Thuis netwerk voor gasten

[KopjeThee]

Ik wil thuis graag een gasten wifi netwerk inrichten. Belangrijk hierbij is dat de gasten niet mijn nas of andere apparaten in mijn netwerk kunnen bereiken. Gasten moeten alleen op internet kunnen, met de optie om elkaar wel te kunnen zien. Ik vind het op zich niet erg om wat nieuwe hardware te kopen (paar honderd euro is wel acceptabel).

De huidige setup is ongeveer:
*Het beginpunt is een ubee modem van ziggo.
*Deze is verbonden met een eenvoudige 1gb switch.
*Vanaf de switch gaan bedrade verbindingen naar:
- 3 verschillende access points door het huis (tp link archer c9, en 2 kpn wifi versterkers van arcadyan)
- Een raspberry pi die als nas fungeert
- Een raspberry pi die als dns en dhcp server fungeert (pihole)
- Een PC
- 3 AppleTV's
*Telefoons en tablets zijn uiteraard via de access points verbonden. De SSID is overal gelijk.

Ik vind het lastig te bepalen wat ik nu het beste kan doen.
- Ik denk dat het handig is om 2 vlan's te maken. Ik weet het niet zeker, maar dat lijkt het meest aan te sluiten bij wat ik wil. 1 voor onszelf, en 1 voor gasten.
- Ik zou graag 3 accesspoints houden met elk een ssid voor onszelf en een ssid voor gasten.
- Ik heb momenteel geen hardware die vlans ondersteunt. Misschien zijn 3 fritzbox4040 met openwrt bijv. wel geschikt.
- Ik heb nu pihole ingericht naar tevredenheid. Kan ik die dan maar in 1 van de vlans gebruiken? Of kan ik die nog delen? Dat zou wel handig zijn.
- Ik heb ook even geprobeerd om op de archer c9 het gast netwerk aan te zetten. Maar omdat deze als access point fungeert, moet ik aanvinken dat alle apparaten zichtbaar zijn. Het nut van een dergelijk gastennetwerk ontgaat me een beetje.


Iemand die mij een zetje in de juiste richting kan geven?

[Wintervacht]

Kun je in de ziggo router niet standaard een gastnetwerk aanzetten?

[lier]

Is de switch die je hebt managed?

Als je eht met vlan's wil werken, dan zal je in ieder geval afscheid moeten nemen van alle accesspoints die geen vlan ondersteuning hebben en eventueel de switch.

Wintervacht schreef op zondag 1 maart 2020 @ 16:20:
Kun je in de ziggo router niet standaard een gastnetwerk aanzetten?

Vast wel, maar dat biedt niet de scheiding die de TS zoekt (zoals ik het in ieder geval lees).

[Wintervacht]

lier schreef op zondag 1 maart 2020 @ 16:22:
Is de switch die je hebt managed?

Als je eht met vlan's wil werken, dan zal je in ieder geval afscheid moeten nemen van alle accesspoints die geen vlan ondersteuning hebben en eventueel de switch.


[...]

Vast wel, maar dat biedt niet de scheiding die de TS zoekt (zoals ik het in ieder geval lees).

KopjeThee schreef op zondag 1 maart 2020 @ 16:10:
Ik wil thuis graag een gasten wifi netwerk inrichten. Belangrijk hierbij is dat de gasten niet mijn nas of andere apparaten in mijn netwerk kunnen bereiken. Gasten moeten alleen op internet kunnen, met de optie om elkaar wel te kunnen zien

Dat is precies wat een gastnetwerk doet.
Ik kan het bij mijn ziggo router in elk geval met 1 klik aanzetten, tijdje zo gebruikt om mijn verbinding te delen met mijn bovenburen die een maandje geen internet hadden, werkte perfect.
Ik heb wel een connect box, geen idee of dat veel uitmaakt gezien ziggo overal kreupele software op gooit maar ik kan me bijna niet voorstellen dat het niet simpelweg in te schakelen is.

