Hoe een nieuwe bekabeld en wifi netwerk vorm te geven

[HellevUUr]

Mijn vraag is tweeledig dus ik kan me voorstellen dat dit topic naar CAA verplaatst wordt.

Ik zou graag jullie raad willen in de volgende situatie. Ik heb op dit moment slecht wifi ontvangst en ik maak gebruik van KPN internet en TV met een experiabox. Binnenkort zal ik overstappen naar t-mobile glasvezel. De overstap wil ik gebruiken om het huis netwerk te moderniseren en op orde te brengen.
Hieronder zien jullie een plaatje van mijn huis en vervolgens een beschrijving van de apparatuur.



1. CAI aansluitpunt, momenteel niet in gebruik, maar van het aansluitpunt loopt een aparte ongebruikte coax kabel naar de slaapkamer.
2. ISRA punt, hier komt VDSL pair bonding binnen is via de kruipruimte naar de meterkast verlegd met een cat6 kabel waarvan 4 aders worden gebruikt.
3. Experiabox v10 waarop de cat6 kabel met een rj11 stekker is aangesloten. Dit is de modem/router en accesspoint voor wifi.
4. DECT telefoon aangesloten met een cat6 kabel en een rj11 stekker vanuit de experiabox.
5. 1gbit switch: Netgear ProSAFE GS108E. Werkt i.c.m. televisie door IGMP snooping.
6. KPN decoder die op de switch is aangesloten
7. KPN decoder die op dit moment is aangesloten op een powerline adapter op zolder via een cat6 kabel vanuit de experiabox. Deze kabel is lang genoeg en wordt door getrokken tot de slaapkamer en op een opbouw utp wcd aangesloten, en vanuit de wcd op de KPN decoder of T-mobile decoder. Tenzij ik TV anywhere van T-mobile op een AndroidTV mediaspeler aan de praat krijg (scheelt 5 euro per maand)
8. Mediaspeler met AndroidTV en wifi
9. Control unit voor warmtepomp. Deze is met een cat6 kabel op de experiabox aangesloten en heeft (helaas) internet nodig om gebruik te kunnen maken van de app. Deze app wil ik op een tablet voor huisbesturing (18) aansluiten.
10. Werktablet aangesloten op een cat5 kabel die op de switch is aangesloten.
11. Wifi all in one. Heeft internet toegang maar niet noodzakelijk.
12. Receiver met mogelijkheid om de wifi speakers aan te sturen (21, 22) en toegang tot nas (26) voor muziek. Internet toegang voor radiostations.
13. Mediaspeler met internet toegang en toegang tot nas (26).
14. Xbox, geen toegang tot intern netwerk nodig, wel internet.
15. Laptop met toegang tot intern netwerk en internet (via wifi).
16/17. Telefoons met toegang tot internet via wifi, wordt ook gebruikt om te printen via intern netwerk.
18. Tablet bedoeld om IOT apparaten aan te sturen zoals wifi speakers (21, 22) i.c.m. receiver (12), oven (19) en combinmagnetron (20) en vaatwasser (niet in tekening), control unit warmtepomp (9). Geen toegang nodig tot nas, wel tot internet.
19. Oven met functionaliteit om recepten te downloaden en daarmee tevens de bereidingstijd te automatiseren. Optie om internet aan of uit te zetten zou prettig zijn, toegang vanuit tablet (18) is noodzakelijk.
20. Combimagnetron met functionaliteit om recepten te downloaden en daarmee tevens de bereidingstijd te automatiseren. Optie om internet aan of uit te zetten zou prettig zijn, toegang vanuit tablet (18) is noodzakelijk.
21/22. Wifi speaker die via de receiver (12) muziek kan afspelen maar ook vanuit telefoon (lan of bluetooth). Internet niet nodig.
23. Tablet voor thuisgebruik, internet noodzakelijk. Geen toegang tot nas nodig.
24. Gigabit switch t.b.v. NAS' met cat6 aangesloten op experiabox.
25/26. NAS t.b.v. muziek, films en andere opslag. Internet toegang wordt gebruikt voor updates te downloaden maar dit zou optioneel aan/uit gezet kunnen worden. Wordt in de toekomst gebruikt om backups extern op te slaan.
27. Glasvezel aansluitpunt.

Waar heb ik zelf aan gedacht?
Ik weet niet of ik een eigen modem mag aansluiten dus ik weet niet zeker (ook prijs-technisch) of het handig is om een modem/router te kopen die je direct op glasvezel aan kan sluiten. Als deze optie haalbaar is dan wil ik altijd de mogelijkheid houden om dit apparaat op een vdsl modem/router of kabelmodem aan te kunnen sluiten. Flexibiliteit dus.
Ik weet niet of mesh wel of niet genoeg voordelen oplevert in deze situatie.

