Van 1 netwerk naar netwerk met 3x VLAN-omgeving

[MikeVanD]

Ik ben zelfstandige met kantoor aan huis en merk dat mijn netwerk alle kanten op is gegroeid.
Op dit moment heb ik alles (TV, NAS, server, pc's, pinters, IP-camera's, Chromecasts, etc.) op 1 netwerk en een apart gastennetwerk voor bezoekers.
Op dit moment ben ik een trainingsruimte aan het inrichten en zal ik weer naar mijn netwerkt moeten kijken. Een goed moment om alles eens tegen het licht te houden!

De laatste dagen heb ik mij in VLAN's verdiept en ik denk dat voor mij daar de beste oplossing ligt om zakelijk en privé te scheiden en een apart netwerkt voor de randapparaten (IoT) in te zetten.

Het probleem is, dat de apparatuur redelijk verspreidt door het pand staat ik dit niet met 1 switch kan behappen qua bekabeling (geen echte mogelijkheden om weg te werken).

Tot nu toe heb ik 3 VLAN's onderscheiden:
VLAN-10: Gastennetwerk + televiesies (cat6 + WiFi)
- internet beschikbaar
- geen onderlinge interactie
- geen toegang tot VLAN-20 en VLAN-30
- geen toegang vanuit VLAN-20 en VLAN-30

VLAN-20: IoT / randappaaratuur (cat6 + WiFi)
- geen internet
- geen onderlinge interactie
- apparaten benaderbaar vanuit VLAN-30
- geen toegang tot VLAN-10 en VLAN-30

VLAN-30 Zakelijk netwerk (uitsluitend cat6)
- internet beschikbaar
- onderlinge interactie mogelijk
- toegang tot VLAN-20
- geen toegang tot VLAN-10

Voor de WiFi toegang heb ik 2 Asus RT68U (MerlinWRT) routers liggen die ik als AP kan inzetten.

Omdat apparatuur in verschillende ruimten op verschillende verdiepingen staat, hebt ik volgens mij 2 managed switches nodig. In principe zou een router en een aantal unmanaged switches kunnen volstaan, maar er is nauwelijks gelegenheid om kabels (van 25+ apparaten) over wat grotere afstanden uit het zicht te werken.

Vanwege de dienst die ik lever, heb ik ook VPN verbindingen nodig, die in VLAN-30 moeten uitkomen als ik op locatie ben. Ik heb gelezen dat dit geen punt is bij een volledige tunnel... fingers crossed...
Mobiele telefoons en tablets gaan via de WiFi van het gastennetwerk. Mijn telefoon en tablet kunnen -indien nodig- d.m.v. VPN op het netwerk.

Mijn vragen zijn de volgende:
Vraag 1:
Mijn kennis van VLAN's is nog niet groot en ook niet van allerlei netwerk-theorie; dus klopt mijn bovenstaande relaas en snijdt het hout? Of maak ik denkfouten?
Met name het deel dat ik van VLAN-30 naar VLAN-20 wil (om bijv. te printen), maar de apparaten in VLAN-20 mogen niet via VLAN-30 alsnog het internet op.

Vraag 2:
Ik ben van plan om een Cisco RT260VPN te kopen en 2x een Cisco SG250-08.
De ruime VPN mogelijkheden van de router (20x openVPN) zijn voor mij van belang. Niet dat ik ze nu allemaal nodig heb, maar als ik ga groeien dan is het handig om er op voorbereid te zijn.
De routers heb ik gekozen omdat ze ook layer 3 ondersteunen en ik begrepen heb dat dit het leven makkelijker kan maken met VLAN's. Ik weet dat ze geen eigen DHCP's kunnen draaien, maar dat is in mijn opstelling volgens mij ook alleen maar beter; de router DHCPt alle VLAN's

Wat is beter; de switches beter parallel of seriëel te plaatsen?

code:

Parallel:                    seriëel
       +----------+          +----------+      +----------+      +----------+       
       |  router  |          |  router  |------|  switch1 |------|  switch2 |
       +----------+          +----------+      +----------+      +----------+
          |     |
     +----+     +----+
     |               |
+----------+   +----------+       
|  switch1 |   |  switch2 |
+----------+   +----------+

[Kasper1985]

Cisco is volgens mij vrij kostbaar. Je kan ook kijken naar Edge van Ubiquiti.

