Advies voor refactoring thuisnetwerk

[ludo_]

Ik weet genoeg van netwerken om te weten wanneer ik om hulp moet vragen...

Mijn thuisnetwerk is organisch gegroeid over de jaren. Ik wil dit "refactoren" om wat zaken t e verbeteren.

Huidige situatie

code:

bedraad:
                     /---Mini PC
                    /      (meterkast)
                   /                                  /--- Apple TV
KPN ExperiaBox v10 ------ TP-Link AXE5400 WiFi Router ---- KPN TV box
   (meterkast)     \       (woonkamer)                \--- Sony Bravia TV
                    \
                     \--- NetGear GS015 Switch (unmanaged) ---- docking station 1
                           (studeerkamer)                  \--- docking station 2

wireless:
KPN ExperiaBox v10
- myssid0 (2.4 GHz): t.b.v. Homewizard P1 en Homewizard watermeter in meterkast

TP-Link AXE5400 WiFi router
- myssid (2.4 GHz, 5 GHz): meeste devices
- myssid6 (6 GHz): voor devices die het ondersteunen

TP-Link RE705X WiFi extender
- myssid1 (2.4 GHz, 5 GHz)

"Wireless Devices" zijn:

• Laptops, tables, telefoons (privé en werk)
• Printer/scanner (HP Envy 5400)
• Roborock S7 stofzuigrobot
• Shelly smart plugs (4x)
• Homewizard P1 en watermeter

Op de KPN ExperiaBox is de firewall ingeschakeld op "medium" (alles naar binnen is geblokkeerd, naar buiten alles toegestaan behalve ftp, telnet, smtp, tftp, rpc, netbios, snmp, smb, syslog, irc).

Wat ik wil bereiken

1. Veiligheid: ik wil de IoT achtige dingen (TV, stofzuigrobot, Shelly plugs) scheiden van de laptops/tables/telefoons. Hoewel de firewall op de ExperiaBox alle inkomende verkeer zou moeten blokkeren, zou ik in het geval van een besmetting via bijv. een firmware update willen voorkomen dat dingen van kwaad tot erger gaan.
2. WiFi ervaring: de SSIDs zijn nu verschillend voor elk van de drie access points. Ik had de RE705X gekocht onder de aanname dat deze met de AXE5400 een mesh netwerk kon vormen, maar dat kan alleen als de AXE5400 als router werkt, maar dat doet ie nu niet (staat in access point mode, want de ExperiaBox is de router). Daarnaast zou ik graag een gastennetwerk hebben, maar dat is nu wat lastig met 3 access points.

Waar ik vastloop

Voor punt 1 moet ik volgens mij met VLANs aan de slag, maar de ExperiaBox biedt deze ondersteuning niet (zover ik kan nagaan). Sowieso heb ik geen ervaring met VLANs, dus het is me (nog) niet helemaal duidelijk hoe ik de IoT devices in een eigen VLAN kan onderbrengen, maar ze wel functioneel houd. Bijvoorbeeld: de Shelly plugs worden via de MiniPC aangestuurd, maar ook via Matter + Apple Home op de telefoons; kan dit überhaupt allebei blijven werken als de plugs op een ander VLAN zitten dan de telefoons? Hetzelfde voor de TV: ik kan nu vanaf de iPad casten naar de TV (via de AppleTV), maar als die op verschillende VLANs zitten werkt dat vast niet meer? (Wellicht is het antwoord hier: het kan niet gescheiden worden.)

Voor punt 2: kan ik SSIDs op alle access points gewoon dezelfde naam geven? Ik heb dat wel eens geprobeerd en hoewel er niets stuk gaat, weet ik niet of het nou werkt (in de zin dat het device inderdaad verbindt met de dichtsbijzijnde AP) en of dat nou überhaupt een goed idee is. De AP van de ExperiaBox is alleen voor de Homewizard meters, omdat de meterkast in een uithoek van het appartement zit en ze de AXE5400 niet zien (te ver). De AXE5400 en RE705X zijn de primaire APs voor "normaal gebruik", dus die twee zou ik graag soepel laten samenwerken. Nu moet ik handmatig schakelen tussen myssid en myssid1, omdat er best veel overlap tussen zit.

Ik realiseer me dat dit eigenlijk 2 vragen zijn, maar omdat ik vermoed dat er wat mogelijk hardware vervangen moet worden, wilde ik ze bij elkaar houden.

