VLAN vraag Edgerouter X i.c.m. managed switches

[floppydriver]

Dag, ik heb een vraag over het aanmaken van VLAN's in een nieuw netwerk. Wat ik zou willen heb ik onderstaand overzicht gepoogd inzichtelijk te maken:


De Edgerouter X draait nu prima op glasvezel-internet van T-Mobile (aangesloten op de GPON terminal). Op interface eth0 is een vlan 300 aangemaakt, dat werkt goed.

Nu heb ik door 2 loze leidingen (1 boven, 1 beneden) een CAT8 installatiekabel getrokken, meer kabels passen er niet in. Er is per verdieping dus 1 wandcontactdoos waarop een switch (op eth1 en eth2 van de Edgerouter) aangesloten kan worden.
Nu wil ik op die verdiepingen een aantal VLAN's gebruiken om o.a. WiFi in een ander VLAN te zetten, zodat deze bv. niet bij de VM's van de hypervisor kan komen. En dat werklaptops en IoT devices niet met elkaar in aanraking komen.
Op beide verdiepingen moet 1 gedeeld VLAN komen t.b.v. de access points.

Het idee was om op eth3 op de Edgerouter een aansluiting te houden waarmee ik met een PC de Edgerouter en switches kan beheren. Op eth1 en eth2 kun je daar dan niet via HTTPS en SSH bij de router komen.

Is dit mogelijk zoals ik dit voor ogen heb? En waar ga ik de VLAN's aanmaken? Op de Edgerouter of op de switches? De firewall-regels voor de VLAN's moet ik dan in de Edgerouter maken lijkt me.

Bedankt voor jullie input!

[lier]

floppydriver schreef op vrijdag 10 februari 2023 @ 12:36:
Is dit mogelijk zoals ik dit voor ogen heb?

Ja

En waar ga ik de VLAN's aanmaken? Op de Edgerouter of op de switches?

Beiden

De firewall-regels voor de VLAN's moet ik dan in de Edgerouter maken lijkt me.

Lijkt mij ook

[floppydriver]

Bedankt voor je reactie.
Op de Edgerouter moet ik dan dus op bv eth1 vlan’s 900, 901 én 902 toevoegen en op de switch per poort 1 vlan toewijzen? Dan kan ik ze dus in aparte IP ranges krijgen en voor die hele groep waar alle apparaten binnen VLAN X onder vallen regels toevoegen?

[valkenier]

Je kan toch een trunk opzetten naar de switches, en daar weer splitsen?

[floppydriver]

Dit ga ik proberen bedankt voor de tip.
Hoe sta ik toe dat apparaten die via WiFi verbonden zijn met vlan 900 kunnen communiceren met de bedrade printer op vlan 903?
Dit vlan 903 moet dan wel benaderbaar zijn voor een select aantal apparaten waarvan ik de IP adressen weet (static leases) zonder dat bv alle werklaptops en wifi clients erbij kunnen.

[Voor 9% gewijzigd door floppydriver op 10-02-2023 21:28]

[nelizmastr]

floppydriver schreef op vrijdag 10 februari 2023 @ 21:28:
Dit ga ik proberen bedankt voor de tip.
Hoe sta ik toe dat apparaten die via WiFi verbonden zijn met vlan 900 kunnen communiceren met de bedrade printer op vlan 903?
Dit vlan 903 moet dan wel benaderbaar zijn voor een select aantal apparaten waarvan ik de IP adressen weet (static leases) zonder dat bv alle werklaptops en wifi clients erbij kunnen.

Dat wordt een firewall regel maken die toegang tot de printer danwel het VLAN toestaat van alleen die IP’s. Daaronder een drop all zoals gebruikelijk voor de rest.

[Jay-B]

floppydriver schreef op vrijdag 10 februari 2023 @ 21:28:
Dit ga ik proberen bedankt voor de tip.
Hoe sta ik toe dat apparaten die via WiFi verbonden zijn met vlan 900 kunnen communiceren met de bedrade printer op vlan 903?
Dit vlan 903 moet dan wel benaderbaar zijn voor een select aantal apparaten waarvan ik de IP adressen weet (static leases) zonder dat bv alle werklaptops en wifi clients erbij kunnen.

Er zijn meerdere wegen naar Rome. In de basis is het efficiënter om hosts met dezelfde rechten te groeperen in een VLAN. Dat zou normaal gesproken ook gebeuren als je LAN niet virtueel zou zijn. Dat maakt niet alleen je firewall ruling simpeler ook kan je in de toekomst makkelijker nieuwe regels toevoegen om de juiste scheiding tussen hosts al is gemaakt. Je zou er dus voor kunnen kiezen om de hosts die niet mogen printen in en ander VLAN te gooien. Hierdoor hoef je niet te klungelen met statische IP leases en is je oplossing robuuster en makkelijker uit te breiden.

[Frogmen]

Bedenk wel dat airprint zich waarschijnlijk niet laat routeren dus ik zou die printer wel in hetzelfde netwerk zetten. Net als veel Iot devices laat zich allemaal minder makkelijk routeren. Bedenk het zijn thuis producten.

[Zenix]

Frogmen schreef op zaterdag 11 februari 2023 @ 12:35:
Bedenk wel dat airprint zich waarschijnlijk niet laat routeren dus ik zou die printer wel in hetzelfde netwerk zetten. Net als veel Iot devices laat zich allemaal minder makkelijk routeren. Bedenk het zijn thuis producten.

Dit inderdaad zelfde met bijvoorbeeld chromecast.

[boomer21]

Frogmen schreef op zaterdag 11 februari 2023 @ 12:35:
Bedenk wel dat airprint zich waarschijnlijk niet laat routeren dus ik zou die printer wel in hetzelfde netwerk zetten. Net als veel Iot devices laat zich allemaal minder makkelijk routeren. Bedenk het zijn thuis producten.

Volgens mij werkt mdns repeater wel goed met AirPrint ( multicast) hoef je niks in te stellen met firewall rules .

YouTube: IOT Across Subnets with EdgeRouter