- waarom schaar je tvs onder je gasten netwerk? Die logica volg ik niet helemaal.
-je hebt niet meerdere kabels nodig in principe. Je kan vlans trunken. Dus vlan 10 20 30 40 50 kunnen allemaal over 1 kabel.
Eis is dan wel dat ze uitkomen op een managed switch.
Op die switch zeg je dan poort 1t/m4 zijn vlan 10 en 5 t/m 8 vlan 30 rest vlan 40 bijvoorbeeld.

De onderlinge toevang kan je gewoon regelen met de firewall.
Volgens mij mis je een prive netwerk. En wellicht een management vlan. Als je veel bezoekers ontvangt is het misschien handig om management niet via vlan 1 te laten lopen. Dat kán een veiligheids risico zijn.

Aangezien het hier om zakelijke netwerk infra gaat zou ik het zelf laten inrichten door een pro. Zakelijke omgevingen zit net wat meer risico aan.

[jvanhambelgium]

Je "wens" van "geen onderling interactie" binnen bepaalde VLAN's is niet evident en complex. Dat moet je even vergeten, althans voor toestellen aangesloten "op kabel"
Met een Guest Wifi netwerk denk ik dat je wel redelijk standaard "client isolation" hebt, maar voor toestellen met kabel aangesloten op switch is het een complexe oplossing. (802.1X NAC) Heb je ook speciale switches nodig die deze features hebben, RADIUS servers etc.

[MikeVanD]

@Kasper1985 Dank voor je reactie!
De kosten vallen mee; router: € 180 en een switch € 73.
De TV's mogen op het gastennetwerk, omdat dit nodig is voor Netflix, Videoland, etc. Voor de rest hebben ze niks in mijn netwerk te zoeken (letterlijk en figuurlijk)

De genoemde switches van Cisco zijn managed en als ik het verkeer kan regelen in de firewall, dan moet dat goedkomen.

Mijn privénetwerk is het gasten netwerk. Privé heb ik alleen laptops in huis die verder niet het netwerk op hoeven, anders dan om op internet te komen.
Het is hoofdzakelijke mijn gezin wat gebruik maakt van het gastennetwerk en klanten die langskomen, maar dat zijn er normaal gesproken een paar (2-5) in de week. Geen grote aantallen. Ik zal sowieso nog even kijken naar een management vlan, want dat laat nog geen belletje afgaan.

[MikeVanD]

@jvanhambelgium Kun je mij uitleggen wat er complex aan is of wat het complex maakt?

[GarBaGe]

Als je wat inspiratie wilt opdoen, kan je ook dit lezen:
https://www.grc.com/sn/files/Ubiquiti_Home_Network.pdf

Concrete implementatie van VLANs (bedraad en draadloos) mbv Ubi apparatuur.

[TommieW]

Mijn kennis van VLAN's is nog niet groot en ook niet van allerlei netwerk-theorie; dus klopt mijn bovenstaande relaas en snijdt het hout? Of maak ik denkfouten?

Ik denk dat het grotendeels wel redelijk klopt. Het staat of valt bij de set-up die jij hebt. Scheiding tussen verschillende netwerken gaat niet zo zeer via VLAN's, maar via de firewall op de router. Afhankelijk van hoe je die inregelt, kan alles wat je in gedachten hebt.

VLAN's beperken je broadcast domain, maar ze doen niets met onderlinge interactie. Daarvoor wil je client isolcation doen. Op Ubiquiti AP's is dat bijvoorbeeld een simpel vinkje, maar op ethernet moet je switch daar slim genoeg voor zijn en dat is meestal niet het geval.

Ik ben van plan om een Cisco RT260VPN te kopen en 2x een Cisco SG250-08.

Cisco is flink aan de prijs, daarnaast denk ik dat je ook wel een cursus CCNA mag gaan volgen. Het configureren van dat spul is niet triviaal. Ik weet niet hoeveel kennis je precies hebt, maar ik denk dat het wel een flinke uitdaging gaat worden.

Een VPN hoef je niet per se op de router zelf te doen. Je kan bijvoorbeeld ook prima een VPN op een Raspberry Pi of een Synology draaien.

In deze situatie hoeven je switches geen laag 3 te ondersteunen. Dat is alleen relevant voor veel complexere set-ups.

