Netwerk opnieuw inrichten: VLAN nuttig?

[Pazo]

Over circa 2 weekjes stap ik over van XS4ALL naar T-Mobile met internet (glas) en TV. Mede omdat ik dan een nieuwe IP-adres krijg en ik een aantal apparaten aan mijn netwerk heb hangen die ook extern te bereiken zijn, en in de afgelopen 6 jaar steeds allerlei apparaten toegevoegd zijn, wil ik mijn netwerk eigenlijk vanaf de grond af aan opnieuw opbouwen / inrichten op alles eens goed op orde en gestructureerd te krijgen. Ik zit daarbij ook te denk om gebruik te maken van VLANs, wat ik momenteel dus niet doe. Dat is iets nieuws voor mij, dus ik probeer mij zo goed mogelijk in te lezen door verschillende topics van mede tweakers en artikelen op internet te lezen, om mij zo alvast voor te bereiden.

Ik heb idee om 2 VLANs te maken. 1 VLAN voor de standaard / privé apparaten (zoals PCs, fileserver, telefoons, printers, TV, domotica etc), en 1 VLAN voor apparaten die ook vanaf buitenaf te bereiken zijn, zoals 2 IP camera's, Nextcloud server en PiAware SkyAware (vliegtuig tracker). Deze verdeling is volgens mij redelijk eenvoudig te realiseren.

Alleen nu is de vraag (en wellicht begrijp ik het VLAN nog niet helemaal), is er een mogelijkheid dat het apparaat in de ene VLAN kan communiceren met een apparaat in andere VLAN? Of haal je dan het concept van gescheiden netwerken / beveiliging onderuit?

Concreet: Ik heb een fileserver draaien (Windows PC 24/7) waarop een Hyper-V geïnstalleerd staat met Nextcloud erop. Tevens draait er BlueIris op die de beelden van mijn 2 IP-camera's verwerkt. Maar, alle computers in mijn netwerk halen hun data (documenten / films / muziek etc) van die fileserver af. En ik kan de opgeslagen beelden van mijn IP camara's bekijken, en bij de opslagmap van Nextcloud. Maar de IP camera's en Nextcloud zijn dus via het internet te bereiken. De reden dat ik die dus in een VLAN wil hebben, is dat bij een mogelijke hack de rest van het netwerk veilig is. Maar als de fileserver in VLAN A ook met de apparaten in VLAN B kan communiceren, dan lijkt me dat dus niet handig en is heeft het geen nut op met VLANs te gaan werken. Of zie ik dat verkeerd?
De fileserver moet dus eigenlijk met alle apparaten in beide VLANs kunnen praten, naar de VLANs niet met elkaar.

Is het mogelijk en zinvol om dit zo aan te gaan pakken, of kan ik mijn netwerk beter zonder VLANs laten omdat ik anders veel te ingewikkelde dingen op m'n hals ga halen? Als ik zoek op communicatie tussen VLANs kom ik o.a. uit op de term InterVLAN routing, maar vraag me af of dat het nu is.


Apparaten waar ik dit trouwens mee wil regelen:
Router: Asus AC88U (Merlin firmware)
Switch: Netgear Prosafe Gigabit Plus JGS524E (managed)
AP: Asus RP-AC87

[Ora et Labora]

Het kan wel nuttig zijn als je het VLAN verkeer firewalled door bijvoorbeeld PFSense te gebruiken, je hebt toch al een PC 24x7 draaien.
Als je het verkeer onderling niet gaat beveiligen heeft het geen enkel nut behalve dat je bijvoorbeeld verkeer kan priorizeren.

Dus het kan prima en het kan zeker nuttig zijn maar dan wel met een firewall ertussen.
Een eenvoudige Draytek-router kan dit bijvoorbeeld al. Bij gebruik van switches let er dan wel op dat het een managed switch is die Vlans ondersteund.
Of jouw apparatuur dat ondersteund weet ik zo uit m'n hoofd niet maar dat is vast niet moeilijk op te zoeken.

[ Voor 27% gewijzigd door Ora et Labora op 22-04-2020 15:34 ]

[Pazo]

@Ora et Labora Ja zowel de Asus als de Netgear ondersteunen VLANs.
Feitelijk zit de eerste VLAN al op de ASUS, nu bij XS4ALL en straks T-Mobile wordt het verkeer al verdeeld voor Internet en IPTV dmv VLANs. Maar ik denk dat ik de andere VLANs dan door de Netgear wil laten doen.

