Forum: PC Hard- und Software SoHo Managed Switch mit Sperrmöglichkeiten


Announcement: there is an English version of this forum on EmbDev.net. Posts you create there will be displayed on Mikrocontroller.net and EmbDev.net.
von Sven (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Hi.

Ich suche einen bezahlbaren Managed Switch (4-8 Ports) für folgendes 
Einsatzszenario:

3 VLANS.

1 und 2 sind zwei Wohneinheiten.
3 sind geteilte Ressourcen (Gemeinsames NAS und SatIP Headend)

-Zwischen VLAN 1 und 2 sollen nur Daten ausgetauscht werden, wenn es 
sich um Unicasts handelt und die MAC Adresse im Switch freigegeben ist.
Multicasts und Broadcasts sollen grundsätzlich im jeweiligen Netzbereich 
bleiben.
Damit sollen die beiden Netzte zwar eigenständig sein. Manuell 
konfigurierte Direkt-Verbindungen sollen aber möglich sein.

-Der Zugriff auf bestimmte IP Adressen oder Mac Adressen aus dem anderen 
VLAN soll unterbunden werden können. Der Internetrouter mit DHCP Server 
der jeweils anderen Wohnung soll nämlich nur aus dem jeweiligen Subnetz 
zugänglich sein, damit DHCP Anfragen und der Internetzugang immer nur 
vom eigenen Router bedient werden.

-Auf VLAN 3 sollen beide Parteien zugreifen dürfen. Die Geräte in VLAN 3 
bedinden sich in einer eigenen IP Range, und die jeweiligen Clients 
werden händisch darauf konfiguriert.

von (prx) A. K. (prx)


Bewertung
0 lesenswert
nicht lesenswert
Ein Layer 2 Switch mit VLANs implementiert über die VLANs getrennte 
Netze, die mit Mitteln des Switches nicht miteinander kommunizieren.

Ein Layer 3 Switch enthält zusätzlich Router-Funktion, um solche VLANs 
verbinden zu können. Der routet dann aber nicht anhand von MAC-Adressen, 
sondern IP-Adressen aus verschiedenen IP-Netzen. Und ist ein wenig 
teurer.

: Bearbeitet durch User
von Sven (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Hab einen gefunden der auch nicht so teuer wäre:

TP-Link TL-SG2008

Der kann z.B.
Zugriffskontrollliste  L2-..L4-Paketfilterung, basierend auf Quell- und 
Ziel-MAC-/IP-Adresse, TCP-/UDP-Ports, 802.1p, DSCP, Protokoll und 
VLAN-ID
Zeitbasiert

Damit wäre es doch möglich, DHCP Traffic über den Switch auszuschließen 
und auch die jeweilige Internet-Router-IP zu sperren, oder?

Damit jeder seinen eigenen Internetrouter nutzt, sich die DHCP Server 
nicht in die Quere kommen, aber trotzdem interner Datentransfer und 
Zugriff auf das gemeinsame NAS und den SatIP Headend möglich ist.

von (prx) A. K. (prx)


Bewertung
0 lesenswert
nicht lesenswert
Was mit VLANs auch ohne ACLs erreichbar ist: Eine Gerät ist aus mehreren 
VLANs erreichbar, indem der zugehörige Port mehreren VLANs zugeordnet 
ist. Damit lassen sich deine unter "VLAN 3" aufgeführten Geräte 
erreichen. Ein drittes VLAN ist dafür nicht erforderlich.

Die Trennung der beiden Heimnetze wird interessanter, da du keine echte 
Trennung haben willst, sondern nur eine halbe. Bei getrennten VLANs ist 
mit Mitteln des Switches m.E. keine direkte Quer-Kommunikation möglich, 
egal ob Broad-, Multi oder Unicast.

Wenn du das also so realisieren willst dann brauchst du eigentlich 
überhaupt keine VLANs, musst aber alle unerwünschte Kommunikation per 
ACL blocken.

: Bearbeitet durch User
von Sven (Gast)


Bewertung
0 lesenswert
nicht lesenswert
@A.K

Einen Port beiden VLANS zuordnen, damit die Geräte von beiden Seiten aus 
erreicht werden können - Gute Idee.

Auf eine direkte Kommunikation zwischen Rechnern in beiden Netzen würde 
ich notfalls noch verzichten, wenn es dadurch einfacher und günstiger 
wird.
Man kann ja das NAS auch als temporäre Datenablage für die Transferdaten 
nutzen.

