2 VLANs mit denen die 2 Ports und die restlichen Ports verbunden werden?

Ja. Wobei Du VLAN 1 für das Heimnetz lassen kannst. Folglich brauchst Du nur ein zweites VLAN.

Die Ports vom FritzBox Guest LAN dann als Tagged konfigurieren?

Dieses zweite VLAN taggst Du, ja. In Richtung zur FRITZ!Box änderst Du die Port-VLAN-ID (PVID) und lässt nur ein VLAN durch. Oder anders formuliert: In Richtung FRITZ!Box entfernst Du das Tag. In Richtung Switch fügst Du das Tag hinzu. In beide Richtungen mit den WLAN-Access-Points lässt Du es getaggt. Wichtig ist, dass Du sowohl im Access-Point (im Gast-WLAN) als auch im Switch (in diesem VLAN) noch die Client-Isolation aktivierst …

Bei den Ubiquiti APs müsste ich dann auch 2 Netzwerke mit den 2 VLANs konfigurieren, soweit ichs versehe.

Auch hier legst Du lediglich ein weiteres WLAN an, mit dem VLAN aus dem Switch.

 

[Kerasto]

@Kerasto Du würdest das aber trotzdem mit dem VLAN Management über die Netgear Switches kombinieren? Die 100€ schrecken mich nicht ab, solange das mit den VLANs dann passt.

Also ich persönlich nutze keine VLANs auf den Switchen.
Das regel ich alles über Unifi Network.

• Produktiv-Netz
• Gäste-WLAN
• IOT-Netz

 

[Weindl1987]

Ja. Bin zwar nicht @Renegade334, aber ja, so macht man das. Du schaltest den LAN-Gastzugang in der FRITZ!Box an und gehst dann mit einem zweiten LAN-Kabel von der FRITZ!Box zum Switch (Netgear GS324TP).

Ja. Wobei Du VLAN 1 für das Heimnetz lassen kannst. Folglich brauchst Du nur ein zweites VLAN.

Dieses zweite VLAN taggst Du, ja. In Richtung zur FRITZ!Box änderst Du die Port-VLAN-ID (PVID) und lässt nur ein VLAN durch. Oder anders formuliert: In Richtung FRITZ!Box entfernst Du das Tag. In Richtung Switch fügst Du das Tag hinzu. In beide Richtungen mit den WLAN-Access-Points lässt Du es getaggt. Wichtig ist, dass Du sowohl im Access-Point (im Gast-WLAN) auch auch im Switch (in diesem VLAN) noch die Client-Isolation aktivierst …

Auch hier legst Du lediglich ein weiteres WLAN an, mit dem VLAN aus dem Switch.

Zumindest hab ich dann die Theorie richtig verstanden.

Das ich dann von Switch 1 auf Switch 2 einen Uplink brauche ist etwas schade, denn ich würd die Steuerung fürs Haus eigentlich wie beschrieben gern auf der Fritzbox lassen.

Ergänzung (10. Februar 2025)

Also ich persönlich nutze keine VLANs auf den Switchen.
Das regel ich alles über Unifi Network.

• Produktiv-Netz
• Gäste-WLAN
• IOT-Netz

Ganz ist mir glaub ich hier noch nicht klar, wie das dann im Netzwerk unterschieden wird, aber das werden die Ubiquiti APs dann schon wissen.

Ich überleg mir das mit dem Gateway noch.

Ergänzung (10. Februar 2025)

Dieses zweite VLAN taggst Du, ja. In Richtung zur FRITZ!Box änderst Du die Port-VLAN-ID (PVID) und lässt nur ein VLAN durch. Oder anders formuliert: In Richtung FRITZ!Box entfernst Du das Tag. In Richtung Switch fügst Du das Tag hinzu. In beide Richtungen mit den WLAN-Access-Points lässt Du es getaggt. Wichtig ist, dass Du sowohl im Access-Point (im Gast-WLAN) auch auch im Switch (in diesem VLAN) noch die Client-Isolation aktivierst …

Ganz fühle ich mich noch nicht sattelfest warum man das wie von dir verstehen soll mit dem Taggen konfigurieren soll. Ich tagge ja die Ports am Switch... ein bisschen verwirrt.

Auch hier legst Du lediglich ein weiteres WLAN an, mit dem VLAN aus dem Switch.

Muss ich nicht erst ein 2tes Netzwerk mit der 2 VLAN ID anlegen, welches ich dann im 2ten WLAN verwenden würde?

In meiner Theorie würd ich ja durch das Taggen der 2 VLANs quasi 2 Netzwerke haben und diese dann auch in den 2 WLANs verwenden.

Ich glaub ich habs doch noch nicht ganz durchdacht.

 

[Weindl1987]

Update:

Ich habe nun heute etwas herumgespielt...

