Hoe guest netwerk gescheiden te houden van normale netwerk

[Dennis van der Stelt]

Ik wil wat hardware aanschaffen m.b.t. netwerk. Mijn requirements

- Master netwerk op 2.4Ghz en 5Ghz met hetzelfde SSID
- Guest netwerk met gescheiden SSID
- De reden is dat sommige apparatuur (robot stofzuiger) niet op 5Ghz kan
- Guest netwerk gescheiden van master netwerk
- Echt fail safe is een aparte ISP met aparte modem, maar dat gaat véél te ver.
- Ik wil dat mijn kinderen en hun vrienden met mobieltjes zo ver mogelijk van mijn master netwerk gehouden worden. Ze mogen geen access to NAS e.d. hebben.
- Ik wil IP camera's (PoE) aansluiten, maar die moeten juist wel bij NAS kunnen, omdat die beelden vastlegt.
- Ik wil op master netwerk eenvoudig bij NAS kunnen komen. Zowel Plex als fileshare.
- Ik wil minimaal 2, waarschijnlijk 3 of 4 access points hebben. Inclusief 1 achterin de tuin.
- Ik ga er vanuit dat ik op mijn Ziggo modem de wifi access uit zet.

Nu dacht ik voor access point deze:
- Ubiquiti UniFi AP AC PRO-E.

Voor PoE wil ik dan een Linksys switch met 8x PoE en 8x gewoon UTP. Die zijn redelijk betaalbaar. Ik zit te denken aan de
- Unmanaged Linksys LGS116P € 130
- Managed TP-Link TL-SG1016PE € 170

Zowel de Ubiquiti AP en de TP-Link switch bevatten VLAN mogelijkheden. Voegt dat iets toe aan wat ik wil en wat is dan het verschil een VLAN inregelen op je AP of op je switch?

Dus concreet nogmaals de vragen
- Wifi uit op modem en alles via Ubiquiti AP, gaat dat werken?
- Heeft een managed TP-Link nut voor wat ik wil bereiken?
- Wat is het verschil met VLAN inregelen op je AP of je switch?

[MewBie]

Je bent aan het kijken naar Unifi AP's, als je ook de switches en router van Unifi koopt gaat het scheiden van je gastenwifi automatisch. Als je merken mixed zul je wat meer handmatig moeten doen.

De rest van je eisen is min of meer standaard verder.

En kijk voor je AP's naar de Lite, de rest is verspilling van je centen tenzij je een goede reden hebt om er 1 te kopen

[ Voor 19% gewijzigd door MewBie op 13-09-2018 15:04 ]

[lier]

Mocht je de accesspoints niet aan het plafond kunnen ophangen, dan is de UAP-AC-IW nog een mooi alternatief. En voor buiten de UAP-AC-M. De UAP-AC-LR kan ik je ook aanraden, maar niet iedereen deelt die mening.

Kan je nog een tekening van je huis hier posten? Dat maakt het adviseren nog wat makkelijker.
VLAN is in ieder geval de mooiste oplossing, dat moet ook ondersteund worden door je router.

[ Voor 7% gewijzigd door lier op 13-09-2018 15:12 ]

[ThinkPad]

Met alleen het aanmaken van een VLAN ben je er nog niet, je moet ook iets hebben wat het verkeer kan routeren en IP-adressen uitdeelt.

Ik gebruik een Ubiquiti Edgerouter X, daarin heb ik twee interfaces aangemaakt: LAN en GUEST
Via firewall regels zorg ik dat deze niet bij elkaar kunnen. Tevens knijp ik de snelheid van gast nog een beetje af (eigen netwerk eerst enzo ). Vanaf de router gaan LAN en GUEST via een apart VLAN naar buiten.

Een Edgerouter X is wel best pittig te configureren. In principe kun je elke router nemen die ondersteuning heeft voor VLANs en firewall regels.

[ Voor 14% gewijzigd door ThinkPad op 13-09-2018 15:37 ]

[Dennis van der Stelt]

ThinkPadd schreef op donderdag 13 september 2018 @ 15:36:
Met alleen het aanmaken van een VLAN ben je er nog niet, je moet ook iets hebben wat het verkeer kan routeren en IP-adressen uitdeelt.

Kan dat niet mijn Ziggo modem zijn?