Der Grund für die Installation ist: Es soll eine gemeinsame SAT-Anlage 
installiert werden, die auch nicht nur im Wohnzimmer genutzt werden 
kann.
Mangels ausreichend Coaxkabeln (Sat braucht ja eine Sterninstallation, 
pro Receiver 1 Kabel zum Multischalter, von Systemen wie Unicable mal 
abgesehen) wäre das aber nicht ohne Installationsarbeiten machbar.

Deswegen will ich auf Sat-IP gehen.
Ein extra TV-LAN macht aber auch keinen Sinn.
Und das NAS soll dann als gemeinsamen Datenspeicher für die PVR Funktion 
genutzt werden.
Außerdem kann man dann Dateien untereinander tauschen, ohne dass es 
übers Internet läuft oder man einen "USB-Stick-Per-Pedes" Dateiaustausch 
macht.

Beide Lans direkt mit Patchkabel verbinden geht auch nicht, da sich dann 
die beiden Internetrouter mit DHCP Server gegenseitig in die Quere 
kommen.
Bei allen Endgeräten manuell die IP Adresse vergeben und DHCP 
ausschalten ist auc nicht zweckmäßig.

Ein einziges "großes" Netz für beide Parteien mit geteiltem Internet 
kommt leider nicht in Frage, da meine Schwiegereltern gerne das "eigene" 
Internet behalten wollen.

von (prx) A. K. (prx)


Bewertung
0 lesenswert
nicht lesenswert
Sven schrieb:
> Einen Port beiden VLANS zuordnen, damit die Geräte von beiden Seiten aus
> erreicht werden können - Gute Idee.

Setzt allerdings voraus, dass diese Geräte eine feste IP kriegen. Und 
alle "einseitigen" Geräte, die damit kommunizieren sollen, disjunkte IPs 
haben.

: Bearbeitet durch User
von Sven (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Naja, die TV SatIP Boxen und den SAT-IP Headend+NAS kann ich manuell 
konfigurieren.
Das bau ich einmal auf, konfiguriere es und dann ist Ruhe.
Das ist dann ein sozusagen eigenes Netz, aber ohne eigene Kabel, denn 
die würden keinen Sinn machen, dann könnt ich auch gleich Coax legen.


Bei den PC's, Tablets und Smartphones wäre eine manuelle IP 
Konfiguration nicht Zielführend. Da ist zu viel Wechsel drin. Und dann 
auch noch die Geräte von Gästen.

Ich hatte schon angeboten, dass die Schwiegereltern über unseren 
Internetanschluss mitsurfen so dass wir einfach 1 gemeinsames Netz 
aufbauen  können. Das haben sie aber abgelehnt weil sie bei dem 
Anschluss "wissen was sie haben".

Umgekehrt bei denen mitsurfen kommt aber auch nicht in Frage, weil die 
nur einen ganz kleinen, alten DSL Tarif haben. Wenn es mich nicht 
täuscht, nur 1 Mbit/s im Downstream und ein Upgrade ebenfalls abgelehnt 
wird.

von (prx) A. K. (prx)


Bewertung
0 lesenswert
nicht lesenswert
Sven schrieb:
> Bei den PC's, Tablets und Smartphones wäre eine manuelle IP
> Konfiguration nicht Zielführend.

Wenn beide Netze disjunkte DHCP-Ranges haben brennt da nichts an.

von Sven (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Naja, wir haben unterschiedliche IP Ranges.

Die haben 192.168.0.x
Wir haben 192.168.178.x


Wenn ich ein Patchkabel anbringe, passiert folgendes:
Alle neueren Geräte landen früher oder später in unserem Netz.
Und alles was mit IPv6 zu tun hat, geht über uns, da der Router von den 
Schwiegereltern mit IPv6 nichts anzufangen weiß.
Nur der olle Desktop-PC mit Windows XP vom Schwiegervater bleibt auf 
deren Router, der wechselt nicht.

Theoretisch würden die Schwiegereltern es gar nicht merken, wenn man 
alles über uns laufen lassen würde. Denn Internet ist ja da.
Deren Router und der DSL Anschluss wären dann quasi nur noch Deko.
Auffallen würde es nur, wenn ich mal wieder am "Basteln" bin oder unser 
Internetanschluss mal wieder down ist, der ist deutlich anfälliger als 
der alte T-Online ADSL Anschluss von denen.