Voor het WIFI bereik is een meterkast killing, maar het bereik op de benedenverdieping is prima. Op de eerste verdieping en zolder niet. Boven de trap op de zolder zou ik bij de control unit warmtepomp (9) een WCD kunnen installeren zodat ik hier ook een accesspoint of tweede router met mesh mogelijkheid (via UTP backbone) kan plaatsen. Ik hoor voor en tegenstanders van MESH maar of dit in deze situatie een nadeel is weet ik niet. Indien het apparaat zelf een output rj45 connector heeft dan is een wcd niet nodig en voldoet een lege opbouw doos.

Meerdere SSID's zijn noodzakelijk:
Guest Wifi: enkel toegang tot internet en geen toegang tot intern netwerk.
Wifi apparatuur met toegang tot internet en printer: 16, 17, 18, 23
Wifi apparatuur met toegang tot internet en intern netwerk: 8, 15
Wifi apparatuur alleen beschikbaar voor intern via tablt (18) of receiver (12) en zonder internet: 19, 20, 21, 22, vaatwasser, kookplaat.
Ik weet niet waar ik de all in one (11) met wifi moet plaatsen maar die heeft geen internet toegang nodig maar moet wel intern beschikbaar zijn.

Meerdere netwerk segmenten zijn noodzakelijk:
Bekabelde apparatuur alleen internet toegang, niet intern: 6, 7, 9, 14.
Bekabelde apparatuur alleen internet toegang en printer: 10
Bekabelde apparatuur alleen intern toegang: 25, 26 (mogelijk in de toekomst wel internet, of tijdelijk internet ivm updates)
Bekabelde apparatuur intern en internet toegang: 12, 13

Nu is de grote vraag, op welke wijze kan ik het gewenste netwerk verwezenlijken en welke apparatuur heb ik daarvoor nodig?

[laurens0619]

Ik lees dat je vooral segmentatie wilt, dan kom je automatisch uit bij vlans

Je moet je hele netwerk (router,switch,wifi) vlan aware maken. Je switch is dat al dus alleen je router en wifi nog

Een edgerouter x als router icm een aantal unifi ac lite is hiervoor een mooie setup

[HellevUUr]

Bedankt voor je bijdrage Laurens. Ik lees dat die edgerouter x niet goed werkt met POE met andere merken. Ook lees ik dat de bijgeleverde adapter POE niet werkend kan krijgen (tweakers reviews). De prijs is interessant maar dan heb ik eigenlijk meer poorten nodig zodat ik een AP toe kan voegen in de meterkast.
Voor wat betreft de vlans ben ik het met je eens dat alle apparatuur daarmee om moet kunnen gaan.

[ Voor 13% gewijzigd door HellevUUr op 20-10-2020 13:36 ]

[Ben(V)]

Bedenk wel dat formeel die telefoondraad naar je modem/router niet toegestaan is.
Het (V)DSL modem moet binnen 2 m van je ISRA staan.

Je zult dus je modem/router bij het ISRA moeten plaatsen en in de meterkast een switch moeten plaatsen.

En de switch die in die router zit zal hoogstwaarschijnlijk geen vlans ondersteunen.

[ Voor 15% gewijzigd door Ben(V) op 20-10-2020 14:09 ]

[HellevUUr]

Bedankt voor je bijdrage Ben(V). Ik weet inderdaad dat de modem/router bij het ISRA punt moet staan. Mochten er problemen zijn dan dien ik het modem bij het ISRA punt te plaatsen om na te gaan of het probleem nog aanwezig is. Verplaatsing heeft overigens geen invloed gehad op de snelheid.
Als straks het aansluitpunt van glasvezel in de meterkast is aangebracht is het probleem ook meteen opgelost.

[Seriph]

Ik zou uitzoeken of je inderdaad een eigen router mag plaatsen of dat de Tele2 router geschikt is voor meerdere vlans. Want met jouw eisen kom je uit op een netwerk met vlans.

Qua fysiek zou ik kiezen voor Router op begaande grond met eventueel switch met POE als je meer poorten nodig hebt.

Managed switch (met POE poorten) op de eerste. Trunk met meerdere vlans naar boven waar je het netwerk verder uitsplitst en eventueel een unmanaged switch als je meer poorten nodig hebt.

Ik zou dan een tweetal APs ophangen boven en beneden met een controller die eventueel op een NAS of PI draait. Of een losse controller als die het niet aan kunnen. Ik ben zelf wel fan van omada van TP-link maar Ubiquiti heeft ook zoiets.

Je komt hiermee wel in het prosumer/klein zakelijk segment met bijbehorende prijzen.

Voorbeelden
https://www.tp-link.com/n...-router/tl-r605/#overview
https://www.ui.com/edgemax/edgerouter-x/

Je kan natuurlijk verschillende devices kopen/aansluiten maar ik zou kiezen voor een systeem en je daar aan houden dus of Ubiquiti of TP-link of iets anders.