[lier]

Wintervacht schreef op zondag 1 maart 2020 @ 16:24:
Dat is precies wat een gastnetwerk doet.

Ook op andere apparatuur?

- 3 verschillende access points door het huis (tp link archer c9, en 2 kpn wifi versterkers van arcadyan)

[CuBras]

lier schreef op zondag 1 maart 2020 @ 16:26:
[...]

Ook op andere apparatuur?

[...]

Je komt op een compleet ander adres als je verbindt op je gasten netwerk (hoofd is 192.168.1.1. Gast is 192.168.4.1, afhankelijk hoe je router het afhandelt)

[sypie]

Maar als het AP maar één netwerk uit kan zenden dan heb je er nog niks aan natuurlijk. Je zult dus AP's moeten hebben die in ieder geval meerdere netwerken uit kunnen zenden. Dat is ook een grote beperkende factor in je netwerk.

[Palo Alto]

CuBras schreef op zondag 1 maart 2020 @ 16:34:
Je komt op een compleet ander adres als je verbindt op je gasten netwerk (hoofd is 192.168.1.1. Gast is 192.168.4.1, afhankelijk hoe je router het afhandelt)

@lier bedoelt denk ik of je VLAN/gastnetwerk ook werkt als je een willekeurig ander merk access point toevoegt, en daarmee probeert het verkeer per SSID gescheiden te houden.

Overigens zeggen andere netwerkadressen niks, als een router het verkeer van hosts op die netwerken vrolijk doorstuurt (dat is namelijk de hoofdfunctie van een router). Met de standaard “gast-netwerk” knoppen zet je meestal ook een firewall aan of heeft men er op een andere manier voor gezorgd dat er geen route bestaat tussen die netwerken.

[EverLast2002]

Als je nog een (oude) wifi router hebt liggen:
plug je reguliere netwerkkabel in de WAN van die oude router. Maak een prive netwerkje in een andere IP range en je kan hiermee een gastennetwerk aanbieden.
Gasten kunnen wel op internet maar niet op je thuisnetwerk.

[CuBras]

Palo Alto schreef op zondag 1 maart 2020 @ 16:50:
[...]


@lier bedoelt denk ik of je VLAN/gastnetwerk ook werkt als je een willekeurig ander merk access point toevoegt, en daarmee probeert het verkeer per SSID gescheiden te houden.

Overigens zeggen andere netwerkadressen niks, als een router het verkeer van hosts op die netwerken vrolijk doorstuurt (dat is namelijk de hoofdfunctie van een router). Met de standaard “gast-netwerk” knoppen zet je meestal ook een firewall aan of heeft men er op een andere manier voor gezorgd dat er geen route bestaat tussen die netwerken.

Zojuist getest. Het 4.1 subnet kan niet bij m'n NAS in 1.1 komen. Dat is het voordeel van subnetten, zonder opgegeven route ga je er niet bijkomen. Bij mij staat ook vermeldt dat het een eigen Vlan krijgt toegewezen.
Tevens heeft mijn router twee soorten guest netwerken. Eentje die je vrolijk zonder password op je 1.1. subnet gooit en een 'beter' beveiligt netwerk waar je zelf een password op kan instellen met allemaal poeha zoals network rates e.d.

[KopjeThee]

Wintervacht schreef op zondag 1 maart 2020 @ 16:20:
Kun je in de ziggo router niet standaard een gastnetwerk aanzetten?

Nee, dat kan de ubee niet. Ook staat deze in de meterkast. Dan heeft het gastennetwerk geen bereik op zolder. Ik wil eigenlijk een gastennetwerk die via 3 accesspoints werkt.

lier schreef op zondag 1 maart 2020 @ 16:22:
Is de switch die je hebt managed?

