Netzwerk in VLANs unterteilen mit UniFi 

Genau die Mammutaufgabe, die ich seit langem vor mir herschiebe, und die mir jetzt evtl. ein bisschen leichter fallen wird :-) Auf so ein(e) Video(serie) habe ich gewartet. Danke!

@@cratsch2001 Ich habs zum Glück ja fast gar nicht vor mir hergeschoben. Nur 3 Jahre 😃

Ich habe das auch noch auf der Liste… Ich habe da so meine Probleme mit den Smartphone Apps (Apple Home, Hue, Bosch, Aqara etc.). Hoffe die Reihe hilft mir. Da ich mir vorgenommen habe mitbder Umstellung auf Matter (Hue und Bosch) alles neu zu machen, könnte ich das mit angehen. Auch meine Homebridge im Docker auf meiner Synology muss mit rein. Auch die Integration von HomePods is interessant. Hoffe das du das auch angehst.

Guten Morgen. Habe ich fast genau so gemacht: Ein Netzt für IoT, eins für Multimedia und mobile Endgeräte (Ipad, Iphone usw.), eins für Testzwecke, eins für Gäste. Jedes Netz hat sein eigenes WLAN - nur das IoT- Netz nicht: das hat 2 WLAN-Netze. Eins mit ausschliesslich 2,4 GHz und eins mit 5 GHz, um Verbindungsprobleme der Endgeräte auszuschliessen. Mein Glück war aber, dass ich nichts umstrukturieren musste, da ich das bereits bei der Renovierung des Hauses so eingeplant hatte.

Ich bin noch an dem Punkt, eine Klassifizierung der Geräte zu machen. Ist z.B. ein Apple HomePod ein IoT Netzwerk. Benötige ich ein Management Netzwerk für die Unifi Switche. Mache ich ein Extra Kamera Netzwerk für meine Unifi Kameras. Wo hänge ich mein NAS rein und was mache ich mit der HomeBridge im Docker auf dem NAS. Wo kommt die Auswertung der Solaranlage (Solarview im docker auf dem NAS) hin. Dies ganzen Vorüberlegungen stehen jetzt als erstes an. Derzeit habe ich ein Gästenetz und ein Normales Netz über eine Dual-WAN Anbindung. @@einarmiger @haus_automation: Warum hast du ein IoT und ein SmartHome Netzwerk gemacht und wie differenzierst du dort die Geräte? Was sind dabei deine Überlegungen gewesen. Ich habe auch so Themen im Kopf wie Microsegmentierung, sodas ich z.B. alle WLAN-Geräte eines Herstellers in einem eigen VLAN unterbringe, sodass ein Problem mit einem Hersteller sich nicht auf alles andere auswirkt. Da wird aber vermutlich der Overhead sehr groß. Da müsste man dann so langsam sich über eine art Automatisierung Gedanken machen. Es bleibt ein spannendes Thema und ich warte mal ab, was das zweite video bringt.

Mein Ziel ist eigentlich, mich da jetzt mal ordentlich einzuarbeiten und das Thema dann in einem Video möglichst verständlich zu zeigen. Ist leider gar nicht so trivial.

Was ich an der UniFi Oberfläche besonders nervig finde, ist das man je nachdem ob man die aktuelle oder die legacy Oberfläche gewählt hat unterschiedliche Konfigurationsoptionen erreichen kann.

Die Legacy Oberfläche verwende ich gar nicht mehr, es gibt nicht wirklich einen Grund dafür. Wenn es Unfi gerade für richtig hält ist sie von heute auf Morgen weg. Legacy halt.

@VCopter51 Siehs‘te mir ist „die neue“ Oberfläche viel zu „bunti bunti“ halt mehr so allgemein (für Laien halt) gehalten. Details fehlen immer noch und werden wohl auch nie kommen. Letztlich muss ich natürlich auch ab hin und her wechseln, da es auf der „alten“ eben nicht mehr alles implementiert wird. Aber so ist es halt mal..

Wtf. So viel APs und Switche. Bist du Privat oder hast du das in einer Firma im Einsatz? Oder ein kleines Dorf als einziges Grundstück? 😅

@Dt09 10 swichte ist schon eine Ansage.. zumal UniFi nicht Clustern kann.. (zumindest das ich’s wüste) und switch(e) zu Kaskadieren ist immer murks.

Haben ein sehr grosses grundstück und um alles für mein Smarthome abdecken zu können brauch ich das.... naja brauchen ist gut was braucht man schon, ist mittlerweile auch ein Hobby ;-)@@deutschland09

Ich weiß ja nicht ob du auch eine Gäste WLAN hast dafür würde ich auch ein VLAN Anlagen.