Qua serieel of parallel, dat is helemaal afhankelijk van je situatie. Welke load verwacht je en welke bekabeling kan waar liggen. Als je bij je seriele opstelling veel verkeer van switch2 naar router hebt, kunnen de apparaten op switch1 hier last van krijgen doordat de verbinding tussen switch1 en de router dan vol zit qua bandbreedte.

Voor de WiFi toegang heb ik 2 Asus RT68U (MerlinWRT) routers liggen die ik als AP kan inzetten.

Ik denk zelf dat het handiger is om voor Ubiquiti (of een ander geschikt merk) AP's te gaan. Ik weet niet hoe goed die dingen om kunnen gaan met een trunked ethernetverbinding en een netwerk per VLAN.

[Ben(V)]

Maar wat is het doel van die vlan's eigenlijk?

En zeg nu niet het scheiden van het verkeer want dat is geen reden maar een uitvoering, de vraag is waarom wil je dat scheiden?
Ik zie daar in jouw situatie geen enkel reden voor.

[MikeVanD]

@GarBaGe thnx! daar ga ik mij vanavond eens in verdiepen.

@TommieW Het grappige is, dat Ubiquiti mij juist is afgeraden omdat het configureren nogal complex is en deze Cisco's juist eenvoudiger waren. Zal zoeken of er een sandbox van die Ubiquiti's is.

Ik weet dat VPN ook op andere devices gehost kan worden, maar het is meer een gevoelskwestie denk ik. dat ik liever niet direct verkeer van buiten op mijn NAS toe laat waarop al mijn bedrijfsgegevens staan.

De load op het netwerk valt erg mee. Tijdens een training (via switch1) kan het wel druk zijn, maar als dat 1x in de week een paar uur is, dan ben ik al heel blij :-)

Die Asussen heb ik nog liggen en dacht ze wel in te kunnen zetten als dom AP. Als ze op een poort voor een bepaalt vlan zitten, hoeven ze zelf toch niet met tags overweg te kunnen? Ben het helemaal met je eens als je 1 hebt AP voor meerdere vlans met elk een eigen SSID. Of zit ik hier mis?

[MikeVanD]

@Ben(V) Ik heb geen zin in dat allerlei apparaten ongevraagd informatie uit mijn netwerk verzamelen en dit delen met servers ergens anders in de wereld. Ik heb op mijn server en mijn nas privacy gevoelige informatie van klanten en hun klanten staan. Dat wil ik zo goed mogelijk afgeschermd hebben van de buitenwereld.
Uiteraard is een goed slot op de deur belangrijk, maar nog belangrijker is, dat er geen inside-job kan ontstaan doordat een televisie, oven, koelkast of tablet informatie ophaalt en dit doorstuurt.
Vandaar dat ook privé apparatuur standaard niet op het gewone netwerk komt, maar via het gastennetwerk gaat.
Maar als jij een simpelere oplossing hebt -die vast ook goedkoper zal uitpakken- dan houd ik mij zeer aanbevolen!

[Ben(V)]

Lijkt me belangrijker om te zorgen dat je geen apparatuur en/of software hebt die dingen doet die jij niet wilt.

En dit soort dingen houd je tegen met een firewall tussen je netwerk en het internet, niet met vlan's in een verder plat netwerk.

Overigens snap ik niet waarom je vlan's met routers wilt configureren.
Voor een situatie zoals jij die wilt is een enkele managed switch voldoende.

[MikeVanD]

Ben(V) schreef op woensdag 11 november 2020 @ 11:16:
Lijkt me belangrijker om te zorgen dat je geen apparatuur en/of software hebt die dingen doet die jij niet wilt.

grapjas... jij hebt zeker geen vrouw en kinderen ;-)

En dit soort dingen houd je tegen met een firewall tussen je netwerk en het internet, niet met vlan's in een verder plat netwerk.

Dus ik kan mijn tv en randapparaten gewoon op mijn netwerk aansluiten en dan met de firewall er voor zorgen dat zij de rest van het netwerk niet zien en eventueel wel internet kunnen benaderen? Dat lijkt mij dat, dat dan per apparaat ingesteld moet worden in de firewall? Is dat dan niet complexer dan vlans? Zeker gezien vervangingen en uitbreidingen in de toekomst.

Overigens snap ik niet waarom je vlan's met routers wilt configureren.

Dat wil ik ook niet. Ik had 1 router en 2 managed switches bedacht.
edit: ik zie het al... in mijn post staat "...niet met 1 router..." en dat moet "...niet met 1 switch..." zijn; vandaar ook de 2 switches en 1 router. Zal het aanpassen.