Nee, een domme switch.

sypie schreef op zondag 1 maart 2020 @ 16:37:
Maar als het AP maar één netwerk uit kan zenden dan heb je er nog niks aan natuurlijk. Je zult dus AP's moeten hebben die in ieder geval meerdere netwerken uit kunnen zenden. Dat is ook een grote beperkende factor in je netwerk.

Voor zover ik begrijp is het aantal ssid's van een access point een software ding. Met openwrt kan je er meerdere aanmaken. Met 1 radio werken ze dan wel op hetzelfde kanaal.

Ik denk dat mijn scenario een beetje op deze lijkt: https://openwrt.org/docs/...ltiple-wifi-ssid-repeater
Maar dan met 3 ap's, en dan nog kijken hoe dhcp en dns via pihole.
Deze lijkt er ook op: https://forum.openwrt.org...ed-and-guest-wifi/18141/7

[ Voor 46% gewijzigd door KopjeThee op 02-03-2020 06:48 ]

[valkenier]

Met ubiquiti APs kun je eventueel een gasten netwerk creëeren op het AP zelf. Dat valt dan wel in dezelfde IP-range als je eigen netwerk, maar het AP schermt de toegang tot private IP-ranges dan af. Het hoeft niet dus met perse met een vLAN, maar dat kan wel zodra je overige apparatuur dat ook gaat ondersteunen. Met vLAN is natuurlijk wel het mooiste.

[EverLast2002]

valkenier schreef op maandag 2 maart 2020 @ 12:20:
Met ubiquiti APs kun je eventueel een gasten netwerk creëeren op het AP zelf. Dat valt dan wel in dezelfde IP-range als je eigen netwerk, maar het AP schermt de toegang tot private IP-ranges dan af. Het hoeft niet dus met perse met een vLAN, maar dat kan wel zodra je overige apparatuur dat ook gaat ondersteunen. Met vLAN is natuurlijk wel het mooiste.

Voor een Ubiquiti gastennetwerk moet Unifi 24/7 draaien. Hij heeft vast nog wel ruimte daarvoor op 1 van de raspberries.

[KopjeThee]

valkenier schreef op maandag 2 maart 2020 @ 12:20:
Met ubiquiti APs kun je eventueel een gasten netwerk creëeren op het AP zelf. Dat valt dan wel in dezelfde IP-range als je eigen netwerk, maar het AP schermt de toegang tot private IP-ranges dan af. Het hoeft niet dus met perse met een vLAN, maar dat kan wel zodra je overige apparatuur dat ook gaat ondersteunen. Met vLAN is natuurlijk wel het mooiste.

Dat klinkt interessant. Kan ik dan nog een uitzondering maken? Zou wel leuk zijn als pihole nog te benaderen is.

[m3gA]

EverLast2002 schreef op maandag 2 maart 2020 @ 14:01:
[...]

Voor een Ubiquiti gastennetwerk moet Unifi 24/7 draaien. Hij heeft vast nog wel ruimte daarvoor op 1 van de raspberries.

Je hebt het over de controller. Dat klopt alleen als je gebruik maakt van een captive portal. Default gastennetwerk werkt gewoon prima zonder controller.

[valkenier]

m3gA schreef op maandag 2 maart 2020 @ 15:32:
[...]

Je hebt het over de controller. Dat klopt alleen als je gebruik maakt van een captive portal. Default gastennetwerk werkt gewoon prima zonder controller.

Exact, je moet het wel eenmalig instellen, maar als het loopt redt het zich zelf wel. Een captive portal is een extra, leuk voor een bedrijf.

KopjeThee schreef op maandag 2 maart 2020 @ 15:29:
[...]

Dat klinkt interessant. Kan ik dan nog een uitzondering maken? Zou wel leuk zijn als pihole nog te benaderen is.

Dat denk ik niet, maar ik zou het even moeten nakijken. Je AP isoleert in principe de cliënt van de rest van je netwerk.

