Netwerk scheiden (VLANs?)

[Nhz]

Wij hebben thuis internet en tv via het glasvezel netwerk vam KPN. Voor het lokale netwerk gebruiken we momenteel (weer) gewoon de experiabox. De managed switch heb ik er tussenweg gehaald, gaf nog wel eens problemen met de TV. Af en toe moest ik alles weer ompluggen om die ontvangers weer aan de gang te krijgen. Het wifi van de experiabox gebruik ik niet, daarvoor heb ik 3 unify accespoints hangen.

In verband met een gastenverblijf naast onze woning wil ik ons netwerk graag splitsen. Dit voor zowel het internet, als voor de TV. Ik wil in het gastenverblijf een TV aansluiting hebben (welke uitsluitend TV kan ontvangen), met daarnaast twee gewone netwerkaansluitingen. De één voor een accespoint en de andere als vrij beschikbare vaste aansluiting. Alles wat hierin geprikt wordt dient afgeschermd te zijn van ons lokale netwerk.

Nu weet ik heel globaal wel iets van netwerken en heb ik me even iets verdiept in VLANs, maar het is me nog niet helemaal duidelijk. Kan ik het volgende doen?

Glasmodem > Experiabox

Experiabox #1 > Managed switch #1 (internet, vlan6)
Experiabox #2 > Managed switch #2 (tv, vlan 4)

Managed switch #3 > Switch lokaal netwerk (vlan6 + vlan 10)
Managed switch #4 > Switch gastenverblijf (vlan6 + vlan 20)
Managed switch #5 > Switch tv netwerk (vlan4)

Vervolgens hang ik aan de switch voor mijn lokale netwerk mijn gehele lokale netwerk, inclusief accespoints. Aan de switch voor het gastenverblijf hang ik het accespoint voor daar en een vrije patch aansluiting in een wandcontactdoos.

Vanuit het lokale netwerk wil ik wel graag bij de experiabox en de managed switch kunnen, dit moet (bij voorkeur) vanuit het gastenverblijf niet mogelijk zijn.

Ben ik zo op de goede weg, of kan/moet dit beter cq. anders?

Alvast bedankt!

[g1n0]

Volgens mij (weet ik niet zeker) gooit de ExperiaBox geen vlans meer op je netwerk. Dat zou je setup dus niet mogelijk maken.

Tevens snap ik je vlan 10 en 20 niet helemaal. Je experiabox doet hier niets mee en je zult er dus geen internet op hebben.

Ik denk sowieso dat de hele setup met een ExperiaBox een vrij grote uitdaging zal zijn, daarom mijn advies: gooi die experiabox eruit en kijk naar een alternatieve router. Aangezien je glasvezel hebt heb je keuze zat (ook voor lage prijzen). Zoals de EdgerouterX

[Nhz]

Ik zou terug kunnen gaan naar de setup met managed switch en mijn draytek router (weet zo even de types niet uit mijn hoofd).

Ik weet alleen niet goed wat dan de beste setup zou worden. Daarnaast ben ik een beetje huiverig voor haperende TV ontvangers, ik heb eerder de setup van netwerkje.com gedraait.

[MAX3400]

Switch #3 & #4 overlapt op vlan6 dus "internet / netwerk" is al niet meer gescheiden?

Daarnaast, en dat zal ik vast niet goed zien; welke DHCP-scope had je bedacht voor je eigen huis en voor het gastenverblijf?

[Nhz]

Thuis gebruik ik 192.168.x.y voor verschillende zaken. Waarbij ik voor x onderscheid maak tussen bijvoorbeeld iot devices, netwerkapparatuur, vaste systemen en dhcp pool. Ik zou daar ook eentje van kunnen reserveren voor het gastenverblijf.

Voor de duidelijkheid, mijn voorstel in de OP is gebaseerd op mijn beperkte kennis van VLANs, best kans dat dit dus verkeerd is.

[MAX3400]

Stel dat je je voorstel aangesloten krijgt, en je ExperiaBox heeft maar 1 DHCP-scope, dan is je gastenverblijf zometeen toch bijvoorbeeld 192.168.2.180 en je eigen NAS op je werkkamer 192.168.2.16. Dan zit dat toch op hetzelfde netwerk want in alle gevallen is je EB het eerste / enige punt waar de kabels fysiek samenkomen en dezelfde routering plaatsvindt voor (alle) IP-adressen in de scope?