Wenn sie einen eigenen Anschluss haben, sollen sie den dann auch 
wirklich  nutzen.

von (prx) A. K. (prx)


Bewertung
0 lesenswert
nicht lesenswert
Sven schrieb:
> Die haben 192.168.0.x
> Wir haben 192.168.178.x

Geht nicht. Beide Seiten müssen das gleiche IP-Netz verwenden, aber eben 
mit verschiedenen DHCP-Ranges. Sonst funktioniert das bei mit 
gemeinsamen Geräten nicht. Die müssen mit einer festen IP-Adresse auf 
beiden Seiten ins IP-Netz reinpassen.

PS: Oder du verwendest einen internen Router statt der Trickserei mit 
VLANs und gemeinsamen Geräten. Dann gibts 3 VLANs und einen Router, der 
sie koppelt.

: Bearbeitet durch User
von Peter L. (luidoltp)


Bewertung
0 lesenswert
nicht lesenswert
Hi,

wenn du dich mit Netzwerktechnik auskennst, dann würde ich dir zu 
MikroTik Geräten raten. Mit denen ist deine Aufgabenstellung problemlos 
umsetzbar. Und das Preis- / Leistungsverhältnis ist sehr gut.

Damit du aber gewarnt bist: Deine Konfiguration erfordert sicher einiges 
an Einarbeitungszeit bis du deine Konfiguration Umsetzten schaffen 
wirst. MikroTik Geräte bieten so viel Funktionalität das damit auch eine 
gewisse Komplexität einhergeht.

Je nachdem welchen Traffic (Bandbreite) du zwischen den verschiedenen 
Segmenten "routen" willst, würde ein anderes Modell passen.

Ich würde vermutlich zu einem CRS109 (ca. 150 Euro) greifen.
https://routerboard.com/CRS109-8G-1S-2HnD-IN

Liebe Grüße,
Lui

von 1N 4. (1n4148)


Bewertung
0 lesenswert
nicht lesenswert
> Der kann z.B.
> Zugriffskontrollliste  L2-..L4-Paketfilterung, basierend auf Quell- und
> Ziel-MAC-/IP-Adresse, TCP-/UDP-Ports, 802.1p, DSCP, Protokoll und
> VLAN-ID
> Zeitbasiert

Richtig lesen. Die ACLs beziehen sich auf das Web Management Interface. 
Sonst kann der Switch nicht allzuviel außer VLAN.

von Sven (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Den Sat-IP Kram und die TV Boxen wollte ich auf einer komplett anderen 
Range laufen lassen und manuell konfigurieren.

Also z.B. 192.168.200.x

Oder ich hänge den TV Kram in meinen IP Bereich rein.

Hauptsache PC-Mäßig bleibt bei den Schwiegereltern erst mal alles wie 
gehabt.

Dank DVB-T Abschaltung darf ich nun endlich eine "hässliche" 
Satellitenschüssel installieren.
Vorher haben die Schwiegereltern das abgelehnt.
Im Wohnzimmer gabs Kabel-TV (Nur Analog und unverschlüsselte Kanäle), 
und für die Nebengeräte reichte "DVB-T"
Das Argument mit "DVB-T2 kostet monatlich" war der Punkt, wo sie sagten, 
nagut, dann gibts ne Sat Anlage. Aber eben so schonend wie möglich, und 
ohne neue Kabel in der Wohnung.

von 1N 4. (1n4148)


Bewertung
0 lesenswert
nicht lesenswert
> Den Sat-IP Kram und die TV Boxen wollte ich auf einer komplett anderen
> Range laufen lassen und manuell konfigurieren.

Jo mei, dann teil' das halt auf 3 VLAN auf. Eins für SAT-IP, eins für 
deine Schwiegereltern und eins für dich. Dazu irgendwo ein VLAN-fähiger 
Router (irgendeine Billigkiste mit OpenWRT/LEDE) und dann passt das.

von Peter L. (luidoltp)


Bewertung
0 lesenswert
nicht lesenswert
Hi,

ich hab nochmal über deine Anforderungen nachgedacht. Wenn du wirklich 
nur ein Gerät mit 3 Ports brauchst (für deine 3 Netze) dann wäre es auch 
noch eine Möglichkeit zu einem MikroTik Router zu greifen. Diesen dann 
nur im Bridging Modus betreiben (Bridge Firewall enabled) und mit den 
entsprechenden Firewall-Rules füttern.
Die Konfiguration ist damit einfacher (als VLANs) und von der 
Performance her sollte es reichen.

