VLANs mit UniFi USG und Unifi AP, Fritzbox und Netgear Switches
Ziel ist es getrennte Netzwerke für die unterschiedliche Geräte zur Verfügung zu stellen. Es soll ein Netzwerk für die Familie mit Zugriff auf die Synology NAS, Drucker und untereinander geben. Dann solle es ein Gastnetz geben, welches kein Zugriff auf das Familiennetzwerk hat, aber im Internet surfen darf. Weiterhin soll es ein Smarthome Netz ohne Zugriff aufs Internet und auf die anderen Netzwerke geben. Zu aller letzt gibt es noch ein Netzwerk für Magenta TV (T-Home Eintertain). Das Netz hat Zugang zum Internet und zu keinem anderen Netz.
Jetzt kann man die 4 Netzte (Familie, Gast, Smarthome u. TV) physikalisch voneinander trennen. D.h. man benötigt für jedes Netzwerk eigene Netzwerkkomponenten wie Switches und jeweils eine eigene Verkabelung. Das ist teuer und aufwändig.
Es ist aber möglich ein physikalisches LAN durch VLANs logisch in verschiedene Netzwerke zu trennen. D.h. sehr vereinfacht dargestellt, es können verschiedene Netzwerke per VLAN über eine physikalisches Netzwerk geleitet werden. Um VLANs abzubilden sind Switches die VLAN fähig sind notwendig. Zusätzlich zu den VLAN fähigen Switches habe ich noch VLAN fähige WLAN Accesspoints und ein VLAN fähiges Security Gateway.
Mein Netzwerk soll folgendermaßen aussehen:
Netzwerk | VLAN | WLAN | Beschreibung |
---|---|---|---|
192.168.1.0/24 | (VLAN 1) | Managed Network für die Netzwerkkomponenten | |
192.168.7.0/24 | VLAN 7 | Magenta TV | |
192.168.20.0/24 | VLAN 20 | AP Stueben und AP Stueben Hotspot | Familiennetzwerk |
192.168.25.0/24 | VLAN 25 | AP Stueben Smarthome | Smarthome Netzwerk |
192.168.100.0/24 | VLAN 100 | AP Stueben Guest | Gästenetzwerk |
Im Einsatz habe ich eine Fritzbox als Intertnetrouter (WLAN ist deaktiviert), ein Unifi Security Gateway als Firewall und um die Netze in VLANs voneinander zu trennen. Dann habe ich noch zwei Unifi WLAN Accespoints die auch VLAN unterstützen, sowie zwei VLAN fähige Netgear Switches.
Statt dem Unifi Security Gateway kann man alternativ auch die 4 LAN Anschlüsse der Fritzbox jeweils direkt mit jeweils einem Port des Netgear Switches verbinden und jedem Switch Port ein VLAN zuweisen. Die zweite Alternative wäre einen Raspberry PI für die Aufgabe eines Security GW zu verwenden.
Bei der Fritzbox Lösung oben sind gleich 4 Ports auf dem Switch belegt. Ich habe diesen Weg aber trotzdem für das Magenta TV VLAN 7 gewählt, da Magenta TV über das Unifi Security Gateway immer nach 10 Sekunden hängt.
Netzwerkkomponente | IP Adresse | Aufgabe |
---|---|---|
Fritzbox 7490 | 192.168.2.1 | Internetrouter und VoIP Telefonie (WLAN ist deaktiviert) |
Netgear GS108Ev3 – Keller | 192.168.1.50 | Manages Switches mit VLAN und IGMPv3 für IP TV (Magenta TV) im Keller |
Netgear GS108Ev3 – Wohnzimmer | 192.168.1.51 | Manages Switches mit VLAN und IGMPv3 für IP TV (Magenta TV) im Wohnzimmer |
Unifi AP AC LR – Wohnzimmer | 192.168.1.40 | WLAN Accesspoints mit VLAN Support im Wohnzimmer |
Unifi AP AC LR – Dachboden | 192.168.1.41 | WLAN Accesspoints mit VLAN Support auf dem Dachboden |
Unifi Security GW | 192.168.2.2 (WAN Port) 192.168.1.1 192.168.20.1 192.168.25.1 192.168.100.1 | Security Gateway als Firewall und um die physikalische Netze in VLANs aufzugliedern |
Unifi Controller | 192.168.1.2 | Raspberry PI mit der Unifi Contoller Software zum managen der Unifi Geräte |
Die Zielnetzwerkarchitektur wie ganz oben beschrieben grafisch dargestellt.
Nun geht es an das konfigurieren. Auf der Fritzbox 7490 ist das Netzwerk auf 192.168.2.0 mit Netmask 255.255.255.0 einzurichten. Dafür gehe auf der Fritzbox auf Heimnetzwerk -> Netzwerk -> Netzwerkeinstelleung und wähle IPv4 Adressen aus.