@@JoergXY nein, ein Gästenetz habe ich nicht. glaube nicht, dass man das in einem EFH, wo nur Freunde & Bekannte ein und ausgehen, tatsächlich braucht

Ich habe rote für PoE, schwarze für Standard und blaue Kabel für Server.

Bei Sonos, Alexa und Co. musst du in der Regel Multicast-Kommunikafion zwischen den Netzen erlauben bzw zusätzlich einen Multicast-Gateway/Proxy einrichten.

@@markustenner5215 vielen Dank für Deine Rückmeldung…ich meine ich hatte das bei mir schon versucht. Leider ohne Erfolg. Evtl. greift Matthias dieses Thema hier ja noch auf ?

Ja, die habe ich bisher auch nicht angefasst. Muss ich mir noch anschauen

Ja das Thema ist ein nettes ;-) MCast Reflection wie hier _sonos._tcp.local - zum Beispiel mit Avahi. Hab die Unifi Firewalls verbannt (pfsense) - früher war es auch ein Problem weil Haken bei mcast alleine ja nciht reicht. Habe damals glaube ich Gruppenregeln fürs Broadcasting und Ports wie 5353 gemacht. Sowie tich weiß auch via ssh auf der fw diverses aktivieren müssen. Das ist einer der Gründe warum ich jetzt nur noch die AP´s habe weil eben nichts halbes und nichts ganzen bei den Themen - bin mal gespannt wie es aktuell ist^^Daher Daumen hoch für die Serie Matthias - bin gespannt ;)

Ich habe keine Sonos also gesundes Halbwisen ;-) Sonos verwendet SSDP. Das Protokoll ist ein Layer2 Multicast Protokoll funktioniert also nur in einem Layer2 Netzwerk. Wenn es in mehreren Layer2 Netzwerken funktionieren soll, brauchst Du einen Muticast Proxy. Ab warum nicht einfach alle Sonos Geräte in ein VLAN?

Das gibts ja alles im Hausbau-Kurs

Wenn ich die geplanten Inhalte für die Online-Kurse produziert habe. 🙃 Zwischendurch muss ich auch noch etwas Geld verdienen und kann nicht nur Spaßprojekte auf RU-vid teilen

Wenn man es konsequent macht, dann wäre das der beste Weg. Zumal man dann ja auch automatisch die Infrastruktur dokumentiert

@@haus_automation kann man machen muss man aber nicht und auf die Frage ob komplexe Setups das alles stabiler und sicherer macht oder eben anders rum muss jeder für sich beantworten ... wie ich schon geschrieben habe: alles was nach außen geht und potenziell ohne Einbruch erreichbar ist (Cameras & Glocke so die am LAN hängt ) von den Admin Interfaces inkl allem wo eigene Sachen drauf sind und IOT zu trennen sollte zu Hause eigentlich reichen lg Oliver

@@oliver9881 Ja genau, ist ja wie mit dem Betriebssytem. Da hat sich auch jemand Gedanken um komplexe Rechte-Strukturen gemacht, aber die meisten haben auch einfach nur einen Admin-Benutzer und fertig. Dennoch möchte ich das Thema nun endlich mal angehen und wenigstens etwas mehr trennen. Kann nicht schaden.

@@haus_automation na dann will ich mal gespannt sein, habe leider beruflich damit viel viel zu tun, als das ich mir das mehr als absolut nötig und aus meiner Sicht sinnvoll daheim an tue .... ich meine ,das Smarthome (Phone) und die andere IOT Devices sollen mit das Leben vereinfachen und nicht Arbeit machen und wenn Du da in die Tiefe gehst, ist der Faktor warum geht Heute was nicht, was Gestern noch ging bald tägliche Realität ..... lg Oliver

Ich selbst habe alle bei mir vorhandenen VLANs erst einmal untereinander geblockt und dann bewusst Ports von den erforderlichen vlans oder sogar einzelne Clients auf die anderen vlans zugelassen. Ich finde das Thema einfach wichtig und dem ein oder anderen (mich eingeschlossen) macht das auch Spaß und man lernt sehr viel dazu.

Starker Tipp! Danke

2024

Mein aktueller Plan ist, das Smart Home Netz komplett dicht zu machen. Und dann eben nur interne und ggf ausgewählte Kommunikation ins Internet zu erlauben. Und dann bekommt zum Beispiel meine Windows VM ein zweites virtuelles Netzwerk Interface in Proxmox und ich komme darüber an das KNX Interface. Aber… mal gucken wie weit ich das treiben möchte

@@haus_automation ich bleibe gespannt 🤩

Kann man machen, aber dann brauche ich dazu nix mehr zu zeigen, wenn mein Smart Home WiFi dann jfle73728 heißt 🙃 Da kann niemand mehr folgen Ich vertraue der Verschlüsselung soweit, dass das hoffentlich kein Risiko darstellt

Naja es bleibt ja ein privates Haus und ist kein offene Bürofläche oder so. Sonst müsste man ja auch das Rack abschließen usw.