Voor een situatie zoals jij die wilt is een enkele managed switch voldoende.

Klopt, maar omdat ik met moeite al 1 kabeltje kan wegwerken, lijkt het mij handiger een 2e switch te nemen dan de discussie over kabels langs muren aan te gaan (zie eerste punt)

[ Voor 6% gewijzigd door MikeVanD op 11-11-2020 11:43 ]

[jvanhambelgium]

MikeVanD schreef op woensdag 11 november 2020 @ 09:16:
@jvanhambelgium Kun je mij uitleggen wat er complex aan is of wat het complex maakt?

Was mischien wat snel m'n reply, en eigenlijk wat je wil om isolatie binnen 1 VLAN te verkrijgen is eerder iets dat we PVLAN (Private VLAN) noemen.
Dus vergeet even de 802.1X NAC (Network Access Control) features want die gaan een stap verder (vb toekennen bepaalde VLAN in functie van bepaalde regeltjes)

Tja, PVLAN is een feature en je moet al beginnen met alle switchen te checken of deze features erop zitten.
Als PVLAN kan zal het idd eerder gewoon te activeren zijn op de switches.
Cisco SG300 modellen doen precies wel PVLAN (mogelijks moet je naar software-levels kijken) maar over SG250-modellen is niet veel te vinden.


https://en.wikipedia.org/...%20%22private%20ports%22.

[MikeVanD]

@jvanhambelgium Als ik dat zo lees, dan lijkt dat inderdaad een simpelere versie die mijn probleem zou kunnen oplossen. Het enige "maar-tje" is, dat ik dan tussen c-ports geen communicatie kan hebben en dat sommige randapparatuur toch binnen het primaire netwerk moet. Die zal ik dan individueel moeten blokken.

Heb even naar de in de wiki genoemde switches gekeken en de TP-Link T2600G-18TS V2 is best betaalbaar en het verder uitsplitsen kan ik met unmanaged switches doen, die ik nu ook al gebruik.
Ga mij vanavond eens inlezen :-)

[ChaserBoZ_]

Ik doe ongeveer hetzelfde in mijn thuisnetwerk; eigen netwerk, kinderen, IoT en gasten heb ik een eigen vlan voor. Ik gebruik 8 poorts TPLink switches van +/- €35 hiervoor, het is tenslotte voor een thuisnetwerk. Op de switches zitten EAP-225 accesspoints, welke verschillende SSID's uitkoppelen op vlans.

Uiteindelijk een firewall die zorgt voor het internetverkeer, NAT, maar ook onderling verkeer blokkeert of juist toelaat.

Op die manier is mijn NAS veilig voor IoT/domotica/cloud meuk, en duwen mijn kids mijn Netflix stream niet meer weg vanaf een tablet . . .

De TPLink serie is niet perfect; SNMP op de switches zit er niet op, met SNMP verschillende SSID's uitlezen op de accesspoints werkt wel/slecht, dus inzicht krijgen is lastig. Verkeer sniffen op de switches kan wel. Maar goed, voor thuis/soho betaalbaar, het is simpel en betaalbaar om van alles een extra exemplaar op de plank te leggen.

[MikeVanD]

Ik denk niet dat ik het met Private VLANs ga redden. De segregatie tussen poorten is te inflexibel voor mijn wensen denk ik. Volgens mij kan ik namelijk niet vanuit mijn onbeperkte netwerk, printen op een printer in het IoT netwerk, tenzij ik iets over het hoofd zie. De pest is dus, dat er niet heel veel over te vinden is hoe dit zou kunnen werken of ik weet niet hoe het te vinden is...

Additioneel aan wat ik eerder schreef wat ik wil bereiken is het gemak van beheer:
Ik wil een apparaat verbinden (via kabel -direct of via een unmanaged switch- of via WiFi AP) met een poort op de switcht of router.
Deze poort valt in een vooraf gedefinieerde "groep" in de firewall. Hierin kan ik vanaf mijn zakelijke netwerk wel internetten en wel printen op mijn IoT-netwerk, maar kunnen mijn IoT-apparaten niet het internet op, kunnen gasten wel internetten, maar niet bij mijn IoT netwerk en ook niet bij mijn zakelijke netwerk
Omdat de rechten van het apparaat afhangt van in welke poort in de switch het apparaat verbonden is, wordt het beheer veel eenvoudiger. Ik hoef dan niet elk apparaat in mijn IoT-netwerk of zakelijke netwerk te configureren in mijn firewall, maar doordat het in een bepaalde groep valt (vanwege de poort waar het inzit), zijn de rechten automatisch toegekend.