[Kiswum]

Ik zou hetzelfde aanraden als wat ik thuis heb:

Ik heb geen T-Mobile, maar XS4ALL en ik heb het als volgt opgelost:

Het fiber glas komt via de meterkast de woning binnen en gaat vanaf daar een ftu kastje in. Via een UTP kabel gaat het internet door naar mijn AVM Fritzbox 7590 "adsl" router.

Doordat XS4ALL voor nieuwe woningen niet meer een AVM Frtizbox levert, hebben ze de 7590 geleverd vanwege de hogere Wifi snelheden. De oude Fritzbox 5490 wordt niet meer geleverd en de nieuwere 5530 is momenteel nog niet beschikbaar (en wellicht nog niet getest door de NL providers)..

Deze router is voorzien van 4 netwerkpoorten, waarbij ik de WAN in gebruik heb voor de verbinding naar de ftu kast. Poort 1 kan worden ingezet voor het gasten netwerk en gaat direct naar de SMA omvormer (die gaf namelijk problemen op onze tv kastjes). Poort 2 is aangesloten aan een 24 poorts managed switch van HP waarop VLAN's ingesteld kunnen worden (inschakelen was niet nodig). Poort 3 direct aangesloten op 1 van de tv kastjes (KPN/XS4ALL kast). Poort 4 is aangesloten op een andere Fritzbox 5490 die op zolder staat. Hierop zit o.a. de tweede tv kast, mediaspeler, printer en pc.

Het belangrijkste is die 2e Fritzbox. Door 2 van deze routers te gebruiken, kun je een Mesh netwerk opzetten zonder extra apparatuur. Hierdoor heb ik vanuit de meterkast een goede dekking op de begane grond en vanaf zolder een zeer goede dekking op de 1e verdieping + zolder. Hierbij maak ik gebruik van 2 netwerken. De ene is ingesteld op 5GHz en de andere is ingesteld op 2,4GHz waarbij ik gebruik maak van 2 SSID's. Tevens is het mogelijk om een Guest wifi in te stellen met een 3e SSID, waarbij gebruikers alleen toegang kunnen maken met het internet en niet met het interne netwerk (zoals de NAS of andere apparatuur).
Doordat deze routers in het bezit zijn van een LAN aansluiting waarbij je Guest lan in kunt schakelen, zou je daaraan een switch kunnen koppelen voor specifiek die apparatuur die je daarop zou willen hebben.

Vanuit onze HP switch gaan overigens diverse kabels naar de andere apparatuur in huis, waaronder 2 instap TP-link switches die het tv signaal niet doorlaten, maar voor de rest van het netwerkverkeer gaat wel gewoon door.

Mijn oplossing voor jou kost in totaal €378,- zonder extra apparatuur. Je kunt er dan voor kiezen om de nieuwe router achter die van T-Mobile te plaatsen of die van T-Mobile er tussenuit te laten met mogelijk verlies van je VOIP toestel:
Maak gebruik van 2 AVM routers waarbij je gebruik maakt van een normale SSID, Guest SSID en Guest LAN aansluiting.

Guest wifi kun je inzetten voor gasten en: 23
Voor de apparaten die wel op wifi moeten, maar geen toegang tot de NAS mogen, dan zou ik er denk ik voor kiezen om toegang tot het IP van je NAS te weigeren: 18, 19
Guest LAN kun je inzetten voor: 9, 14

Bij een goede NAS kun je alle poorten uitschakelen, waardoor geen verbinding naar het internet beschikbaar is: 25/26

Doordat het mij ondanks een aantal instructies op Tweakers en andere platformen, het niet voor elkaar kreeg om VLAN's in te stellen, heb ik die hoop opgegeven. Vandaar dat ik het zo praktisch mogelijk houd en adviseer om te werken met rechten.

Informatie over de Zyxel glasvezel router van T-Mobile: https://community.t-mobil...is-zyxel-glasvezel-311763

[ijske]

ik zou je adviseren om je is goed in te lezen in vlan'ing, of je eventueel te laten helpen als je het zelf niet zitten om dit te leren ...

zeker als je over meerdere switches gaat werken is het belangrijk dat je even goed snapt hoe het werkt , zodat je zelf kan uitbreiden
de materialen zijn zeker niet superduur, maar je moet wel wat dingen kennen/snappen vooraleer het doet wat jij wil.. bv tagged/untagged verkeer, de router die je vlan's maakt , en dus elk vlan heeft ook dhcp server nodig , eventuele rechten tussen de bepaalde vlan's..

[HellevUUr]

@Seriph @Kiswum @ijske dank voor jullie uitgebreide input. Ik heb een tekening gemaakt waarin ik de situatie op vlan niveau heb uitgewerkt. Ik zit nu met het probleem dat de home tablet niet in hetzelfde vlan zit als de IOT apparaten maar deze tablet moet wel die apparaten aansturen. De reden dat ik die tablet in een ander vlan heb gezet is omdat deze ook de app van de receiver zal gebruiken en daarom de receiver moet kunnen aansturen. Deze tablet heeft wel internet toegang nodig, i.t.t. tot de IOT apparaten omdat die alleen via de tablet verbinding mogen maken.
Ik hoop dat dit duidelijk getekend is.

