Advies voor AP/Wifi mesh systeem

[Vetje]

Momenteel ben ik op zoek naar een nieuw WiFi systeem omdat mijn huidige opstelling een aantal limitaties kent. Mijn huidige opstelling bestaat uit een Asus RT-AC66U B1-router en 2 Lyra trio satellieten met Merlin-software. Dit draait in AP-mode achter een OPNsense router en managed switch. De range die ik nu bereik is prima, maar deze opstelling biedt niet de mogelijkheid om meerdere (geïsoleerde) gastennetwerken voor gasten en smarthome-apparatuur in te stellen. Iets wat ik vanuit beveiligingsoogpunt wel graag wil. Daarbij kan het gastennetwerk niet worden gebroadcast over de satellieten.

Ik kan thuis helaas geen UTP kabels naar andere verdiepingen (2) trekken, en neig daarom naar een nieuw mesh systeem met draadloze backhaul, net als wat ik nu heb. Doordat ik geen kabels kan trekken is een systeem gebaseerd op PoE ook niet echt praktisch, behalve dan voor het eerste punt die dicht bij de router staat.

Na zelf wat onderzoek te doen kom ik bij de TP-link Deco M5 uit. Deze lijkt te voldoen aan mijn eisen, en de prijsklasse staat me ook wel aan. Echter: het verplicht aanmaken van een account en configureren via een externe app staan me nogal tegen. Het liefst houd ik alles lokaal (en alles wat niet lokaal kan draaien op een geïsoleerd gastennetwerk ). Dit lijkt bijvoorbeeld wel te kunnen met Ubiquity spul, maar ik ben niet voldoende thuis in het ecosysteem om te bepalen welke apparatuur ik dan nodig zou hebben. Daarnaast lijkt die prijs ook wel hoger uit te vallen.

Hebben jullie suggesties voor WiFi mesh-systemen die aan deze specifieke eisen voldoen en binnen de prijsklasse 200-400 vallen? Alle adviezen en aanbevelingen worden zeer gewaardeerd. Alvast bedankt voor jullie hulp.

[laurens0619]

Wat zijn je eisen nu precies?
Meerdere vlans met meerdere ssids is nogal een complexiteit. Moet je vlan aware wifi, routers en switches hebben. Een deco valt dan af maar unifi kan wel.
Puur gescheiden gastenwifi lukt wel alleen met deco.

Welke veiligheidsrisicos wil je oplossen?

[Vetje]

Dank voor je reactie. De eisen zijn dus eigenlijk samen te vatten als volgt:

• WIFI toevoegen aan een (bestaand) bedraad netwerk. Access point dus, maar wel rekening houdend met dat ik op verdieping 1 en 2 niet bedraad aan kan sluiten.
• Naast een lokaal SSID ook ondersteuning voor een geïsoleerd gasten netwerk. Het liefst 2, één voor IOT spul, één voor gasten. Het veiligheidsrisico wat ik hiermee wil oplossen is dat die apperatuur, zowel van de gasten als smarthome devices niet bij mijn LAN hoeven. Alles wat potentieel wel toegang moet hebben fix ik middels firewall ruling (daarom is het handig als IOT gescheiden is van gasten, maar niet noodzakelijk)
• Broadcast van gastennetwerk, ook over de nodes op de eerste en tweede verdieping.
• Aansluiting van de WIFI is op een managed PoE switch van TP-link (TL-SG2008P), die op zijn beurt is verbonden met een server die OPNsense draait (waarop max 1 lanpoort beschikbaar is).
• Het liefst dus geen apperatuur die je middels een externe app/cloudservice moet installeren/configureren

[ Voor 5% gewijzigd door Vetje op 19-11-2023 13:42 ]

[Ben(V)]

Ik zou eens naar HP instant on kijken.

Overigens moet je bedenken dat vlan's er zijn voor functionele scheiding en niet voor security.
Een hacker die het gelukt is ergens bij je binnen te komen zal vermoedelijk ook geen problemen met vlan hopping hebben.

[Vetje]

Ben(V) schreef op zondag 19 november 2023 @ 13:52:
Ik zou eens naar HP instant on kijken.

Overigens moet je bedenken dat vlan's er zijn voor functionele scheiding en niet voor security.
Een hacker die het gelukt is ergens bij je binnen te komen zal vermoedelijk ook geen problemen met vlan hopping hebben.

Eens. Maar onder aan de streep gaat het er natuurlijk om dat de highrisk devices niet na één hack bij een externe partij gelijk overal bij kunnen in je lokale netwerk (iets wat potentieel op grote schaal bij veel huishoudens remote tegelijk kan worden uitgevoerd). Als individueel target zijn we niet interessant genoeg (ga ik vanuit).

Ik ga eens kijken of die HP Instant On (Aruba?) past

[laurens0619]

Pak een willekeurige pc en ga op je wifi netwerk zitten. Doe een nmap scan en kijk wat je tegenkomt: zolang je geen
- standaard acccounts (admin/admin)
- services zonder authenticatie (open fileshare)
- (windows) devices met achterlopende patches
Hebt zit je wel goed.
Eigk zit je sowieso goed want een iot device kapen ze in 99.9% als botje voor internet toegang, niet om je netwerk te hacken.

Persoonlijk zou ik de iot vlan loslaten en naar keus het spul aan gasten wifi knopen

Echter ls je het wil, omdat je het gewoon wil en het kan, dan kom je al snel uit bij een unifi of een omada.

Ook vanwege je eis “Het liefst dus geen apperatuur die je middels een externe app/cloudservice moet installeren/configureren” zou ik voor aruba instant on, unifi, omada gaan

[ Voor 23% gewijzigd door laurens0619 op 19-11-2023 14:45 ]

[Vetje]

laurens0619 schreef op zondag 19 november 2023 @ 14:35:
Pak een willekeurige pc en ga op je wifi netwerk zitten. Doe een nmap scan en kijk wat je tegenkomt: zolang je geen
- standaard acccounts (admin/admin)
- services zonder authenticatie (open fileshare)
- (windows) devices met achterlopende patches
Hebt zit je wel goed.
Eigk zit je sowieso goed want een iot device kapen ze in 99.9% als botje voor internet toegang, niet om je netwerk te hacken.

Persoonlijk zou ik de iot vlan loslaten en naar keus het spul aan gasten wifi knopen

Dank voor je reactie. IOT netwerk is zoals gezegd niet een noodzaak. De overige punten lijken me wel nog steeds valide.

[Ben(V)]

iot is enkel gevaarlijk als je spul koopt dat standaard connect met de fabrikant.
Gewoon geen toegang tot het internet geven voor iot is een veel betere bescherming dan vlan's of gast-netwerk.

En wifi gebruiken voor iot is zo wie zo heel onverstandig.
Een huis vol wifi lampen is echt een ramp voor je netwerk.

PS.
En ja het is HP Aruba Instant On.

[ Voor 6% gewijzigd door Ben(V) op 19-11-2023 14:50 ]

[Vetje]

Ben(V) schreef op zondag 19 november 2023 @ 14:49:
Gewoon geen toegang tot het internet geven voor iot is een veel betere bescherming dan vlan's of gast-netwerk.

Iets wat mijn inziens nog steeds veel makkelijker is als het allemaal binnen een los netwerk valt, ipv dat ik losse ip's zit af te knijpen. Maar anyway, je punt was duidelijk, thanks voor het advies!