[ThinkPad]

Op je Ziggo modem kan je niet twee gescheiden netwerken aanmaken vermoed ik.
Als je op de managed switch een extra VLAN aanmaakt voor gasten, dan komt die op het Ziggo-modem alsnog in de gewone LAN-range terecht en ben je netto dus nog niks opgeschoten

[Typhone]

Dennis van der Stelt schreef op donderdag 13 september 2018 @ 15:45:
[...]


Kan dat niet mijn Ziggo modem zijn?

Dat Ziggo modem werkt niet daarvoor.
Daarvoor zul je een goede router moeten hebben.

Voorbeeld hoe ik het (met Unifi (router + AP's) en Ziggo heb opgelost):

Netwerk:
Guest Gast LAN LAN1 192.168.50.1/20 Geen VLAN 20

Draadloos netwerk:
********* Guest wpapsk VLAN 20

Al het verkeer van gasten wordt op die manier via een virtueel netwerk geleid. Het is niet mogelijk vanaf daar aanspraak te maken op iets binnen mijn eigen netwerk dus ze hebben alleen internet. En dat werkt nu al eventjes voortreffelijk. IP-range is ook volledig anders zoals je ziet.

[ Voor 48% gewijzigd door Typhone op 13-09-2018 16:11 ]

[Dennis van der Stelt]

Ik heb nog wat onderzocht en dit is hoe ik het tot nu toe begrijp:

Als ik een AP koop met VLAN ondersteuning, is het enige wat die AP doet het vlaggetje zetten in het netwerk verkeer. Als ik een SSID aanmaak met VLAN 1, krijgen devices meteen geen IP adres meer omdat het Ziggo modem het verkeer niet "snapt" en DHCP op Ziggo modem dus niks uitdeelt op VLAN 1.

Dat is de reden waarom ik een router nodig heb die VLAN ondersteunt.

Een switch met VLAN is dan enkel voor bedraade connecties, zodat je per UTP poort kan aangeven welk VLAN die zit.

Mijn nieuwe vraag is dan, wat heeft het voor nut om een Guest Network in te stellen op je AP, als in je Ziggo modem alles uiteindelijk toch bij elkaar komt?

[lier]

Dennis van der Stelt schreef op vrijdag 14 september 2018 @ 09:39:
Mijn nieuwe vraag is dan, wat heeft het voor nut om een Guest Network in te stellen op je AP, als in je Ziggo modem alles uiteindelijk toch bij elkaar komt?

Als de router met VLAN's overweg kan, kan je ervoor zorgen dat er geen inter-VLAN verkeer optreedt. Dit doe je in je firewall. De firewall van je Ziggo modem kan dat helaas niet, maar een "echte" router van Ubiquiti of MikroTik uiteraard wel. Nogmaals, je hele keten moet het ondersteunen.

[Brahiewahiewa]

Dennis van der Stelt schreef op vrijdag 14 september 2018 @ 09:39:
...Mijn nieuwe vraag is dan, wat heeft het voor nut om een Guest Network in te stellen op je AP, als in je Ziggo modem alles uiteindelijk toch bij elkaar komt?

Als je toch een tweede router aanschaft, kun je die met z'n wan-poort aan de Ziggo modem hangen
In de Ziggo modem geef je op dat het wan-adres van je router in de DMZ zit (om dubbel-nat te voorkomen)
Zet op het Ziggo modem alleen het guest network aan zodat devices onderling niet communiceren
Achter je router kun je helemaal los gaan met vlan's, maar die heb je in principe niet meer nodig.

Je theorie mbt je stofzuiger snap ik niet, Als de stofzuiger geen 5 GHz kan, heeft-ie toch geen last van dat 5 GHZ netwerk?

[Dennis van der Stelt]

Brahiewahiewa schreef op vrijdag 14 september 2018 @ 12:02:
[...]
Zet op het Ziggo modem alleen het guest network aan zodat devices onderling niet communiceren

Je theorie mbt je stofzuiger snap ik niet, Als de stofzuiger geen 5 GHz kan, heeft-ie toch geen last van dat 5 GHZ netwerk?

Ik wil op elke AP een guest netwerk hebben, anders gaan die kids allemaal in de gang naast meterkast staan ;-)

Momenteel kan mijn SSID geen apart namen voor 2.4Ghz en 5Ghz in Ziggo modem. Kan zelfs guest netwerk niet enkel op 2.4Ghz zetten, tenzij ik 5Ghz op heel mijn Ziggo modem uitschakel.