[ Voor 30% gewijzigd door valkenier op 02-03-2020 16:47 ]

[KopjeThee]

valkenier schreef op maandag 2 maart 2020 @ 16:45:
[...]

Dat denk ik niet, maar ik zou het even moeten nakijken. Je AP isoleert in principe de cliënt van de rest van je netwerk.

Ja, ok. Dan heb ik dus eigenlijk ook iets nodig wat dhcp voor het gastennetwerk doet. Dat wil ik niet door de ziggo modem laten doen, hoewel ik vergeten ben waarom... Had iets met pihole te maken. Nou ja, anders hang ik wel een aparte pi in het gastennetwerk.

[RobertMe]

valkenier schreef op maandag 2 maart 2020 @ 16:45:
[...]


Dat denk ik niet, maar ik zou het even moeten nakijken. Je AP isoleert in principe de cliënt van de rest van je netwerk.

Je kunt volgens mij bepaalde IP adressen wel toestaan, maar dan zou TS PiHole dus wel op een eigen IP moeten hebben. Draait PiHole op de NAS is in principe weer de hele NAS bereikbaar, en moet daarop met de firewall dus weer vanalles worden dicht getimmerd. En aangezien het gastnetwerk van de UAPs dan in hetzelfde netwerksegment / subnet zitten wordt dat ook moeilijk.

Daarnaast is er nog een groter probleem. Als ik het goed lees wil TS dat gast apparaten onderling wel mogen communiceren. En dat is niet het geval als je voor het wireless network aangeeft dat het een gastnetwerk moet zijn. Immers voorkomt de "ingebakken firewall" ook dat verkeer.

Dus dan kom je toch weer uit op een oplossing met VLANs

[KopjeThee]

valkenier schreef op maandag 2 maart 2020 @ 12:20:
Met ubiquiti APs kun je eventueel een gasten netwerk creëeren op het AP zelf. Dat valt dan wel in dezelfde IP-range als je eigen netwerk, maar het AP schermt de toegang tot private IP-ranges dan af. Het hoeft niet dus met perse met een vLAN, maar dat kan wel zodra je overige apparatuur dat ook gaat ondersteunen. Met vLAN is natuurlijk wel het mooiste.

Welke ap kan je aanraden? Ik wil ook graag nog een paar 1gb poorten en 5ghz ondersteuning. Dan zie ik alleen deze pricewatch: Ubiquiti UniFi Dream Machine
Maar 3x329 euro is wel een beetje prijzig.

[Hubert]

KopjeThee schreef op maandag 2 maart 2020 @ 17:02:
[...]

Welke ap kan je aanraden? Ik wil ook graag nog een paar 1gb poorten en 5ghz ondersteuning. Dan zie ik alleen deze pricewatch: Ubiquiti UniFi Dream Machine
Maar 3x329 euro is wel een beetje prijzig.

usg gateway, poe switch en 3x nanohd ap bv. heb zelf ook een unifi setup met gasten netwerk in eigen vlan. en een pi voor de controller en pi-hole

[ Voor 4% gewijzigd door Hubert op 02-03-2020 17:08 ]

[RobertMe]

KopjeThee schreef op maandag 2 maart 2020 @ 17:02:
[...]

Welke ap kan je aanraden? Ik wil ook graag nog een paar 1gb poorten en 5ghz ondersteuning. Dan zie ik alleen deze pricewatch: Ubiquiti UniFi Dream Machine
Maar 3x329 euro is wel een beetje prijzig.

De Dream Machine is een alles-in-een router en daarvan kun je er dus niet 3 plaatsen. De gewone APs hebben dan ook geen ingebouwde switch. Behalve de "in wall" modellen, zoals de pricewatch: Ubiquiti UniFi AC In-Wall met twee aansluitingen aan de onderzijde of de pricewatch: Ubiquiti UniFi In-Wall HD met vier aansluitingen aan de onderzijde. Beiden zijn echter wel PoE gevoed en er zit geen PoE injector bij. Die moet je dan dus nog los aanschaffen, of als alle kabels naar de APs op hetzelfde punt uitkomen daar een PoE switch plaatsen die alle drie de APs van stroom kan voorzien.