[MikeVanD]

@ChaserBoZ_ Ja, dat is ook wat ik wil volgens mij. Als je dan ook nog vooraf kunt bepalen in welke vlan een poort valt (en dus de rechten voor het apparaat bij het inpluggen al bepaald zijn), ben ik een happy camper.

Heb net ook naar TP-link zitten kijken en dat heeft best leuke prijzen inderdaad en is best ok wat ik lees. De Access Points gaan waarschijnlijk alleen alleen op het gastennetwerk terecht komen, dus dat is dan al een zorg minder; 1 SSID voor de gasten -en eigen mobiele apparatuur- op alle verdiepingen.

[ChaserBoZ_]

MikeVanD schreef op woensdag 11 november 2020 @ 23:16:
Ik denk niet dat ik het met Private VLANs ga redden. De segregatie tussen poorten is te inflexibel voor mijn wensen denk ik. Volgens mij kan ik namelijk niet vanuit mijn onbeperkte netwerk, printen op een printer in het IoT netwerk, tenzij ik iets over het hoofd zie. De pest is dus, dat er niet heel veel over te vinden is hoe dit zou kunnen werken of ik weet niet hoe het te vinden is...

Additioneel aan wat ik eerder schreef wat ik wil bereiken is het gemak van beheer:
Ik wil een apparaat verbinden (via kabel -direct of via een unmanaged switch- of via WiFi AP) met een poort op de switcht of router.
Deze poort valt in een vooraf gedefinieerde "groep" in de firewall. Hierin kan ik vanaf mijn zakelijke netwerk wel internetten en wel printen op mijn IoT-netwerk, maar kunnen mijn IoT-apparaten niet het internet op, kunnen gasten wel internetten, maar niet bij mijn IoT netwerk en ook niet bij mijn zakelijke netwerk
Omdat de rechten van het apparaat afhangt van in welke poort in de switch het apparaat verbonden is, wordt het beheer veel eenvoudiger. Ik hoef dan niet elk apparaat in mijn IoT-netwerk of zakelijke netwerk te configureren in mijn firewall, maar doordat het in een bepaalde groep valt (vanwege de poort waar het inzit), zijn de rechten automatisch toegekend.

Printen naar een printer in je IoT netwerk, kan wellicht zelfs 'buitenom'; je kunt dan vanuit ieder vlan printen naar Google cloud printer (of hoe die ook heet), je IoT printer logt dan zelf in, dat scheelt je een hoop gedoe met verkeer toelaten tussen je vlans in je huis. Nadeel is dan uiteraard; internet down? dan kun je niet printen in je eigen huis . . .

Met simpele managed switches kun je ook een trunk/tagged verbinding aanmaken; één netwerkkabel tussen de switches die het verkeer van meerdere vlans transporteert zonder dat dat verkeer bij elkaar kan komen.

Vervolgens deel je inderdaad de poorten van die (goedkope tplink) switches statisch in; poortje 1 thuisnetwerk, poortje 2 IoT, poortje 3 gasten etc etc.

Vanaf daar is het simpel inderdaad, ieder vlan is een aparte IP reeks, en een aparte aansluiting op je firewall. (Ik had een Fortigate in gebruik maar die ging stuk, toen een Cisco router met een sh*tload aan regels wat wel mag en wat niet, nu een EdgerouterX aan het configureren).

[ Voor 22% gewijzigd door ChaserBoZ_ op 11-11-2020 23:44 ]

[MikeVanD]

Ik ga het denk ik toch proberen met VLANs en heb besloten het eerst maar klein aan te pakken en dan op te schalen als nodig.
De Cisco's zijn wat te duur voor dit experiment, dus ga ik voor de TP-Link TL-R605 en de TP-Link TL-SG1016DE.

[ChaserBoZ_]

MikeVanD schreef op donderdag 12 november 2020 @ 16:54:
Ik ga het denk ik toch proberen met VLANs en heb besloten het eerst maar klein aan te pakken en dan op te schalen als nodig.
De Cisco's zijn wat te duur voor dit experiment, dus ga ik voor de TP-Link TL-R605 en de TP-Link TL-SG1016DE.

Succes