Welche Netzwerkhardware für Eigenheim

[Mountainbiker83]

Liebes Forum!

Bisher nutze ich Netzwerkhardware von AVM, aber mit der kann ich nicht machen, was ich möchte. Um unser immer komplexer gewordenes Heimnetz sauber absichern zu können, bräuchte ich Hardware, die folgendes kann und ich finde da irgendwie nichts passendes....

Switch: 10 bis 16 Ports, er sollte LACP mit 2x 1 GBE (für das NAS) unterstützen, zusätzlich brauche ich noch mindestens 2 Ports mit 2,5 GBE. Außerdem brauche ich Port-basierte und Tag-basierte VLANs.

3 Access-Points: Auf den Access-Points, die ich via Cat7-Kabeln an den Switch anbinden kann, brauche ich 3 Netze: Familie, Gäste, Haustechnik. Sauber funktionierendes Handover ist für die Netze Familie und Gäste erforderlich; auf jeden Fall muss es möglich sein, die Netze in unterschiedlichen VLANs laufen zu lassen.

Es wäre echt toll, wenn mir jemand etwas empfehlen könnte...

Vielen Dank und herzliche Grüße

Mountainbiker83

 

[norKoeri]

Weil Du (auch) einen anderen Router brauchen wirst, welchen Internet-Anbieter nutzt Du in welchem Land?

 

[Mountainbiker83]

@norKoeri SDTnet noch über DSL, irgendwann über Glasfaser. Den gestellten Router hatte ich gar nicht vor zu tauschen; über eine nachgeschaltete Firewall die Masquerading macht, sollte ich das hinkriegen.

 

[norKoeri]

sdt.box – was ist das für ein Teil? Bezweifle ich, dass das so was wird.

mindestens 2 Ports mit 2,5 GBE

Theoretisch könntest Du einen Switch nehmen, der SFP bietet und dann jeweils ein RJ45-Modul rein. Aber weil das teuer wird – Zyxel XMG1915-18EP – und auch noch aktive Kühlung erfordert = Lüfter, wäre mein Vorschlag ein Switch extra für Multi-Gig.

3 Access-Points

Kannst Du alles Unmögliche nehmen, was Multi-SSID erlaubt. Decken oder Wand-Installation? Stromversorgung: Netzteil, PoE-Injektor oder PoE-Switch? Mein Tipp wären drei Zyxel NWA1123AC-Pro gebraucht, die erlauben alles, also Netzteil, PoE, Wand oder Decke.

10 bis 16 Ports

Warum eigentlich „bis“? Hast Du LAN-Dosen im Außenbereich? Dann würde ich auf Port-basierte Zugangskontrolle über 802.1X, also Radius mit MD5, also FreeRadius setzen.

ich finde da irgendwie nichts passendes

Was bzw. wie hast Du bisher gesucht, warum hat das Gesuchte nicht gepasst?

 

[Mountainbiker83]

sdt.box – was ist das für ein Teil? Bezweifle ich, dass das so was wird.

SDTnet ist ein lokaler Provider, der vorkonfigurierte Fritzboxen zur Verfügung stellt. Das Routing hab ich im Griff.

Kannst Du alles Unmögliche nehmen, was Multi-SSID erlaubt. Decken oder Wand-Installation? Stromversorgung: Netzteil, PoE-Injektor oder PoE-Switch? Mein Tipp wären drei Zyxel NWA1123AC-Pro gebraucht, die erlauben alles, also Netzteil, PoE, Wand oder Decke.

Das klingt gut, die schaue ich mir an - beherrschen die sauberes Handover? Ich finde es regelmäßig super nervig, wenn ich mich mit meinem Laptop im Haus bewege und ein Download abbricht, weil der Zugangspunkt gewechselt wird.

Warum eigentlich „bis“? Hast Du LAN-Dosen im Außenbereich? Dann würde ich auf Port-basierte Zugangskontrolle über 802.1X, also Radius mit MD5, also FreeRadius setzen.

Habe ich nicht, aber an sich wäre es eine gute Idee. Zum Glück kann ich darauf verzichten.

Was zw. wie hast Du bisher gesucht, warum hat das Gesuchte nicht gepasst?

