VLAN mit 2 Switches und 2 Fritzboxen

[Selter]

Hallo zusammen,

mal eine Frage an die Netzwerkspezialisten hier

Ich plane folgendes Setup:

Hintergrund:

• Die Webcam ist für die FB 7490 zu weit für WiFi entfernt, außerdem soll die Cam komplett von den anderen Clients getrennt sein
• Auch den RasPI mit Nextcloud möchte ich gern vom restlichen Netzwerk separieren

Die beiden Netgear-Switches verfügen über VLAN ("smart managed") Funktion.

Ist das so überhaupt realisierbar? Insbes. die Port-Freigabe der Webcam würde ja quasi über 2 Fritzboxen laufen ...
Der Rest (also die grünen Clients) dürften ja unproblematisch sein?!

Vielen Dank schonmal!
Selter

 

[Nilson]

Hier stand mist

 

[revan.]

Was verpsrichst du dir von VLAN?
Eine zweite Fritzbox nur um eine Webcam per WLAN anzubinden macht das Netz unnötig aufwändiger. Keep it simple.
Solltest dir was anderes überlegen.
Das die Fritzboxen eh kein VLAN können ist halt auch naja aber deswegen wohl dein "Plan"
Auf welchem Gerät läuft der DHCP Server?

An deiner Stelle würde ich einfach das Gastnetz der Fritzboxen verwenden und fertig...

Dafür brauchst aber 2 Netzwerkkabel von Fritzbox zum ersten Switch und damit 2 VLANs. Du kannst auf Port 4 das Gastnetz aktivieren und somit hast 2 Netze. Mehr geht aber nicht mit den Dingern. Ist halt Casual.

 

[aranax]

Wie kommt das VLAN denn überhaupt zum Internet?

 

[Selter]

Ich möchte den Clients mit Portfreigaben ungern Zugang zum restlichen Netzwerk gewähren - besonders bei der Webcam weiß man ja nie, wie sicher die Firmware ist.

DHCP würde auf der FB7490 bleiben.
Die FB3270 habe ich noch in der Kramskiste und der 8-Port Switch reicht auch nicht mehr aus, so dass ich ohnehin einen 16 Port kaufen wollte.

Ergänzung (26. Mai 2019)

Wie kommt das VLAN denn überhaupt zum Internet?

Wie meinst Du das?
Kenne mich mit VLAN (bisher) noch nicht aus ...

Ergänzung (26. Mai 2019)

An deiner Stelle würde ich einfach das Gastnetz der Fritzboxen verwenden und fertig...

Dafür brauchst aber 2 Netzwerkkabel von Fritzbox zum ersten Switch und damit 2 VLANs. Du kannst auf Port 4 das Gastnetz aktivieren und somit hast 2 Netze. Mehr geht aber nicht mit den Dingern. Ist halt Casual.

Interessanter Ansatz!

Also z.B. von der Fritzbox 7490 mit 2 Patchkabeln von LAN1 und LAN4 (als Gastzugang) an den ersten Switch?
Sind dann damit auch der RasPI und die Webcam getrennt?

 

[revan.]

Also z.B. von der Fritzbox 7490 mit 2 Patchkabeln von LAN1 und LAN4 (als Gastzugang) an den ersten Switch?
Sind dann damit auch der RasPI und die Webcam getrennt?

Ich würde hier eine einfache VLAN Konfiguration vorschlagen, sprich es über die Ports zu machen. Fritzbox Netz1 an sagen wir Port 2 auf den Switch und Port 3 auf Nextcloud. So mal als Beispiel. Du musst das dann aber so konfigurieren auf dem Switch das eben die Fritzbox Heimnetz und Gastnetz abgeschirmt sind. Das geht halt am einfachsten wenn die Ports klar zugeteilt sind.

Ich möchte den Clients mit Portfreigaben ungern Zugang zum restlichen Netzwerk gewähren - besonders bei der Webcam weiß man ja nie, wie sicher die Firmware ist.

Spielt doch nur eine Rolle wenn die Webcam auch von außen erreichbar sein soll!?
Sonst einfach eh intern lassen, da kommt eh theoretisch jeder ran egal ob VLAN oder nicht, jedenfalls bei deinen Fritzboxen^^
Problem ist das VLAN bringt dir ehrlicherweise so nicht wirklich was. Ich verstehe deine Idee dahinter, aber entweder man ist in Netz1 oder Netz2, du erreichst nur das man nicht von einem ins andere kommt. Nicht mehr, nicht weniger.