[Seriph]

Dat is redelijk eenvoudig op te lossen met access-listing. Je geeft jouw tablet een vast ip. Of misschien kan jouw router dat ook op hostnaam.

Uitgeschreven

Home tablet in vlan 120 (zeg 10.10.10.x) met ip 10.10.10.10
IOT in vlan 130 192.168.0.x

Vlan 130 en 120 hebben hun interface op de router.

accesslist interface vlan 120 in accept alles naar 10.10.10.10 (of als je de poorten weten kan je ook daar nog op filteren)
accesslist interface vlan 120 in accept alles naar internet (inactief)
access interface vlan 120 in deny any any

Dan mogen alle IOT devices verbinding maken met de tablet en met elkaar maar nergens anders heen. Als je jouw IOT wilt updaten via internet zet je het inactieve regeltje aan en gaat alles communiceren.

accesslist interface 130 in accept 10.10.10.10 naar alles
accesslist interface 130 in deny 10.10.10.x naar 192.168.0.x
accesslist interface 130 in accept any any

Dan mag de tablet verbinding maken met IOT maar de rest niet. De rest mag wel naar het internet enzo.

En iets dergelijks kan je ook doen voor Vlan100 voor de warmte pomp en guest wifi. Als je zou willen zou je zelfs andere apparaten kunnen laten aansturen van het guestwifi zoals je wifispeaker maar dan alleen de speaker beneden en niet die in de slaapkamer. Zodat jouw vrienden een filmpje op de tv kunnen laten zien maar niet de pr0n op jouw NAS kunnen bekijken.

Dit kan heel gauw een brij worden dus als je dit gaat doen leer jezelf dan aan om logisch om te gaan met namen. Segmenteer alles duidelijk en maak van tevoren een plan/tekening. En update dat plan als er nieuwe apparaten in het netwerk komen.

[Frogmen]

Mijn eerste vraag is waarom wil je deze complexiteit? Is je NAS zo slecht beveiligt dat je gasten niet vertrouwd en die deze hacken? Je kan ook je IOT apparaten simpelweg toegang tot internet ontzeggen heb je geen VLAN nodig.
Uit je vraag maak ik op dat netwerken niet jouw hobby of expertise is begin hier dan niet aan, of je moet geld over hebben om kennis in te huren.
Begin eerst eens de risico's (kans x gevolg) te identificeren waartegen je jezelf wilt beschermen. Want zoals ik het lees is waarschijnlijk een netwerk met een gastenwifi al meer dan voldoende. Dit bespaart je een hoop geld en ergernis omdat het niet lukt, of totaal nutteloos is omdat je door een klein foutje alles alsnog openzet.

[HellevUUr]

Seriph schreef op woensdag 21 oktober 2020 @ 08:41:
Dat is redelijk eenvoudig op te lossen met access-listing. Je geeft jouw tablet een vast ip. Of misschien kan jouw router dat ook op hostnaam.

Uitgeschreven

Home tablet in vlan 120 (zeg 10.10.10.x) met ip 10.10.10.10
IOT in vlan 130 192.168.0.x

Vlan 130 en 120 hebben hun interface op de router.

accesslist interface vlan 120 in accept alles naar 10.10.10.10 (of als je de poorten weten kan je ook daar nog op filteren)
accesslist interface vlan 120 in accept alles naar internet (inactief)
access interface vlan 120 in deny any any

Dan mogen alle IOT devices verbinding maken met de tablet en met elkaar maar nergens anders heen. Als je jouw IOT wilt updaten via internet zet je het inactieve regeltje aan en gaat alles communiceren.

accesslist interface 130 in accept 10.10.10.10 naar alles
accesslist interface 130 in deny 10.10.10.x naar 192.168.0.x
accesslist interface 130 in accept any any

Dan mag de tablet verbinding maken met IOT maar de rest niet. De rest mag wel naar het internet enzo.

En iets dergelijks kan je ook doen voor Vlan100 voor de warmte pomp en guest wifi. Als je zou willen zou je zelfs andere apparaten kunnen laten aansturen van het guestwifi zoals je wifispeaker maar dan alleen de speaker beneden en niet die in de slaapkamer. Zodat jouw vrienden een filmpje op de tv kunnen laten zien maar niet de pr0n op jouw NAS kunnen bekijken.

Dit kan heel gauw een brij worden dus als je dit gaat doen leer jezelf dan aan om logisch om te gaan met namen. Segmenteer alles duidelijk en maak van tevoren een plan/tekening. En update dat plan als er nieuwe apparaten in het netwerk komen.

