Heimnetzwerk Ausbau/Verbesserung (Firewall, Netzsegmentierung)

[XXXBold]

Hallo zusammen

Ich arbeite momentan daran, ein Heimnetzwerk zu verbessern.
Genauer soll das Netz segmentiert werden und eine Firewall (opnSense) installiert werden.
Das LAN soll in 3 unterschiedliche Netze unterteilt werden:

• LANControl, Netzwerk mit Zugang zu Managment (Proxmox, opnSense Webinterface, ev. Switchwebinterface, ...)
• LANOffice, Netzwerk für "normale" Geräte und Drucker
• LANServers, hier befinden sich unterschiedliche Server, welche auch von aussen zugänglich sein sollen.

Dazu habe ich mir neue Hardware beschafft: Einen MiniPC mit einer Intel-N100 CPU, 4 RJ45-Ports (2.5Gb) und einigen USB- sowie DP und HDMI Anschluss. (Der hier: https://cwwk.net/products/12th-gen-...-4800mhz-4xi226-v-2-5g?variant=44614005555432)

Da die Hardware für eine reine Firewall wohl etwas Overkill wäre, soll der PC zusätzlich als Kodi Mediazenter dienen (Per HDMI an TV). Aus diesem grund setze ich ProxmoxVE als Hypervisor ein, opnSense und Libreelec werden virtualisiert.

Zusätzlich soll auch ein Wireless AP angeschafft werden, da das WLAN des All-in-one Routers (Genexis Pure F530, https://genexis.eu/product/pure/downloads/#pure-fiber-series) zu wünschen übrig lässt. Am sinnvollsten erschiene mir, diesen per POE an einen entsprechenden (neuen) POE-Switch anzuhängen.

Habe mal ein provisorisches Schema des Netzwerks erstellt und hätte da gerne eure Meinung dazu (Siehe anhang).
Hauptaugenmerk sind dabei der MiniPC sowie die beiden VLAN-fähigen Switche. Diese sollen OG und UG (Ober- bzw. Unterrgeschoss) miteinander verbinden (Server befindet sich im UG). Dazu sind im Haus 2 parallele RJ45-Cat6A Kabel verlegt (siehe Schema). Ich würde für das LANServers-Netz eine eigene physische Leitung verwenden, damit diese die anderen Netze nicht stört.

Ausserdem folgende Fragen: Habt ihr konkrete Empfehlungen für gute (POE) Switches, welche VLAN-fähig (Also tagged ports sollten unterstützt werden, 802.1q wenn ich das richtig verstanden habe: https://de.wikipedia.org/wiki/IEEE_802.1Q).

(Kenne mich mit VLANs bisher nicht aus, d.h. noch nie selber eingerichtet, hoffe ich hab das Thema soweit verstanden)

Hoffe das Ganze macht in der Form Sinn, bin für Kritik & Verbesserungsvorschläge offen

Danke und Grüsse

XXXBold

 

[Zero_Official]

Hallo,

Vorschlag:
Lass den MiniPC nur als Sense laufen ohne irgendwelchen Multimedia, der N100 mit 4x 2,5 gb Interfaces ist nicht allzu stark ich habe zb. einen Core i-7 mit 6x 2,5gb.

Die Segmentierung zb.
Server, LAN/Wlan und Gast/IoT/Smartfone. in separaten Vlans dazu ein Management Vlan.
Dazu kann ein TPLink L2+ Managed Switch (port und Poe nach bedaRF) und AP zb. EAP673 oder EAP245 passen.

 

[XXXBold]

@Zero_Official Danke für deine Antwort.

Lass den MiniPC nur als Sense laufen ohne irgendwelchen Multimedia, der N100 mit 4x 2,5 gb Interfaces ist nicht allzu stark ich habe zb. einen Core i-7 mit 6x 2,5gb.

Das die Virtualisierung etwas Leistung kostet ist mir klar, ist aber okay und bringt sonst n paar Vorteile mit (Snapshots, backup). Ausserdem dürfte Kodi selbst nicht allzuviel Leistung kosten, da die iGPU verwendet wird.

