Netzwerk umbauen, Tipps benötigt

[Geeky26]

Hallo zusammen,

ich bin gerade dabei, mein ehrlich gesagt simpltes aber funktionables Heimnetzwerk zu überdenken und hätte gerne ein paar Tipps von euch. Situation aktaktuell:

• FritzBox als Router
• Per 1000 Mbit LAN ist mein Server angeschlossen, auf dem laufen:
  • Pi-hole (Werberblocker und DNS-Server)
  • Jellyfin
  • Minecraft-Server
  • Immich
  • Außerdem sind an diesem Server auch alle Festplatten angeschlossen, auf denen sich alle unsere Daten befinden und per SMB in Windows und am Handy auftauchen
• Vom Router führt ein weiteres LAN-Kabel ins Büro, wo ein 1000 Mbit Switch angeschlossen ist. An diesem hängen zwei PCs per Kabel.

Der Server hat eine feste IP (gespeichert in Debian selber, nicht in der FritzBox).
Alle anderen Geräte bekommen die IP die sie von der FritzBox zugewiesen bekommen.
Von Außen habe ich Zugriff auf den kompletten Server per Wireguard-VPN-Verbindung.
Irgendwann in Zukunft würde ich vielleicht alles auf 2.5 Gbit umbauen. Da dachte ich dann als Switch an sowas hier (https://www.amazon.de/BrosTrend-2-5G-Switch-Ethernet-Lifetime-Schutz-Weiß/dp/B0DJLNTBVF) und für die PCs und Server USB 3.2 > RJ45-Adapter.

Das Problem:
Wenn der Server aus ist (z. B. wegen Wartung), gibt es kein Internet mehr, weil Pi-hole der DNS-Server ist.

Meine Idee wäre jetzt, Pi-hole auf ein separates Gerät wie einen Raspberry Pi oder ein ähnliches Gerät auszulagern, damit das Internet unabhängig vom Server läuft. Ist das sinnvoll? Oder gibt es bessere Alternativen?
Was könnte ein zusätzlicher Router hinter der FritzBox für Vorteile bringen in Sachen Sicherheit, VPN usw?

 

[rezzler]

Was könnte ein zusätzlicher Router hinter der FritzBox für Vorteile bringen in Sachen Sicherheit, VPN usw?

Nachteile im Sinne von Doppel-NAT würde er bringen. Wenn du mit einem "ernsthaften" Router liebäugelst setz davor ein einfaches Modem. Ernsthafte Router haben aber auch mehr Konfigurationsmöglichkeiten und dsmit mehr Möglichkeiten für Sicherheitslücken.
Die Telefonie (falls genutzt) müsstest du dann über die FritzBox im LAN realisieren, die spielt dann aber keinen Router mehr.

In Sachen Sicherheit und VPN machst du mit einer FritzBox als Router erstmal nichts falsch. Oder hast du hier bestimmte Gedanken?

 

[Geeky26]

Eigentlich keine bestimmten Gedanken was den Router angeht.

Hauptziele für die nahe Zukunft sind:

• PiHole vom großen Server trennen
• 2.5 Gbit LAN

Telefonie wird nicht genutzt.

 

[rezzler]

Eigentlich keine bestimmten Gedanken was den Router angeht.

Dann kannst du den ja erstmal außen vor lassen.

Hauptziele für die nahe Zukunft sind:

• PiHole vom großen Server trennen
• 2.5 Gbit LAN

Das lässt sich ja relativ einfach erledigen. Für PCs würd ich, soweit möglich, Einbaukarten verwenden anstelle von externen Dingen, die dann rumbaumeln.

 

[Geeky26]

ITX-PCs, nicht möglich, leider.
Aber das Gehäuse ist DIY, da würde zum Glück nichts rauskommen. Die einzigen Kabel die rauskommen sind Strom, LAN, Grafikkarte, An-Aus-Schalter und USB für einen Hub.

 

[SaxnPaule]

Gib den Clients einfach einen alternativen DNS.

Oder du trägst in deiner Fritzbox dein PiHole als 1. DNS ein und Cloudflare als 2. DNS.

 

[Geeky26]

In der FritzBox ist der PiHole als 1 DNS und Quad9 als 2. DNS. Ich würde aber gerne, wenn der Server warum auch immer aus ist, trotzdem noch im ganzen Netzwerk den PiHole aktiv haben.

 

[SSD960]

Meine Idee wäre jetzt, Pi-hole auf ein separates Gerät wie einen Raspberry Pi oder ein ähnliches Gerät auszulagern, damit das Internet unabhängig vom Server läuft. Ist das sinnvoll? Oder gibt es bessere Alternativen?
Was könnte ein zusätzlicher Router hinter der FritzBox für Vorteile bringen in Sachen Sicherheit, VPN usw?

Seit Jahren läuft Pihole mit Syncthing auf einem Raspi .

