3 gescheiden netwerken op 1 ISP verbinding incl NAS server

[sirolfneo]

Hallo allemaal,

We zijn bezig met het opsplitsen van een pand in drie appartementen. De komende tijd zal dit nog niet kadastraal zijn (we houden dus 1 ISP aansluiting), maar willen wel voor elk appartement een eigen netwerk maken. Ook willen we een NAS server gebruiken, die dan bereikbaar is voor alle appartementen, maar wel beschermd is. Bv, wanneer een van ons besluit het appartement tijdelijk onder te huren moet de NAS niet zomaar toegankelijk zijn voor de tijdelijke huurders.

De huidige provider is Ziggo en er staat een verouderde modem (Technicolor TC7200). We gaan ons abbonement verhogen (er ligt glasvezel in de straat) en zullen dan ook aanspraak kunnen maken op betere modellen. De modem zal komen te staan in een gemeenschappelijke meterruimte. Op dit moment ben ik kabels (CAT6a) aan het leggen van deze meterruimte naar ieder van de appartementen. We leggen ook nog COAX kabels, maar verwachten dat TV via internet zal gaan.

Wat zou een handige opstelling zijn om het ISP signaal evenredig te verdelen onder de drie appartementen? En hoe kunnen we het zo ontwerpen dat onze NAS ook nog werkt? En hoe werkt dat vervolgens met TV over het internet? Na een beetje inlezen dacht ik aan het volgende: ISP --> modem --> VLAN switch --> 3x cat6a -- > 3x router. Maar volgens mij werkt dit niet zomaar met een NAS.

Kleine toevoeging. Ik ben een leek op het gebied van netwerken, maar heb wel veel programmeerervaring en vind het leuk dit aan te grijpen om me een beetje te verdiepen in een stukje computer science dat ik nog niet ken. Zou best goed kunnen dat ik compleet op het verkeerde spoor zit. Suggesties zijn welkom, dank!

[temp00]

Nee je moet het zo doen, het is eigenlijk heel simpel:
- ISP > modem in bridge mode > router met ondersteuning voor VLANS > switch met ondersteuning voor VLANS.
- Elke netwerk z'n eigen subnet en VLAN toewijzen. Dit betekent VLANS aanmaken met eigen subnet op switch en router en subinterfaces aanmaken op de router.

Als je op je eigen PC cmd prompt > ipconfig /all doet, zie je daar de default gateway staan. Dit is het adres van je router. Op een router met VLAN ondersteuning, kan je zgn. subinterfaces maken zodat elk netwerk gebruik kan maken van een eigen default gateway. Bijv:
- Netwerk 1, 192.168.0.x/24, router adres: 192.168.0.1
- Netwerk 2, 192.168.1.x/24, router adres: 192.168.1.1
- Netwerk 3, 192.168.2.x/24, router adres: 192.168.2.1
- Netwerk NAS, 192.168.3.x/24, router adres: 192.168.3.1
Elke computer/apparaat in z'n eigen netwerk zal dus het router adres gebruiken wat is toegewezen/aangemaakt voor zijn netwerk (deze adressen bestaan allemaal op dezelfde router, dat zijn de subinterfaces).

In deze opzet kan je elke verkeersstroom beperken of toestaan via firewall regels op de router. Uiteraard moet hier ook het eea qua VLANS e.d. op de switch voor worden geconfigureerd.

[eXcyle]

de standaard ziggo apparatuur kan die niet, je zal dan moeten gaan kijken naar een router (eventueel softwarematig) die overweg kan met meerdere subnetten aan de lan kant.

De netste optie zou zijn je ziggo router in bridge mode laten zetten en dan de nieuwe router aan het internet, en die het laten verdelen / firewalling richting 4 vlans, 1 voor elk appartement en 1 waar je de NAS in zet. je kan dan op de router doormiddel van firewalling de 3 netwerken in de appartementen scheiden, en instellen dat deze wel richting het netwerk van de nas mogen verbinden.

eventueel als bridge mode geen optie is voor de ziggo apparatuur kan je ook het bestaande subnet van ziggo gebruiken voor de nas, en de WAN kant van de nieuwe router, je gebruikt deze dan als transit netwerk. ook dan kan je weer met firewalling de boel zo dicht zeten als je wil.