Server, LAN/Wlan und Gast/IoT/Smartfone. in separaten Vlans dazu ein Management Vlan.

Okay, bis aufs Gastnetzwerk habe ich das ja auch so angedacht. Denke das könnte ich bei Bedarf auch noch hinzufügen.

Dazu kann ein TPLink L2+ Managed Switch

Hm, hättest du da konkrete Vorschläge? Hier mal mein Filter (1x mit POE und 1x einfach POE entfernen für den Switch im UG): https://geizhals.de/?cat=switchgi&v...ly~3328_2015~658_Webinterface~658_nichtunmana
z.B.:
POE: https://geizhals.de/tp-link-tl-sg20...itch-tl-sg2016p-a2915471.html?hloc=at&hloc=de
Non-POE: https://geizhals.de/tp-link-tl-sg10...g116e-a1898225.html?hloc=at&hloc=de#downloads

AP zb. EAP673 oder EAP245

OK für den AP hier mal mein Filter (weiter wichtig: sollte OpenWRT gescheit unterstützen): https://geizhals.de/?cat=wlanap&xf=19917_supportPoE~529_802.11ac~529_802.11ax~758_VLAN

z.B. https://geizhals.de/zyxel-nwa50ax-nwa50ax-eu0102f-a2634708.html?hloc=at&hloc=de

 

[Zero_Official]

@Zero_Official Danke für deine Antwort.


Das die Virtualisierung etwas Leistung kostet ist mir klar, ist aber okay und bringt sonst n paar Vorteile mit (Snapshots, backup). Ausserdem dürfte Kodi selbst nicht allzuviel Leistung kosten, da die iGPU verwendet wird.

Du möchtest OPNSense virtualisiert laufen? es ist/war immer problematisch eine Firewall Appliance Virtualisiert laufen zulassen.
Was hast du denn als Inet speed? ein N100 ist vielleicht für 1 Gbit Durchsatz gut aber auch nicht für mehr.
Ich empfehle immer ein Häubchen drauf als Leistung anstatt später über Langsamkeit zu beschweren.

Okay, bis aufs Gastnetzwerk habe ich das ja auch so angedacht. Denke das könnte ich bei Bedarf auch noch hinzufügen.

Hm, hättest du da konkrete Vorschläge? Hier mal mein Filter (1x mit POE und 1x einfach POE entfernen für den Switch im UG): https://geizhals.de/?cat=switchgi&v=e&hloc=at&hloc=de&sort=p&bl1_id=30&xf=12885_Switch~13033_passiv~13106_RJ-45+PoE+~13266_Gigabit~13281_12~14846_802.1Qonly~3328_2015~658_Webinterface~658_nichtunmana
z.B.:
POE: https://geizhals.de/tp-link-tl-sg20...itch-tl-sg2016p-a2915471.html?hloc=at&hloc=de
Non-POE: https://geizhals.de/tp-link-tl-sg100-unmanaged-pro-desktop-gigabit-easy-smart-switch-tl-sg116e-a1898225.html?

wenn du Geld hast den:
TP-LINKTP-Link-SG3218XP-M2-16-Port-2-5GBASE-T
wenn du kein Geld hast den:
TP-Link-TL-SG2218P (dann aber ohne 2.5gbe)

hloc=at&hloc=de#downloads

OK für den AP hier mal mein Filter (weiter wichtig: sollte OpenWRT gescheit unterstützen): https://geizhals.de/?cat=wlanap&xf=19917_supportPoE~529_802.11ac~529_802.11ax~758_VLAN

z.B. https://geizhals.de/zyxel-nwa50ax-nwa50ax-eu0102f-a2634708.html?hloc=at&hloc=de

habe mal mit OpenWrt experimentiert sehe aber im Bereich AP kein Vorteil... bei Router ja, aber dafür hast du ja OPNSense.
Wenn du Wert auf Vlans und 2,5 Gbe legst ist EAP673 zu empfehlen.