Ich hab jetzt mal einen gefunden, der zu passen scheint, bin mir aber nicht sicher, ob der zuverlässig ist:
https://www.amazon.de/Managed-SFP-Aggregation-montierbare-Netzwerk/dp/B0CQR3MXGT

Das Problem ist immer LACP. Diverse Geräte von Zyxzel und Netgear in dieser Preisklasse unterstützen zwar Trunks aber nicht LACP-Trunks. Mein Synology-NAS kann aber nur LACP-Trunks. Das verlinkte Gerät unterstüzt zumindest laut Bewertungen LACP.

Warum 10-16 Ports? Ganz einfach: Am Aufstellungsort des Switches habe ich baubedingt absolut keine Möglichkeit noch weitere Kabel zu verlegen. Also brauche ich auch nicht mehr Ports als baubedingt möglich sind.


Ich danke Dir @norKoeri ganz herzlich für Deine Mühe!

 

[h00bi]

wenn ich mich mit meinem Laptop im Haus bewege und ein Download abbricht

Das hat sich mit dem kommenden Glasfaseranschluss sowieso erledigt, wenn die Downloads in wenigen Minuten oder Sekunden fertig sind.
Hier wäre dann eher die Frage, welchen WLAN-Netto-Durchsatz du flächendeckend erreichen willst.

Mein Synology-NAS kann aber nur LACP-Trunks

Welches ist denn im Einsatz?

Afaik ist LACP nur das Verwaltungsprotokoll, mit dem Geräte untereinander LAGs aushandeln können.
Wenn ein Gerät LACP kann, müsste es eigentlich auch (manuell konfigurierte) LAG können.

 

[norKoeri]

Diverse Geräte von Zyxzel und Netgear in dieser Preisklasse unterstützen zwar Trunks aber nicht LACP-Trunks.

Mhm. Ab der 1915er-Serie unterstützt das Zyxel laut Handbuch, Datenblatt und Web-Oberfläche. Aber ausprobiert habe ich das noch nicht.

Haustechnik

Wenn Du das Heim-Segment aufgeben würdest bzw. über DNS- bzw. Internet-Sperren lösen würdest, könntest Du sogar mit FRITZ!OS auskommen. Du nimmst dann den LAN-Gastzugang und legst das auf ein VLAN um.

beherrschen die sauberes Handover?

Bei mir schon, wenn Du bei WPA-Personal bleibst (z. B. WPA2-PSK) weit unter 100 Millisekunden. Gab einen Artikel in der c’t unter anderem zu dem Thema, dass bei einigen WLAN-Punkten – warum auch immer – das Handover nicht klappt. Aber das wären sogar Software-Bugs, die man mit dem Support durchfechten müsste.

SODOLA

Der hat für die WLAN-Access-Points kein PoE. Das hast Du auf dem Schirm, also dass Du dann das Schalt-Netzteil oder PoE-Injektoren oder weiteren PoE-Switch brauchst?

 

[Mountainbiker83]

Danke Euch für Eure Antworten!

Wenn Du das Heim-Segment aufgeben würdest bzw. über DNS- bzw. Internet-Sperren lösen würdest, könntest Du sogar mit FRITZ!OS auskommen. Du nimmst dann den LAN-Gastzugang und legst das auf ein VLAN um.

Das muss ich mal durchdenken, würde natürlich Geld sparen.

Der hat für die WLAN-Access-Points kein PoE. Das hast Du auf dem Schirm, also dass Du dann das Schalt-Netzteil oder PoE-Injektoren oder weiteren PoE-Switch brauchst?

Hab ich auf dem Schirm: Ich nutze derzeit Fritz!Repeater 2400 als Access Points - für die musste ich Steckdosen installieren, weil sie leider kein PoE können. Daher habe ich aber jetzt überall Strom für die APs.

Ergänzung (18. Oktober 2024)

Welches ist denn im Einsatz?

Eine DS220+. Ich habe das NAS bei uns weniger als Network Attached Storage und mehr als Network Application Server aufgefasst. Es würde mich wenig überraschen, wenn es irgendwann einem kleinen Proxmox-Server weicht.

Ergänzung (18. Oktober 2024)

Ich habe da nochmal eine Frage: Wenn ich sauberes Handover möchte, weil sich ein Nutzer mit Laptop im Haus bewegt - dann brauche ich doch einen WLAN-Controller? Im TP-Link-Universum wäre das glaube ich sowas https://www.alternate.de/TP-Link/Om...-Access-Point-Controller/html/product/1492803 ?

Die vorgeschlagenen Zyxzel NWA1123AC-Pro wären mir da allerdings erheblich sympathischer - aber auch die bräuchten doch einen WLAN-Controller, oder?

Da schwimme ich echt...