Edit:
Overigens zijn alle Ubiquiti APs PoE gevoed. Maar de "schotel" modellen komen over het algemeen met een PoE injector in de doos. Maar ook dan zou ik persoonlijk meteen doorpakken en als alle kabels centraal uitkomen daar een managed switch met PoE support plaatsen. En voor het centrale beheer en de fancy grafieken in de UniFi Controller zou ik dan voor een Ubiquiti UniFi switch gaan

[ Voor 14% gewijzigd door RobertMe op 02-03-2020 17:11 ]

[KopjeThee]

RobertMe schreef op maandag 2 maart 2020 @ 16:59:
[...]
Daarnaast is er nog een groter probleem. Als ik het goed lees wil TS dat gast apparaten onderling wel mogen communiceren. En dat is niet het geval als je voor het wireless network aangeeft dat het een gastnetwerk moet zijn. Immers voorkomt de "ingebakken firewall" ook dat verkeer.

Ja, deze vreemde requirement komt vooral voort uit het eenvoudig kunnen spelen van minecraft voor de kinderen en hun vriendjes...

Hubert schreef op maandag 2 maart 2020 @ 17:07:
[...]
usg gateway, poe switch en 3x nanohd ap bv. heb zelf ook een unifi setup met gasten netwerk in eigen vlan. en een pi voor de controller en pi-hole

Dat is wel een erg prijzige oplossing
pricewatch: Ubiquiti UniFi nanoHD (3-pack)
pricewatch: Ubiquiti Unifi Security Gateway (USG)
pricewatch: Ubiquiti UniFi Switch (8-poorts, 60W PoE)
Tegen de 600 euro, en dan heb ik nog niet voldoende bedrade aansluitingen. Dus er zou nog.meer apparatuur nodig zijn.

Ik begin toch weer naar vlan te neigen...

[ Voor 46% gewijzigd door KopjeThee op 03-03-2020 07:29 ]

[KopjeThee]

Misschien is dit een leuk boodschappenlijstje.

#	Category	Product	Prijs	Subtotaal
1	Netwerk switches	TP-Link JetStream T2600G-28TS (TL-SG3424)	€ 149,90	€ 149,90
4	Modems en routers	AVM FRITZ!Box 4040	€ 72,90	€ 291,60
Bekijk collectie Importeer producten			Totaal	€ 441,50

Op de 4040's zet ik openwrt. De switch is managed en ondersteunt vlan.

Dan zet ik 1 van de 4040's direct achter de ziggo modem. Aan de 4040 zet ik dan de managed switch. De access points die ik nu heb, vervang ik door de overige 3 4040's. Nog los van de details, dan zou ik 2 vlans moeten kunnen inrichten. Denk ik...

[RobertMe]

KopjeThee schreef op maandag 2 maart 2020 @ 17:47:
Ik begin toch weer naar vlan te neigen...

Binnen de Ubiquiti oplossing zou je het uiteraard ook met VLANs doen.

Maar VLANs op het Ziggo modem gaat je uiteraard sowieso niet lukken. Dus daarvoor moet je dan ook nieuwe hardware kopen. Of je met je huidige hardware met bv OpenWRT kunnen flashen. Maar dan wordt het ook allemaal moeilijker in onderhoud. Want been there, done that. Samenraapsel van routers met OpenWRT erop, meerdere VLANs, meerdere wifi netwerken, ... Het is allemaal niet heel eenvoudig op te zetten en te onderhouden. Want elk apparaat heeft zijn eigen interface, vervolgens nog overal die nummertjes van VLANs instellen, UI vond ik niet heel intuïtief, ....