[lier]

Je hebt een router nodig die de netwerken kan scheiden. Dan is VLAN inderdaad een hele nette oplossing. In jouw situatie zou ik de Experiabox weghalen en alles goed instellen (zodat tv ook werkt). Dan is een oplossing met MikroTik (zoals besproken op netwerkje.com) een prima keuze.

[Arthion-nl]

Zoals @lier al zegt is het wel handig dat je een router gebruikt die met vlans overweg kan.
Het scheiden van netwerken wordt altijd op router niveau gedaan en niet door door een switch zelf.
Managed switches helpen de router wel met scheiden maar scheiden het netwerk zelf nooit omdat alles bij router bij elkaar weer komt.

Denk hier bij wel dat Vlans wel netwerken kunnen scheiden maar dat dit niet automatisch betekend dat deze vlans niet met elkaar kunnen kletsen ! Wil je dat bepaalde vlans niet met elkaar kunnen kletsen dien je Firewall policys aan te maken.

[ijske]

misschien ben ik stom... maar een aparte router wegzetten voor je gasten ... zet je er een belachlijk moeilijk inlogpaswoord op zodat ze geen settings kunnen gaan wijzigen ...

[RGAT]

ijske schreef op donderdag 9 juli 2020 @ 18:40:
misschien ben ik stom... maar een aparte router wegzetten voor je gasten ... zet je er een belachlijk moeilijk inlogpaswoord op zodat ze geen settings kunnen gaan wijzigen ...

Tenzij je die router dan ook een eigen aansluiting geeft moet je die gastenrouter dus op je eigen netwerk aansluiten (dubbel NAT maar dat is niet het probleem) en zullen de gasten dus door jouw netwerk verbinden en overal bij kunnen, lost het probleem dus niet op
Wel als je het andersom zou doen; gasten op eerste router en je eigen netwerk achter een tweede maar echt een mooie oplossing is het niet...

[Mr-D.]

koop gewoon een nuc met 4 ethernetpoorten en zet er opnsense op
dan kan je heel makelijk 3 gescheiden netwerken maken zonder vlan's en met de firewall onderlinge communicatie uitschakelen en toegang tot router blokkeren.

kan je zelfs nog een hele mooie inlog website eraan plakken en codes uitdelen die x uur of x dagen geldig zijn.

[Nhz]

lier schreef op donderdag 9 juli 2020 @ 08:01:
Je hebt een router nodig die de netwerken kan scheiden. Dan is VLAN inderdaad een hele nette oplossing. In jouw situatie zou ik de Experiabox weghalen en alles goed instellen (zodat tv ook werkt). Dan is een oplossing met MikroTik (zoals besproken op netwerkje.com) een prima keuze.

Dus dan krijg ik een nieuwe router direct aan het glasmodem, die nieuwe router splitst dan vlans 4, 6 en 7. Waarbij vlan 4 naar alle IPTV aansluitingen gaat, vlan 7 optioneel naar de experiabox gaat voor de telefonie en vlan 6 gebruikt wordt voor het internet. Ik zie op netwerkje.com dat dat een nieuwere manier is tov hoe ik het een aantal jaar geleden had.

Voor de 'interne netwerken' kan ik dan weer aparte vlans maken? Bijvoorbeeld 10 voor privé en 20 voor het gastenverblijf? Zit ik met onderstaande dan wel goed? Want hoe krijgen poorten #2 en #3 dan toegang tot het internet (VLAN 6)?

Glasmodem -> Router #1 (VLAN 4, 6, 7 tagged)
Router #2 -> Switch prive netwerk (VLAN 10 untagged)
Router #3 -> Switch gastenverblijf (VLAN 20 untagged)
Router #4 -> Switch IPTV (VLAN 4 untagged)
Router #5 -> Experiabox (VLAN 7 tagged)

[lier]

Je kan bij scheiding van netwerken kiezen voor fysieke scheiding zoals @Mr-D. voorstelt (met een MikroTik kan dat uiteraard ook) of een virtuele scheiding (met VLAN).