 

[norKoeri]

würde natürlich Geld sparen

Neugierde: Inwiefern würde das Geld sparen?

Fritz!Repeater 2400

Dann kannst Du bereits jetzt einen WLAN-Gastzugang zu haben. Willst Du einen Gast-Zugang auch noch an LAN-Dosen, dann einen konfigurierbaren Switch, VLANs und den FRITZ!OS LAN-Gastzugang. Dann kannst Du spielen, also die Haustechnik soweit in der FRITZ!Box sperren – das geht aber nu in Richtung Internet, nicht untereinander. Hast Du auch Haustechnik über WLAN?

Wenn ich sauberes Handover möchte, weil sich ein Nutzer mit Laptop im Haus bewegt - dann brauche ich doch einen WLAN-Controller?

Du brauchst lediglich WLAN-Name, -kennwort und Verschlüsselung überall gleich. Letzteres wird oft übersehen und macht dann Probleme. Auch wird oft übersehen, dass die WLAN-Punkte sehr dicht sein sollten, nur dann funktioniert der Übergang reibungslos. Daher das Haus mit dem schwächsten WLAN-Client ausmessen.

WLAN-Controller

Jein. Mit Controller hast Du die Möglichkeit des Access-Point-Steering nach 802.11k/v (AP-Steering), also dass die WLAN-Beacons mit Informationen über alle anderen WLAN-Punkte im Haus angereichert werden. Das hast Du aktuell bereits, wenn in „fritz.box → Heimnetz → Mesh-Übersicht“ dieses blaue Mesh-Abzeichen bei jedem FRITZ!-Produkt zu sehen ist.

Im TP-Link-Universum wäre das glaube ich sowas [wie der OC200] ?

Jein. Abgesehen davon dass man TP-Link einfach nicht nimmt, weil die laufend WLAN-Punkte nicht mehr mit Software-Updates versorgen†, ist der OC200 nur eine Form des Controllers, eine Hardware-Appliance. Du kannst bei TP-Link alternativ auch die Smartphone-App, die Online-Cloud oder den Controller auf irgendeinem einem Heim-Server laufen lassen, also z. B. über Docker auf einem NAS.

† TP-Link trickst herum, weil die ein Modell-Name mit mehrere Hardware-Versionen verkaufen. Diese unterscheiden sich manchmal kaum, manchmal beachtlich, aber so wird immer wieder verschleiert, dass man ein Modell hat fallen lassen. Auch funktionieren viele Schalter im Controller schlicht nicht bzw. haben nur Auswirkungen an bestimmten Modellen; Du musst dann aufwendig prüfen, ob Dein Modell überhaupt die Funktion kann – und dabei geht es sogar um elementare Sicherheitsfunktionen wie PMF.

Ich nutze derzeit Fritz!Repeater 2400 als Access Points

Was kannst Du denn machen, Decken-, Wand-Montage oder lediglich Sockelleiste bzw. Regal-Höhe?

 

[Mountainbiker83]

Neugierde: Inwiefern würde das Geld sparen?

Weil 1 Fritzbox 7530 und 2 Fritzrepeater 2400 bereits vorhanden sind und auch schon Familien-WLAN und Gäste-WLAN realisieren.

Dann kannst Du bereits jetzt einen WLAN-Gastzugang zu haben.

Hab ich

Willst Du einen Gast-Zugang auch noch an LAN-Dosen, dann einen konfigurierbaren Switch, VLANs und den FRITZ!OS LAN-Gastzugang.

Brauche ich gerade nicht

Dann kannst Du spielen, also die Haustechnik soweit in der FRITZ!Box sperren – das geht aber nu in Richtung Internet, nicht untereinander. Hast Du auch Haustechnik über WLAN?

Ja, leider und da liegt (auch) der Hase im Pfeffer: Ich möchte unter meine Kontrolle bringen mit wem diese Haustechnik redet.

Du brauchst lediglich WLAN-Name, -kennwort und Verschlüsselung überall gleich. Letzteres wird oft übersehen und macht dann Probleme. Auch wird oft übersehen, dass die WLAN-Punkte sehr dicht sein sollten, nur dann funktioniert der Übergang reibungslos. Daher das Haus mit dem schwächsten WLAN-Client ausmessen.

Das ist der Fall.