Wichtig, wenn Du Unifi Geräte nutzt, wähle ein Netzwerkbereich ungleich 192.168.1.0 aus. Das macht die Konfiguration sehr viel einfacher!
Als nächstes ist das Unifi Security Gateway mit der Fritzbox über den WAN Port und der LAN Port mit dem ersten Switch zu verbinden. Da auf der Fritzbox und das Unifi Security jeweils NAT aktiviert ist, findet ein doppeltes NAT statt. Wie das zu verhindern ist, kannst Du hier lesen.
Jetzt ist das Security Gateway zu konfigurieren. Dafür muss der Unifi Controller installiert sein.
Auf dem Unifi Security Gateway sind die VLANS und WLANs einzurichten. Das Unifi Security GW hat jeweils für jedes VLAN eine eigene IP Adresse (siehe Tabelle oben).
Die Konfiguration kann den Screenshots entnommen werden und ist dank des Unifi Controllers nicht weiter kompliziert.
Jetzt müssen die Netgear Switches konfiguriert werden. Dieses ist leider nicht so komfortable wie bei den Unifi Geräten. Dafür sind Switches sehr viel günstiger. Die Switches haben wie auch die anderen Netzwerkkomponenten mit Ausnahme der Fritzbox eine IP Adresse aus dem Managed Netz 192.168.1.0. Das VLAN ist unter dem Menüpunkt VLAN -> 802.1Q und Advanced zu konfigurieren. Es sind die Punkte VLAN-Konfiguration, VLAN-Mitgliedschaft und VLAN-PVID zu mit den Werten der Tabelle unten zu pflegen. In der Tabelle steht U für unttaged und T für Tagged. Für das Unifi Managed Network könnte man theoretisch auch immer Tagged für VLAN1 setzen. Mir wurde aber von einem Netzwerkadministrator geraten hier Untagged einzutragen, auch wenn es anderes ginge.
Kurze Erklärung der Unterschied zwischen Tagged und Untagged. Ein VLAN-Tag ist eine Erweiterung des Ethernet-Headers um eine VLAN-ID zur Erkennung des VLANs.
Ein Switch-Port, an dem ein nicht VLAN-fähiges Endgerät angeschlossen ist, muss ungetagged konfiguriert werden, damit keine Frames mit VLAN-Tag an das Endgerät gesendet werden. Der Switch entfernt dann vor dem Senden das Tag und versieht im Gegenzug Frames, die vom Endgerät eingehen, beim Empfang mit dem entsprechenden Tag. Der Grund für diese Konfiguration ist, dass die allermeisten Endgeräte kein VLAN unterstützen.
Ein Switch-Port, an dem ein VLAN-fähiges Endgerät angeschlossen ist, muss tagged konfiguriert werden. In meinem Fall ist das z.B. die NAS, die Switches und das Unifi Security Gateway.
Die PVID ist die VLAN-ID, die ein Port eingehenden Datenpaketen ohne VLAN-Tag (unttaged) zuweist.
Netgear Switch Keller:
Port | VLAN1 | VLAN7 | VLAN20 | VLAN25 | VLAN100 | PVID | Beschreibung |
---|---|---|---|---|---|---|---|
1 | U | T | T | T | 1 | Unifi Security GW | |
2 | U | T | T | T | T | 1 | Switch Wohnzimmer |
3 | U | 1 | Unifi Conroller | ||||
4 | T | T | 20 | NAS | |||
5 | U | T | T | T | 1 | Unifi WLAN AP Dachboden | |
6 | U | 7 | Fritzbox LAN Port 2 für Magenta TV | ||||
7 | U | 7 | Magenta TV 1. OG |
Die nachfolgenden Screenshots zeigen die Konfiguration, der obigen Tabelle.
Netgear Switch Wohnzimmer:
Port | VLAN1 | VLAN7 | VLAN20 | VLAN25 | VLAN100 | PVID | Beschreibung |
---|---|---|---|---|---|---|---|
1 | U | T | T | T | T | 1 | Switch Keller |
2 | U | T | T | T | 1 | Unifi WLAN AP Wohnzimmer | |
3 | U | 7 | Magenta TV Wohnzimmer | ||||
4 | U | 20 | Notebook | ||||
5 | U | 100 | Notebook Guest |
Analog zu der Konfiguration des Keller Netgear Switches ist die Konfiguration des Wohnzimmer Switches vorzunehmen.
Jetzt ist noch für Magenta TV auf den Switches IGMP Snooping zu aktivieren und das VLAN 7 einzutragen