PFSense ben ik keer een op blauwe maandag een dag mee aan het klooien geweest, maar daarna mee gestopt. Heb eigenlijk geen behoefte om dat weer op te pakken, als het ook anders kan.

Maar wat bedoel je met:

Ora et Labora schreef op woensdag 22 april 2020 @ 15:32:
Als je het verkeer onderling niet gaat beveiligen heeft het geen enkel nut behalve dat je bijvoorbeeld verkeer kan priorizeren.

Wat of hoe zou je moeten beveiligen als ik de 2 VLANS wil realiseren zoals in de OP geformuleerd? Bedoel je dan door middel van firewall regels?

[BAJansen]

Verkeer tussen VLANs is zeer zeker mogelijk, waarschijnlijk wordt het verkeer tussen VLANs zelfs standaard al gerouteerd als je VLANs instelt in je router.

Hoewel je Asus router met de Merlin firmware inderdaad technisch VLANs ondersteunt, (mijn ouders hebben een AC68U met de merlin firmware), maar dit dient volledig ingesteld te worden via de CLI, en berust op zelfgeschreven scripts om de configuratie iedere keer dat het apparaat opnieuw opstart weer toe te passen. Daarnaast is de kans erg groot dat iedere wijziging in de webinterface je handmatige aanpassingen volledig overschrijven.

[Pazo]

@BAJansen Ik denk dat het beter is om dat dan via de Netgear switch te doen, en niet via de Asus.

Als ik even snel visualiseer;

code:

                                   / VLAN IPTV (640)
Internet => Asus router                                                   / VLAN A
                                  \ VLAN Internet (300) => Netgear switch
                                                                          \ VLAN B

Maar dan nog de vraag, stel dat mijn IP camera of mijn Nextcloud dat in VLAN A hangt gehacked wordt, kunnen ze dan bij de fileserver komen die zowel VLAN A als VLAN B bedient, en daardoor ook de rest van VLAN B benaderen? En hoe is dat te voorkomen?

[BAJansen]

Ik denk dat we hier het puntje hebben bereikt waar je vragen omtrent VLANs vandaan komen. Een switch kan alleen apparaten in hetzelfde broadcast domain met elkaar verbinden. Bij gebruik van VLANs is ieder VLAN een eigen broadcast domain, en kunnen alleen apparaten die op hetzelfde VLAN zitten met elkaar verbinden. Verkeer tussen verschillende VLANs/broadcast domains is met een switch niet mogelijk. Hiervoor heb je een router nodig die VLANs ondersteunt. Het is dus geen kwestie van VLANs instellen op ofwel je switch, ofwel je router, maar allebei.

Op je router kun je met firewallregels het verkeer tussen de VLANs regelen. Daar de Merlin firmware geen ondersteuning voor VLANs in de interface heeft zul je dit dan op de CLI met iptables moeten regelen.

[ Voor 6% gewijzigd door BAJansen op 22-04-2020 17:13 ]

[Kasper1985]

OpenWRT is firmware waarmee je vlans kan regelen in de GUI. Of je router dat ondersteunt is kwestie van even hun dv checken.

Maar voor +-50 euro heb je een Edgerouter X waarmee je dit allemaal kan doen in een GUI incl. Firewall etc. Je tagged dan alles door naar de switch.
Je kan dan bijv zeggen
Vlan 30 mag wel met vlan 40 communiceren maar niet omgekeerd tenzij geinitieerd door vlan 30. Om maar wat te noemen.
Als je dit serieus aan wilt pakken is de eerder genoemde pfsense ook een goede optie en anders mikrotik bijvoorbeeld.

[Ora et Labora]

BAJansen schreef op woensdag 22 april 2020 @ 17:11:
Ik denk dat we hier het puntje hebben bereikt waar je vragen omtrent VLANs vandaan komen. Een switch kan alleen apparaten in hetzelfde broadcast domain met elkaar verbinden. Bij gebruik van VLANs is ieder VLAN een eigen broadcast domain, en kunnen alleen apparaten die op hetzelfde VLAN zitten met elkaar verbinden. Verkeer tussen verschillende VLANs/broadcast domains is met een switch niet mogelijk. Hiervoor heb je een router nodig die VLANs ondersteunt. Het is dus geen kwestie van VLANs instellen op ofwel je switch, ofwel je router, maar allebei.