Jein. Mit Controller hast Du die Möglichkeit des Access-Point-Steering nach 802.11k/v (AP-Steering), also dass die WLAN-Beacons mit Informationen über alle anderen WLAN-Punkte im Haus angereichert werden. Das hast Du aktuell bereits, wenn in „fritz.box → Heimnetz → Mesh-Übersicht“ dieses blaue Mesh-Abzeichen bei jedem FRITZ!-Produkt zu sehen ist.

Ja, hab ich, Fritz mach auch Band-Steering; wobei es besser ginge. Manchmal greift die FritzBox ein, obwohl es nicht sinnvoll ist; dann brechen übrigens die Downloads ab... Die Message ist aber nicht, dass die das gar nicht mehr machen sollen, das würde auch zum Abbruch von Downloads führen. Die Übergabe an einen anderen AP muss halt sauber sein.

Jein. Abgesehen davon dass man TP-Link einfach nicht nimmt,

Ja, TP-Link ist so eine Sache, das ist völlig unstrittig.

Was kannst Du denn machen, Decken-, Wand-Montage oder lediglich Sockelleiste bzw. Regal-Höhe?

Alles was nötig ist

Hey @norKoeri, nochmal vielen Dank für Deine umfangreichen und geduldigen Antworten, vielleicht muss ich doch mal erklären, was ich machen will und warum.

Haustechnik
============
Ich habe hier dezentrale Lüftungsanlagen, die sich nur über WLAN steuern lassen, eine Kabelanbindung ist bei denen gar nicht möglich. Man merkt recht deutlich, dass der Hersteller ein Lüftungsspezialist, aber definitiv kein Softwarespezialist ist. Abgesehen davon, dass man nicht mal die Firmware-Version rauskriegt, glaube ich nicht, dass die sich all zu sehr um IT-Sicherheit scheren, geschweige denn die Kompetenz haben. Diese Geräte sollen in ein eigenes WLAN, das auf ein eigenes VLAN gemappt wird. Auf meinem NAS lasse ich dann eine Firewall als Appliance laufen. Mit ein bisschen Spielen mit Wireshark und der Firewall sollte es mir gelingen, dass diese Geräte nur noch mit ihren Steuerungsservern und den Handys mit der entsprechenden App reden können. Damit dürfte ich jemanden, der die Dinger in ein Botnetz integrieren möchte oder die Teile als Angriffsvektor auf andere Geräte hier nutzen möchte, zumindest ein bisschen ärgern und dann dürfte es sich bei uns schon nicht mehr lohnen, weiter nach Lücken zu suchen.

Dann kommt hier bald noch eine E-Auto-Ladestation, die am Netzwerkkabel hängen wird. Auch die kommt ins Haustechnik VLAN.

Netzwerk Familie
================
Die neuen Homeoffice-PCs von meiner Frau und mir werden über 2,5 GBE Anschlüsse verfügen, das Synology NAS (mit SSDs!) könnte man immerhin über einen 2x 1 GBE LACP Trunk anbinden. Auf den Rechnern befinden sich keine Daten mehr - alles liegt auf dem NAS. Auch wenn derzeit noch alles schnell genug ist, macht es in meinen Augen Sinn, hier einfach das, was mit der Hardware möglich ist auch auszureizen. Ansonsten - nichts besonderes hier.

Gäste Netz (nur WLAN)
=====================
Gäste halt... Oh, ganz vergessen (Edit...): Hier tummeln sich Rauch- und Wassermelder eines chinesischen Anbieters, die mit einem chinesischen Server reden wollen. Ich wollte auf keinen Fall, dass die im Familiennetz auf die Freigaben des NAS kommen - deshalb sind die im Gäste WLAN

 

[norKoeri]

Ich möchte unter meine Kontrolle bringen mit wem diese Haustechnik redet.

Das müsste über die Internet-Sperren in FRITZ!OS gehen, also das normale Heimnetz.

Fritz mach auch Band-Steering

Kann man einzeln bzw. global abschalten und dann probieren. Ich zum Beispiel nutze das nicht.

Ich habe hier dezentrale Lüftungsanlagen, die sich nur über WLAN steuern lassen

Ginge auch über eine – von mir ungeliebte – Router-Kaskade.

 

[maxblank]

† TP-Link trickst herum, weil die ein Modell-Name mit mehrere Hardware-Versionen verkaufen. Diese unterscheiden sich manchmal kaum, manchmal beachtlich, aber so wird immer wieder verschleiert, dass man ein Modell hat fallen lassen.

Hast du dafür konkrete Beispiele bzw. genaue Modelle von TP-Link, bei denen das so sein soll?