VLAN1:

Port 23 geht zu einem Test AP (U6 Mesh)
Port 24 geht auf Port 4 der Fritzbox

VLAN2:

Port 23 geht zu einem Test AP (U6 Mesh)
Port 24 wie oben beschrieben zur Fritzbox

Die PVID sieht aktuell wie folgt aus:

Zusätzlich hab ich in der Ubiquiti Welt ein 2tes Netzwerk angelegt:

Dieses 2te Netzwerk wird dann im 2ten WLAN verwendet:

Wifi 1 sind alle APs zugeteilt, man kann sich auch in Wifi 1 auf den U6 Mesh verbinden.
Wifi 2 hat aktuell nur den U6 Mesh auf welchen sich auch verbunden werden kann und eine IP im Bereich 192.168.179.x anstelle von 192.168.178.x erhält.

Ganz bin ich mir allerdings noch nicht sicher, ob hier alles glücklich ist... im Interface der Fritzbox wird mir die IP nur kurz angezeigt und verschwindet dann wieder.
Ich hab das Gefühl, dass ich hier noch was nicht richtig hab.

Eventuell hat jemand nen Hinweis.

Danke im Voraus.

Ergänzung (10. Februar 2025)

Zusatz:
Mit der Isolation hab ich mich jetzt noch nicht gespielt.

 

[norKoeri]

Das ich dann von Switch 1 auf Switch 2 einen Uplink brauche ist etwas schade, denn ich würd die Steuerung fürs Haus eigentlich wie beschrieben gern auf der Fritzbox lassen.

Habe ich leider (noch immer?) nicht verstanden. Wenn Du irgendwie einen Switch weit weg hast, kannst Du auch den konfigurierbaren Switch direkt hinter die FRITZ!Box packen, also kleinen 5er-Switch zum Beispiel.

Ganz ist mir glaub ich hier noch nicht klar, wie das dann im Netzwerk unterschieden wird, aber das werden die Ubiquiti APs dann schon wissen.

UniFi macht das ebenfalls mit VLANs. Hier taggt halt direkt der Router, also das UniFi Gateway.

Ich tagge ja die Ports am Switch... ein bisschen verwirrt.

Du taggst das Subnetz, dieses Taggen machst Du an einem Port.

Muss ich nicht erst ein 2tes Netzwerk mit der 2 VLAN ID anlegen, welches ich dann im 2ten WLAN verwenden würde?

Mit FRITZ!OS? Nein. Das zweite Subnetz ist das Gast-WLAN. Dieses reicherst Du mit VLAN-Tags an. Oder meinst Du im UniFi Controller? Ja, dort musst Du erst ein zweites „Network“ anlegen, damit Du unter „WiFi“ die Möglichkeit bekommst das VLAN auszuwählen.

im Interface der Fritzbox wird mir die IP nur kurz angezeigt und verschwindet dann wieder.

Was meinst Du damit genau, also wo genau in der Web-Oberfläche der FRITZ!Box zeigt AVM welche IP-Adresse nur kurz an?

Mit der Isolation hab ich mich jetzt noch nicht gespielt.

Mit einem WLAN-Punkt auch erstmal nicht nötig; nur im UniFi Controller musst Du (nur) bei diesem neuen Gast-WLAN die „Client Device Isolation“ anhaken.

 

[Weindl1987]

Habe ich leider (noch immer?) nicht verstanden. Wenn Du irgendwie einen Switch weit weg hast, kannst Du auch den konfigurierbaren Switch direkt hinter die FRITZ!Box packen, also kleinen 5er-Switch zum Beispiel.

Hierbei gings mir darum, dass ich eigentlich vor hatte die 2 Switches im Schaltschrank (am Bild in Post 1 erst eines verbaut) an der Fritzbox geplant hatte, plus 1x zum Glasfaser und 1x zur Steuerung fürs Haus.
Nun hab ich aber einen Port für das Gastnetzwerk "verloren".

UniFi macht das ebenfalls mit VLANs. Hier taggt halt direkt der Router, also das UniFi Gateway.

Ok, an den Switchen würde ich dann gar nichts machen und nur die Unifi Welt miteinander kommunizieren?

Du taggst das Subnetz, dieses Taggen machst Du an einem Port.

BIn mir immer noch nicht sicher, wie das richtig am Netgear Switch aussieht, was sagst du hier zu meinen Screenshots meiner letzten gezeigten Config?

Mit FRITZ!OS? Nein. Das zweite Subnetz ist das Gast-WLAN. Dieses reicherst Du mit VLAN-Tags an. Oder meinst Du im UniFi Controller? Ja, dort musst Du erst ein zweites „Network“ anlegen, damit Du unter „WiFi“ die Möglichkeit bekommst das VLAN auszuwählen.

FRITZ!OS. Unter Heimnetz/Netzwerk/Netzwerkverbindungen.

Mit einem WLAN-Punkt auch erstmal nicht nötig; nur im UniFi Controller musst Du (nur) bei diesem neuen Gast-WLAN die „Client Device Isolation“ anhaken.