[M2M]

Punt 2, ja dat kan. Dezelfde naam geven en je smartphone maakt vanzelf verbinding met een ander access point.

Voor punt 1 heb je een echte router nodig met iets meer spierballen en mogelijkheden dan de experiabox die je nu gebruikt. Het leukste is om er zelf eentje te maken. Een OPNsense of PFsense bak in elkaar zetten is betrekkelijk eenvoudig. 100% controle, superieure performance en maximale instelmogelijkheden.

[babbelbox]

Ikzelf maak gebruik van MikroTik apparatuur, als main router prima voor jouw netwerk splitsing. Maar er zijn meerdere merken die dit kunnen uiteraard. Ubiquiti is er ook zo 1.
Met je gedachte voor VLAN's ga je in ieder geval wel in de goede richting, en inderdaad een van je uitdagingen is de sweet spot tussen wat wel en niet scheiden ten aanzien van veiligheid vs. werkbaarheid/gemak.

[laurens0619]

Je kan je ssid/wachtwoord overal gelijk maken. Let wel op dat de encryptie ook hetzelfde is! Dus bv overal wpa2 aes only. Je hebt de hardware toch! Ik zou daar mee beginnen

Mbt iot apparaten
Ja je kunt gaan segmenteren om rogue iot apparaten van je lan te scheiden maar ik vind dat voor thuis niet heul nuttig
- je non-iot apparaten zouden niet zomaar via netwerk gehackt moeten kunnen worden. Als he bv je laptop via wifi kunt overnemen, dan zou ik dat fixen dmv patching/authenticatie
- ook al kan het, het gaat wss niet voorkomen. Als een iot apparaat thuis hacked is gebruiken ze die 99/100 keer om je internet verbinding te kapen voor aanvallen. Je lan laten ze meestal met rust. Als je wilt segmenteren, segmenteer internet dan uit.

Operationeel is segmenteren ook gewoon gedoe om wat je noemt. Als je het leuk lijkt, dan doen want het is zeker leerzaam. Maar vanuit security, mwoah
Praktisch zou ik iot spul halen waar je wel vertrouwen in hebt . Dus geen gekke chinese zooi

[ludo_]

laurens0619 schreef op zondag 25 oktober 2026 @ 22:36:
Je kan je ssid/wachtwoord overal gelijk maken. Let wel op dat de encryptie ook hetzelfde is! Dus bv overal wpa2 aes only. Je hebt de hardware toch! Ik zou daar mee beginnen

Gelukkig gebruiken ze allemaal dezelfde benaming voor de encryptie:
- WPA2-Personal (ExperiaBox)
- WPA2-PSK[AES] (AXE5400)
- WPA2-PSK (RE705X)

Ik geloof dat dit allemaal hetzelfde betekent.

Ik kan in MacOS de BSSID zien veranderen, dus dit werkt!

Mbt iot apparaten
Ja je kunt gaan segmenteren om rogue iot apparaten van je lan te scheiden maar ik vind dat voor thuis niet heul nuttig
- je non-iot apparaten zouden niet zomaar via netwerk gehackt moeten kunnen worden. Als he bv je laptop via wifi kunt overnemen, dan zou ik dat fixen dmv patching/authenticatie
- ook al kan het, het gaat wss niet voorkomen. Als een iot apparaat thuis hacked is gebruiken ze die 99/100 keer om je internet verbinding te kapen voor aanvallen. Je lan laten ze meestal met rust. Als je wilt segmenteren, segmenteer internet dan uit.

Operationeel is segmenteren ook gewoon gedoe om wat je noemt. Als je het leuk lijkt, dan doen want het is zeker leerzaam. Maar vanuit security, mwoah
Praktisch zou ik iot spul halen waar je wel vertrouwen in hebt . Dus geen gekke chinese zooi

De gekke Chinese zooi is er al (Roborock, en TP-Link misschien ook?), maar daar laten we het dan maar even bij

[laurens0619]

Mooi!
Dr stofzuiger robot zou ik het meest spannend vinden. Die dingen hebben vaak cameras/mics aan boord

Je zou m offline kunnen halen (vast ip zonder gateway geven en je bent er al) en kijken of je hem lokaal aangestuurd krijgt via homeassistant of roborock local server

Dit laat het “beperkte nut” van iot vlans ook zien.
Als je stofzuiger in vlan zit maar wel internet dan heb je nog steeds de cam/mic zorgeb

[ Voor 21% gewijzigd door laurens0619 op 29-10-2026 21:01 ]