Segmentatie mogelijk met TP-Link Deco + UCG of OPNsense?

[HowsMyApple]

Ik ben bezig met het herstructureren van mijn thuisnetwerk en wil daarin IoT-apparaten isoleren van mijn LAN- en andere WiFi-clients, idealiter via VLANs of firewallsegmentatie.

Momenteel ga ik direct van de mediaconverter naar de eerste TP Link Deco XE75 Pro. Deco's staan dus nog in router mode en zijn via ethernet verbonden(3 stuks totaal). Dit werkt prima, wifi dekking en snelheden heb ik niets over te klagen.

Voor zover ik weet, ondersteunen mijn Deco’s geen VLAN-tagging op SSID-niveau, waardoor alle WiFi-clients op hetzelfde '(untagged) VLAN' komen.
Wat de Deco's wel ondersteunen is individuele isolatie, maar dat is niet wenselijk omdat ik dan geen dns voor enkele devices kan instellen.

---

Mijn doel is om IoT-apparaten (zoals camera’s, deurbel, PV, Airco, wifi-verlichting) toegang tot internet te beperken, maar wel naar speciefke devices laten communiceren.
Om dit voor elkaar te krijgen had ik de volgende 2 opties bedacht:

Optie 1:
Media converter --> Lenovo m720q(gevirtualiseerde OPNsense, dual 2.5 NIC) --> Deco's (in AP mode)

Voordeel is dat ik dmv mac adressen te groeperen firewall regels aan kan maken per alias.
Nadeel is mogelijk kans op onjuiste of onvolledige configuratie door mij, en ook meer kans op instabiliteit (ivm draaien op proxmox ipv baremetal).

Optie 2:
Media converter --> Unify Cloud Gateway Ultra --> Deco's (in AP mode)

Ik ben nog niet bekend in het unify ecosysteem. Maar een voordeel hier lijkt het gebruiksgemak, "het werkt gewoon".
Nadeel is dat het lijkt dat je per individueel device firewall regels moet instellen (gezien alle wifi devices op 1 port binnenkomen) en je hier niet kan groeperen (lijkt het?)

Optie 1 is leuker en goedkoper, want heb ik al in huis. Optie 2 is makkelijker en moet ik nog aanschaffen. Maar tijd is ook geld.

---

Mijn vragen aan de kenners hier:
- Kan ik netwerksegmentatie voldoende afdwingen via MAC/IP-gebaseerde firewallregels in UniFi icm de Deco's?

-Is er qua flexibiliteit en beheer nog een sterk voordeel van OPNsense t.o.v. de UCG Ultra in deze specifieke situatie, ondanks dat WiFi-segmentatie via SSID/VLAN niet mogelijk is?


Als het kan wat ik wil dan ga ik idealiter voor de UCG Ultra. Dat lijkt makkelijker, en dan gebruik ik die mini-pc mooi voor iets anders.

[nelizmastr]

HowsMyApple schreef op vrijdag 1 augustus 2025 @ 08:19:

---

Mijn vragen aan de kenners hier:
- Kan ik netwerksegmentatie voldoende afdwingen via MAC/IP-gebaseerde firewallregels in UniFi icm de Deco's?

-Is er qua flexibiliteit en beheer nog een sterk voordeel van OPNsense t.o.v. de UCG Ultra in deze specifieke situatie, ondanks dat WiFi-segmentatie via SSID/VLAN niet mogelijk is?

Unifi kan inderdaad wat je wil, OPNSense ook. De voordelen beide kanten op zijn dan Unifi qua gebruiksgemak sterker is (maar ook best geavanceerde opties heeft, hetzij sommige verstopt) en OPNSense breder is qua instelmogelijkheden met als kanttekening een steilere leercurve.