 

[Mountainbiker83]

@maxblank Den TL-SG108E gibt es bspw. in unterschiedlichen Hardware-Versionen.

 

[norKoeri]

Hast du dafür konkrete Beispiele bzw. genaue Modelle von TP-Link, bei denen das so sein soll?

Mhm. Müsstest Du eigentlich von Deinen EAP225 bzw. EAP245 her kennen.

Allgemein findest Du sowas, indem Du auf die TP-Link Webseite gehst, dort irgendeinen Omada EAP wählst und dann dort auf Support, hier findest Du ein Data-Sheet. Das ist das Data-Sheet für mehrere Omada EAP. In jenem Dokument suchst Du nach „V1:“. Dann gehst Du von diesen Modellen auf die jeweilige Support-Seite oder in die TP-Link-Community und suchst nach der neusten Firmware bzw. Beta-Firmware.

genaue Modelle

Schönes Beispiel ist der EAP245. Welche Hardware-Version hast Du? Der EAP245 bietet bis inklusive V3 kein PMF, also seit mindestens 2019, also inzwischen mehr als fünf Jahren, einfach nur noch Wegwerf-Ware. Aber der Omada SDN Controller tut so, als könne man PMF einstellen und ich fand auch keinerlei Warnung auch nicht in den Log-Dateien, dass es nicht gelang. Sieht man dann nur durch einen Mitschnitt der WLAN-Beacons. Tatsächlich geht PMF erst seit EAP245 V4 aufwärts.

Eine andere Funktion sind Dynamic-VLAN, was die Basis für PPSK ist. Das betrifft dann eine ganze Reihe an Modell-Revisionen, also nicht nur den EAP245 sondern z. B. auch den EAP620 HD V1.

Kurz: Im Detail muss man sehr viel von WLAN verstehen, mehr als TP-Link selbst von WLAN versteht, um das dann alles wieder zu debuggen. Das will man als Heim-Anwender eigentlich nicht. Auch preislich sehe ich bei TP-Link aktuell keinen Vorteil, weder als Neu- noch Gebraucht-Ware. Man (er)kauft sich eine UniFi-Kopie, die aber immer noch nicht von der Software aus denkt, sondern von der Hardware aus gestrickt ist. Klar hat auch UniFi seine Probleme … aber wenn mir UniFi zu teuer wäre, dann kann ich auch Zyxel NWA/Nebula oder D-Link DBA/Nuclias gebraucht nehmen.

 

[maxblank]

Mhm. Müsstest Du eigentlich von Deinen EAP225 bzw. EAP245 her kennen.

Darauf zielte meine Frage eigentlich ab. Auf der Homepage bei Firmware mit dem EAP225 V1 gibt es nur uralte Firmware, tatsächlich ist über den Controller eine aus März 2024 gekommen. Scheinbar hat TP-Link da etwas angepasst und es gibt die Firmware so nicht zum Download oder ich habe es übersehen. Auf jeden Fall wird der EAP225 V1 seit über 6 Jahren bis heute supported.

 

[norKoeri]

Ja, heißt nicht, dass bestimmte alte Modell-Revisionen keine Updates bekommen. Aber andere Revisionen fallen auf einmal hinten runter, dann hast Du weder ein Update über den Controller noch eine Beta über community.tp-link. Oder noch schlimmer, der Controller vermittelt Dir den Eindruck, eine bestimmte Funktion ginge, aber in Wirklichkeit wird die Funktion nicht geschaltet. Und ohne PMF ist ein WLAN-Punkt heute auch für die Tonne. Hast Du mittels Wireshark kontrolliert, dass Deine „EAP255-Outdoor V1“ inzwischen PMF können?

 

[maxblank]

Nein, habe ich nicht kontrolliert.
Danke dir für den entsprechenden Hinweis. Sehr interessant, darüber zu lesen. 👍🏻

 

[norKoeri]

Ja, bitte kontrollieren. Beim EAP225-Outdoor weiß ich auch nicht, mit welcher Hardware-Revision und Firmware-Version dann PMF kam. Solche mutwilligen WLAN-Abmeldungen kann inzwischen jeder gelangweilte Jungendliche, und noch viel schlimmer sind die Symptome, die über Internet-Foren gar nicht darauf zurückzuführen sind, selbst Profis können die schwer zuordnen. AVM bietet seit FRITZ!OS 7 bzw. dem Jahr 2018 bereits PMF optional (und hatte das sogar schon im Jahr 2013 auf dem Schirm).