Sowohl mit der OPNSense (bare Metal) und diesen Switchen + AP hast du durchgehend kompatibles Netzwerk.
Ach ja Dlink, Digitus und Cisco kann ich nicht empfehlen.... aus eigener Erfahrung.....
zu unsicher zu billig zu komplex/teuer.

 

[XXXBold]

Du möchtest OPNSense virtualisiert laufen? es ist/war immer problematisch eine Firewall Appliance Virtualisiert laufen zulassen.

Ja, dass es nativ "sauberer" wäre ist mir klar, aber in meinen Augen überwiegen für diesen Einsatzzweck die Vorteile einer virtuellen Umgebung.

Was hast du denn als Inet speed? ein N100 ist vielleicht für 1 Gbit Durchsatz gut aber auch nicht für mehr.
Ich empfehle immer ein Häubchen drauf als Leistung anstatt später über Langsamkeit zu beschweren.

Ist ne FTTH-Leitung mit 400/400. 1Gbit reicht für WAN/LAN, das Netzwerk ist sowieso "nur" Gigabit, aber sehe da aktuell und auch in nächster Zeit keinen Bedarf für mehr.

wenn du Geld hast den:
TP-LINKTP-Link-SG3218XP-M2-16-Port-2-5GBASE-T
wenn du kein Geld hast den:
TP-Link-TL-SG2218P (dann aber ohne 2.5gbe)

Gbit reicht aktuell wie gesagt, danke! Was ist denn an meinem Vorschlag auszusetzen (SFP hats im Haus nicht, dh die Ports nützen nichts)

habe mal mit OpenWrt experimentiert sehe aber im Bereich AP kein Vorteil... bei Router ja, aber dafür hast du ja OPNSense.
Wenn du Wert auf Vlans und 2,5 Gbe legst ist EAP673 zu empfehlen.

Geht auch eher darum für die Zukunft, falls da die Firmware verbuggt/unsicher wird, damit man ne Updatemöglichkeit hat. Und auch hier reichen die 1Gbit^^ WLAN wird praktisch nur für die mobilen Geräte verwendet, Geschwindigkeit ist da nicht so wichtig, soll einfach stabil sein und alles abdecken (Was der aktuelle Router nicht bietet).

 

[Zero_Official]

der TL-SG2016P den du anführst hat kein Vlan Static routing....
das ist vielleicht kein Problem wenn die OPNSense interVlan Routíng übernimmt, das ist aber potentieller Flaschenhals.
Denn der Router wird es in der Software machen der Switch macht es in Asic Hardware zum 0-tarif.

Somit müsste deine Sense sowohl das eine als auch das andre übernehmen.... +eventuelle ACL's zum absichern.
ich vermute das dein MiniPC mit N100 und VM das nicht performant packt.... wenn da mehrere Vlans zu Routen sind mit anständiger Geschwindigkeit.

Ich kann nur Raten das intervlan vom Switch und INet über Router abgewickelt wird.

 

[XXXBold]

der TL-SG2016P den du anführst hat kein Vlan Static routing....

Okay, davon habe ich noch nichts gehört (Wie gesagt, VLAN Neuling), danke für die Info! Glaub bei Geizhals gibts da keinen Filter für?

das ist vielleicht kein Problem wenn die OPNSense interVlan Routíng übernimmt, das ist aber potentieller Flaschenhals.

Ja, du hast recht, ging davon aus, dass das zwangsläufig auch über den Router laufen muss...

Fällt das auch ins Gewicht, wenn nur sehr wenig (vlt 1-2) VLAN-Netze in andere geroutet werden sollen, oder ist das erst bei grösserer Anzahl relevant?
Weil grundsätzlich sollen die VLANs ja getrennt sein, mit Ausnahmen (z.B. Zugriff aufs LANServer).

Edit: Hier mal die Performance des N100: https://forums.hardwarezone.com.sg/threads/x86-soft-router-intel-n100-12th-gen-alder-lake.6958302/
(Klar, das wird ohne grosse Regeln etc. laufen, aber das sieht ja mal ganz orderntlich aus)

 

[Zero_Official]

Okay, davon habe ich noch nichts gehört (Wie gesagt, VLAN Neuling), danke für die Info! Glaub bei Geizhals gibts da keinen Filter für?