Je opsplitsing kan, volgens mij, beter: onderscheid maken in verkeer in plaats van fysieke locatie. Dan kan je zowel het "thuis" netwerk als het "gasten" netwerk via VLAN's tagged over het hele netwerk gestuurd worden. Waarom? Dan kan je, bijvoorbeeld, ook in andere gebouwen gasten Wifi aanbieden. En/of in het gastenverblijf op het thuisnetwerk verbinden.

Want hoe krijgen poorten #2 en #3 dan toegang tot het internet (VLAN 6)?

Door de juiste regels in te stellen, op de MikroTik site staat een hele mooie uitleg hierover:
https://forum.mikrotik.com/viewtopic.php?t=143620

[Nhz]

Ik heb afgelopen weekend even weer wat tijd genomen om er in te duiken. Het wordt me al wat meer duidelijk, ook mede vanwege die post op het mikrotik forum. Toch is het nog wel een beetje een abstract allemaal, maar dat zal vast veranderen zodra ik het in de praktijk ga brengen.

Ik heb even snel met Visio een schema in elkaar geklikt en kom dan tot het volgende. Aan- of opmerkingen zijn meer dan welkom.



Met dien verstande dat ik met de firewall in de router het verkeer tussen de VLANs volledig kan scheiden. Daar kan ik dan ook instellen dat mijn vaste PC wel toegang krijgt tot het basis VLAN waarop de router/switches/ap's communiceren.

[Arthion-nl]

Zover ik kan zien ziet het er netjes uit @Nhz maar ben niet bekend met mikrotik en hoe zij vlans en firewalls impliceren. Maar zoals in in het filmpje die ik al eerder heb gelinkt wordt er al gezegd dat dit ook met mikrotik werkt zolang je maar weet op welke knopjes je moet drukken.

Suc6 ermee alvast

[Ben(V)]

Vlan is natuurlijk een prima oplossing, maar het wordt er niet eenvoudiger door en je kunt snel door een foutje in een van de configuraties problemen krijgen of de afscheiding werkt niet goed.

Aangezien toch alles fysiek gescheiden is zou ik eerder via een tweede router je gastverblijf afscheiden.
Vlan's zet je meestal in als je over hetzelfde fysieke netwerk moet en toch een scheiding wilt hebben.

Ik ken microtik niet, maar vermoed dat je dat ook wel met die mikrotik een tweede subnet kunt creëren zonder al die vlans te moeten opzetten.
Eventueel via zijn firewall de routering tussen die twee netwerken blokkeren.

[Nhz]

@Arthion-nl Ik weet nog niet of ik voor Mikrotik ga. Ik zie dat Ubiqity ook hele mooie oplossingen heeft. Weet alleen (nog) niet of ik daarmee de IPTV van KPN aan de gang krijg.

@Ben(V) Ik moet sowieso met VLANs aan de gang, aangezien KPN ze zo aanlevert. Daarnaast vind ik het idee dat ons camera systeem en IoT devices meer controleerbaar zijn ook wel prettig. Plus dat het natuurlijk een hoog Tweak gehalte heeft.

[Ben(V)]

Volgens mij levert KPN geen Vlan's meer aan tegenwoordig.

[geenwindows]

Ben(V) schreef op maandag 13 juli 2020 @ 21:32:
Volgens mij levert KPN geen Vlan's meer aan tegenwoordig.

KPN gebruikt wel vlans:
https://www.kpn.com/servi...nstellen-en-gebruiken.htm

[Ben(V)]

Ze gebruiken vlan's maar daar hoef je als eindgebruiker niets mee te doen.
De bedoeling is dat via igmp snooping het signaal alleen naar de tv gaat, daar heb je geen vlan's voor nodig.

Dat is enkel echt van belang als je de experiabox wilt vervangen door een eigen router.

Wat dus wel heel erg van belang is als je KPN gebruikt is dat je switches IGMP snooping ondersteund.

[ Voor 39% gewijzigd door Ben(V) op 14-07-2020 09:33 ]

[Nhz]

@Ben(V) Hoe zorg je er dan voor dat er in het gastenverblijf zowel een vaste aansluiting voor TV als internet is, zonder dat men via 1 van die twee aansluitingen de rest van het netwerk kan benaderen? Dat is toch alsnog vrij veel gedoe?

[Ben(V)]

Als je in het gastenverblijf ook tv wilt hebben zul je die aansluiting specifiek op de experiabox moeten aansluiten en niet op de gasten router.