Ich habe gerade gesehen, dass ein neuer RB750 herausgebracht wurde. 
Kostet < 60 Euro und kann was du brauchst.
https://routerboard.com/RB750Gr3

Liebe Grüße,
Lui

von Sven (Gast)


Bewertung
0 lesenswert
nicht lesenswert
1N 4. schrieb:
> Richtig lesen. Die ACLs beziehen sich auf das Web Management Interface.
> Sonst kann der Switch nicht allzuviel außer VLAN.

Hmm nagut.

Die Direktverbindungsmöglichkeit kann wie gesagt erst mal wegfallen.
Solange dann von beiden Seiten die TV-Anlage nutzbar ist, ist alles 
okay.

Statt FTP-Direktverbindungen zu machen, können wir den Dateiaustausch ja 
auch übers NAS machen.

von (prx) A. K. (prx)


Bewertung
0 lesenswert
nicht lesenswert
Sven schrieb:
> Statt FTP-Direktverbindungen zu machen, können wir den Dateiaustausch ja
> auch übers NAS machen.

Mit Router geht auch direkt.

von Andreas M. (amesser)


Bewertung
0 lesenswert
nicht lesenswert
Wie oben beschrieben reichen zwei VLANs dafür aus. Geräte die von beiden 
VLANs aus erreicht werden sollen bekommen eben beide VLANs zugeordnet. 
Eines der Geräte das von beiden VLANs aus erreichbar ist, könnte dann 
zusätzlich noch IP Routing zwischen den beiden Netzen machen und damit 
für die Verbindung zwischen den Netzen sorgen. (Und dabei dass dann auch 
entsprechend deinen Wünschen filtern). Z.b. die NAS, die läuft meist ja 
sowieso 24h. Wenn Du da ein eigenes System mit Linux aufsetzt lässt sich 
das sehr einfach realisieren.
Wir haben in der Firmware in unseren Testracks gute Erfahrungen mit 
Netgear GS105E und GS108E Switchen gemacht.

von 1N 4. (1n4148)


Bewertung
0 lesenswert
nicht lesenswert
> Wie oben beschrieben reichen zwei VLANs dafür aus. Geräte die von beiden
> VLANs aus erreicht werden sollen bekommen eben beide VLANs zugeordnet.

Woher weiß der Switch, dass er die Pakete von einem ungetaggten Port auf 
mehrere VLANs verteilen soll? Würde mich nicht darauf verlassen, dass 
das reibungslos funktioniert.

von Peter II (Gast)


Bewertung
0 lesenswert
nicht lesenswert
1N 4. schrieb:
> Woher weiß der Switch, dass er die Pakete von einem ungetaggten Port auf
> mehrere VLANs verteilen soll? Würde mich nicht darauf verlassen, dass
> das reibungslos funktioniert.

man muss es festlegen. Und man kann nur ein VLAN festlegen. Das wird 
meines wissen so nicht funktionieren.

Ich würde sagen, man braucht einen Router zwischen beiden Netzen.

von Peter II (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Nachtrag:

eventuell geht es mit einen Switch der "Port Isolation" unterstützt. Da 
kann man festlegen das z.b. Port1 niemals mit Port2 direkt reden darf.

Beitrag #4938824 wurde vom Autor gelöscht.
von (prx) A. K. (prx)


Bewertung
0 lesenswert
nicht lesenswert
Inwieweit welche Switches Ports in mehreren VLANs unterstützen ist 
natürlich die Frage. Ich meine, mal vor längerer Zeit sowas in der Hand 
gehabt zu haben, daher aus dem Gedächtnis obiges Konzept. Scheint aber 
nicht so zu sein, also vergiss diese Idee lieber wieder.

: Bearbeitet durch User
von Qwert (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Ich würde einen managed switch + einen router nehmen (am besten einen 
mini-PC mit Linux). Einen router braucht man sowieso und es ist 
eigentlich egal ob er zwischen WAN und (mehreren) (V)LANs routet oder ob 
er auch zwischen den VLAN tut.