Aktuell hab ich ja nur einen Testaufbau, im finalen Aufbau sollen alle Ubiquiti APs auch das Gastnetzwerk und das Hausnetz empfangen und verteilen. Für die APs kenne ich die Einstellung. Am Switch müsste ich erst schauen.


Danke im Voraus.

 

[norKoeri]

[Im Gast-Netz musst] Du sowohl im Access-Point (im Gast-WLAN) als auch im Switch (in diesem VLAN) noch die Client-Isolation aktivier[en] …

Mhm. Netgear bietet zwar „Protected Port ← VLAN ← Switching“ aber das ist nicht spezifisch für ein VLAN+Port sondern nur den Port. Offenbar geht das bei Netgear nur über ein ACL … Ausprobieren. Oder damit leben, dass sich Gäste untereinander sehen. Dann auf jeden Fall DHCP-Snooping einschalten.

an den Switchen würde ich dann gar nichts machen und nur die Unifi Welt miteinander kommunizieren?

Genau, mit einem Router der VLAN beherrscht, bräuchtest Du gar keine konfigurierbaren Switche, außer für die Client-Isolation. Wenn man Switche von UniFi nimmt, soll man das alles mittels „Add Network → Purpose: Guest“ können. Aber getestet habe ich das noch nicht.

BIn mir immer noch nicht sicher, wie das richtig am Netgear Switch aussieht, was sagst du hier zu meinen Screenshots meiner letzten gezeigten Config?

Sehe keine Fehler. Habe meinen Netgear mal ausgepackt und hätte das genauso gemacht. Muss man praktisch ausprobieren.

 

[Weindl1987]

Mhm. Netgear bietet zwar „Protected Port ← VLAN ← Switching“ aber das ist nicht spezifisch für ein VLAN+Port sondern nur den Port. Offenbar geht das bei Netgear nur über ein ACL … Ausprobieren. Oder damit leben, dass sich Gäste untereinander sehen. Dann auf jeden Fall DHCP-Snooping einschalten.

Aber reicht mir nicht die Client Isolation an den APs (derzeit nicht aktiviert)?

Ich hab vorhin im Fritz!Box Guest Netz mal den Laptop und ein Handy gehängt und nen IP Scanner laufen lassen. Der hat mir die 2 Geräte aber auch schon nicht gefunden, obwohl ich es anders erwartet hatte.

ACL... Neuland.
Sieht sehr aufwändig aus.

DHCP-Snooping liest sich interessant. Muss ich aber erst mal schauen wo und wie und wie man Trusted wird oder nicht.

Ich werd immer mehr vom Ubiquiti Gateway angetan.

Genau, mit einem Router der VLAN beherrscht, bräuchtest Du gar keine konfigurierbaren Switche, außer für die Client-Isolation. Wenn man Switche von UniFi nimmt, soll man das alles mittels „Add Network → Purpose: Guest“ können. Aber getestet habe ich das noch nicht.

Siehe auch die Antwort oben... Warum doppelt und nicht nur über die Client Isolation am AP?

Sehe keine Fehler. Habe meinen Netgear mal ausgepackt und hätte das genauso gemacht. Muss man praktisch ausprobieren.

Ich hatte mal versucht das VLAN auch in Richtung des APs zu Taggen... da war dann aber gleich der AP nicht mehr erreichbar, was ich noch nicht verstehe.

Danke für deinen Support.

Ergänzung (12. Februar 2025)

Die Anzeige der Clients in der Fritzbox macht mir auch noch immer Sorgen... Aktuell wird der Laptop obwohl wieder im Heimnetz als ungenutzt angezeigt, obwohl ich mit der vorherigen IP definitiv online bin.

Das Handy im Guest Netz taucht auch immer alle paar Sekunden auf und ist dann wieder weg. Aber vlt. ist das bei der Fritzbox eh so, dass die Guest Geräte nur angezeigt werden, wenn sie aktiv sind und gar nicht in die ungenutzte Verbindungen Kategorie kommt.

Glücklich macht mich das nicht... Logging und Nachvollziehbarkeit was so los ist ist somit überhaupt nicht möglich...

Wieder ein Punkt für das Ubiquiti Gateway und dauerhaft laufenden Controller und die Switches gar nicht wirklich viel machen lassen.

Ergänzung (12. Februar 2025)

Wenn ich mir die ganzen Spezifikationen ansehe bin ich im Nachhinein über die U6 Lite auch traurig. Der U6+ kam erst Monate nach dem Kauf raus und durch die Materialknappheut und der Unwissenheit wie sich alles entwickeln wird hab ich zu denen gegriffen. Der Rest war alles sündhaft teurer.

Aber das ist auch nichts, was sich nicht über die Jahre ändern kann, dafür hab ich aber auch die 38 LAN Ports übers Haus verteilt.
An den LAN Ports hängen ohne hin PCs und Arbeitslaptops per Docking Station. Rest muss mit den 300MBits bei 2,4Ghz leben.