Switch für Heimnetzwerk

[sunshine2012]

Hallo,

folgende Situation. Im Keller ist der Router (Fritz!Box 7530 oder 7590). In den oberen beiden Etagen sind ein Repeater 1200 AX und drei PCs über LAN Buchsen angeschlossen (in Zukunft wahrscheinlich mehr als drei). Im Keller laufen alle LAN Kabel zusammen.

Dort müssten wir dann wohl nen Switch installieren, um die LAN Clients managen zu können. Der Switch sollte günstig sein aber vor allem in Puncto Sicherheit möchte ich keine Abstriche machen.

Was für ein Gerät würdet ihr mir empfehlen?

 

[Incanus]

Bei Netzwerk-Switches gibt es eigentlich keine Sicherheitsrisiken, sie sind nicht direkt mit dem Internet verbunden. Wieviele Ports werden denn benötigt? Gibt es einen 19"-Schrank, so dass ein passendes Gerät benötigt wird oder muss es besonders klein sein um in einen Verteilerschrank zu passen?

Wenn es möglich ist, zeige uns doch ein Bild von der Einbausituation.

 

[sunshine2012]

Ok, das sind ein paar wirklich gute Fragen. Werde ich bei nächster Möglichkeit mal in Erfahrung bringen bzw. fotografieren.

Ergänzung (7. Dezember 2022)

Würdet ihr für den Heimnetzgebrauch eine Hardware Firewall empfehlen?

 

[NJay]

Wenn du keine besonderen Anforderungen hast tuts da jeder dumme L2 Switch der genug Ports mit der gewuenschten geschwindigkeit der Ports hat.

Würdet ihr für den Heimnetzgebrauch eine Hardware Firewall empfehlen?

Fuer was? Dein Router bietet doch genug Firewalling fuer den Heimgebrauch. Die Chance sich da etwas unsicher zu basteln ist sehr hoch.

 

[hanse987]

Hast du einen Magenta TV Receiver im Betrieb? Wenn ja, dann muss der Switch IGMPv3 können. Bei MagentaTV über APP benötigt der Switch dies nicht.

 

[cbtaste420]

Der Switch sollte günstig sein aber vor allem in Puncto Sicherheit möchte ich keine Abstriche machen.

Sollen alle Clients im selben Netzwerk sein oder soll nach privat und Gast aufgeteilt werden?
Falls letzteres benötigt wird, auf jeden Fall einen managed Switch kaufen.
Die Anzahl der Ports musst du selber wissen, 8, 16, 24, 48, ....

 

[sunshine2012]

Fuer was? Dein Router bietet doch genug Firewalling fuer den Heimgebrauch. Die Chance sich da etwas unsicher zu basteln ist sehr hoch.

Ok, gut zu wissen, danke.

Hast du einen Magenta TV Receiver im Betrieb? Wenn ja, dann muss der Switch IGMPv3 können. Bei MagentaTV über APP benötigt der Switch dies nicht.

Nein, nicht vorhanden oder geplant, danke.

Sollen alle Clients im selben Netzwerk sein oder soll nach privat und Gast aufgeteilt werden?
Falls letzteres benötigt wird, auf jeden Fall einen managed Switch kaufen.
Die Anzahl der Ports musst du selber wissen, 8, 16, 24, 48, ....

Ein guter Punkt. Heißen die dann "managed switch" oder wie erkenne ich die in nem Onlineshop (kenne mich damit leider nicht aus)?
Bzw. könnte man getrennte Netze nicht auch über den Router lösen?

 

[cbtaste420]

Bzw. könnte man getrennte Netze nicht auch über den Router lösen?

Der Router muss es unterstützen, sonst brauchst du zusätzliche Hardware. Die FritzBox kann den LAN4 Anschluss als Gast-Netzwerk einrichten. Das Gastnetz ist vollständig vom privaten Teil getrennt, selbst ein Zugriff auf die Bedienoberfläche der FB wird nicht gestattet. Damit die Trennung der Netze auch über die FB hinweg aufrecht gehalten wird, muss der Switch in separate VLANs aufgeteilt werden. Ein VLAN ist eine logische Gruppe von Anschlüssen/Ports am Switch, die nur untereinander kommunizieren können (auch Broadcast Domain genannt). Bei der Benennung der VLANs mache ich es immer so, dass ein direkte Bezug zu den genutzten IP-Adressen ersichtlich ist. Das Standardnetz der FB ist 192.168.178.0/24, dann bekommt das VLAN die ID 178. Für das Gastnetzwerk nutzt die FB immer das Netz 192.168.179.0/24 -> VLAN 179. Usw.. Rechner an Ports im VLAN 178 können dann mit der FB und anderen Rechnern im VLAN 178 kommunizieren aber nicht mit Rechnern im VLAN 179 und umgekehrt.

