Wie einzelne Geräte in Gäste-Lan verfügbar machen

Baselbieter

Ich habe die Internetbox 2 und einen Aruba HP-2530 Switch mit entsprechenden Access Points. Wie bei der Internetbox 2 möglich, habe ich 2 VLans konfiguriert, standard als Privatnetz und 1977 als "Guest". Dies habe ich auf den Access Points entsprechend übernommen.

Der Switch ist nach meinem Verständnis ein Layer-2 Switch und kann nicht routen.

Gerne würde ich jedoch einzelne Geräte auch im Gäste-Land freigeben, beispielsweise den Receiver oder den Chromecast.

Wie kann ich das anstellen und welche Geräte benötige ich dazu?

Vielen Dank für Eure Ideen.

cslu

Dazu benötigst du einen Router, auf welchem du entsprechende Policies für das Routing zwischen zwei VLANs erstellen kannst. Eine "echte" Firewall kann sowas z.B. typischerweise problemlos.

Ob sich das mit der InternetBox 2 realisieren lässt, ist mir nicht bekannt. Es würde mich aber eher wundern, wenn das Gerät sowas könnte.

PowerMac

Ich sehe den Grund deines Anliegens, aber mit der Internetbox geht das aktuell nicht und wird wahrscheinlich auch nie gehen da die Lösung nicht ganz simpel ist. Damit aus einem weniger sicheren Netz (nennen wir es mal "guest") Zugriffe auf einzelne Geräte in einem besonders geschützten Netz (z.B. "private") möglich sind bräuchtest du:

einen mDNS-Repeater der zwischen den Zonen guest und private repeatet
eine Firewall, die Traffic von guest nach private auf die von dir festgelegten IPs und Ports erlaubt

Dh. du bräuchtest eine Firewall mit mindestens 3 Zonen (guest, private, external). Ein mDNS-Repeater ist bei vielen aktuellen Firewalls mit an Bord oder mindestens als Package mit minimalem Aufwand dazu installierbar (opnsense, VyOS, IPFire müssten gehen, UBNT soweit ich weiss leider nicht).

Baselbieter

Was wäre da ein passendes Gerät? Gibt es solche Geräte auch nur fürs Netzwerk, sprich, nicht gleich einen kompletten Internet-Router? Ich hätte noch einen Centro Business, möchte diesen aber wegen dem VPN nicht einsetzen.

Baselbieter

OK, kann ja ein Projekt sein.

Hätte dann, nehmen wir an, es ist der Receiver, dieser eine eigene IP im Guest-Lan?

PowerMac

Jedes Heimgerät (von ganz wenigen Ausnahmen abgesehen) kann immer nur eine einzige IPv4 haben, dh. dein Receiver wird nach wie vor eine IP aus deinem Heimnetz haben. Normalerweise wird eine Firewall allen Traffic aus der guest-Zone in die private-Zone blockieren, aber für den Receiver müsste dann eben eine Ausnahme gemacht werden. Entweder nur auf die bekannten benötigten Ports, oder (weniger sicher, aber oft praktisch nicht anders lösbar) einfach alle Ports des Geräts.

Womit du das lösen kannst... gute Frage. Am Arbeitsplatz haben wir das sehr zuverlässig mit zwei redundanten VMs auf der VyOS-Routerdistribution gelöst. Davon würde ich dir aber abraten, da für deine Bedürfnisse und Anforderungen vermutlich viel zu komplex. Allenfalls gibts von Mikrotik noch schöne Sachen, damit kennt sich @user109 sicher besser aus als ich. Manche Layer-3-Switches wären wahrscheinlich auch für diese Zwecke geeignet. Oder du bastelst dir aus einem alten PC mit ein paar Netzwerkkarten einen Übungsrouter. Oder du baust dir einen Router aus einem APU2 mit einer Firewalldistribution deiner Wahl. Oder, oder, oder... Möglichkeiten gibts da praktisch ohne Ende.

Baselbieter

Oder sowas?

https://www.galaxus.ch/de/s1/product/varia-opnsense-ready-system-apu4d4-4-gb-ram-16-gb-msata-ssd-19-rack-gehaeuse-entwicklungsboard-kit-21617191

Schwierig oder machbar?

cslu

Dass sich das mit OPNsense realisieren lässt, davon gehe ich stark aus.

Selber probiert habe ich es (mit OPNsense) nie.

Du musst dann allerdings noch bedenken, wie du die Firewall hinter deinem Swisscom-Router betreiben willst. Je nachdem was du sonst noch so machen willst, kannst du die nicht einfach an den Swisscom-Router hängen, da du sonst ein (unerwünschtes) Doppeltes-NAT-Szenario hast. (Ob es mit einem Swisscom-Privatkundenrouter überhaupt einen sauberen weg gibt doppeltes NAT zu vermeiden, das wissen die anderen hier sicher besser. Mit den Business-Router kann man DMZ oder PPPoE machen, aber ob die Privat-Router inzwischen irgendwas DMZ-artiges können, wüsste ich nichtmal sicher.)

PowerMac

@Baselbieter schrieb:

Oder sowas?

https://www.galaxus.ch/de/s1/product/varia-opnsense-ready-system-apu4d4-4-gb-ram-16-gb-msata-ssd-19-rack-gehaeuse-entwicklungsboard-kit-21617191

Schwierig oder machbar?

Könnte klappen, ist soweit ich sehe nichts anderes als ein vorbereitetes APU4 mit 16GB SSD in einem 19"-Gehäuse. Dass OPNsense schon drauf ist spart dir etwas Arbeit. Ansonsten gäbe es mehr oder weniger dasselbe auch bei PC Engines für deutlich weniger Geld zum Selberbauen. Garantieren kann ich es nicht, da selber nie ausprobiert. Wichtiger als die Hardware ist dann aber dein Lernwille, um das alles zu verstehen und zu konfigurieren.

Baselbieter

Vielen Dank Euch allen. Ich werde mich nun mal der Thematik annehmen.