für einen geplanten Netzwerkumbau wäre es freundlich ein Feedback zu bekommen wie ich das sicherheitstechnisch am besten bewerstellige.
Idee ist folgende:
Geplant ist an die TAE nur ein Modem zu hängen mit geringem Stromverbrauch (z.B. Draytek Vigor bis 300Mbit DSL) und dann wollte ich eine Firewall/Dns-Server (Vorschlag ist über OPNsense aarch64 inofficial auf Pi5 o.ä.), dann einen AP mit geringem Stromverbrauch (max. 5 Watt).
Das Setup sollte permanent 24/7 on sein und nicht zu viel Strom verbrauchen.
Der AP ist im Prinzip nur für den Garten gedacht (Bewässerung etc.) und sollte kein großer Traffic drüberlaufen. Geplant ist auch irgendwann dass ggf. über Home Assistant zu steuern.
Dann sollten nur bei Bedarf ein Switch mit Patchpanel und Router mit Voip/Wlan angeschaltet werden, wenn ein PC etc. genutzt wird.
Wie würde hier die Verkabelung aussehen?
Vorschlag wäre so hier:
TAE → Modem 2 xLAN Ausgänge → LAN2 Firewall/DNS-Server (Pi5) + den AP über die Firewall = always on
+ →1xSwitch über LAN1Modem → 1x Router Voip/Wlan + diverse Peripherie = nur bei Bedarf an
Würde das von der Theorie sicherheitstechnisch okay sein?
@Steevie8954 Ich stimme @Thomas1 zu und würde nur ergänzen, dass man in OpenSense VLANs für die Netzwerksegmente anlegt, d.h. ein VLAN für die Heimautomatisierung und eines für die andere Periphere. Dazu muss der Switch VLAN fähig sein.
Um dir den Einstieg etwas leichter zu machen würde ich dir empfehlen die Anleitung von homenetworkguy vorher anzuschauen. Empfehlenswrrerweise auch vor dem Beginn des Umbaus die benötigten Netzkomponenten bereits vor Ort zu haben.
Weiterhin empfehle ich die Thematik VLAN und Managed Switchs mit VLAN Tag (802.11q) zu verstehen. Das ist eine essenzielle Voraussetzung dafür, dass die Einrichtung reibungslos verläuft. Ich spreche nur aus Erfahrung.
Bei der Hardware kann ich dir empfehlen jeweils bei einem Hersteller zu bleiben. Also z.B. die APs von einem, und die Switches von einem.
Also mögliche Kabel empfehle ich ganz normale TP-Kabel, also twisted Pair Kabel (verdrillte Kupferkabel). Glaube dafür sollte auch mit Blick in die Zukunft ein CAT-6a SF/FTP locker ausreichen. Unshielded oder Unfoilded würde ich nicht empfehlen, sodass auch hier Störeinflüsse minimiert werden können.
Wenn du dein Netzwerk aufteilen willst, bist du im Bereich der Segmentierung. Die Segmentierung erfolgt entweder in mehrere physische oder logische (VLANs) Netze. Das bedeutet einfach nur, dass dein Netz in mehrere logische/ physische Netze aufgeteilt wird.
Die Segmentierung kann auf Layer I (physikalische Schicht) erfolgen. Hierbei kommen entweder Hubs oder Repeater zum Einsatz. Hier erfolgt nur die Trennung der Kollisionsdomäne, die Broadcastdomäne bleibt die gleiche.
Wenn die Segmentierung auf Layer II (Datenverbindungsschicht) erfolgt, so kommen Bridges, Layer II Switches oder VLANs zum Einsatz. Hierbei erfolgt neben der Trennung der Kollisionsdomäne auch die Trennung der Broadcastdomäne. Das bedeutet, dass z.B. jedes VLAN wie ein eigenes Netz zu behandeln ist, da es sowohl eine Netzadresse als auch eine Broadcastadresse hat. (Im Beispiel das Netz in der jeweiligen CIDR-Notation).
Die Segmentierung auf Layer III (Netzwerkschicht) sollte bei deinem Setup nicht berücksichtigt werden.
Das was ich Dir empfehlen würde ist, z.B. deine aktiven Netzwerkkomponenten (also jene welche, die eine eigene Stromzufuhr haben) in einem LAN-Segment (kein VLAN) zu belassen, wie z.B. 192.168.1.0/24.
Außerdem gebe ich zu beachten, dass die meistens APs (sofern ich mich nicht irre) über PoE laufen (Power over Ethernet). Das würde bedeuten, dass dein Switch VLAN und PoE-fähig sein muss. Das bedeutet auch, dass der AP hinter dem Switch am entsprechenden PoE-Port angeschlossen sein muss, mit den entsprechenden getaggten VLAN IDs, die benötigt werden, um die eingerichteten SSIDs auszustrahlen.
Da du 5 Netzwerkgeräte verwenden willst, wirst du schon auf ungefähr 50W kommen. Wenn es stromsparender sein soll, musst du in erster Linie Geräte einsparen.