Einen Filter kenn ich nicht ich schaue auf die Specs auf der Herstellerseite.
Da muss explizit Vlan und Statisches Routing sein... das ist L2+

Ja, du hast recht, ging davon aus, dass das zwangsläufig auch über den Router laufen muss...

Fällt das auch ins Gewicht, wenn nur sehr wenig (vlt 1-2) VLAN-Netze in andere geroutet werden sollen, oder ist das erst bei grösserer Anzahl relevant?
Weil grundsätzlich sollen die VLANs ja getrennt sein, mit Ausnahmen (z.B. Zugriff aufs LANServer).

Je mehr du segmentierts desto mehr muss geroutet werden.
Du müsstest vorstellen das wenn du eine 10GB Datei (was Heute nicht ungewöhnlich ist) kopierst, muss dein Router 1 Gbit in software Routen, bei 1x Word Datei fällt das natürlich nicht ins Gewicht.

Wie gesagt einem L2+ Switch ist gleich, da Hardware.

Der Sinn von Vlan ergibt sich nur dann wenn du Netzwerke trennst und absicherst (ACL's)
jeder Vlan hat eine IP und muss zwischen geroutet werden.... dabei wird zb. Broadcast gefiltert was bei grösseren Netzwerken vom Vorteil ist.

Edit: Hier mal die Performance des N100: https://forums.hardwarezone.com.sg/threads/x86-soft-router-intel-n100-12th-gen-alder-lake.6958302/
(Klar, das wird ohne grosse Regeln etc. laufen, aber das sieht ja mal ganz orderntlich aus)

Ordentlich ist nur dann wenn du Deine OPNSense als Fritzboxersatz laufen lässt, wenn du aber Regeln und zb. Transparent Proxy und/oder IDS oder Zenarmor usw. laufen lässt wird deine Sense wirklich zur Firewall und dann steigt auch der rechenbedarf....
kommt noch intervlan Routing hinzu wird es knapp.

Ergänzung (30. Mai 2024)

PS
https://www.thomas-krenn.com/de/wiki/Hardwareanforderungen_OPNsense

 

[Raijin]

Da muss explizit Vlan und Statisches Routing sein... das ist L2+

Layer2+ bezeichnet lediglich "dumme" unmanaged Layer2 Switches, die um rudimentäre managed Funktionen erweitert wurden, vorwiegend 802.1Q, also die grundsätzliche VLAN-Unterstützung, und in der Regel noch sowas wie IGMPv3 für Multicasts. Wenn der Switch routen soll, ist es ein Layer3 Switch, weil Routing nun mal auf Layer3 stattfindet, IP-Adressen und Subnetze.

 

[Zero_Official]

@Raijin
nach meinen Erkenntnissen ist L2+ nur ein L2 der nur um statisches Routing erweitert wurde.
Irgendwo hatte ich die Seite die das erklärt...
Ein richtiger L3 Switch ist um einiges teurer und um einige Funktionen reicher, zb. Multicast Routing PIM und etc.

 

[Raijin]

Genau genommen ist Layer2+ überhaupt nicht definiert. Routing basiert aber nun mal auf Subnetzen und IP-Adressen und die sind de facto Layer3. Es wäre mir neu, dass ein L2+ Switch routen kann und wenn es so ein Modell gäbe, wäre es eine Ausnahme von der Regel bzw. es ist dann eben kein L2+, auch wenn der Hersteller es womöglich selbst so bezeichnet. Layer3 bleibt aber Layer3.

 

[Zero_Official]

Ergänzung (30. Mai 2024)

 

[Raijin]

Das ändert aber nichts daran, dass es irreführend oder gar falsch ist, egal ob TP-Link das nun so nennen mag. Die WLAN-Hersteller reden auch überall von Mesh, aber nur ein verschwindend geringer Bruchteil von ihnen nutzt tatsächlich 802.11s. das eigentlich namensgebende Mesh. Sowas nennt sich dann Buzzword im Marketing.