Das wäre ein guter Anfang, bei Bedarf die Anzahl der Ports erhöhen:
https://geizhals.de/?cat=switchgi&v...tch~13281_8~14846_802.1Qonly~658_Webinterface

 

[sunshine2012]

Der Router muss es unterstützen, sonst brauchst du zusätzliche Hardware. Die FritzBox kann den LAN4 Anschluss als Gast-Netzwerk einrichten. Das Gastnetz ist vollständig vom privaten Teil getrennt, selbst ein Zugriff auf die Bedienoberfläche der FB wird nicht gestattet. Damit die Trennung der Netze auch über die FB hinweg aufrecht gehalten wird, muss der Switch in separate VLANs aufgeteilt werden. Ein VLAN ist eine logische Gruppe von Anschlüssen/Ports am Switch, die nur untereinander kommunizieren können (auch Broadcast Domain genannt). Bei der Benennung der VLANs mache ich es immer so, dass ein direkte Bezug zu den genutzten IP-Adressen ersichtlich ist. Das Standardnetz der FB ist 192.168.178.0/24, dann bekommt das VLAN die ID 178. Für das Gastnetzwerk nutzt die FB immer das Netz 192.168.179.0/24 -> VLAN 179. Usw.. Rechner an Ports im VLAN 178 können dann mit der FB und anderen Rechnern im VLAN 178 kommunizieren aber nicht mit Rechnern im VLAN 179 und umgekehrt.

Also aktuell klingt das für mich wie Usbekisch ;-) ...magst Du vielleicht vorbeikommen und mir bei der Einrichtung helfen?? 😀

 

[NJay]

Tldr: Willst du eine Einteilung in seperate Netze auch per LAN wirds komplizierter und man braucht etwas Netzwerkkentnisse.

Willst du einfach nur ein Gast-WLAN kann man haeufig einfach technologien des Router/AP herstellers nehmen, solange alle Router/APs vom selben Hersteller sind.

 

[Samurai76]

Ich gebe für die Planung noch zu denken mit: Wenn du das Netzwerk im Keller mit dem Switch erweiterst, musst du für jeden Client im 1. oder 2. Stock eine Leitung ziehen. Wenn du einen Switch ins Erste oder zweite Stockwerk stellst, hast du die neuen Anschlüsse direkt vor Ort und weitaus weniger Kabelmeter zu verlegen.

Zur Sicherheit: 'Dumme' (unmanaged) Switche sind selbst nicht ansprechbar, sie arbeiten m.W.n. nur auf Layer 1 (Physikalische Verbindung) und Layer 2 (MAC Adresse). Erst ein managed Switch hat (erhält/bezieht) eine IP-Adresse und ist über SW erreichbar und damit auch angreifbar. Für Angriffe auf Layer 1 oder 2 Geräte baucht man physischen Zugriff auf die (interne) Netzinfrastruktur (Kabelanschluss am Switch oder per W-Lan). Und da Switche eine über 20 Jahre alte Technik und Standard darstellen, dürfte es für Privat kaum Qualitätsunterschiede geben. Nimm den günstigsten, nur keinen billigst China Schrott. Ich halte da 5€/Anschluss für angemessen, bei 10€ für einen 4-Port Switch sehe ich schon das Gehäuse, geschweige denn die Produktion für kritisch.

 

[Findus]

ist über SW erreichbar und damit auch angreifbar. Für Angriffe auf Layer 1 oder 2 Geräte baucht man physischen Zugriff auf die (interne) Netzinfrastruktur (Kabelanschluss am Switch oder per W-Lan)

Wenn man so wichtig ist, dass dies ein Thema wird, benutzt man einfach VLan 1 nicht und/oder ändert das Management vlan eben auf einen nur per Zugriff erreichbaren Port

 

[Samurai76]

Ich wollte mit meiner Ausführung nur verdeutlichen, das bei der Netzhardware im privaten Umfeld einige Sachen keinen Sinn machen und man sich z.B. den Aufpreis für einen m. Switch sparen kann. Wenn man natürlich 2 Wohnungen des eigenen Hauses vermietet und eine Netzverkabelung Wohnungsübergreifend plant, sollte man sich darüber Gedanken machen, da dann der ph. Zugriff nicht mehr ausgeschlossen ist. Aber was genau dann zu bedenken ist, da weiß ich dann auch nicht mehr wirklich was, aber dass ist derzeit OT.

 

[sunshine2012]

Tldr: Willst du eine Einteilung in seperate Netze auch per LAN wirds komplizierter und man braucht etwas Netzwerkkentnisse.

Willst du einfach nur ein Gast-WLAN kann man haeufig einfach technologien des Router/AP herstellers nehmen, solange alle Router/APs vom selben Hersteller sind.

Separate Netze per LAN brauche ich zum Glück nicht.
Ja, wäre super, wenn ich das über die Fritz!Box mit Repeater von AVM (Mesh) lösen könnte.