 

[Geeky26]

Wofür nutzt du Syncthing in diesem Zusammenhang?

 

[Der_Dicke82]

Du suchst ja noch nur nach Gedankenanstössen:

1. kein Rpi sondern thinclient oder miniPC
Fujitsu S740 oder S930 da kannst du theoretisch auch direkt einen Router mit adguard (ähnlich pihole) laufen lassen. Oder nur pihole!
Das wird dich insgesamt billiger kommen als ein rpi und ssd etc ist direkt möglich ohne Zusatzhardware.
Wenn es kein Router werden soll, ist auch der HP T630 interessant! Komplett passiv und oft günstig zu bekommen.

2. ich würde wahrscheinlich einen Router mit opnsense hinter der der fritzbox im bridgemode (können die das) laufen lassen und da dann direkt adguard als DNS und Werbeblocker

 

[Geeky26]

Punkt 2 hört sich interessant an.

Welche Vorteile hat diese Lösung?
Kann man OpenSense und AdGuard auf einer Maschine zusammen installieren?

AdGuard nimmt wohl dieselben Listen an wie PiHole.
Ich würde, wenn möglich, auch das DHCP komplett von der FritzBox wegnehmen und das dann AdGuard machen lassen. Oder OpnSense? Wer macht was bzw wer kann was?

 

[Der_Dicke82]

Kann man OpenSense und AdGuard auf einer Maschine zusammen installieren?

Ja das funktioniert! Alternative Software für einen Router wäre OpenWRT und psense!
Auch da kann man Adguard direkt auf dem Router installieren.

Wer macht was bzw wer kann was?

Das kann jedes der vorgenannten routersysteme machen.

 

[Geeky26]

Abschließend noch eine Frage.

Wäre es vielleicht sinnvoll einen Router zu kaufen und OPnsense o.ä. darauf zu installieren?
Weil dieser hätte mehrere LAN-Verbindungen.

Nehmen wir an ich würde einen ThinClient oder Pi nutzen, würde ein Kabel von der FB zum ThinClient gehen und mein Server und das Büro stecken in der FB.

Mit einem echten Router ginge ein Kabel von der FB in den Router und Server und Büro wären direkt am Router statt in der FB. Außerdem könnte ich dann das WLAN der FB ausschalten und diese wäre dann nur noch ein reines Modem.

Oder denke ich falsch ?


Ich glaube ich habe den Unterschied herausgefunden:
mit einem ThinClient (nur 1 LAN-Anschluss) würde der interne Datenverkehr immer über die FritzBox laufen.
Mit einem echten Router, an dem die Endgeräte hängen, würde der interne Datenverkehr nicht bis zur FritzBox kommen und geht stattdessen durch den Router.

 

[norKoeri]

Können wir einen Schritt zurück: Warum überhaupt ein anderer Router? Du brauchst lediglich einen kleinen Computer, der dauerhaft läuft und dort kommt Pi-hole drauf. Das ist ein LAN-Client der irgendwo im Heimsetz stehen kann. Für das andere, zweite Projekt, das Upgrade auf Multi-Gig, holst Du Dir zwei Multi-Gig-Switche, also einen direkt hinter die FRITZ!Box und den bereits bestehenden Switch ersetzt Du.

mit einem ThinClient (nur 1 LAN-Anschluss)

Jein. Gibt auch Mini-Computer, bei denen Du über PCI gleich mehrere LAN-Ports hinzufügen kannst. Alternativ nutzt Du einen USB-Ethernet-Adapter. So wird aus einem Computer mit einem LAN-Port dann ein potentieller Switch, ein Beispiel siehe hier … Aber ich sehe bei Dir bisher keinen Grund für einen anderen Router.

Mit einem echten Router, an dem die Endgeräte hängen, würde der interne Datenverkehr nicht bis zur FritzBox kommen und geht stattdessen durch den Router.

Ich vermute, hier besteht das Missverständnis. Der Datenverkehr bleibt innerhalb vom Switch. Lediglich der Bezug der IP-Adresse und der Internet-Verkehr (und der WLAN-Verkehr der FRITZ!Box selbst) geht über die FRITZ!Box. Daher der Trick mit den zwei Multi-Gig-Switchen.

Außerdem könnte ich dann das WLAN der FB ausschalten und diese wäre dann nur noch ein reines Modem.

Jein. WLAN abschalten allein, macht aus einer FRITZ!Box noch kein reines Modem. Welche Anschlussart hast Du überhaupt (DSL, Cable, Fiber, LTE) und welches FRITZ!Box-Modell?

 

[Geeky26]

DSL 100 (mehr gibt es hier nicht) und eine 7530 bzw demnächst noch eine 7590 (altes Modell, RMA-Austauschgerät).

Können wir einen Schritt zurück: Warum überhaupt ein anderer Router? Du brauchst lediglich einen kleinen Computer, der dauerhaft läuft und dort kommt Pi-hole drauf.