Bedankt voor de hulp op dit punt, je slaat de spijker op z'n kop met wat ik wil bereiken met mijn netwerk configuratie. Hier ga ik zeker gebruik van maken!

[HellevUUr]

Frogmen schreef op woensdag 21 oktober 2020 @ 11:25:
Mijn eerste vraag is waarom wil je deze complexiteit? Is je NAS zo slecht beveiligt dat je gasten niet vertrouwd en die deze hacken? Je kan ook je IOT apparaten simpelweg toegang tot internet ontzeggen heb je geen VLAN nodig.
Uit je vraag maak ik op dat netwerken niet jouw hobby of expertise is begin hier dan niet aan, of je moet geld over hebben om kennis in te huren.
Begin eerst eens de risico's (kans x gevolg) te identificeren waartegen je jezelf wilt beschermen. Want zoals ik het lees is waarschijnlijk een netwerk met een gastenwifi al meer dan voldoende. Dit bespaart je een hoop geld en ergernis omdat het niet lukt, of totaal nutteloos is omdat je door een klein foutje alles alsnog openzet.

@Frogmen, bedankt voor je input dat wordt sowieso gewaardeerd.
Ik wil deze complexiteit omdat voorkomen beter is dan genezen. Als je niet bij de NAS kan komen hoef je je ook niet zorgen te maken of de beveiliging in de NAS afdoende is. Daarnaast heb je gelijk dat ik gasten inderdaad niet vertrouw. Ik weet niet welke apps zij op hun telefoon hebben draaien of wel virussen zij op hun laptop hebben staan en weet dus ook niet wat de impact daarvan is op de apparaten in mijn netwerk. Ik vertrouw ook fabrikanten niet op hun blauwe ogen. Ik heb 2 LG tv's die ik nooit op wifi heb aangesloten omdat LG het zo'n goed idee vindt om informatie over het kijkgedrag en de inhoud van je NAS naar een centrale server te sturen (diverse keren op Tweakers voorbij gekomen).
Vandaar ook dat ik die IOT devices in een eigen netwerk segment plaats.
Het ontzeggen van de IOT devices tot internet is inderdaad een optie maar hierdoor kunnen die apparaten nog steeds bij mijn andere apparatuur en dat wil ik niet.
Netwerken is niet mijn hobby, ook dat klopt. De kennis die ik van netwerken heb die is gelimiteerd tot het vak subnetten dat ik tijdens mijn opleiding heb genoten en de werkgerelateerde incidenten die ik voorbij heb zien komen in de afgelopen jaren, welke door specialisten zijn opgelost.

Ik ben het niet met je eens dat ik iemand in moet huren om het netwerk hier aan te leggen. Immers wat leer ik dan? En wat als er een device bij komt? Wat je zelf in je signature hebt staan is op mij ook van toepassing:

Voor een Tweaker is de weg naar het resultaat net zo belangrijk als het resultaat.

Je aanpak om eerst risico's te identificeren is terecht maar ik ben uiteindelijk meer tijd kwijt met het uitvoeren van een risicoanalyse (inclusief opzoeken van allerlei statistische gegevens) dan het uitvoeren van het veel simpeler "voorkomen is beter dan genezen". Er zijn op zich goede bronnen over vlans zoals(YouTube: What are VLANs? -- the simplest explanation).
Ik hoop met deze community tot een werkbare situatie te komen die ik begrijp, aan kan passen en waarvoor ik de juiste apparatuur in huis kan halen zodat ik niet achteraf moet constateren dat ik de verkeerde switch heb gekocht. Als ik alleen een guest wifi toevoeg dan is dat zeker een vereenvoudiging maar ik vermoed dat ik dan veel meer moet gaan configureren om bepaald verkeer uit te sluiten.

[laurens0619]

Klinkt goed Maar ik ben het toch wel beetje eens met @Frogmen
9/10 keer zie ik op tweakers dat mensen het iOT apparaat in een apart VLAN stoppen maar wel internet toegang geven.. waarom ze dit doen weten ze dan niet.

Nou ik kan je op een presenteerblaadje geven dat het risico van een iOT device vooral is dat ze lid worden van een botnet en via het internet andere mensen gaan hacken. Dat ze lokale apparateng gaan hacken zie je eigenlijk niet voorkomen.

Maar daar had jij al over nagedacht want jij wilde al internet dichtzetten

Mbt je segmentatie, in security land zeggen we "the perimiter is dead", wat we hiermee bedoelen is dat je de security op de devices zelf inregelt. Je nas moet je dus up2date houden met goede authenticatie.