Maar nognaals, als ik een AP koop met guest network en die aansluit op mijn Ziggo modem (en daar wifi uit zet) hoe zijn master en guest netwerk dan gescheiden qua security? Als ik bovenstaande allemaal lees, komt het uiteindelijk samen in het modem en zit het daar weer op 1 netwerk en dus niet meer gescheiden?

[Thralas]

Dennis van der Stelt schreef op vrijdag 14 september 2018 @ 14:01:
Maar nognaals, als ik een AP koop met guest network en die aansluit op mijn Ziggo modem (en daar wifi uit zet) hoe zijn master en guest netwerk dan gescheiden qua security? Als ik bovenstaande allemaal lees, komt het uiteindelijk samen in het modem en zit het daar weer op 1 netwerk en dus niet meer gescheiden?

Dat laatste klopt. Maar iirc. ondersteunen sommige AP's met een 'guest mode' ook (beperkte) firewalling op het guest SSID. Voorbeeld

Theoretisch verre van waterdicht, maar in de praktijk waarschijnlijk voldoende om je NAS buiten bereik van de gasten te houden. De netste oplossing is die met een VLAN-aware router.

[Groentjuh]

Als je AP koopt en deze gewoon aansluit op een ziggo router zijn de twee netwerken niet gescheiden. Dat kan die router in de Ziggo modem simpelweg niet! Gescheiden netwerken met meerdere APs heeft een doorsnee consument niet nodig, dus waarom zou Ziggo investeren in een complexe router die dat kan?!

Als je een goede router hebt, die VLANs snapt, dan moet je daarin regelen dat bijvoorbeeld 192.168.1.0/24 (normaal netwerk op VLAN10) en 192.168.2.0/24 (gast netwerk op VLAN1) niet kunnen communiceren met behulp van de firewall in die router.

Het verkeer komt uiteindelijk na de router weer samen op de Ziggo modem, maar dat zal alleen verkeer naar en van het internet zijn en niet het verkeer van bijvoorbeeld een client in het gasten netwerk naar een apparaat in je eigen lan-netwerk. In dit geval moet is het handig om de ziggo modem in bridge-mode te (laten) zetten, zodat deze gewoon modem is. De router kan dan voor deze beide netwerken de routing goed verzorgen.

[Dunka]

Dennis van der Stelt schreef op vrijdag 14 september 2018 @ 14:01:
[...]


Ik wil op elke AP een guest netwerk hebben, anders gaan die kids allemaal in de gang naast meterkast staan ;-)

Momenteel kan mijn SSID geen apart namen voor 2.4Ghz en 5Ghz in Ziggo modem. Kan zelfs guest netwerk niet enkel op 2.4Ghz zetten, tenzij ik 5Ghz op heel mijn Ziggo modem uitschakel.

Maar nognaals, als ik een AP koop met guest network en die aansluit op mijn Ziggo modem (en daar wifi uit zet) hoe zijn master en guest netwerk dan gescheiden qua security? Als ik bovenstaande allemaal lees, komt het uiteindelijk samen in het modem en zit het daar weer op 1 netwerk en dus niet meer gescheiden?

Als je het volledig wilt scheiden bridge je je Ziggo modem naar bijvoorbeeld een Edgerouter X of een Unify Security gateway. Deze hebben zowel DHCP als ondersteuning voor vlans. Sluit hierop een switch aan die vlan ondersteunt en sluit hier de Unify APs weer op aan. In de Unify APs kan je een apart guest network en vlan instellen. Als je de Unify controller hiervoor gebruikt, kan je meerdere APs tegelijk configureren.

Als je eerst wilt beginnen met de APs en de Unify controller installeert kan je ook voor het gastnetwerk de interne subnetwerken in de APs blokkeren terwijl je gastnetwerk nog wel internettoegang houdt (onder guest control -> post authorization restrictions).

[Brahiewahiewa]

Dennis van der Stelt schreef op vrijdag 14 september 2018 @ 14:01:
[...]
Maar nognaals, als ik een AP koop met guest network en die aansluit op mijn Ziggo modem (en daar wifi uit zet) hoe zijn master en guest netwerk dan gescheiden qua security? Als ik bovenstaande allemaal lees, komt het uiteindelijk samen in het modem en zit het daar weer op 1 netwerk en dus niet meer gescheiden?

Yup. Zo werkt 't met je riool toch ook? Toch zie je niet met grote regelmaat drollen in je gootsteen drijven

[VenomVX]

De beste oplossing zou zijn om je gasten in een apart vlan te plaatsen en daar een access-list opzetten met een deny RFC1918.