Vanuit het gastenverblijf het internet op is geen probleem daar zorgen de routers gewoon voor.
Enkel als je vanuit het internet een device in het gasten netwerk zou willen bereiken dan moet je voor een dubbele forwarding zorgen.
Maar ik neem niet aan dat je zo'n security lek wil maken.

[geenwindows]

met de experiabox gaat je dat niet lukken.
wil je geheel gescheiden netwerk in het gastenverblijf hebben, dan dien je eigen apparatuur te gebruiken.
volgens mij kun je in de experiabox niet aangeven dat poort X enkel IPTV is.

[Nhz]

@geenwindows Exact, dat gaat niet.

Wat wellicht wel kan is dat ik na de Experiabox twee extra routers neer zet, 1 voor mijn privenetwerk en 1 voor het gastenverblijf. Dan zijn beide netwerken volledig gescheiden door beide routers.

Betekent echter wel een extra kabel trekken voor IPTV en een volledige lockout voor aanvullende netwerk zaken. Even een extra beveiligingscamera ophangen bij de voordeur van het gastenverblijf zit er dan niet (zo eenvoudig) in.

[lier]

Waarom zou je de Experiabox nog weillen gebruiken, @Nhz ? Gaat dat alleen om telefoon?

[Nhz]

Nee hoor, ik hoef hem niet perse te gebruiken. Dat is een suggestie die @Ben(V) aandraagt. Ik sta momenteel nog open voor alle opties.

[Ben(V)]

Twee extra routers lijkt mij een beetje overkill.
Volgens mij zijn de opties ofwel Vlan's gebruiken ofwel je gastenverblijf achter een router plaatsen.
En dan het liefst een router die ook firewall functionaliteit heeft, dan heb je echt alles in de hand.

[Arthion-nl]

Nhz zelf persoonlijk zou ik juist niet gaan voor 2 routers in 1 netwerk omdat dit makkelijk meer issues kan geven dan oplost.
Het kan werken maar er zijn geen garanties daarin en hou er rekening mee dat standaard router "2" wel alle apparaten in netwerk van router "1" kan praten maar andersom niet zonder firewall regels.
Ik zou sowieso de experiabox niet gebruiken omdat deze bekend staat issues kan geven als je router achter router netwerk creëert.

Hier vind je hoe je routed iptv netwerk creëert met als voorbeeld met mikrotik. Geen idee of deze up to date is en of dit werkt omdat ik niet bekend ben mikrotik maar er zijn hier wel tweakers die dit wel kennen.

Hier vind je een uitleg hoe je het werkend krijgt met een edgerouter.

Hou wel rekening mee dat hierbij de firewall policys en jou wijze van scheiden nog geen rekening mee is gehouden.
Als het mogelijk is zou ik 2 kabels naar de gasten verblijf trekken en kijken of je iptv/internet al kan scheiden voor het in de switch in de gasten verblijf aankomt en dan een AP met eigen SSID/Vlan en rest van de poorten verdelen over iptv/internet.


Ik heb zelf T-mobile die bridged constructie heeft en ben daar erg blij om omdat dit 10x makkelijker in te stellen is met eigen router en een firewall policys. Nadeel is wel dat als ik op andere ruimte zowel tv als internet wil moet ik altijd met managed switches werken.

[Nhz]

Arthion-nl schreef op dinsdag 14 juli 2020 @ 21:03:
...
Als het mogelijk is zou ik 2 kabels naar de gasten verblijf trekken en kijken of je iptv/internet al kan scheiden voor het in de switch in de gasten verblijf aankomt en dan een AP met eigen SSID/Vlan en rest van de poorten verdelen over iptv/internet.
...

Die snap ik even niet. Waarom dat vooraf scheiden en het vervolgens weer over het restant van de poorten verdelen?

[Ben(V)]

Snap ik ook niet en dat voorstel zou dus neerkomen op de vlan oplossing.

Voordeel van vlan's is veel flexibeler.
Nadeel lastiger configureren en al je switches moet vlan's aankunnen.

Voordeel van een gastenverblijf router is dat het simpel en goedkoper (goedkope switches) is, maar ik denk dat je voor de tv in je gastenverblijf dan een kabel naar je experiabox nodig hebt.

[Nhz]

Mja, maar als men dan een laptop aan die TV kabel prikt, zitten ze alsnog op het netwerk van de Experiabox. Niet wenselijk.