Wat betreft TV via internet, bij ziggo is dat er niet, dat is of via de coax, of via apps. en de apps op smart tv's/telefoon/tablet devices heb je alleen een gebruikersnaam / wachtwoord voor nodig vanuit ziggo.

voor andere providers is dit een apart vlan welke je dan met een managed switch naar de apparementen zou moeten zetten.

wat software matige routers betreft, denk hierbij dan bijvoorbeeld aan opnsense hiervoor zal je dan wel een servertje / oude pc moeten hebben met daarin 1 of 2 netwerkkaarten. ook zal je dan een switch moeten hebben met ondersteuning voor vlans.

[Blokker_1999]

Ik wil toch even enkele bedenkingen maken bij deze opzet. Altijd heel nobel wanneer iemand zo een initatief neemt, maar bedenk wel dat ISPs over het algemeen niet toestaan dat je 1 consumentenlijn gaat splitsen over 3 gebruikers.

En vraag jezelf ook even af: wil ik dit wel? Wat als er een conflict optreed met 1 van de eigenaars of huurders van een appartement? Dat kan gaan van wanbetaling over misbruik tot ronduit illegale activiteiten die vroeg of laat ervoor gaan zorgen dat iemand de eigenaar van die lijn om verantwoording zal vragen.

Hetzelfde met die NAS. Leuk dat je een gedeelde NAS wenst te plaatsen. Maar je kan bijv. niet zomaar voorkomen dat een eigenaar van een appartement de login gegevens doorgeeft aan een onderverhuurder die er een leuke locatie in ziet om zijn eigen spuillen op te dumpen zonder respect voor eventueel gemaakte afspraken.

[sirolfneo]

Dank voor alle nuttige info! Als de modem in bridge mode gaat, wordt de firewall uitgeschakeld. Weten jullie waar ik op moet letten bij het instellen van de firewall op de router?

[temp00]

Klopt helemaal dat de firewall dan uit staat en dat wil je ook niet anders want anders krijg je allerlei rare toestanden met je eigen router/firewall. Het is ook weer heel simpel eigenlijk Op je outside/WAN poort, dus de poort die met het Ziggo modem is verbonden, stel je in:
# Incoming
- Allow established traffic.
- Deny all incoming.
# Outgoing
- Allow all.

Het goede nieuws is, de meeste consumenten routers/firewalls en small business routers/firewalls staan standaard al zo ingesteld (met hier en daar een paar tweaks). Op de wat complexere routers zal je dit zelf in moeten stellen.

[Frogmen]

Meest verstandige simpelste en relatief goedkoopste oplossing is een zakelijk abonnement van Ziggo nemen met 4 ip adressen. Gezamenlijke NAS zou ik niet doen. Alternatief en nog veel simpeler is het netwerk als openbaar goed zien en je NAS en devices op dat niveau goed beveiligen. Anders gezegd netjes gebruik maken van usernamen en wachtwoorden voor iedereen een eigen en wachtwoorden niet delen.
Je netwerk helemaal dichttimmeren is onmogelijk en niet meer van deze tijd, zorg dat je weet wie er op komen.

[sirolfneo]

Oke, ik ga het nu écht maken, uitgaande van de opzet van temp00. Deze vat ik op als volgt:

ISP -> provider router (bridge modus) -> router (edgerouter; 4 vlans) -> switch -> ap (wifi)

Nu is het mij alleen onduidelijk of er toegevoegde waarde zit in het hebben van een eigen switch per appartement. Dus:

optie 1: router (vlans) -> 1 switch in gemeenschappelijke meterruimte ---> ethernet kabel naar appartement ---> 3 APs (1 per appartement)
optie 2: router (vlans) ---> ethernet kabel naar appartement ---> 3 switch (1 per appartement) -> 3 APs (1 per appartement) voor de wifi

Er gaat vanaf de gemeenschappelijke meterruimte 1 cat6a kabel naar ieder van de appartementen. Als ik voor optie 1 ga, moet ik dan niet als nog een switch hebben (met vlan support) om het ethernet signaal te vermenigvuldigen bij binnenkomst in appartement? Er liggen namelijk binnen de appartementen ook nog ethernetkabels voor tv, werkkamer, sonos etc.

Wat lijkt jullie de meest logische oplossing?

[ Voor 4% gewijzigd door sirolfneo op 11-08-2021 12:35 ]