Ik zie echter twee problemen:

- Je krijgt te maken met tagged VLAN's, daarvoor heb je een switch nodig die ze weer untagged doorgeeft aan je niet zo VLAN aware deco's - dit moet een managed switch zijn
- Je hebt nog steeds VLAN scheiding op SSID nodig op je AP's, dus je zult vermoedelijk naar andere AP's moeten als je dit niet kunt instellen.

Deze combinatie zorgt ervoor dat je dan naast je router ook je AP's moet vervangen en een switch moet toevoegen om op de poorten naar de AP's untagged je interne netwerk en tagged een IoT netwerk te kunnen doorgeven.

[ Voor 9% gewijzigd door nelizmastr op 01-08-2025 08:49 ]

[MasterL]

Het grote nadeel van het ontbreken van VLAN functionaliteit in jouw AP's is dat je moet gaan goochelen met MAC adressen. Als je jouw AP's wil houden zou je kunnen kijken naar een oplossing waarbij je twee subnets
in 1 VLAN (default) hebt.

Wat je zou kunnen doen bijvoorbeeld is op basis van MAC adressen een IP-adres uitdelen (DHCP) in een ander subnet als je default subnet. Dit subnet kun je dan weer filteren of je maakt reservations en doet dit per IP, dit kun je ook bereiken met een static config natuurlijk. Dit is natuurlijk niet echt security want in principe kan het MAC adres aangepast/gespoofd worden en/of met een static IP config in het "normale" subnet zit je direct weer in hetzelfde netwerk. Broadcast (ARP, DHCP, mDNS etc) loopt natuurlijk ook door elkaar maar hier kan je weinig aan doen als je geen VLANS gebruikt buiten heel veel ACL's.

Een andere optie is een serieuze managed switch met ACL's op het MAC adres maar ik zou dan eerder je AP's vervangen. Als je niet bang bent voor serieuze security risks en je wil gewoon iets meer controle dan zou ik de "2 subnets in 1 LAN" optie overwegen. Wat je hier voor nodig hebt is eigenlijk alleen een router met goede DHCP opties (indien geen static config) en de opties om 2 IP-adressen te configureren op 1 interface.
Ohja en een firewall natuurlijk

[ Voor 10% gewijzigd door MasterL op 01-08-2025 09:03 ]

[HowsMyApple]

@nelizmastr Hoe krijg ik dan alsnog te maken met tagged VLANs? VLANs gebruiken zoals ze bedoeld zijn gaat denk ik niet werken met enkel de Deco's + UCG Ultra/OPNsense VM.
Denk dat ik er genoegen mee moet nemen dat alle wifi devices via een Deco terechtkomen op de UCG Ultra, en dat ik op de Ultra op device niveau wat firewallregels in kan stellen. Want dat is wel mogelijk, toch?

@MasterL Wat voor serieuze security risks zou ik aan moeten denken? Eigenlijk ben ik al tevreden als ik m'n IoT apparaten ervan kan weerhouden om de hele dag updates richting China te sturen. En wanneer de werklaptops niet de rest van het LAN mogen benaderen.

Wat je hier voor nodig hebt is eigenlijk alleen een router met goede DHCP opties (indien geen static config) en de opties om 2 IP-adressen te configureren op 1 interface.
Ohja en een firewall natuurlijk

Dus, een UCG Ultra bijvoorbeeld?

[Frogmen]

Als je wilt dat apparaten niet naar internet kunnen connecten kan je ze natuurlijk een vast IP adres geven zonder gateway adres. Low tech maar het werkt wel.

[nelizmastr]

HowsMyApple schreef op vrijdag 1 augustus 2025 @ 20:43:
@nelizmastr Hoe krijg ik dan alsnog te maken met tagged VLANs? VLANs gebruiken zoals ze bedoeld zijn gaat denk ik niet werken met enkel de Deco's + UCG Ultra/OPNsense VM.
Denk dat ik er genoegen mee moet nemen dat alle wifi devices via een Deco terechtkomen op de UCG Ultra, en dat ik op de Ultra op device niveau wat firewallregels in kan stellen. Want dat is wel mogelijk, toch?