Dus risk based zou ik zeggen;
- iOT apparaten of blokkeren van internet of alleen toegang tot een backendserver (bv hue)
- Cross vlan alleen toegang toestaan geinitieerd vanaf je client vlan. Dus je client mag hue devices besturen, niet andersom
- Guest Wifi segmenteren van je netwerk. Al is het maar dat ze niet met je lampen/geluid gaan klooien
- Voor de rest niet segmenten wat risico technisch niets toevoegd en alleen maar operationaal vreselijk in de weg zit

[HellevUUr]

@laurens0619 dank voor je input. Ik denk dat we elkaar de hand kunnen schudden. Ik heb op de NAS devices voor verschillende functies verschillende gebruikersnamen in gebruik. Toegang vanuit het internet staat uit etc.
De segmentatie die je voorstelt is precies zoals ik het nu heb bedacht.
vlan100: guest netwerk
vlan120: intern netwerk
vlan130: IOT netwerk
vlan640: Dit is volgens mij wat de decoders nodig hebben om goed te functioneren. Als dit niet nodig is zet ik ze in vlan100.

Ik ga er bij vlan100 vanuit dat de apparaten niet met elkaar kunnen communiceren. De guest functionaliteit zou dit moeten voorkomen hoop ik.

Ik heb overigens nu een netgear PROsafe GS108E switch. De overige apparatuur wil ik rond black friday aanschaffen.

[ Voor 8% gewijzigd door HellevUUr op 21-10-2020 21:45 ]

[laurens0619]

Inter vlan is meestal niet gefiltert, soms hebben accesspoints hier wel truukjes voor (client isolation)
Mrja ik zou dr niet wakker van liggen dat gasten elkaar infecteren, tenminste digitaal dan

Met unifi kun je restricted subnet instellen, dam stel je in dat ze alleen met het gateway ip mogen praten en dan kunnen ze dus niet met de rest van je netwerk Communiceren, werkt zelfs zonder vlans

[ Voor 34% gewijzigd door laurens0619 op 21-10-2020 22:06 ]

[Frogmen]

@HellevUUr Uit je antwoord blijkt duidelijk dat je de moeite wilt nemen het netwerk beheer je eigen te maken. Ik denk dat je duidelijk je eigen beweegredenen hebt. Je plan om het te halen is goed doordacht. Persoonlijk zou ik apparaten die ik niet vertrouw ook niet in huis halen, maar ook dat is een keus. Bedenk wel dat je ook regelmatig apparaten wel aan internet moet hangen om firmware te updaten, al kan dat soms ook anders. Succes.

[noskill]

Ik zou VLAN 640 meteen switchen achter T-mobile modem, niet eerst nog een hop via je eigen router. Glasvezel IPTV maakt gebruik van IGMP snooping en daarvoor moet je mogelijk secundaire subnetten en routes configureren op je router om dit te laten werken. Als je de T-mobile router het IGMP verhaal laat uitvoeren kom je weer een stukje makkelijker weg.
Tweede probleem is dan volgens mij dat de moderne IPTV settopboxes zowel het internet VLAN als het IPTV VLAN gebruiken voor verschillende sources. Zou kan het zijn dat als je enkel VLAN 640 door laat, je bijvoorbeeld geen "uitzending gemist" functie kan gebruiken, of geen gids, vrijwel zeker geen "youtube app" etc. Dit verschilt volgens mij per provider.
Als je dit mooi wil laten werken dan zul je IGMP snooping op je router moeten configureren. En als je eenmaal zover bent, dan heb je de T-mobile router ook niet meer nodig (misschien enkel voor telefonie). In dat geval kan je een switch verbinden met de FTU en de VLAN's daar al splitsen, en het T-mobile modem enkel toegang tot het VOIP VLAN geven.

*edit: technische details onder voorbehoud, ik ben verre van een specialist wat dit betreft

[ Voor 4% gewijzigd door noskill op 22-10-2020 13:50 ]

[HellevUUr]

noskill schreef op donderdag 22 oktober 2020 @ 13:50:
Ik zou VLAN 640 meteen switchen achter T-mobile modem, niet eerst nog een hop via je eigen router. Glasvezel IPTV maakt gebruik van IGMP snooping en daarvoor moet je mogelijk secundaire subnetten en routes configureren op je router om dit te laten werken. Als je de T-mobile router het IGMP verhaal laat uitvoeren kom je weer een stukje makkelijker weg.
Tweede probleem is dan volgens mij dat de moderne IPTV settopboxes zowel het internet VLAN als het IPTV VLAN gebruiken voor verschillende sources. Zou kan het zijn dat als je enkel VLAN 640 door laat, je bijvoorbeeld geen "uitzending gemist" functie kan gebruiken, of geen gids, vrijwel zeker geen "youtube app" etc. Dit verschilt volgens mij per provider.
Als je dit mooi wil laten werken dan zul je IGMP snooping op je router moeten configureren. En als je eenmaal zover bent, dan heb je de T-mobile router ook niet meer nodig (misschien enkel voor telefonie). In dat geval kan je een switch verbinden met de FTU en de VLAN's daar al splitsen, en het T-mobile modem enkel toegang tot het VOIP VLAN geven.

