Joe Dalton schrieb:
Hat irgendein SOHO-Anbieter Switches mit nennenswerten FW-Funktionen?
Vernutlich kommen die CRS - CloudRouterSwitches - von MikroTik dem am nächsten, zumindest im bezahlbaren Rahmen. Die CRS kann mam mit MikroTiks RouterOS flashen und dann
sind das effektiv Router. Wie sich die Modelle von der Performance so verhalten, weiß ich allerdings nicht.
apfeI schrieb:
Ich habe an der OpnSense Box einen WAN und 5 mögliche Ports für mein internes Netzwerk. Öffne ich die internen Ports dann einfach für alle VLANs?
Die OPNsense muss in dem von
@qiller skizzierten Szenario überhaupt nichts von den VLANs wissen. Damit ist gemeint, dass die OPNsense keinerlei VLAN-Konfiguration benötigt, keine VLAN-ID, kein gar nichts. Du richtest lediglich die LAN1/2/3 Ports aus
@qiller `s Skizze für 3 autarke Netzweke ein. Dabei denkst du dir für jedes Netzwerk ein eindeutiges, nicht überlappendes Subnetz aus und gibst OPNsense auf dem entsprechenden Port die erste IP aus diesem Subnetz. zB LAN1 = 192.168.11.1 /24 und LAN2 = 192.168.12.1 /24 und LAN3 = 192.168.13.1 /24. Nun fügst du für jedes dieser Subnetze in OPNsense einen DHCP-Server hinzu und setzt den Pool zB auf .100 - .199.
VLANs kommen in diesem Szenario erst im Switch zum Tragen. Dort erstellst du 3 VLANs und weist ihnen wie gewünscht die Ports zu. Der Router wird dann wie dargestellt mit jeweils einem Kabel mit den drei Teil-Switches verbunden und du hast erstmal ein funktionierendes Netzwerk. Alle Geräte sollten bereits Internetzugriff haben und auch das Routing untereinander wird erstmal freigeschaltet sein, weil Routing nun mal die Aufgabe eines Routers ist.
Im nächsten Schritt wird nun die Firewall so konfiguriert, dass die gegenseitigen Zugriffe bzw. die Zugriffe auf das Internet entsprechend reglementiert werden. Spätestens hier wirst du merken, dass es gar nicht so einfach ist, das vernünftig zu konfigurieren. Normalerweise verfolgt man dabei nämlich eine "default drop" Politik und gibt gezielt nur das frei, was man freigeben möchte. Wenn man sich da noch nicht so sicher ist was wie und wo, führt das in der ersten Zeit regelmäßig dazu, dass Verbindungen blockiert werden, weil man eben noch keine zulassende Regel dafür implementiert hat. Mit der Zeit sammelt man aber Erfahrung und es gibt auch für bestimmte Szenarien wie zB ein Gastnetzwerk auch einige Hilfestellungen im Netz oder auch hier.
*edit
Wenn du dir Subnetze für dein Netzwerk überlegst, sei möglichst kreativ. Viele nehmen instinktiv als erstes bekannte Subnetze wie das ihrer alten Fritzbox (192.168.178.0/24) oder fangen einfach ganz vorne an zu zählen (192.168.0.0, .1.0, .2.0 usw). Das sind aber schlechte Ideen und auch meine Beispiele sind nicht optimal, aber immerhin besser. Es geht nämlich darum, dass du dir womöglich irgendwann ins eigene Knie schießt, wenn du dir einen VPN-Zugang von außen einrichtest. Bist du zB im Urlaub an der Ostsee in einer Ferienwohnung und da hängt ne Fritzbox an der Wand
und du hast zu Hause das Fritz-Subnetz laufen, dann wirst du Probleme haben, deine Geräte daheim zu erreichen, weil ein Routing-Konflikt entsteht. Deswegen sollte man Subnetze möglichst kreativ wählen, um die Wahrscheinlichkeit von Überschneidungen im Urlaub, o.ä. möglichst gering zu halten.
192.168.0.0 - 192.168.255.255
172.16.0.0 - 172.31.255.255
10.0.0.0 - 10.255.255.255
Da kannst du dich beliebig austoben, denk dir was schönes aus. Ich nehme immer Geburtstage und bau sie ins Subnetz ein, leicht zu merken.
wir ergänzen uns sehr oft sehr gut