Quelle: OSI-Modell @ Wikipedia


Wenn du einen L2+ Switch pauschal mit Inter-VLAN-Routing gleichsetzt, ist das schlichtweg irreführend. Entscheidend ist ob Inter-VLAN-Routing unterstützt wird oder eben nicht. Man muss zwingend in das Datenblatt eines Switches gucken, um seinen Funktionsumfang zu überblicken.

 

[Zero_Official]

dies habe ich so auch angeführt, in meinen Vorigen Posts.
ob nun einer Managed, Smart Managed, full manged oder auch L2+ nennt ist irrelevant mittlerweile gibt es viele Zwitter Dinge.
Entscheidend sind Hersteller Angaben was das Ding kann.

 

[XXXBold]

Uh okay, das scheint wohl ein komplexeres Thema zu sein.

@Zero_Official

der TL-SG2016P den du anführst hat kein Vlan Static routing....

Glaube doch? Habe von TP-Link einen Emulator gefunden für das Gerät, und da lassen sich unter "Layer 3" statische Routen konfigurieren: https://emulator.tp-link.com/TL-SG2016P(UN)1.0/index.html
(Ich habe das jetzt nicht im Detail angeschaut, aber cool dass es sowas gibt, also einen Online-Emulator)

Das Datenblatt scheint auch mehrere Modelle abzudecken: https://gzhls.at/blob/ldb/c/4/0/6/717ea049e6470d74568e8a4a5c2fd8576f37.pdf
(u.a. auch dein genannter TL-SG2218P)

Was ich mich generell frage: Wie läuft das denn ab, wenn mehrere solcher Switche im Einsatz sind? Muss das ganze auf jedem konfiguriert werden (also die routen etc)?
Und wie verträgt sich das mit opnSense auf dem Router? Funkt das da nicht dazwischen, resp. wie soll dieser denn die VLANs behandeln?

 

[Zero_Official]

habe mir Emulator angeschaut, es scheint so das der Routen kann ,das stand aber nicht in den Specs.. oder ich habe es übersehen.

Ich habe einen 10Gbe Switch der das zentral erledigt(intervlan) und 5 Zyxel L2 managed mit Vlans.

Du erstellt Alle Vlans samt interfaces und IP auf dem sagenwirmal core Switch und brauchst auf den anderen nur Vlans zb 1x untag und 3/4/5 tagged... oder alle tagged zwischen dem Zentralen und sekundären Switchen, die port zu den Clients alle untag mit jeweiligen Vlan nummer markieren, sowohl port (PVID) als auch Vlan.

Nur seĺten kann ein Client mit Tagged Vlan umgehen.... bei VM kannst du es aber einstellen.

Auf der Sense auch entsprechend Vlan interfaces erstellen mit jeweiligen IP's.

Beispiel Switch interface 192.168.1.1 Vlan 100 und auf der Sense Vlan 100 mit 192.168.1.2
die Clients können dann IP's zb. ab 192.168.1.10 - 192.168.1.254 ip per DHCP haben.

Der Switch routet von selbst zwischen Vlans da er die ja kennt, nur ins Internet musst du Default Route bestimmen, das kann ein von den Vlans sein oder in meinem Fall 1 dediziertes Vlan, mit Submask 255.255.255.252 nur 2 ip adressen Switch und Sense.

Die OPNSense kann sehr gut mit Vlans umgehen, da ist kein Problem zu erwarten,
Wie man sense einrichtet gibt es etliche YouTube Videos.

 

[XXXBold]

Du erstellt Alle Vlans samt interfaces und IP auf dem sagenwirmal core Switch und brauchst auf den anderen nur Vlans zb 1x untag und 3/4/5 tagged... oder alle tagged zwischen dem Zentralen und sekundären Switchen, die port zu den Clients alle untag mit jeweiligen Vlan nummer markieren, sowohl port (PVID) als auch Vlan.