Die VLANs würde ich strikt separat halten, sonst hat es kein Sinn.

von Qwert (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Andreas M. schrieb:
> Wir haben in der Firmware in unseren Testracks gute Erfahrungen mit
> Netgear GS105E und GS108E Switchen gemacht.

Allerdings muss man wissen, dass Netgear seine Nutzer ausspioniert. Und 
das finde ich richtig ekelhaft, wenn immer beim konfigurieren der Switch 
(bzw. der Browser) nach hause "telefoniert"...

von Markus M. (adrock)


Bewertung
0 lesenswert
nicht lesenswert
...also mir ist bis jetzt auch kein Switch untergekommen, der auf einem 
Port mehr als EIN ungetaggtes VLAN zulässt. Wie sollte er auch die auf 
diesem Port eingehenden Pakete wieder einem VLAN zuordnen?

Eigentlich ist die Aufgabenstellung der klassische Fall für einen L3 
Switch mit ACLs, oder aber ein L2 Switch mit einer Firewall/Router 
(wahlweise über mehrere physikalische Interfaces oder 802.1q trunk 
angebunden).

Was bedeutet denn "bezahlbar"?

von Markus M. (adrock)


Bewertung
0 lesenswert
nicht lesenswert
...vlt. kannst Du ja auf eBay einen Cisco SG300-10 günstig schiessen. 
Der würde alle Deine Anforderungen erfüllen, die Konfiguration ist 
allerdings rein CLI basiert.

Aber sicher gibt es auch von anderen Herstellern noch günstigere 
Sachen...

von HPE (Gast)


Bewertung
0 lesenswert
nicht lesenswert
Ja, zum beispiel HP-Enterprise Switches 1820/30er Serie. Wenn wirklich 
nur 8 Ports nötig sind dann sind die auch vergleichbar günstig wie der 
TP-Link - ich würde HP aber immer vorziehen...

von Sheeva P. (sheevaplug)


Bewertung
0 lesenswert
nicht lesenswert
Sven schrieb:
> Ich suche einen bezahlbaren Managed Switch (4-8 Ports) für folgendes
> Einsatzszenario:

Ich persönlich würde das mit den VLANs lassen, Consumer-Hardware ist oft 
nicht wirklich dafür vorbereitet und passende Profi-Hardware ist teuer.

Vermutlich ist es einfacher, zwei richtige LANs mit verschiedenen 
Adress-Ranges zu benutzen, Deine gesharten Ressourcen in ein drittes LAN 
ebenfalls mit einer eigenen Adreß-Range zu packen, und die gesharten 
Ressourcen über eine Triple-Homed-Maschine mit Reverse Proxies 
bereitzustellen. Dann sind Deine Netzwerke komplett voneinander 
isoliert, Du muß in keinem der Netze irgendwelche 
Konfigurationsänderungen vornehmen, und das Einzige, was Du brauchst, 
ist ein oller PC oder ein SBC mit drei GBit-NICs, wie etwa ein Soekris 
net6501-30 oä.

Antwort schreiben

Die Angabe einer E-Mail-Adresse ist freiwillig. Wenn Sie automatisch per E-Mail über Antworten auf Ihren Beitrag informiert werden möchten, melden Sie sich bitte an.

Wichtige Regeln - erst lesen, dann posten!

  • Groß- und Kleinschreibung verwenden
  • Längeren Sourcecode nicht im Text einfügen, sondern als Dateianhang

Formatierung (mehr Informationen...)

  • [c]C-Code[/c]
  • [code]Code in anderen Sprachen, ASCII-Zeichnungen[/code]
  • [math]Formel in LaTeX-Syntax[/math]
  • [[Titel]] - Link zu Artikel
  • Verweis auf anderen Beitrag einfügen: Rechtsklick auf Beitragstitel,
    "Adresse kopieren", und in den Text einfügen




Bild automatisch verkleinern, falls nötig
Bitte das JPG-Format nur für Fotos und Scans verwenden!
Zeichnungen und Screenshots im PNG- oder
GIF-Format hochladen. Siehe Bildformate.
Hinweis: der ursprüngliche Beitrag ist mehr als 6 Monate alt.
Bitte hier nur auf die ursprüngliche Frage antworten,
für neue Fragen einen neuen Beitrag erstellen.

Mit dem Abschicken bestätigst du, die Nutzungsbedingungen anzuerkennen.