Je kunt maar één untagged VLAN per fysieke kabel doorgeven, als je over één kabel dus je interne netwerk en een IoT netwerk wilt bedienen die op laag 2 gescheiden zijn dan moet daar dus een untagged en een tagged VLAN naartoe, je kunt immers niet twee losse kabels in de Deco douwen als invoer en dat bridgen naar je WLAN radio's, zo werkt dat niet. Dit is uiteraard ietwat gechargeerd geschreven, heb ik verder geen bedoeling mee

Firewall regels is inderdaad het enige wat je nog soort van eenvoudig kunt inregelen zonder over te stappen op betere apparatuur met volledige VLAN ondersteuning.

[ Voor 3% gewijzigd door nelizmastr op 01-08-2025 21:41 ]

[MasterL]

HowsMyApple schreef op vrijdag 1 augustus 2025 @ 20:43:

@MasterL Wat voor serieuze security risks zou ik aan moeten denken? Eigenlijk ben ik al tevreden als ik m'n IoT apparaten ervan kan weerhouden om de hele dag updates richting China te sturen. En wanneer de werklaptops niet de rest van het LAN mogen benaderen.

[...]

Dus, een UCG Ultra bijvoorbeeld?

Dit is precies het punt.. Het kunnen benaderen van de rest van het LAN is "vaag".
Het scheiden van LAN's kan op 2 manier:
1: Fysiek (andere switches, kabels, devices).
2: Logisch (VLANS etc).

Je kunt prima een apparaat een vast IP-adres geven en deze in de firewall filteren maar..
Een IP-adres/apparaat zit in een subnet bijvoorbeeld 192.168.1.100/24, alle apparaten in dit subnet kunnen
onderling met elkaar communiceren dit is een LAN. Dus verkeer van 192.168.1.100 <> 192.168.1.101 bijvoorbeeld gaat direct zonder tussenkomst van een router/firewall o.i.d. Jouw werk laptop bijvoorbeeld zou dus een IP-adres moeten hebben buiten dit 192.168.1.0/24 subnet, al het verkeer buiten het subnet gaat naar je default route/default gateway waarbij het dus wel bij je router/firewall terecht komt.

Maar nu, netwerken zijn niet alleen IP-adressen unicast. Er bestaat ook zoiets als broadcast, multicast, MAC-adressen e.d. Zie hier VLANS..
Ik zal een voorbeeld geven (zonder VLAN), jij hebt een twijfelachtig IOT apparaat deze geef jij een vast IP-adres en filtert bepaalde poorten in jouw firewall. IOT apparaat heeft poort TCP/443 nodig voor updates/cloud services dus deze sta je toe in je firewall voor functionaliteit. Prima toch? Maar nu ben ik de beheerder van dit IOT apparaat en vond het wel een leuk idee om een tunnel op te bouwen over TCP/443, omdat het kan. Ik vind die firewall toch wel irritant dus ik voeg een extra IP-adres toe op de interface of verander het IP gewoon zo probleem opgelost. Of ik denk laat ik eens kijken vanaf het device welke andere zaken ik kan vinden in het netwerk, Chromecast, netwerk shares, camera's, etc. Geen probleem want ik zit in hetzelfde "LAN". Daarom mijn suggestie om deze devices dus buiten het normale subnet te plaatsen om verkeer tussen deze apparaten ook door de gateway te laten gaan en dus direct unicast verkeer onmogelijk te maken. Maarja omdat ik fysiek/logisch in hetzelfde netwerk zit (layer 2 domain) kan ik gewoon (met mijn mooie tunnel) iets van tcpdump draaien wat ARP/DHCP monitoren en het IP-adres doorleuk aanpassen naar iets in hetzelfde subnet als de rest van jouw apparatuur. Zie hier..security risks.

Is bovenstaande reëel? Waarschijnlijk niet maar als je met security aan de slag gaat wel iets om op zijn minst bij stil te staan.