*edit: technische details onder voorbehoud, ik ben verre van een specialist wat dit betreft

Bedankt voor die heads up over youtube en uitzendig gemist. Maar het geldt natuurlijk ook voor netflix, prime etc. Hoe kan ik VLAN 640 direct op de tmobile router plaatsen? Ik moet wel via de switch en interne router gaan omdat ik maar één kabel naar de switch in de woonkamer heb, waarna er een kabel naar de settopbox loopt.

[HellevUUr]

Frogmen schreef op donderdag 22 oktober 2020 @ 11:44:
@HellevUUr Uit je antwoord blijkt duidelijk dat je de moeite wilt nemen het netwerk beheer je eigen te maken. Ik denk dat je duidelijk je eigen beweegredenen hebt. Je plan om het te halen is goed doordacht. Persoonlijk zou ik apparaten die ik niet vertrouw ook niet in huis halen, maar ook dat is een keus. Bedenk wel dat je ook regelmatig apparaten wel aan internet moet hangen om firmware te updaten, al kan dat soms ook anders. Succes.

Dank voor je reactie Frogmen. Fijn dat je mijn aanpak goed vindt want dan zit ik op de goede weg. Nog even over apparaten die ik niet vertrouw... Ik zou het om willen draaien. Welke apparaten vertrouw je wel en waarom? Als je apparaten wel zou vertrouwen maar niet aan kan geven waarom, dan zit je op hetzelfde kennis niveau over het apparaat als ik. Ik besluit alleen het risico niet te nemen om "af te wachten" wat er gebeurd. Fabrikanten hebben nu eenmaal achterliggende motieven die ze niet op de doos van het product schrijven (bv. wij willen al uw bestanden indexeren en uw kijkgedrag monitoren). Ik denk dat sommige IOT apparaten meer bedoeld zijn om profielen op te stellen dan iets anders. Waarom zou je anders stiekem microfoons verstoppen in producten die het niet nodig hebben?

[HellevUUr]

Heeft iemand enig idee wat er gebeurd als je 2 verschillende vlans wil toepassen voor 2 verschillende apparaten die middels een WCD zijn aangesloten welke door één kabel vanuit de switch wordt gevoed?

[Frogmen]

HellevUUr schreef op zaterdag 24 oktober 2020 @ 15:43:
Heeft iemand enig idee wat er gebeurd als je 2 verschillende vlans wil toepassen voor 2 verschillende apparaten die middels een WCD zijn aangesloten welke door één kabel vanuit de switch wordt gevoed?

Een kabel vanaf de switch twee apparaten aansluiten kan gewoon niet. Ieder apparaat heeft zijn eigen aansluiting op de switch nodig. Alleen als een apparaat ook intern nog een switch heeft kan het maar dan zijn er ook 2 netwerk poorten.
Simpele regel als je het niet kan tekenen dan kan het niet en netwerk aansluitingen is altijd 1 op 1.

[HellevUUr]

Frogmen schreef op zondag 25 oktober 2020 @ 11:44:
[...]

Een kabel vanaf de switch twee apparaten aansluiten kan gewoon niet. Ieder apparaat heeft zijn eigen aansluiting op de switch nodig. Alleen als een apparaat ook intern nog een switch heeft kan het maar dan zijn er ook 2 netwerk poorten.
Simpele regel als je het niet kan tekenen dan kan het niet en netwerk aansluitingen is altijd 1 op 1.

Dank voor je antwoord @Frogmen. Ik zal dus een AP of Repeater met extra lan poort moeten aanschaffen.

[Frogmen]

HellevUUr schreef op zondag 25 oktober 2020 @ 16:36:
[...]

Dank voor je antwoord @Frogmen. Ik zal dus een AP of Repeater met extra lan poort moeten aanschaffen.

Klopt maar dan moet je nog opletten ook dat deze ook nog Vlan's ondersteunt. Ubiquti heeft tegenwoordig ook een goedkope 5 poorts managed switch voor € 35,-. Is toch mijn advies voor je om je netwerk helemaal met unifi producten op te bouwen zodat je het redelijk simpel centraal kan managen.

[Ben(V)]

Dit lijkt me allemaal meer een geval van.
"Niet omdat het moet maar omdat het kan!"

Een wifi gast netwerk maken die enkel het internet op kan is volgens mij meer dan voldoende voor een prive situatie.
De problemen ontstaan doordat mensen vanaf het internet bij hun lan willen komen wat meestal ook zo'n geval is "dat het moet omdat het kan" zonder echt nut.
Maar zo'n toegang beveilig je met een goede VPN en niet door segmentatie met vlan's.

[tweakerharrie]

Overweeg om in huis alles glasvezel te maken. Als je toch alles nieuw moet uitvoeren.

[noskill]

tweakerharrie schreef op maandag 26 oktober 2020 @ 09:56:
Overweeg om in huis alles glasvezel te maken. Als je toch alles nieuw moet uitvoeren.