Overigens ben je ook bij Ubiquiti niet verplicht om alles van hun af te nemen en maar voor het beste / duurste te gaan. I.p.v. de NanoHD kun je net zo goed voor de AC Lite gaan, bespaart je de helft. Of als je ze in de muur kunt plaatsen de In-Wall met twee extra (switch) poorten. I.p.v. €100 voor een 8 poorts PoE switch zie ik in de Pricewatch modellen van o.a. TP-Link van rond de €60. En i.p.v. een USG kun je ook voor bv een EdgeRouter X gaan of een andere uitgebreidere router (volgens mij heeft Draytek er ook voldoende met VLAN support etc). Zo kom je een stuk goedkoper uit (zo snel tellende denk ik rond de €400 i.p.v. €650). Maar lever je uiteraard wel in op "comfort" wat het hele UniFi ecosysteem geeft doordat je alles vanuit één systeem beheert.

[m3gA]

valkenier schreef op maandag 2 maart 2020 @ 16:45:
[...]

Exact, je moet het wel eenmalig instellen, maar als het loopt redt het zich zelf wel. Een captive portal is een extra, leuk voor een bedrijf.


[...]


Dat denk ik niet, maar ik zou het even moeten nakijken. Je AP isoleert in principe de cliënt van de rest van je netwerk.

Je kunt ip adressen whitelisten. Ik gebruik mijn pihole ook voor het gastennetwerk.

[prutser001]

Misschien een paar Ruckus R510's op de kop tikken? Zit standaard 'hotspot/gasten netwerk' functie in,
En nee je hoeft geen dure suppport contracten af te sluiten.

[KopjeThee]

RobertMe schreef op maandag 2 maart 2020 @ 18:28:
[...]

Binnen de Ubiquiti oplossing zou je het uiteraard ook met VLANs doen.

...hardware met bv OpenWRT kunnen flashen. Maar dan wordt het ook allemaal moeilijker in onderhoud. Want been there, done that.

De Ubiquiti oplossing wordt volgens mij best prijzig. Met alleen AP's kom ik er niet. Ik heb door het huis ook wat bekabelde poorten nodig.

Ik hoop de wirwar aan interfaces te beperken door overal Fritzbox4040 neer te zetten met openwrt. Dat zou de interface hetzelfde moeten houden. Maar ik twijfel wel.

[belrpr]

EverLast2002 schreef op zondag 1 maart 2020 @ 16:53:
Als je nog een (oude) wifi router hebt liggen:
plug je reguliere netwerkkabel in de WAN van die oude router. Maak een prive netwerkje in een andere IP range en je kan hiermee een gastennetwerk aanbieden.
Gasten kunnen wel op internet maar niet op je thuisnetwerk.

Gasten kunnen dan perfect nog aan het privé netwerk als ze de op adressen weten of de range.

[The Realone]

KopjeThee schreef op dinsdag 3 maart 2020 @ 07:38:
[...]

De Ubiquiti oplossing wordt volgens mij best prijzig. Met alleen AP's kom ik er niet. Ik heb door het huis ook wat bekabelde poorten nodig.

Ik hoop de wirwar aan interfaces te beperken door overal Fritzbox4040 neer te zetten met openwrt. Dat zou de interface hetzelfde moeten houden. Maar ik twijfel wel.

Tja, je moet wel iets investeren met die wensen.

Dus een router met VLAN ondersteuning (Edgerouter X bijvoorbeeld), een switch met VLAN ondersteuning (indien router niet genoeg switchpoorten heeft) en minimaal 1 access point dedicated voor de gasten.

Wil je het gastennetwerk kunnen verspreiden over meerdere access points dan zul je die ook meerdere aan moeten schaffen, met VLAN ondersteuning.

Je kunt, in principe, voor €100 klaar zijn. Dan heb je niet de mooiste oplossing, maar wel 1 die werkt.