Okay, d.h. das interVLAN routing wird dann NUR von einem (Dem "Core Switch") gesteuert, die anderen Switche sollte nur 802.1Q beherrschen zwecks VLAN? Und der Router (opnSense) ist am Routing der VLANs untereinander nicht beteiligt?
Mit anderen Worten, ein simpler TL-SG116E (https://geizhals.de/tp-link-tl-sg10...witch-tl-sg116e-a1898225.html?hloc=at&hloc=de) würde da ausreichen als nicht-core switch?

Nur seĺten kann ein Client mit Tagged Vlan umgehen.... bei VM kannst du es aber einstellen.

Auf der Sense auch entsprechend Vlan interfaces erstellen mit jeweiligen IP's.

DH die VLANs würde ich unter proxmox anlegen, und als "echte" interfaces an opnSense durchreichen? Dann hätte ich auf Seite opnSense mit VLANs nichts zu tun sondern nur mit gewöhnlichen ports. Damit können auch unter proxmox die VMs direkt den VLANs zugeteils werden.

Beispiel Switch interface 192.168.1.1 Vlan 100 und auf der Sense Vlan 100 mit 192.168.1.2
die Clients können dann IP's zb. ab 192.168.1.10 - 192.168.1.254 ip per DHCP haben.

Hm, eigentlich würde ich das management und generell die VLANs in ein komplett anderes Netz verlagern, ist dann einfacher auseinanderzuhalten finde ich.

 

[Zero_Official]

Achte darauf das den richtigen kaufst, managed.

Die Vlans auf der Sense kannst du einem oder aufteilen auf mehrere physikalische port zuordnen ist ja virtuell.

Richtig wenn der Switch intervlan macht braucht die Sense nur Inet zu Routen.

Leider kenne ich Proxmox nicht, hatte keine Zeit mich damit zu beschäftigen es sollte aber genauso sein wie auf der Sense 1 Echtes interface und mehrere Virtuelle darauf.... die musst du dann taggen.

Managed Vlan ist auch nur ein Vlan, meistens wird es durch ACL's abgesichert und nicht an den Router weitergereicht, es sei denn du willst remote darauf zugreifen.

Beispiel TPLink Access Point:

IP 191.168.100.10 managed vlan 100 tagged und die 3 SSID's sind Vlan 200, 300, 400 tagged mit eigenen subnetzen.
Vlan 100 wird vom Inet Routing ausgeschlossen und auch gegen unsichere vlans abgesichert.
Du hast dann nur zugriff auf die Switche, Sense AP, Proxmox, Server zum managen von einem
von dir bestimmten Rechner oder Subnetz.

 

[Raijin]

Wenn ich das richtig sehe sind 3 Netzwerke + WAN geplant und der MiniPC hat 4x LAN, die 1:1 auf diese aufgeteilt werden sollen. Das heißt die *sense braucht gar keine VLANs, weil sie physisch in diesen Netzwerken vertreten ist. VLANs kommen erst im Switch zum Tragen, weil dieser nicht nur seine Ports splitten muss, sondern die VLANs auch per Trunk zum 2. Switch sowie zum AP durchreicht.

Nur dann, wenn man der *sense in Proxmox weniger Interfaces zuteilt als es Netzwerke geben soll - zB nur eth3 - muss man in diesem Interface die VLANs erstellen und den verbundenen Switchport ebenso als Trunk konfigurieren wie man es bei den Uplinks zum AP und dem anderen Switch tut, also mit allen tagged VLANs.

Leider kenne ich Proxmox nicht, hatte keine Zeit mich damit zu beschäftigen es sollte aber genauso sein wie auf der Sense 1 Echtes interface und mehrere Virtuelle darauf.... die musst du dann taggen.

Genau so, wobei VLANs in der *sense bei 4 physischen Schnittstellen überflüssig sind.

 

[Zero_Official]

Genau so, wobei VLANs in der *sense bei 4 physischen Schnittstellen überflüssig sind.

Korrekt.
Ich bin sparfuchs und belege nicht alle interfaces, sondern behalte mal 1 oder 2 für zukunftige zwecke....
sonst müsste ich doch ein oder anderes vlan drauf zwirbeln.