Ich gebe für die Planung noch zu denken mit: Wenn du das Netzwerk im Keller mit dem Switch erweiterst, musst du für jeden Client im 1. oder 2. Stock eine Leitung ziehen. Wenn du einen Switch ins Erste oder zweite Stockwerk stellst, hast du die neuen Anschlüsse direkt vor Ort und weitaus weniger Kabelmeter zu verlegen.

Alle LAN Kabel sind schon in den Keller verlegt, ist also schon erledigt.

Bei Netzwerk-Switches gibt es eigentlich keine Sicherheitsrisiken, sie sind nicht direkt mit dem Internet verbunden. Wieviele Ports werden denn benötigt? Gibt es einen 19"-Schrank, so dass ein passendes Gerät benötigt wird oder muss es besonders klein sein um in einen Verteilerschrank zu passen?

Wenn es möglich ist, zeige uns doch ein Bild von der Einbausituation.

Es soll ein 16 Port Switch werden. Folgende Situation bietet sich aktuell im Keller:

Welcher Switch wäre da zu empfehlen?
Managed Switch notwendig oder egal?

 

[NJay]

Separate Netze per LAN brauche ich zum Glück nicht.
Ja, wäre super, wenn ich das über die Fritz!Box mit Repeater von AVM (Mesh) lösen könnte.

Dann brauchst du bei deinem Switch auf nichts besonderes achten, da du alles am ende ueber das Webinterface des Routers/APs einstellen kannst.

 

[sunshine2012]

Das klingt gut. D.h. ich kann es so einstellen, dass Gäste keinen Zugang auf die Netzwerkfreigaben haben obwohl sie das WLAN nutzen?

Kann jemand noch einen (not managed) 16 Port Switch für den Kasten oben (Foto) empfehlen?
Irgendwas worauf ich noch achten sollte?

 

[NJay]

Das klingt gut. D.h. ich kann es so einstellen, dass Gäste keinen Zugang auf die Netzwerkfreigaben haben obwohl sie das WLAN nutzen?

Genau. Du hast dann am Ende zwei WLAN Netzwerke, also zwei unterschiedliche SSIDs mit verschiedenen Passwörtern. Allen eigenen Geräten richtest du das normale WLAN ein und alle Gäste bekommen nur das Passwort zum Gast WLAN. Je nach Einstellung im Router können die Gäste dann nur ins Internet und nicht lokal auf andere Geräte. Auch weitere Einschränkungen wie z.B. limitieren auf HTTP oder Filterlisten sind möglich.

Kann jemand noch einen (not managed) 16 Port Switch für den Kasten oben (Foto) empfehlen?
Irgendwas worauf ich noch achten sollte?

Such dir einen aus: https://geizhals.de/?cat=switchgi&x...ia+Montagewinkel)~13266_Gigabit~658_unmanaged

Mit einem der günstigsten TP–Link oder D–Link machst du nichts falsch.

 

[sunshine2012]

Danke für Deine hilfreichen Antworten!

Habe mir jetzt mal die beiden D-Link Switche DGS-1016D und DGS-1016S rausgesucht. Einen Unterschied zwischen beiden kann ich nur optisch erkennen. Tendiere dann zum flacheren und leichteren.

Passen denn beide in den Schrank auf dem Foto?

 

[h00bi]

Der DGS-1016D ist ein älteres Modell, das noch immer gebaut und verkauft wird.
Von den technischen Daten gibts abseits der Form keine nennenswerten Unterschiede.

Das klingt gut. D.h. ich kann es so einstellen, dass Gäste keinen Zugang auf die Netzwerkfreigaben haben obwohl sie das WLAN nutzen?

Genau, per WLAN is das recht simpel.
Nur wenn du Gästen (z.B. in einer Einliegerwohnung o.ä.) Zugang per LAN Kabel gewähren willst, wird das für den Switch etwas komplizierter. Wobei... Wenn der Hauptrouter im Netzwerkschrank steht ist das auch simpel.

 

[sunshine2012]

Ok, das ist gut zu wissen.

Frage nochmal nach dem Datenschrank (sorry), passt der Switch nun da rein? Möchte ungern ne Überraschung erleben.

Nur wenn du Gästen (z.B. in einer Einliegerwohnung o.ä.) Zugang per LAN Kabel gewähren willst, wird das für den Switch etwas komplizierter. Wobei... Wenn der Hauptrouter im Netzwerkschrank steht ist das auch simpel.

Hierzu habe ich noch ne Frage. Also ich habe definitiv drei PCs, die per LAN Kabel an den Switch gebunden sind. Ich nehme an, die können problemlos untereinander kommunizieren und gegenseitig auf Freigaben zu greifen. Aber wie sieht es aus, wenn ich mit einem Laptop im WLAN bin und auf eine Freigabe eines PCs zugreifen will, der per Kabel im LAN hängt? Soweit ich das in Erfahrung bringen konnte, befinden sich beide Geräte in unterschiedlichen IP Bereichen und es wird schwierig, die miteinander kommunizieren zu lassen. Wie kriegt man das denn trotzdem hin ohne Raketenwissenschaft zu betreiben?