Op je router kun je met firewallregels het verkeer tussen de VLANs regelen. Daar de Merlin firmware geen ondersteuning voor VLANs in de interface heeft zul je dit dan op de CLI met iptables moeten regelen.

Via een switch is het wel mogelijk als je een layer-3 switch gebruikt en deze ook als default gateway gaat gebruiken. Dan kun je zonder aparte router, routeren via de switch. Via policy's is het dan mogelijk verkeer wel of niet toe te staan onderling.

Echter is dit denk ik veel te ingewikkeld voor TS evenals via CLI Vlans via de Merlin configuratie.

Microtic, PFSense of Draytek bijvoorbeeld zijn goede routers waar het vrij eenvoudig mee kan, zoals hierboven ook genoemd.

@Pazo Als je VLANS wilt gaan beveiligen, firewallen, kun je dus het beste 1 van deze routers gaan gebruiken, niet via je Asus aangezien dat vrij ingewikkeld is.
Zonder firewall heeft het geen zin om Vlans te gebruiken mijns inziens aangezien je dan nog niks beveiligd. Of je moet verkeer een QOS waarde mee willen geven oid, dan zou het nog kunnen.

[mkroes]

Als je toch al hyper-v hebt draaien, probeer eens pfsense of opnsense te virtualiseren. Kan je je een beetje inwerken in de materie.
Je kan dus ook je router/firewall volledig virtualiseren.

[Pazo]

Bedankt allen voor jullie input, en bedankt @BAJansen voor de duidelijk uitleg.
Ik denk dat ik tot de conclusie ben gekomen dat dit iets te hoog gegrepen is voor mij, en het beter zonder VLANs kan laten.

[boomer21]

BAJansen schreef op woensdag 22 april 2020 @ 17:11:
Ik denk dat we hier het puntje hebben bereikt waar je vragen omtrent VLANs vandaan komen. Een switch kan alleen apparaten in hetzelfde broadcast domain met elkaar verbinden. Bij gebruik van VLANs is ieder VLAN een eigen broadcast domain, en kunnen alleen apparaten die op hetzelfde VLAN zitten met elkaar verbinden. Verkeer tussen verschillende VLANs/broadcast domains is met een switch niet mogelijk. Hiervoor heb je een router nodig die VLANs ondersteunt. Het is dus geen kwestie van VLANs instellen op ofwel je switch, ofwel je router, maar allebei.

Op je router kun je met firewallregels het verkeer tussen de VLANs regelen. Daar de Merlin firmware geen ondersteuning voor VLANs in de interface heeft zul je dit dan op de CLI met iptables moeten regelen.

Ook niet met layer 3 switch?

[BAJansen]

Een switch is een switch en doet alleen layer 2. Er zijn inderdaad ook layer 3 switches, maar feitelijk zijn dit gewoon (meestal karige) routers met veel poorten.

[ChaserBoZ_]

boomer21 schreef op donderdag 23 april 2020 @ 10:10:
[...]

Ook niet met layer 3 switch?

Met een L3 switch kan dit ook perfect inderdaad, punt is, voor de huis/tuin/keukenmarkt zijn er niet zoveel betaalbare Dus switchen op laag 2, het laag 3 stukje op de router of firewall.

Dat is voor de meeste huishoudens perfect.

Vlans voor thuis zijn inderdaad erg praktisch; ik scheidt hier ook het verkeer van domotica (verschillende clouds), kids (niet zomaar streamen naar mijn tv), gasten (met qos op snelheid gelimiteerd) etc. Mijn accesspoint stuurt 4 SSID 's uit, die ieder zijn gekoppeld aan een vlan, werkt perfect.

BAJansen schreef op donderdag 23 april 2020 @ 10:16:
Een switch is een switch en doet alleen layer 2. Er zijn inderdaad ook layer 3 switches, maar feitelijk zijn dit gewoon (meestal karige) routers met veel poorten.

Daarover bestaan wereldwijd flinke discussies, voornamelijk afhankelijk van welke switch vergelijk je met welke router

[ Voor 22% gewijzigd door ChaserBoZ_ op 23-04-2020 10:47 ]