[HellevUUr]

Frogmen schreef op maandag 26 oktober 2020 @ 09:41:
[...]

Klopt maar dan moet je nog opletten ook dat deze ook nog Vlan's ondersteunt. Ubiquti heeft tegenwoordig ook een goedkope 5 poorts managed switch voor € 35,-. Is toch mijn advies voor je om je netwerk helemaal met unifi producten op te bouwen zodat je het redelijk simpel centraal kan managen.

Ik heb nu al een Netgear ProSAFE GS108E switch. Ik wilde hier de Netgear ProSAFE GS108PE met POE aan toevoegen die mijn andere unmanaged switch vervangt die richting de NAS' gaat. Bedoel je deze switch? Deze is heeft wel een POE ingang maar geen uitgang. Wellicht wel handig om op de zolder te gebruiken.

[HellevUUr]

Ben(V) schreef op maandag 26 oktober 2020 @ 09:51:
Dit lijkt me allemaal meer een geval van.
"Niet omdat het moet maar omdat het kan!"

Een wifi gast netwerk maken die enkel het internet op kan is volgens mij meer dan voldoende voor een prive situatie.
De problemen ontstaan doordat mensen vanaf het internet bij hun lan willen komen wat meestal ook zo'n geval is "dat het moet omdat het kan" zonder echt nut.
Maar zo'n toegang beveilig je met een goede VPN en niet door segmentatie met vlan's.

Ik hoef gelukkig niet bij mijn lan te komen vanuit het internet. Anders had ik daar inderdaad een VPN voor gebruikt.

[HellevUUr]

tweakerharrie schreef op maandag 26 oktober 2020 @ 09:56:
Overweeg om in huis alles glasvezel te maken. Als je toch alles nieuw moet uitvoeren.

Bedankt voor je bijdrage @tweakerharrie. Ik heb echter al overal kabels getrokken. Ik moet alleen nog de apparatuur aanschaffen. De mediaspeler in de slaapkamer heb ik nu ook maar een cat6 kabel heen gelegd.

[noskill]

HellevUUr schreef op zaterdag 24 oktober 2020 @ 15:16:
[...]

Bedankt voor die heads up over youtube en uitzendig gemist. Maar het geldt natuurlijk ook voor netflix, prime etc. Hoe kan ik VLAN 640 direct op de tmobile router plaatsen? Ik moet wel via de switch en interne router gaan omdat ik maar één kabel naar de switch in de woonkamer heb, waarna er een kabel naar de settopbox loopt.

Vind de tekening met alle uplinks enigzins verwarrend, maar je kan direct na de FTU een switch hangen en daarna de VLAN's heensturen waar je wil. FTU ---> 3 VLAN's naar Switch ---> 1 VLAN naar modem, 1 VLAN naar router, etc

Heb effe gezocht, en blijkt dat de ervaring die ik hiermee heb (KPN) niet compleet hetzelfde is als met t-mobile. T-mobile zou geen IGMP snooping gebruiken, dus weer minder zorgen. Betreft de router config, misschien kan je hier nog inspiratie uit halen:

https://www.robinvanbrugg...er-with-edgerouter-x-sfp/

[HellevUUr]

Ik ben uiteindelijk uitgekomen op 2x Netgear WAC510 als accesspoint en een Ubiguiti Edgerouter X SFP. Ik had al twee Netgear managed switches met vlan suppor waarvan één met 4 POE poorten. Op die POE zijn de WAC510's aangesloten.

Ik zal nog even in het kort het netwerk schetsen.
VDSL bonding -> Experiabox v10 (telefonie aangesloten) -> Edgerouter -> Switch | Switch | KPN IPTV | Management poort.

Op een switch zit een tweede KPN IPTV decoder aangesloten. IPTV vanaf de router werkt nog niet. Althans het beeld bevriest, maar netflix enzo werkt wel.

Ik heb besloten om geen AP's met MESH te nemen omdat deze beiden met gigabit UTP zijn aangesloten.

Ik heb een aantal VLANs aangemaakt conform mijn eerdere overzicht en de guest vlan gekoppeld aan een eigen SSID voor 2.4 Ghz en een eigen SSID voor 5 Ghz. Op iedere accesspoint heb ik per SSID dezelfde naamgeving gebruikt en het bereik tot de helft terug geschroeft. Nu merk ik dat 2.4Ghz een tandje omlaag kan maar dat 5Ghz iets meer power nodig heeft.

Het guest vlan is geisoleerd en mag alleen naar het internet, clients kunnen elkaar niet zien.

In de tussentijd heb ik ook een raspberry pi aangeschaft waar ik pihole op wil installeren.
Ik heb ook een UPS aangeschaf want vorige week was er weer een stroomstoring en hiermee hoop ik mijn apparatuur te beschermen.

[ Voor 33% gewijzigd door HellevUUr op 07-12-2020 20:33 ]