 

[Selter]

Spielt doch nur eine Rolle wenn die Webcam auch von außen erreichbar sein soll!?

Die Webcam soll eigentlich nur über das Internet erreichbar sein. Also als Kontrolle, wenn man unterwegs ist ...
Alternativ könnte man aber vielleicht auch die Cam nur intern laufen lassen und dann per VPN eine Verbindung zur Fritzbox aufbauen und darüber dann auf die Cam zugreifen.

 

[revan.]

Die VPN Lösung solltest du verwenden.
Spar dir dann die VLANs, macht bei deiner Config Null Sinn, außer du musst zwingend 2 intern getrennte Netze betreiben.

 

[Selter]

Meinst Du dann so?

Kann man also Port 2 von der Fritzbox im Switch zu PC1, TV und PC10 zuweisen und den Gastzugang von Port 4 von der FB an den RasPI "durchschleifen".

Ergänzung (26. Mai 2019)

Die VPN Lösung solltest du verwenden.
Spar dir dann die VLANs, macht bei deiner Config Null Sinn, außer du musst zwingend 2 intern getrennte Netze betreiben.

Ah, ok.
Aber wie kann ich den RasPI vom übrigen Netz trennen?

 

[aranax]

Wenn du ein Gerät vom Netz trennst, kann das mit diesem Netz nicht kommunizieren. Grundsätzlich kannst du den Internetzugang der FritzBox nicht einfach mehreren VLANs zuweisen. Es lässt sich ein wenig mit dem Gastzugang tricksen, praktisch hat das aber Einschränkungen zur Folge.

Und warum möchtest du den RasPI vom restlichen Netz trennen? Möchtest du von zu Hause wirklich nicht auf deine Nextcloud zugreifen können? Wirst du zur Administration immer kurz ein Gerät in das andere VLAN stecken?

 

[Raijin]

Ein smart managed Switch kann lediglich die Ports verschiedenen VLANs zuweisen - sei es tagged oder untagged - aber das stellt noch keinerlei Verbindung untereinander her. Daher wäre in deinem ursprünglichen Setup der PI, die 3270 sowie die Webcam in einem isolierten Netzwerk und hätten keinerlei Internetzugang, sofern die 3270 keinen eigenen Zugang bereitstellt. Dein erstes Setup könnte man exakt nachbilden, indem man die als VLAN bezeichneten Verbindungen auf einen separaten 8er Switch legen würde - ohne Uplink zum 16er Switch. Ohne einen VLAN-fähigen Router (oder einen mit 2+ separaten Netzwerkschnittstellen) oder auch einem Layer3 Managed Switch (nix smart/web) mit Inter-VLAN-Routing, der zwischen diesen (virtuellen) Netzwerken routet, sind VLANs voneinander getrennt - so als wenn man zwei physisch getrennte Netzwerke hätte, eben nur "virtuell" auf demselben Kabel, Switch, etc...

Das vorgeschlagene Setup mit dem Gastnetzwerk an LAN4 bedient sich der eingebauten Routing-Funktion der Fritzbox für eben diese beiden Netzwerke, das Haupt- und das Gastnetzwerk. Dadurch bekommt der VLAN-Teil deiner Zeichnung, den man sich wie oben erwähnt als danebenstehenden 8er Switch ohne Verbindung zum Hauptnetzwerk und somit ohne Internetverbindung vorstellen kann, eben doch eine Internetverbindung über den Uplink zum Gastnetzwerk.

 

[Selter]

Danke für die zahlreichen Antworten / Anregungen.

Das Thema ist gar nicht so einfach, wie ich anfangs dachte...

Mal angenommen, ich optimiere die WiFi-Abdeckung der FB7490 noch etwas, so dass die zweite FB nicht erforderlich ist.

Wäre es dann möglich
1) die Webcam über das Gast-WiFi zu betreiben
2) den RasPI über Port4 als Gast-LAN zu verbinden

und somit hätten
a) beide Clients Internetzugang
b) beide Clients wären vom restlichen Netzwerk und auch untereinander getrennt?

Funktionieren die Portfreigaben für Gast-Zugänge überhaupt?

 

[Harrdy]

Die Fritzbox unterstützt keine Portfreigaben ins Gastnetz. Außerdem gibt es zwar eine Gastisolation innerhalb des von der Fritzbox bereitgestelltem Gastwlans. Wenn das ganze allerdings via LAN4 und externen Switch aufgebaut wird sehen sich alle Gäste die an diesem Switch hängen sofern dort nicht noch expliziert eine Client Isolation konfiguriert wurde.