Isolatie hardware netwerk d.m.v. VLAN's?

[Bonerhead]

Case

-FortiGate 30E Firewall
-Asus RT-AC87U i.c.m. Asuswrt-Merlin firmware
-Xiaomi home automation spul
-HomeAssistant

Thuis wil ik HomeAssistant draaien i.c.m. met wat Xiaomi home automation producten (gateway, camera, door sensor etc.)
De Chinese hardware wil ik in een VLAN hebben zodat ze niet kunnen communiceren met overige niet-Chinese hardware op het netwerk. Daarnaast mag de Chinese hardware geen enkele verbinding hebben met het internet. Compleet geïsoleerd dus.

Plan was om VLANS te creëren via de Foritgate 30E firewall. Helaas constateerde ik dat dit niet mogelijk is zonder managed Forti Switches/AP’s. De ASUS AP die ik nu heb biedt een mogelijkheid om een Guest SSID aan te maken maar die wordt al gebruikt door, tja, guests.

Ik weet dat een aanschaf van een switch een (makkelijke) oplossing zou zijn. Ik doe het echter liever zonder.

Iemand tips?

[MAX3400]

Merlin ondersteunt VLAN tagging maar dan vis je nog steeds in dezelfde DHCP-scope dus dat wordt 'm niet. Je kan inderdaad je guest-network activeren maar daar zit ergens een addertje onder het gras dat "alle guests" elkaar wel/niet mogen zien en/of wel/niet naar het "non guest netwerk" mogen.

Een alternatief maar even hoog over; een nieuwe "dhcp server" optuigen in je omgeving, de MAC-adressen van je Chinese spul daarop whitelisten, de gateway van deze server naar je Asus routeren (of je Forti) en alleen protocollen / poorten toestaan die jij denkt dat nodig is.

Hiermee neem je wel direct de mogelijkheid weg dat je vanaf je eigen laptop (bijvoorbeeld op 192.168.1.200) via je Asus-netwerk dus beheer doet op je Chinese hardware. Of je moet je HomeAssistant multi-homed gaan uitvoeren.

[TommyboyNL]

Je zal een AP moeten zoeken die meerdere SSIDs uit kan zenden welke in verschillende VLANs zitten. Ubiquiti APs kunnen dat onder andere. Tussen je FGT en je AP leg je vervolgens een VLAN trunk met al deze VLANs.

[Bonerhead]

Bedankt voor jullie snelle reactie's!

Als ik het goed begrijp komt het neer op hetgeen ik al bang voor was:
Ofwel ik maak gebruik van de Guest SSID (in principe gewoon een vlan) en restrict de toegang tot het internet voor de Chinese meuk, ofwel ik schaf extra hardware aan ofwel wat diepgaandere oplossingen zoals het opzetten van een nieuwe DHCP server.

Afgaande op bovenstaande lijkt het mij de makkelijkste oplossing om gebruik te maken van de Guest SSID die makkelijk aan en uit te zetten is via de Asus AP. Gasten kunnen eigenlijk gewoon nog steeds gebruik maken hiervan, alleen komen dan op hetzelfde VLAN als de Chinese apparatuur. Maar dat maakt mij natuurlijk niks uit

[Bonerhead]

Hmm, zo geisoleerd is het gastennetwerk ook weer niet. Kan gewoon heen en weer pingen tussen guest en non-guest.

[TommyboyNL]

Hoe had je dan ook in gedachten dat een AP die netwerken had kunnen scheiden?

[MAX3400]

Bonerhead schreef op dinsdag 7 mei 2019 @ 21:31:
Hmm, zo geisoleerd is het gastennetwerk ook weer niet. Kan gewoon heen en weer pingen tussen guest en non-guest.

Dat zei ik toch? Er zit ergens onder je guest network dat je wel/niet kan loopbacken terug naar binnen.