Vielleicht habe ich die falsche Wortwahl aber ich meinte natürlich "kleiner Computer".

Beispiel (WLAN-Modul kann man ja austauschen):
https://www.amazon.de/gp/product/B0CRHKJYZ9?smid=A1ONNMW7VOWFPO&th=1

Da OPnsense und Adguard mit unbound drauf. Die ThinkCentre M720q kosten auch in etwa 200€+.
Solch ein Modell hat 2.5 Gbit-Anschlüsse. Dort mein Server dran und das Kabel welches aus dem Büro kommt. Dann noch ein 2.5 Gbit-Switch im Büro statt des aktuellen von D-Link. Neue LAN-Kabel und eine neue Netzwerkkarte für den Server ist ja klar.

 

[norKoeri]

Kannst Du machen, aber jene China-Böller und UEFI-Updates, puh. Auf jeden Fall kannst Du einen solchen „Router“ auch so umstellen, dass der rein LAN-Client spielt, der muss nicht Router sein.

Solch ein Modell hat 2.5 Gbit-Anschlüsse. Dort mein Server dran und das Kabel welches aus dem Büro kommt. Dann noch ein 2.5 Gbit-Switch im Büro statt des aktuellen von D-Link.

Leider verstehe ich kein Wort. Was hindert Dich, zwei Multi-Gig-Switche zu holen, an einen die FRITZ!Box, den Server und den anderen Switch?

Neue LAN-Kabel […] ist ja klar.

Ehrlich gesagt, ist mir das nicht klar, denn (vollbeschaltete) Ethernet-Kabel gehen auch für Multi-Gig. Oder anders formuliert: Wenn Du aktuell nicht Fast-Ethernet hast, dann gehen jene Kabel nicht nur für Gigabit- sondern auch Multi-Gigabit. Irgendwie stehe ich heute auf dem Schlauch.

DSL100

Wenn Du unbedingt einen anderen Router haben willst – sehe dafür den Grund bisher immer noch nicht – dann bitte ein eigenes DSL-Modem … Den Speedport Smart 1 bekommst Du manchmal schon geschenkt …

 

[G00fY]

ITX-PCs, nicht möglich, leider.

Auch nicht durch sowas? https://www.delock.com/produkt/95271/merkmale.html?f=s

 

[Geeky26]

Wenn Du unbedingt einen anderen Router haben willst – sehe dafür den Grund bisher immer noch nicht

PiHole ist mein DNS-Resolver und der ist auf demselben Server an dem auch meine Festplatten angeschlossen sind die alle Daten enthalten die wir besitzen. Wir möchten Server (private Daten etc.) und DNS-Resolver trennen.
Und wenn ich da eh schon Geld ausgebe, dann soll es kein Raspberry Pi sein der, wie ich denke, recht schnell in die Knie gehen könnte.

Deswegen ein neues Gerät zwischen Server und FritzBox, welches Werbung und Kram blockt wie PiHole es eh schon tut und DNS-Anfragen annimmt.

Auch nicht durch sowas? https://www.delock.com/produkt/95271/merkmale.html?f=s

Leider auch nicht. Der einzige Slot den die Mainboards haben ist schon belegt.

Kannst Du machen, aber jene China-Böller und UEFI-Updates, puh.

Verstehe die Aussage mit den UEFI-Updates nicht. So schlecht / gefährlich?

 

[norKoeri]

wie ich denke, recht schnell in die Knie gehen könnte

Nö, den kratzt das nicht einmal. Gegenbeispiel: Schon vor 20 Jahren konnten einfachste Router den Berg an DNS-Anfragen bewältigen und einen DHCP-Server bereitstellen. Also Du könntest auch irgendein ausgedienten WLAN-Router aus dem Bekanntenkreis nehmen, dort OpenWrt drauf spielen und den dann als LAN-Client konfigurieren. Kostet dann nix.

Verstehe die Aussage mit den UEFI-Updates nicht. So schlecht / gefährlich?

Das kann man er-google-n. Sind halt fehlende Security-Fixes, ähnlich dem Security-Patch-Level bei Android. HP, Dell und besonders Lenovo bringen je nach Modell-Serie auch fast zehn Jahre später noch Security-Fixes. Das macht mir das einfach zu entscheiden, was ich nehme. Abgesehen davon dass so ein Mini-Computer sogar noch als Schreib-Maschine taugt, sollte ich das Projekt aufgeben.

 

[Geeky26]

Leider hat niemand alte Router übrig und meinen alten TP Link Archer finde ich nach drei Umzügen nicht mehr.

Heißt:
Fritzbox > Raspberry Pi 4 bzw 5 > Switch > Server + PCs.

Wenn ich ganz viel Lust habe .. könnte ich den Dachboden auseinander nehmen und nach meinem alten Pi 4b suchen.