[Arthion-nl]

Nhz schreef op woensdag 15 juli 2020 @ 19:09:
[...]

Die snap ik even niet. Waarom dat vooraf scheiden en het vervolgens weer over het restant van de poorten verdelen?

Durf niet met 100% zekerheid te zeggen maar als ik zo ff naar de guide kijkt lijkt het erop dat iptv/internet op de router wordt gescheiden( edgerouter) en een eigen eth aansluting krijgt. Kan er naast zitten maar als dat zo is kan je beter 2 kabels trekken anders moet je een extra switch bij de router zetten om een trunkport op te zetten als je 1 kabel wil gebruiken. Dit vervalt natuurlijk wanneer wanneer je via "1"eth poort zowel iptv als internet kan laten lopen zoals experiabox doet.

Ben(V) schreef op woensdag 15 juli 2020 @ 20:54:
Snap ik ook niet en dat voorstel zou dus neerkomen op de vlan oplossing.

Staat al in de eerste regel om geen 2 routers te gebruiken....

Voordeel van vlan's is veel flexibeler.
Nadeel lastiger configureren en al je switches moet vlan's aankunnen.

Ik weet niet wat jou ervaring en expertise is is betreft netwerken maar ik kan wel dit zeggen door eigen ervaring:

-Vlans configureren op switches en routers is in het algemeen totaal niet moeilijk en zelfs makkelijk als je het mij vraagt. Wat ik er wel bij zeg is dat implicatie van vlans per fabrikant wisselend zijn en de ene software makkelijke is dan de andere.
Als voorbeeld bij mijn TP-link GS108e switch was het stuk makkelijke vlans in te stellen dan als bij Ubiquiti die in mijn ogen iets omslachtige werkte. (persoonlijk !)
-In mij eigen ervaring is het configureren van Firewall regels/policys een stuk lastige en fouten erin kan behoorlijke lekken of routering issues geven.

Voordeel van een gastenverblijf router is dat het simpel en goedkoper (goedkope switches) is, maar ik denk dat je voor de tv in je gastenverblijf dan een kabel naar je experiabox nodig hebt.

Het nadeel is dat iedereen op router nr 2 nog steeds in het netwerk van router 1 kan komen zonder firewall regels hierin. En de ik ga even vanuit dat de experiabox zover is dicht getimmerd dat je geen firewall regels kan maken.
Laat staan mijn quote hierboven dat firewall regels instellen lastigere is dan Vlans zie ik geen redenen waarom je voor 2 routers in 1 netwerk zou gaan......maar zo kijk ik er tegen aan.


Enige andere voorstel dat ik kan geven is al eerder benoemd door Mr-d. en een nuc te gebruiken waar alle poorten als standaard van elkaar gescheiden zijn met pfsense.

[Ben(V)]

Het is een gastenverblijf, geen hacker bestendig datacentrum.
Dus veel ideeen lijken mij wat overengineerig.

[ Voor 28% gewijzigd door Ben(V) op 16-07-2020 00:36 ]

[Arthion-nl]

Je zou eens voor de lol dit filmpje van crosstalk solutions moeten bekijken en waarom je een IoT netwerk goed wil beveiligen.
Dit geld dus ook voor een gastennetwerk want je zou maar een gast hebben die doodleuk maleware binnen haalt en je hele netwerk besmet.

TS heeft een duidelijke wens om zijn gastennetwerk te scheiden en hier de nadruk oplegt dat de gastennetwerk niet mag communiceren met zijn eigen netwerk. (je hebt scheiden en scheiden ! )
Dan is router achter router niet hele goede keuze omdat dit meer problemen geeft dan oplost.
Bedenk daar bij dat je zowieso niet ontsnapt aan het feit dat router 1 een router moet zijn die firewallregels kent en zal ongetwijfelt vlans hebben/kennen.

[Nhz]

Exact, het gastenverblijf is voor gasten. Soms zijn dat familieleden/kennissen van ons die blijven logeren, maar het gebeurd ook wel eens dat we de ruimte voor een weekendje verhuren aan via-via bekenden (bijvoorbeeld van buren of van vrienden uit de buurt).

Ik wil mijn eigen familie al niet op mijn netwerk hebben, laat staan vrienden van vrienden.