Radius bringt nur bedingt mehr Sicherheit (die meisten Geräte können kein 802.1X und eine MAC zu "fälschen" ist einfach). Es bringt aber deutlich mehr Flexibilität weil das VLAN vom Endgerät abhängt und nicht mehr vom Port. So schwierig ist das gar nicht ;-)

Naja am Ende können das viele Hersteller und Lösungen. Die Frage ist, wie fit man selbst ist. Viele nutzen auch MikroTik. Geschmäcker sind verschieden :) An UniFi stört mich eigentlich nur, dass dort ständig die Oberflächen umgebaut werden und man fast Angst hat, Updates zu machen...

Ich nehm dein Video mal als Ansporn und suche mir einen Hersteller aus um „was neues“ auszuprobieren :) UniFi ist preislich leider erstmal nicht drin

Omada ist fast die 1:1 Kopie von der der Unify Software aber nach meiner Erfahrung die Komponenten günstiger.

@@markustenner5215 japp, hatte die Software mal als docker installiert um zu gucken… ggf. Muss der Weihnachtsmann davon was unter den Baum legen :)

@@Andre98765 Omada läuft bei mir schon seit 2 Jahren stabil als Dockercontainer, also kannst du auf Hardwarecontroller aus meiner Sicht verzichten.

Ich habe das Problem inzwischen lösen können 😁. Da gab es noch einen weiteren Switch im System, welcher die Ports mit den "alten" VLAN IDs getaggt hat. Die "neuen" VLAN IDs wurden so einfach ignoriert.

Mein Problem liegt eventuell da ran, das die Fritzbox an einem Flex Mini angeschlossen ist. Der kann allerdings NUR ein VLAN und alle anderen blockieren. ggf. müsste ich da mal aufrüsten. So richtig klar erkennen, ob es dann funktioniert konnte ich aber noch nicht.

Ja wie Du siehst sind das erstmal nur Namen. Gerade ein IoT Netz definiert jeder etwas anders. Kann ich ja gerne nochmal drauf eingehen

Ich bin mir am überlegen es so wie Matthias zu selektieren/kategorisieren, weil es eben super ungeteilt ist. Zusätzlich noch „Multimedia“ zu erstellen und dort die SmartTV‘s und sämtliche ausschließliche smarten Lautsprecher, die am/für den TV und Audio sind, hineinzupacken. Danach braucht man eigentlich keinerlei weiteren Unterteilungen mit VLANs, da das eigentlich all die wichtigsten Kategorien sind.

eben genau deswegen smartTV, KNX Interface, HUE Bridge Amazon FireStick, AppleTv, Smartphone, Tablet ... alles gehört ins gleiche Netz ..... das NAS sollte nach Möglichkeit mehrerer Interface ob Physik oder VLAN im Privatbereich reicht haben um genau diese Service dann im IOT Netz anzubieten ....Video Streaming von der Mediathek am NAS wird einfach komplex und Instabil sobald es über den Router läuft es wird schwierig wenn Du versucht was zu trennen was zusammen gehört Außerdem wieviel IOT Devices und SmartTV verwenden Android als Basis? Also das eine Android ja das andere nein? AppleTV und iPhone ist auch im Kern die gleiche Software ..... Dein PC/Laptop gehört vom dem allen getrennt, und ja wenn Du einen MAC hast, mußt selbst das hinterfragen weil der sollte wieder mit all den Apple Devices im gleich Netz sein, dann hilft nur noch dem Admin MAC eine "statische" IP via mac Reservierung verpassen und diese IP dann die Admin Funktionalitäten zu erlauben oder eben einen eigen Port / SSID für Admin Zugriff wenn lg Oliver

@@deutschland09 Alleine das Thema Smart TV ist halt nicht pauschal zu beantworten. Ich z.B. nutze darüber nur Internet-Dienste wie RU-vid, Netflix und co. Kein Airplay oder Zugriff auf ein NAS. Dann ist die Antwort super einfach. Das sieht aber bei jedem anders aus.

@@haus_automation Ja, dass stimmt allerdings auch. Gerade wenn es mit Thema Apple-AirPlay ist, ist das wieder ein möglicher Flaschenhals, damit alles sauber läuft oder auch nicht.